Kaspersky SD-WAN

Работа с правилами межсетевого экрана

Таблица правил межсетевого экрана отображается в шаблоне межсетевого экрана и на устройстве CPE:

• Для отображения таблицы правил межсетевого экрана в шаблоне межсетевого экрана вам нужно в меню перейти в раздел SD-WAN → Шаблоны межсетевого экрана, нажать на шаблон межсетевого экрана и выбрать вкладку Правила.
• Для отображения таблицы правил межсетевого экрана на устройстве CPE вам нужно в меню перейти в раздел SD-WAN → Устройства CPE, нажать на устройство CPE и выбрать вкладку Параметры межсетевого экрана → Правила.

По умолчанию созданы следующие правила межсетевого экрана:

• Allow-GENEVE – разрешает устройству CPE получать GENEVE-пакеты из WAN-зоны межсетевого экрана. GENEVE-пакеты являются инкапсулированным трафиком Kaspersky SD-WAN.
• Allow-DHCP-Renew – разрешает устройству CPE получать BOOTP-пакеты из WAN-зоны межсетевого экрана для правильной работы протокола DHCP.
• Allow-IGMP – разрешает устройству CPE получать IGMP-пакеты из WAN-зоны межсетевого экрана для правильной работы протоколов VRRP и multicast.
• Следующие правила межсетевого экрана временно выключены до появления полной поддержки протокола IPv6 в Kaspersky SD-WAN:
  • Allow-DHCPv6 – разрешает устройству CPE получать DHCPv6-пакеты из WAN-зоны межсетевого экрана для правильной работы протокола IPv6.
  • Allow-MLD – разрешает устройству CPE получать MLD-пакеты из WAN-зоны межсетевого экрана для правильной работы протокола IPv6.
  • Allow-ICMPv6-Input – разрешает устройству CPE получать ICMPv6-пакеты из WAN-зоны межсетевого экрана для правильной работы протокола IPv6.
  • Allow-ICMPv6-Forward-From-Wan – разрешает устройству CPE получать ICMPv6-пакеты из WAN-зоны межсетевого экрана, которые пересылаются в LAN-зону межсетевого экрана, для правильной работы протокола IPv6.
  • Allow-ICMPv6-Forward-From-Lan – разрешает устройству CPE получать ICMPv6-пакеты из LAN-зоны межсетевого экрана, которые пересылаются в WAN-зону межсетевого экрана, для правильной работы протокола IPv6.
• Explicit-deny-http(s)-on-wan – запрещает устройству CPE получать пакеты трафика протокола TCP с портами назначения 80 или 443 для предотвращения доступа из WAN-зоны межсетевого экрана к веб-серверу устройства CPE.

Для правильной работы правил межсетевого экрана по умолчанию вам нужно добавить сетевые интерфейсы sd-wan<0–4> в WAN-зону межсетевого экрана. Вы можете добавить сетевые интерфейсы в зону межсетевого экрана при создании или изменении сетевых интерфейсов.

Информация о правилах межсетевого экрана отображается в следующих столбцах таблицы:

• Имя – имя правила межсетевого экрана.
• Детали – критерии, согласно которым межсетевой экран применяет правило к пакетам трафика.
• Действие – действие, которое правило межсетевого экрана выполняет с пакетами трафика.