Компонент использует параметры конфигурации, заданные в секции [LinuxFirewall] объединенного конфигурационного файла продукта Dr.Web для UNIX.
В секции представлены следующие параметры:
LogLevel = {уровень подробности}
|
Уровень подробности ведения журнала компонента.
Если значение параметра не указано, используется значение параметра DefaultLogLevel из секции [Root].
Значение по умолчанию:
LogLevel = Notice
|
Log = {тип журнала}
|
Метод ведения журнала компонента.
Значение по умолчанию:
Log = Auto
|
ExePath = {путь к файлу}
|
Путь к исполняемому файлу компонента.
Значение по умолчанию:
ExePath = <opt_dir>/bin/drweb-firewall
•Для Linux: ExePath = /opt/drweb.com/bin/drweb-firewall
•Для FreeBSD: ExePath = /usr/local/libexec/drweb.com/bin/drweb-firewall
•Для Solaris: ExePath = /opt/drweb.com/bin/drweb-firewall
|
InspectHttp = {On | Off}
|
Проверять данные, передаваемые по протоколу HTTP.
Реальная проверка данных будет осуществляться в соответствии с заданными правилами проверки (см. ниже).
Значение по умолчанию:
InspectHttp = On
|
InspectSmtp = {On | Off}
|
Проверять данные, передаваемые по протоколу SMTP (использует компонент Dr.Web MailD, если установлен).
Реальная проверка данных будет осуществляться в соответствии с заданными правилами проверки (см. ниже)..
Значение по умолчанию:
InspectSmtp = Off
|
InspectPop3 = {On | Off}
|
Проверять данные, передаваемые по протоколу POP3 (использует компонент Dr.Web MailD, если установлен).
Реальная проверка данных будет осуществляться в соответствии с заданными правилами проверки (см. ниже)..
Значение по умолчанию:
InspectPop3 = Off
|
InspectImap = {On | Off}
|
Проверять данные, передаваемые по протоколу IMAP (использует компонент Dr.Web MailD, если установлен).
Реальная проверка данных будет осуществляться в соответствии с заданными правилами проверки (см. ниже)..
Значение по умолчанию:
InspectImap = Off
|
InputDivert = {Off | Auto(interface:<i_name> protected:<p_list>)}
|
Настройки перенаправления входящих соединений в SpIDer Gate для проверки.
Возможные значения:
•Off – перенаправление входящих соединений отключено. •Auto(interface:<i_name> protected:<p_list>) – перенаправление входящих соединений в автоматическом режиме. Правилами управляет Dr.Web Firewall для Linux. Контролируются соединения, входящие через указанный сетевой интерфейс <i_name> на указанный список портов <p_list>. Номера портов в списке <p_list> указываются через запятую. Пример: Auto(interface:eth0 protected:80,8080). Значение по умолчанию:
InputDivert = Off
|
OutputDivert = {Off | Auto}
|
Настройки перенаправления исходящих соединений в SpIDer Gate для проверки.
Возможные значения:
•Off – перенаправление исходящих соединений отключено. •Auto – перенаправление исходящих соединений в автоматическом режиме, правилами управляет Dr.Web Firewall для Linux. Значение по умолчанию:
OutputDivert = Auto
|
ExcludedProc = {путь к файлу}
|
Список процессов который может быть использован в качестве белого списка процессов, т.е. списка процессов, сетевая активность которых не должна контролироваться.
Может иметь список значений. Значения в списке указываются через запятую. Допускается повторение параметра в секции (в этом случае все значения объединяются в единый список).

|
Реальное использование списка процессов, указанного в данном параметре, зависит от того, как он используется в правилах проверки, заданных для Dr.Web Firewall для Linux.
В перечне правил, заданных по умолчанию (см. ниже), гарантируется, что трафик всех процессов, указанных в этом списке пропускается без какой-либо проверки.
|
Значение по умолчанию:
ExcludedProc =
|
SniCheckAddress = {логический}
|
Выполнять проверку SNI хоста, с которым выполняется соединение, на этапе «SSL handshake» с целью проверить, находится он в черном списке или в блокируемых категориях, без вскрытия SSL.

|
В текущей реализации значение данной переменной не оказывает никакого влияния на проверку защищенного трафика. Для реального управления проверкой нужно создать правила, в которых содержатся условия sni_host in и sni_category in (см. ниже).
