Configuración de la política de Firewall LAN de Socket

Nota:

Próxima Migración Automática de las Reglas de Firewall LAN del Sitio a la Política de Implementación de Cuenta

Recientemente lanzamos el Firewall LAN Socket Next Gen que proporciona configuraciones a nivel de cuenta y aplicación de Capa 7. A partir del 1 de julio de 2025, migraremos las políticas de enrutamiento BGP de LAN existentes a nivel de sitio al nivel de política de cuenta.

• Cada regla a nivel de sitio se configurará automáticamente en la nueva política como una Regla de Red para especificar el enrutamiento y una Regla de Firewall para permitir o bloquear el tráfico

• Las reglas para cada sitio se agregarán como una sección separada en la base de reglas

• La migración es un proceso automático sin interrupción del servicio anticipada

• Si está interesado en migrar su póliza antes del 1 de julio, comuníquese con ea@catonetworks.com

"Visión general"

El comportamiento predeterminado para el Socket es reenviar todo el tráfico WAN e Internet al PoP para la inspección de seguridad. Esto incluye tráfico LAN entre segmentos de red adyacentes dentro de un sitio (e.j. VLANs).  En algunos escenarios, puede que desee anular el comportamiento predeterminado y configurar el Socket en un sitio para permitir o bloquear la comunicación entre dos segmentos de red u hosts directamente en el Socket, sin enviar el tráfico al PoP de Cato.  Con la política de implementación de Firewall LAN, puede configurar reglas para permitir o bloquear tráfico LAN directamente en el Socket. Opcionalmente, puede habilitar el seguimiento (eventos) para cada regla.

Nota: El Firewall LAN es una mejora de la política de Routing Local. Para más información, consulte a continuación Requisitos previos para usar el Firewall LAN y Actualización de la política de Enrutamiento Local al Firewall LAN.

Comprensión del Firewall de LAN

El Firewall LAN le permite bloquear o permitir ciertos tipos de tráfico a nivel de Socket, creando políticas de acuerdo a sus necesidades.

El siguiente diagrama muestra una regla del Firewall LAN que permite el tráfico de LAN1 a LAN2.

Este diagrama muestra una regla del Firewall LAN que bloquea el tráfico de LAN1 a LAN2.

Usando el Firewall de LAN - Base de Reglas de Ejemplo

Lo siguiente es una muestra de la base de reglas de configuración del Firewall LAN. Cada regla se explica a continuación:

Regla 1 - 'Bloquear invitados' - Esta regla impide que los hosts que utilizan la red 'Guest-Wifi' accedan a cualquier otro host o recurso interno en el sitio mientras rastrean estos eventos. Los hosts aún pueden acceder a Internet.

Regla 2 - 'Permitir compartir archivos' - Esta regla permite solo a los hosts conectados a la red 'Corp-Users' conectarse a servidores en la red local 'File-Servers' a través de HTTPS o SMB (TCP/445). Cada flujo se rastrea en los eventos. Con esta política de permitir localmente, la sobrecarga del túnel para SMB y HTTPS entre las redes disminuye ya que el tráfico se gestiona localmente en el sitio y no atraviesa el túnel.

Regla 3 - 'Permitir servidor CCTV' - Esta regla permite a los hosts de la red 'IOT-Cameras' conectarse a la red 'IOT-File-Servers' solo a través de HTTPS. Cada flujo se rastrea en los eventos. 

Comportamiento implícito: Cualquier otro tráfico de host que no esté definido en la base de reglas será enviado al PoP de Cato para su inspección antes de regresar a 'File-Servers'. Por ejemplo, cualquier tráfico de 'Corp-Users' a 'File-Servers' sobre TCP/21 (FTP) no coincidirá con la base de reglas de ejemplo y activará el comportamiento predeterminado (enviar tráfico al PoP de Cato).

