Модуль Twin Tunnel Firewall позволяет создать дополнительные правила фильтрации для трафика, который уже прошел через систему защиты DDoS-Guard. Вы можете настроить фильтрацию на основе параметров IP-пакета.
Создание правил Twin Tunnel Firewall
Правила Twin Tunnel Firewall применяются последовательно сверху вниз
Чтобы создать правило, выберите услугу защиты сети → перейдите на вкладку Защита L3–4 → откройте раздел Twin Tunnel Firewall → нажмите Создать правило.
После этого появится меню Создание правила.
Заполните форму:
- Задайте условия — параметры пакета для срабатывания правила.
- Выберите действие для пакета.
- При необходимости заполните поле Комментарий — введите туда название правила или его краткое описание.
- Установите статус правила. При создании правило будет включено по умолчанию. Чтобы его деактивировать, нажмите на переключатель Активное правило.
- Нажмите Сохранить — новое правило появится в общем списке.
На Базовом уровне защиты можно создать 5 правил фильтрации, на Оптимальном — 10 правил
Условия
Вы можете задать одно или несколько условий. Правило применится к IP-пакету, если он соответствует всем условиям (логическое И).
Если условия не заданы, правило действует для всего входящего трафика
Доступные условия:
Протокол
Выберите протокол передачи данных в IP-пакете. К указанному протоколу будет применяться правило фильтрации.
Доступные протоколы
- TCP
- UDP
- SCTP
- DCCP
- UDPLITE
- ICMP
- IGMP
- ESP
- AH
- GRE
- IPIP
- IPV6_ENCAP
- OSPF
- PIM
- VRRP
Подсеть SRC и Подсеть DST
В полях Подсеть SRC и Подсеть DST введите адреса подсети-источника и подсети-получателя в формате CIDR. Чтобы создать правило для одного IP, используйте префикс /32.
Если не вводить подсеть DST, правило будет применяться ко всему входящему трафику.
Порт SRC и порт DST
В полях Порт SRC и Порт DST нужно ввести порт источника и порт назначения. Выбор портов доступен для следующих протоколов:
- TCP
- UDP
- SCTP
- DCCP
- UDPLITE
Если не вводить порт источника и порт назначения, правило будет применяться ко всем портам в диапазоне 0–65535
Длина пакета
Можно задать длину IP-пакета, к которой будет применяться правило. Доступны значения от 20 до 1500 байт.
Операторы условий
Для условий Порт SRC, Порт DST и Длина пакета необходимо выбрать оператор:
| Оператор | Описание |
|---|---|
| равно (equal to) | Проверяет, равен ли параметр заданному значению |
| не равно (not equal) | Проверяет, не равен ли параметр заданному значению |
| больше (greater than) | Проверяет, больше ли параметр заданного значения |
| меньше (less than) | Проверяет, меньше ли параметр заданного значения |
| больше или равно (greater than or equal to) | Проверяет, больше ли параметр заданного значения или равен ему |
| меньше или равно (less than or equal to) | Проверяет, меньше ли параметр заданного значения или равен ему |
| в диапазоне (in range) | Проверяет, находится ли параметр между двумя заданными значениями |
| не в диапазоне (not in range) | Проверяет, не находится ли параметр между двумя заданными значениями |
Начальное значение диапазона должно быть меньше конечного
Действие
Выберите Действие, которое будет применяться в рамках правила:
- Permit — принять пакет и пропустить на защищаемый ресурс
- Deny — отклонить пакет
Если на первом месте в списке будет стоять правило без условий с действием Deny, весь входящий трафик будет заблокирован
Редактирование правил
Вы можете менять порядок применения правил — для этого перемещайте их с помощью маркера перетаскивания слева. Нажмите Сохранить изменения в левом нижнем углу таблицы, чтобы применить новый порядок.
Чтобы изменить созданное правило, нажмите на три точки справа от него и выберите опцию Редактировать. Обновите информацию и нажмите Сохранить.
Чтобы временно отключить правило, воспользуйтесь переключателем Активное правило в окне редактирования или в таблице и сохраните изменения.
Просмотр статистики по правилу
Вы можете посмотреть статистику использования каждого правила в байтах и пакетах. Для этого нажмите на иконку графика справа и выберите необходимый период во всплывающем окне. Обработанный трафик будет показан с разной детализацией в зависимости от временного интервала.
Статистика неактивных правил отображается за период до их отключения
Примеры использования Twin Tunnel Firewall
Пример 1. Разрешить UDP-трафик только для доверенных IP-адресов
Необходимо пропустить на сервер UDP-трафик только с IP-адресов 198.51.100.126 и 198.51.100.127. Фильтрация по портам не требуется.
1. Создайте правило для адреса 198.51.100.126/32:
- Условие → Протокол → UDP
- Условие → Подсеть источника → 198.51.100.126/32
- Действие → Permit
2. Создайте правило для адреса 198.51.100.127/32:
- Условие → Протокол → UDP
- Условие → Подсеть источника → 198.51.100.127/32
- Действие → Permit
3. Создайте правило для остального UDP-трафика:
- Условие → Протокол → UDP
- Действие → Deny
Убедитесь, что правило для блокировки остального UDP-трафика расположено ниже правил с действием Permit, чтобы доверенные адреса попали на ресурс.
Пример 2. Ограничить доступ по странам и IP-адресам
Необходимо запретить доступ к ресурсу для США, но разрешить для публичного DNS-сервера Google — 8.8.8.8/32.
1. Настройте геоблокировку в модуле Twin Tunnel Geo-Block:
- Режим обработки трафика → Черный список
- Страны → США (US)
2. Создайте правило доступа для доверенного IP-адреса 8.8.8.8/32 в модуле Twin Tunnel Firewall:
- Условие → Подсеть источника → 8.8.8.8/32
- Действие → Permit
Пропущенные Twin Tunnel Firewall пакеты сразу передаются на ресурс без дальнейшей проверки другими модулями. Поэтому адрес 8.8.8.8/32 сможет получить доступ, несмотря на блокировку трафика из США на уровне Geo-Block.
Принцип работы модулей Twin Tunnel
Трафик последовательно проходит через все модули Twin Tunnel. Каждый модуль анализирует входящие пакеты согласно своим правилам.
Обработка трафика начинается с Twin Tunnel Firewall. Правила фаервола не применяются к трафику, который был ранее заблокирован нашими фильтрами на уровнях L3–7.
Подробнее о работе правил Twin Tunnel читайте в инструкции «Как работает защита сети»