Если значение параметра изменять через команду cfset утилиты drweb-ctl или через веб-интерфейс управления, то зависимые правила будут перестраиваться автоматически.
|
Значение по умолчанию:
SniCheckAddress = No
|
UnwrapSsl = {логический}
|
Выполнять проверку зашифрованного трафика, передаваемого через SSL.

|
В текущей реализации значение данной переменной не оказывает никакого влияния на проверку защищенного трафика. Для реального управления проверкой нужно создать правило, в котором содержится действие SET Unwrap_SSL = true/false (см. ниже).
Если значение параметра изменять через команду cfset утилиты drweb-ctl или через веб-интерфейс управления, то зависимые правила будут перестраиваться автоматически.
|
Значение по умолчанию:
UnwrapSsl = No
|
HttpSafeSearch = {логический}
|
Использовать опцию «Безопасный поиск» поисковых машин, которые поддерживают данный режим.
Значение по умолчанию:
HttpSafeSearch = No
|
BlockInfectionSource = {логический}
|
Блокировать попытки подключения к сайтам, содержащим вредоносное ПО (входящим в категорию InfectionSource).
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
url_category in "LinuxFirewall.BlockCategory" : BLOCK as _match
|
Значение по умолчанию:
BlockInfectionSource = Yes
|
BlockNotRecommended = {логический}
|
Блокировать попытки подключения к не рекомендуемым сайтам (входящим в категорию NotRecommended).
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
url_category in "LinuxFirewall.BlockCategory" : BLOCK as _match
|
Значение по умолчанию:
BlockNotRecommended = Yes
|
BlockAdultContent = {логический}
|
Блокировать попытки подключения к сайтам, содержащим материалы для взрослых (входящим в категорию AdultContent).
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
url_category in "LinuxFirewall.BlockCategory" : BLOCK as _match
|
Значение по умолчанию:
BlockAdultContent = No
|
BlockViolence = {логический}
|
Блокировать попытки подключения к сайтам, содержащим сцены насилия (входящим в категорию Violence).
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
url_category in "LinuxFirewall.BlockCategory" : BLOCK as _match
|
Значение по умолчанию:
BlockViolence = No
|
BlockWeapons = {логический}
|
Блокировать попытки подключения к сайтам, посвященным оружию (входящим в категорию Weapons).
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
url_category in "LinuxFirewall.BlockCategory" : BLOCK as _match
|
Значение по умолчанию:
BlockWeapons = No
|
BlockGambling = {логический}
|
Блокировать попытки подключения к сайтам, посвященным азартным играм и играм на деньги (входящим в категорию Gambling).
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
url_category in "LinuxFirewall.BlockCategory" : BLOCK as _match
|
Значение по умолчанию:
BlockGambling = No
|
BlockDrugs = {логический}
|
Блокировать попытки подключения к сайтам, посвященным наркотикам (входящим в категорию Drugs).
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
url_category in "LinuxFirewall.BlockCategory" : BLOCK as _match
|
Значение по умолчанию:
BlockDrugs = No
|
BlockObsceneLanguage = {логический}
|
Блокировать попытки подключения к сайтам, содержащим нецензурную лексику (входящим в категорию ObsceneLanguage).
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
url_category in "LinuxFirewall.BlockCategory" : BLOCK as _match
|
Значение по умолчанию:
BlockObsceneLanguage = No
|
BlockChats = {логический}
|
Блокировать попытки подключения к сайтам чатов (входящим в категорию Chats).
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
url_category in "LinuxFirewall.BlockCategory" : BLOCK as _match
|
Значение по умолчанию:
BlockChats = No
|
BlockTerrorism = {логический}
|
Блокировать попытки подключения к сайтам, посвященным терроризму (входящим в категорию Terrorism).
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
url_category in "LinuxFirewall.BlockCategory" : BLOCK as _match
|
Значение по умолчанию:
BlockTerrorism = No
|
BlockFreeEmail = {логический}
|
Блокировать попытки подключения к сайтам бесплатных почтовых служб (входящим в категорию FreeEmail).
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
url_category in "LinuxFirewall.BlockCategory" : BLOCK as _match
|
Значение по умолчанию:
BlockFreeEmail = No
|
BlockSocialNetworks = {логический}
|
Блокировать попытки подключения к сайтам социальных сетей (входящим в категорию SocialNetworks).