Trabajando con la Base de Reglas del Firewall de LAN

La política de firewall LAN se procesa en un orden desde la primera hasta la última regla configurada. Una vez que se encuentra una regla, se aplica una acción. De lo contrario, el tráfico se envía al PoP de Cato por defecto.

Las reglas en la parte superior de la base de reglas tienen una prioridad más alta porque se aplican a las conexiones antes que las reglas más abajo en la base. Por ejemplo, si una conexión coincide con la regla #3, se aplica la acción a la conexión y el Firewall deja de inspeccionarla. El firewall no continúa aplicando las reglas #4 y siguientes a la conexión. Puede aumentar la eficiencia del firewall LAN y dar alta prioridad a las reglas que coincidan con el mayor número de conexiones.

Rendimiento para el Firewall de LAN

La siguiente tabla representa el rendimiento soportado sobre el Firewall LAN para cada modelo de Socket.

Nota: Los valores representados a continuación se basan en pruebas unidimensionales de Socket v19.0 en un entorno de laboratorio.

Requisitos previos para usar el Firewall de LAN

El Firewall LAN es una mejora de la política de Routing Local existente. Esta función está habilitada por sitio.

Make sure that all Sockets in the site are running Socket version 18.0 or higher.

Actualizar las Reglas de Enrutamiento Local al Firewall de LAN

• Si no hay reglas de Routing Local configuradas para el sitio, puede actualizar inmediatamente a la política de Firewall LAN

• Si hay reglas de Routing Local configuradas para el sitio, migre las reglas de Routing Local al firewall LAN, vea Actualización de la política de Routing Local al Firewall LAN

• Después de actualizar al Firewall LAN, habilite la función (toggle LAN Firewall Enabled en la parte superior derecha de la pantalla).

  Cuando esta función está deshabilitada, todo el tráfico se envía al PoP.

Configuración del Firewall de LAN

Esta sección explica cómo definir reglas para el Firewall LAN y los objetos, puertos y servicios que puede configurar.

Definiendo una Regla de Firewall de LAN

Crea una nueva regla de Firewall LAN y configura los ajustes de la regla para gestionar el routing del tráfico LAN. Utilice la opción Añadir Regla Debajo para añadir fácilmente una regla en el lugar correcto en la base de reglas.

Nota:

Nota: Aplicar la nueva configuración al Socket puede tardar hasta un minuto.

Para definir una regla de Firewall LAN:

1. Desde el menú de navegación, haz clic en Red > Sitios y selecciona el sitio.

2. Desde el menú de navegación, haz clic en Site Configuration > LAN Firewall.

3. Haga clic en New. Se abre el panel Agregar Regla.

4. En la sección General:

   1. Introduce un Name para la nueva regla.

   2. Por defecto, la regla está Enabled. Puede desactivar la regla usando el toggle Habilitada.

   3. Bajo Dirección, seleccione To para habilitar el tráfico en una sola dirección, o Both para habilitar el tráfico bidireccional.

   4. Elija el Orden de Regla. Recomendamos que defina un orden de regla alto para reglas más específicas y un orden bajo para reglas menos específicas. 

      Nota: Por favor, consulte la sección "Trabajando con la Base de Reglas del Firewall LAN" para más información sobre la configuración del orden de reglas.

      

5. Expanda las secciones Source y Destination, y defina las entidades de origen y destino del tráfico para esta regla.

6. Expanda la sección Service/Port, y seleccione los protocolos a los que se aplica la regla.

   1. If selected Port/Protocol, define the relevant port and protocol as you wish in the "Protocol/Port" format (i.e. TCP/80-88, UDP/53, ICMP, etc.)

   2. Si selecciona Simple Service, seleccione los servicios de Capa 4 relevantes según lo predicho.

      La lista de servicios predefinidos se basa en la definición RFC de cada servicio.

7. Sección NAT:

   1. Habilitar NAT - Opcionalmente, habilite NAT en la interfaz de salida. Esto traduce todas las IPs de origen a una IP de NAT.

