Управление политикой межсетевого экрана интернета

Эта статья объясняет, как управлять политикой межсетевого экрана интернета для контроля доступа в интернет для вашей организации.

Для получения дополнительной информации о политике межсетевого экрана интернета в Cato смотрите Что такое межсетевой экран интернета Cato?.

Обзор

Межсетевой экран интернета анализирует трафик между WAN и Интернетом, позволяя создавать правила для управления этим трафиком. Как и межсетевой экран WAN, межсетевой экран интернета использует упорядоченную базу правил, начиная с первого правила, соединения анализируются согласно каждому правилу.

Межсетевой экран интернета позволяет разным администраторам редактировать политику одновременно. Каждый администратор может редактировать правила и сохранять изменения в базе правил в своём личном варианте редакции, а затем публиковать их в политике аккаунта (опубликованная редакция). Для получения дополнительной информации о том, как управлять ревизиями политики, смотрите Работа с ревизиями политики.

Мастер настройки файла Межсетевой экран Интернета автономно проверяет вашу Политика развертывания, используя эти проверки и аналитика. Когда проверка не пройдена, вы можете пересмотреть и обновить вашу политику непосредственно в Мастере без редакции отдельных правил. Это помогает вам оставаться защищенными, упрощая управление политикой.

Настройка политики Интернет-файервола

Этот раздел объясняет процедуры создания правил межсетевого экрана интернета, обхода блокировок для редактирования правил и публикации или удаления неопубликованной ревизии.

ИнтернетFW.png

Включение упорядоченного Интернет-файервола

Межсетевой экран для Интернета в Cato Cloud позволяет контролировать доступ в интернет для вашей корпоративной сети. Легко создайте политику безопасности в Интернете, которая позволяет пользователям получать доступ к бизнес-контенту в веб и блокирует неподходящие веб-сайты, приложения и так далее.

Для включения или отключения межсетевого экрана Интернета:

В меню навигация нажмите Безопасность > Межсетевой экран Интернета.
На Брандмауэр включен над базой правил нажмите ползунок для включения (зеленый) или отключения (серый) межсетевого экрана Интернета для учетная запись.
Кликните Сохранить.

Создание новых правил Интернет-файервола

Создайте правила межсетевого экрана интернета и сохраните изменения в вашей неопубликованной ревизии.

Для получения более подробной информации о пунктах Источник, Приложение и Категория для правила, см. Справочник по объектам правил.

Опции Время определяют диапазон времени, в течение которого правило включено. Вы можете настроить пользовательские параметры для правила или выбрать рабочие часы, определенные для учетной записи по умолчанию.

Чтобы создать новое правило для Межсетевой экран для Интернета:

Из меню навигация выберите Безопасность > Межсетевой экран Интернета.
Страница межсетевого экрана интернета открывается для вашей существующей неопубликованной ревизии или к самой новой опубликованной ревизии.
Нажмите Создать.
Введите Название для правила.
Включите или отключите правило, используя ползунок (зелёный — включен, серый — отключен).
Настройте Порядок правил для этого правила.
Для получения дополнительной информации о вариантах порядка правил см. Что такое межсетевой экран Cato для Интернета?.
Разверните Источник и выберите тип источника.
- Выберите тип (например: Хост, Сетевой интерфейс, IP, Любой). Значение по умолчанию - Любой.
- При необходимости выберите конкретный объект из выпадающего списка этого типа.
Разверните раздел Критерии доверенных сетей и добавьте условия устройства в правило. Для получения дополнительной информации смотрите Добавление условий устройства в правила брандмауэра. Значения по умолчанию - Любые.
Разверните секцию Приложение/Категория и выберите одно или несколько приложений для правила.
Когда в правиле более одного объекта Приложение/Категория, между ними существует отношения ИЛИ. Значение по умолчанию Любой.
Примечание: Некоторые приложения принадлежат нескольким категориям. Чтобы применить правило к этим приложениям, убедитесь, что правило с более высоким приоритетом и противоречащее правило не включает категорию, которая также применяется к приложению. Вы можете просмотреть категории приложения в Каталоге приложений.
Разверните секцию Сервис/Порт и определите тип или типы (Сервис, Порт/Протокол, Пользовательский сервис или Любой), которые применяются к этому правилу.
Когда в правиле более одного объекта Служба/Порты, между ними существует отношения ИЛИ. Значение по умолчанию Выборка.
Выберите Действие для этого правила. Варианты - Разрешить, Блокировать, Запрос.
(Необязательно) Настройте параметры отслеживания для генерации Событий и Отправить уведомление. Частота начинает отсчитываться после отправки первого уведомления.
Для получения дополнительной информации об уведомлениях, см. соответствующую статью о Группах подписок, Списках рассылки и Интеграциях оповещений в разделе.
(Опционально) Настройте параметры Времени, которые определяют, когда это правило будет включено.
Кликните Применить. Новое правило добавляется в базу правил.
Нажмите Save.
Изменения сохраняются в вашей неопубликованной ревизии и доступны для редактирования до тех пор, пока не будут опубликованы или удалены.

Использование исключений для разрешения интернет-соединений

Вы можете использовать исключения в базе правил межсетевого экрана интернета, чтобы игнорировать конкретное правило и продолжить с правилами более низкого приоритета. Не забудьте убедиться, что правило более низкого приоритета не совпадает и не блокирует трафик. Последнее неявное правило ANY ANY Allow разрешает весь трафик. Например, если правило №3 блокирует доступ к категории "Наем", вы можете создать исключение, которое не блокирует доступ для отдела кадров.

Исключение для правила является подмножеством правила, и некоторые параметры применяются как к правилу, так и к исключению:

Когда вы отключаете правило, исключение также отключается.
Когда вы перемещаете правило и изменяете приоритет, исключение также перемещается.

Чтобы добавить исключение в правило брандмауэра:

Из меню навигация выберите Безопасность > Межсетевой экран Интернета.
Справа от правила, нажмите и выберите Добавить исключение.
Открывается панель Добавить исключение.
Разверните и настройте параметры для исключения правил.
Действие для родительского правила не применяется к исключению правила.
Кликните Применить. Исключение добавлено ниже правила.
Нажмите Save. Исключение сохраняется в вашей Неопубликованная ревизия и доступно для редактирования до тех пор, пока не будет опубликовано или отменено.

Чтобы удалить исключение из правила брандмауэра:

Из меню навигация выберите Безопасность > Межсетевой экран Интернета.
В правом столбце правила нажмите и в появившемся окне выберите Удалить Исключение.
Исключение удаляется из правила.
Нажмите Save. Исключение удалено из вашей Неопубликованной ревизии, и вы можете опубликовать изменение, чтобы удалить исключение из Политика развертывания учетной записи.

Понимание сущностей в правиле межсетевого экрана для Интернета

Вы можете узнать больше о любой сущности в правиле брандмауэра, нажав на неё, чтобы открыть подсказки Ask AI об этой сущности. Нажав на подсказки, вы открываете панель Ask AI с предварительно заполненным запросом для предоставления информации. Вы можете узнать больше о том, что такое сущность, найти другие правила, содержащие её, и ознакомиться с дополнительными проверками межсетевого экрана Интернета, которые могут быть применены к сущности.

Известные Ограничения услуг

Для приложения Facebook Messenger невозможно использовать Межсетевой экран Интернета для блокировки приложения Messenger и разрешения приложения Facebook, поскольку Messenger использует тот же домен, что и Facebook, для загрузки ресурсов. Вы можете использовать политику Контроль приложений CASB для управления доступом к этим приложениям.