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
url_category in "LinuxFirewall.BlockCategory" : BLOCK as _match
|
Значение по умолчанию:
BlockSocialNetworks = No
|
BlockDueToCopyrightNotice = {логический}
|
Блокировать попытки подключения к сайтам, ссылки на которые были добавлены по обращению правообладателей (входящим в категорию DueToCopyrightNotice).
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
url_category in "LinuxFirewall.BlockCategory" : BLOCK as _match
|
Значение по умолчанию:
BlockDueToCopyrightNotice = No
|
Whitelist = {список доменов}
|
Список доменов, который может быть использован в качестве белого списка (т.е. списка доменов, подключение к которым должно быть разрешено пользователям, даже если эти домены относятся к блокируемым категориям веб-ресурсов. При этом доступ пользователей будет разрешаться и ко всем поддоменам доменов, указанных в этом списке).

|
Реальное использование списка доменов, указанного в данном параметре, зависит от того, как он используется в правилах проверки, заданных для Dr.Web Firewall для Linux.
В перечне правил, заданных по умолчанию (см. ниже), гарантируется, что доступ к доменам (и их поддоменам) из данного списка будет обеспечен, даже если там будут находиться домены из блокируемых категорий веб-ресурсов, но только если производится запрос к узлу с использованием протокола HTTP. Кроме этого набор правил по умолчанию гарантирует, что данные, загружаемые с доменов из белого списка, будут проверяться на наличие угроз (так как данные возвращаются в ответе, и переменная direction имеет значение response).
|
Значение по умолчанию:
Whitelist =
|
Blacklist = {список доменов}
|
Список доменов, который может быть использован в качестве черного списка (т.е списка доменов, подключение к которым должно быть запрещено пользователям, даже если эти домены не относятся к блокируемым категориям веб-ресурсов. При этом доступ пользователей будет запрещаться и ко всем поддоменам доменов, указанных в этом списке).

|
Реальное использование списка доменов, указанного в данном параметре, зависит от того, как он используется в правилах проверки, заданных для Dr.Web Firewall для Linux.
В перечне правил, заданных по умолчанию (см. ниже), гарантируется, что доступ к доменам (и их поддоменам) из данного списка по протоколу HTTP будет запрещен всегда. Если домен добавлен одновременно в список Whitelist и список Blacklist, то правила, заданные по умолчанию, гарантируют, что доступ пользователей к нему по протоколу HTTP будет заблокирован.
|
Значение по умолчанию:
Blacklist =
|
ScanTimeout = {интервал времени}
|
Устанавливает тайм-аут на проверку одного файла по запросу SpIDer Gate.
Может быть указано значение в диапазоне от 1s до 1h.
Значение по умолчанию:
ScanTimeout = 30s
|
HeuristicAnalysis = {On | Off}
|
Определяет, использовать ли эвристический анализ для поиска возможных неизвестных угроз при проверке файла, инициированной по запросу SpIDer Gate. Использование эвристического анализа повышает надежность проверки, но увеличивает её длительность.
Реакция на срабатывание эвристического анализа задается в параметре BlockSuspicious.
Возможные значения:
•On – Использовать эвристический анализ при проверке. •Off – Не использовать эвристический анализ. Значение по умолчанию:
HeuristicAnalysis = On
|
PackerMaxLevel = {целое число}
|
Устанавливает максимальный уровень вложенности объектов при проверке запакованных объектов. Все объекты, уровень вложенности которых больше указанного, будут пропускаться при проверке файла, инициированной по запросу SpIDer Gate.
Может быть указано значение в диапазоне от 0 до 60. Значение 0 указывает, что вложенные объекты не проверяются.
Значение по умолчанию:
PackerMaxLevel = 8
|
ArchiveMaxLevel = {целое число}
|
Устанавливает максимальный уровень вложенности объектов при проверке архивов. Все объекты, уровень вложенности которых больше указанного, будут пропускаться при проверке файла, инициированной по запросу SpIDer Gate.
Может быть указано значение в диапазоне от 0 до 60. Значение 0 указывает, что вложенные объекты не проверяются.
Значение по умолчанию:
ArchiveMaxLevel = 8
|
MailMaxLevel = {целое число}
|
Устанавливает максимальный уровень вложенности объектов при проверке почтовых сообщений и почтовых ящиков (mailboxes). Все объекты, уровень вложенности которых больше указанного, будут пропускаться при проверке файла, инициированной по запросу SpIDer Gate.