8. En la sección Acciones:

   1. Permitir localmente - Esta acción permite el tráfico local coincidente entre las redes LAN del Socket.

   2. Bloquear localmente - Esta acción bloquea el tráfico local coincidente entre las redes LAN del Socket.

   Nota:  Si el tráfico no coincide con ninguna de las reglas, la acción predeterminada es Enviar a PoP.

9. En la sección Acciones bajo Rastrear:

   1. Opcionalmente, active la casilla de verificación de Evento. Cuando se encuentra una coincidencia, se genera un evento para esta regla.

10. Haz clic en Aplicar, y luego clic en Guardar.

Reglas de NAT y Firewall de LAN

Existen escenarios que requieren usar NAT entre las redes LAN dentro de un sitio, esto puede ser entre dos (o más) redes conectadas directamente, o entre redes enrutadas (rutas estáticas o rutas BGP).

1. NAT es configurable solo en la dirección To.

2. Después de guardar la configuración para la regla, la aplicación de gestión de Cato calcula automáticamente la Red de Salida y la IP de Salida para la regla.

Objetos de Origen y Destino del Firewall de LAN

Se pueden definir los siguientes objetos de origen y destino:

• Rango Global - Rango nativo para la interfaz LAN de un sitio.

• Host - Hosts y servidores definidos en el sitio.

• Subred de Interfaz - VLAN, enrutadas o rangos directos, o un rango nativo secundario de vSocket AWS.

• Interfaz de Red - Subredes y rangos de red definidos para las interfaces LAN de un sitio.

• Cualquiera - Cualquier fuente o destino dentro del sitio.

Servicios y Puertos del Firewall de LAN

La siguiente es una lista predefinida de servicios disponibles:

Supervisión y eventos

Puede habilitar opcionalmente el seguimiento de eventos para cada regla definida en el Firewall LAN.

Nota:

Nota: El tráfico del firewall LAN no será visible en los paneles de análisis de aplicaciones y redes.

Los eventos aparecen bajo Supervisión del Sitio > Eventos.

• Tipo de Evento - Seguridad

• Subtipo - Firewall LAN

Para filtrar los eventos del Firewall LAN:

1. Vaya a Inicio > Eventos.

2. Haga clic en Filtrar y seleccione el campo, operador y valor relevantes.

   1. Campo - Se pueden seleccionar múltiples campos como filtro. Por ejemplo, podemos optar por filtrar por "Sitio de Origen" o "Subtipo" (Firewall LAN)

   2. Operador - Elija incluir o excluir valores específicos (Es, No es) o múltiples valores (En, No en), por ejemplo, "Sitio de origen" con operador "En" permite seleccionar múltiples sitios de origen como valores.

   3. Valor - El valor para el campo.

3. Haga clic en Añadir filtro.

En el siguiente ejemplo, puede ver los detalles de un evento de Firewall de LAN.

• Acción - Bloquear o Supervisar. (El tráfico fue bloqueado o permitido localmente por el Firewall de LAN)

• Nombre de Host Configurado - Información adicional del host sobre la IP de origen, si está disponible.

• Subtipo - Firewall LAN.  Todos los eventos generados por el Firewall LAN tendrán este subtipo.

• Regla - El nombre de la regla definida que generó este evento.

A diferencia del Firewall WAN o de Internet, donde los eventos son generados por el PoP de Cato, los eventos del Firewall LAN son generados en el Socket mismo. Estos eventos se envían a través del túnel del sitio para ser almacenados en la Aplicación de Gestión de Cato. 

Todo el tráfico de flujo a través del túnel tiene prioridad antes que los eventos del Firewall LAN, que tienen una prioridad de QoS predeterminada de 255 y pueden generar sobrecarga adicional. 

Cato recomienda realizar el seguimiento solo de reglas de Firewall LAN de alta prioridad para evitar una sobrecarga adicional a través del túnel.