Может быть указано значение в диапазоне от 0 до 60. Значение 0 указывает, что вложенные объекты не проверяются.
Значение по умолчанию:
MailMaxLevel = 8
|
ContainerMaxLevel = {целое число}
|
Устанавливает максимальный уровень вложенности объектов при проверке прочих контейнеров (таких, как HTML-страницы). Все объекты, уровень вложенности которых больше указанного, будут пропускаться при проверке файла, инициированной по запросу SpIDer Gate.
Может быть указано значение в диапазоне от 0 до 60. Значение 0 указывает, что вложенные объекты не проверяются.
Значение по умолчанию:
ContainerMaxLevel = 8
|
MaxCompressionRatio = {целое число}
|
Устанавливает максимальную допустимую степень сжатия запакованных объектов (отношение сжатого объема к несжатому). Если степень сжатия объекта превысит указанную величину, он будет пропущен при проверке файла, инициированной по запросу SpIDer Gate.
Величина степени сжатия должна быть не менее 2.
Значение по умолчанию:
MaxCompressionRatio = 500
|
BlockKnownVirus = {логический}
|
Блокировать получение или передачу данных, если они содержат известную угрозу.
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
threat_category in "LinuxFirewall.BlockThreat" : BLOCK as _match
|
Значение по умолчанию:
BlockKnownVirus = Yes
|
BlockSuspicious = {логический}
|
Блокировать получение или передачу данных, если они содержат неизвестную угрозу, обнаруженную эвристическим анализатором.
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
threat_category in "LinuxFirewall.BlockThreat" : BLOCK as _match
|
Значение по умолчанию:
BlockSuspicious = Yes
|
BlockAdware = {логический}
|
Блокировать получение или передачу данных, если они содержат рекламную программу.
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
threat_category in "LinuxFirewall.BlockThreat" : BLOCK as _match
|
Значение по умолчанию:
BlockAdware = Yes
|
BlockDialers = {логический}
|
Блокировать получение или передачу данных, если они содержат программу дозвона.
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
threat_category in "LinuxFirewall.BlockThreat" : BLOCK as _match
|
Значение по умолчанию:
BlockDialers = Yes
|
BlockJokes = {логический}
|
Блокировать получение или передачу данных, если они содержат программу-шутку.
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
threat_category in "LinuxFirewall.BlockThreat" : BLOCK as _match
|
Значение по умолчанию:
BlockJokes = No
|
BlockRiskware = {логический}
|
Блокировать получение или передачу данных, если они содержат потенциально опасную программу.
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
threat_category in "LinuxFirewall.BlockThreat" : BLOCK as _match
|
Значение по умолчанию:
BlockRiskware = No
|
BlockHacktools = {логический}
|
Блокировать получение или передачу данных, если они содержат программу взлома.
Для реальной блокировки следует убедиться, что в настройках также присутствует правило вида (см. ниже):
threat_category in "LinuxFirewall.BlockThreat" : BLOCK as _match
|
Значение по умолчанию:
BlockHacktools = No
|
BlockUnchecked = {логический}
|
Блокировать получение или передачу данных, если они не могут быть проверены.

|
Значение этого параметра влияет на обработку правил, в которых невозможно определить истинность или ложность условия вследствие ошибки: в случае No правило будет пропущено как не сработавшее, а в случае Yes – будет выполнено действие BLOCK as BlackList.
|
Значение по умолчанию:
BlockUnchecked = No
|

|
Изменения, внесенные в настройки проверки соединений, не влияют на проверку соединений, которые уже были установлены приложениями до внесения изменений. Если необходимо применить их для уже запущенных приложений, необходимо заставить их разорвать и повторно установить сетевое соединение, например, путем перезапуска этих приложений.
|
Правила проверки трафика и блокировки доступа
Дополнительно в секции присутствует набор правил RuleSet* (по умолчанию – RuleSet0, …, RuleSet10), непосредственно управляющих проверкой трафика и блокировкой доступа пользователей к веб-ресурсам, а также загрузкой контента из Интернет. Для некоторых значений в условиях (например – диапазоны IP-адресов, перечни категорий сайтов, черные и белые списки веб-ресурсов и т.п.) предусмотрена подстановка значений, загружаемых из текстовых файлов, а также извлеченных из внешних источников данных через LDAP (используется компонент Dr.Web LookupD). Подробно правила рассмотрены в разделе «Правила проверки трафика» Приложения Г в Руководстве администратора.
По умолчанию задан следующий набор правил, управляющих блокировкой:
RuleSet0 =
RuleSet1 = divert output : set HttpTemplatesDir = "output"
RuleSet1 = divert output : set MailTemplatesDir = "firewall"
RuleSet1 = divert input : set HttpTemplatesDir = "input"
RuleSet1 = divert input : set MailTemplatesDir = "server"
RuleSet1 = proc in "LinuxFirewall.ExcludedProc" : PASS
RuleSet1 = : set Unwrap_SSL = false
RuleSet2 =
RuleSet3 =
RuleSet4 =
RuleSet5 = protocol in (Http), direction request, url_host in "LinuxFirewall.Blacklist" : BLOCK as BlackList
RuleSet5 = protocol in (Http), direction request, url_host in "LinuxFirewall.Whitelist" : PASS
RuleSet6 =
RuleSet7 = protocol in (Http), direction request, url_category in "LinuxFirewall.BlockCategory" : BLOCK as _match
RuleSet8 =
RuleSet9 = protocol in (Http), divert input, direction request, threat_category in "LinuxFirewall.BlockThreat" : BLOCK as _match
RuleSet9 = protocol in (Http), direction response, threat_category in "LinuxFirewall.BlockThreat" : BLOCK as _match
RuleSet9 = protocol in (Smtp), threat_category in "LinuxFirewall.BlockThreat" : REJECT
RuleSet9 = protocol in (Smtp), url_category in "LinuxFirewall.BlockCategory" : REJECT
RuleSet9 = protocol in (Smtp), total_spam_score gt 0.80 : REJECT
RuleSet9 = protocol in (Pop3, Imap), threat_category in "LinuxFirewall.BlockThreat" : REPACK as _match
RuleSet9 = protocol in (Pop3, Imap), url_category in "LinuxFirewall.BlockCategory" : REPACK as _match
RuleSet9 = protocol in (Pop3, Imap), total_spam_score gt 0.80 : REPACK as _match
RuleSet10 =
|
При обработке соединений все правила проверяются в порядке сверху вниз, единым списком, до момента нахождения сработавшего правила, содержащего финальную резолюцию. Пропуски в списке правил игнорируются и оставлены для удобства быстрого редактирования списка правил путем добавления нужных правил в «пустоты» и удаления их оттуда. Обратите внимание, что вы не можете добавлять собственные элементы списка RuleSet*, но имеете возможность добавить любое правило к любому RuleSet, используя команды:
# drweb-сtl cfset LinuxFirewall.RuleSet<i> "<правило>"
|
и
# drweb-сtl cfset LinuxFirewall.RuleSet<i> -a "<правило>"
|
где <i> – номер набора RuleSet, а <правило> – текст добавляемого правила. При использовании утилиты drweb-ctl для редактирования списка правил, заключайте строчку добавляемого правила в кавычки, а внутренние кавычки, если они встречаются в правиле, экранируйте символом обратной косой черты '\'.
Первое правило указывает, что если соединение устанавливается процессом, указанным в параметре ExcludedProc (см. выше), то соединение пропускается без проверки каких-либо дополнительных условий. Следующее правило (срабатывает безусловно) запрещает вскрытие содержимого защищенных соединений. Это правило, как и все нижележащие, будет анализироваться только если соединение не связано с исключаемым процессом. Кроме того, поскольку все последующие правила зависят от определения типа протокола, то, если вскрытие содержимого защищенных соединений запрещено, а соединение защищенное, в этом случае все они не сработают из-за невозможности определить истинность условий.
Последующие пять нижележащих правил посвящены обработке исходящих HTTP-соединений:
1.Если хост, с которым производится попытка установить соединение, включен в черный список, соединение блокируется по причине попадания в черный список, дальнейшие проверки не производятся. 2.Если хост находится в белом списке, соединение пропускается, дальнейшие проверки не производятся. 3.Если URL, к которому обращается клиент, находится в категориях веб-ресурсов, отмеченных как нежелательные для посещения, то соединение блокируется по причине попадания URL в запрещенную к посещению категорию, дальнейшие проверки не производятся. 4.Если ответ, поступивший от удаленного хоста по HTTP, содержит угрозу, относящуюся к категориям, которые следует блокировать, то соединение блокируется по причине обнаружения угрозы, дальнейшие проверки не производятся. 5.Если данные, передаваемые с локального узла на удаленный сервер, содержат угрозу, относящуюся к категориям, которые следует блокировать, то соединение блокируется по причине обнаружения угрозы, дальнейшие проверки не производятся. Эти пять правил будут работать только в том случае, если параметр InspectHttp имеет значение On. В противном случае ни одно из них не сработает.
Следующие шесть правил, указанных в RuleSet9, предназначены для проверки данных, передаваемых по протоколам электронной почты, и срабатывают, если будет обнаружено, что передается сообщение электронной почты (по протоколу SMTP, POP3 или IMAP), содержащее вложения, или URL, относящиеся к категориям, которые следует блокировать, либо оцененные как спам (с оценкой достоверности не менее 0,8). При этом к письмам, передаваемым по протоколу SMTP, применяется действие, блокирующее передачу письма (т.е. его отправку или прием), а для протоколов IMAP и POP3 производится обработка письма, заключающаяся в удалении из него вредоносного содержимого («перепаковка»).

|
Если компонент проверки сообщений электронной почты на наличие признаков спама Dr.Web ASE отсутствует в составе продукта, то проверка писем на наличие признаков спама не производится. В этом случае правила, содержащие проверку порога спама (переменную total_spam_score) отсутствуют.
|
Обратите внимание, что правила проверки электронной почты будут работать только в том случае, если соответствующие разрешающие параметры Inspect<EmailProtocol> имеют значение On. В противном случае ни одно из них не сработает. Кроме того, для физического исследования передаваемого письма на предмет обнаружения в нем вредоносных вложений должен быть установлен дополнительный компонент проверки электронной почты – Dr.Web MailD. Если он не установлен, передаваемые сообщения будут блокироваться по причине ошибки «Невозможно проверить». Чтобы разрешить прохождение писем, которые невозможно проверить, установите параметр BlockUnchecked в значение No (см. выше). Кроме того, при отсутствии компонента проверки электронной почты рекомендуется установить значение No для параметров InspectSmtp, InspectPop3 и InspectImap.

|
Обратите внимание, что набор правил по умолчанию может автоматически изменяться при изменении значений параметров SniCheckAddress и UnwrapSsl.
|
Примеры правил проверки трафика и блокировки доступа
1.Разрешить для пользователей с диапазона IP-адресов 10.10.0.0 – 10.10.0.254 доступ по протоколу HTTP к сайтам любых категорий, кроме категории Chats:
protocol in (HTTP), src_ip in (10.10.0.0/24), url_category not in (Chats) : PASS
|
Обратите внимание, что если правило
protocol in (HTTP), url_host in "LinuxFirewall.Blacklist" : BLOCK as BlackList
|
разместить в списке правил выше (т.е. раньше) указанного правила, то доступ к доменам из черного списка, т.е. доменам, перечисленным в параметре LinuxFirewall.Blacklist, будет блокироваться и для пользователей с диапазона IP-адресов 10.10.0.0 – 10.10.0.254. А если это правило разместить ниже (т.е. позже), то пользователям с диапазона IP-адресов 10.10.0.0 – 10.10.0.254 будут доступны также и сайты из черного списка.
Так как резолюция PASS является конечной, более никакие правила не проверяются, следовательно, проверка загружаемых данных на вирусы производиться также не будет. Чтобы разрешить пользователям с диапазона IP-адресов 10.10.0.0 – 10.10.0.254 доступ к сайтам любых категорий, кроме категории Chats, если они не находятся в черном списке, но при этом не разрешать загрузку угроз, используйте следующее правило:
protocol in (HTTP), url_category not in (Chats), url_host not in "LinuxFirewall.Blacklist", threat_category not in "LinuxFirewall.BlockCategory" : PASS
|
2.Не выполнять проверку содержимого загружаемых из Интернет видео-файлов (т.е. данных с типом MIME 'video/*', где * соответствует любому типу MIME-класса video):
direction response, content_type in ("video/*") : PASS
|
Обратите внимание, что выгружаемые с локального компьютера файлы (в том числе и с типом MIME 'video/*') будут проверяться, так как они передаются в запросах, а не ответах, т.е. для них переменная direction имеет значение request.
|