В этой статье объясняется, как настроить правила межсетевого экрана следующего поколения для локальной сети Socket, чтобы маршрутизировать и контролировать трафик площадки локально в Socket. Для получения дополнительной информации о Socket Next Gen LAN Файервол, см. Что такое Socket Next Gen LAN Файервол.
Настроить правила ЛВС для определения трафика, который будет маршрутизируемый локально с помощью транспорта ЛВС, а затем создать связанные правила файервола ЛВС для обеспечения политики безопасности для трафика.
Это пример рабочего процесса высокого уровня для настройки политики:
Определите, какие площадки требуют возможностей уровня 7, и настройте их в политике.
Это включает возможности уровня 7 для правил межсетевого экрана для локальной сети, а также события с данными уровня 7 для площадки.
Мониторинг производительности и событий CPU сокетов для сайтов для оценки воздействия включения уровня 7.
Создайте правила сети ЛВС для определения трафика сайта, который будет направляться локально через сокет вместо WAN.
(По желанию) Разделите политику на подполитики, чтобы делегировать управление определёнными правилами различным администраторам.
Для каждого сетевого правила ЛВС создайте правила брандмауэра ЛВС для обеспечения политики безопасности для трафика.
Включите возможности инспекции уровня 7 для трафика площадки. После включения Socket выполняет глубокую инспекцию пакетов на трафик, независимо от того, настроено ли правило файервола ЛВС, пока определено использование транспорта ЛВС (см. Что такое LAN Firewall следующего поколения для Socket). Это означает, что данные уровня 7 появляются в событиях трафика площадки, включая поля такие как Приложение, Риск Приложения и Пользовательское Приложение. Это также влияет на использование процессора Socket.
.png?sv=2026-02-06&spr=https&st=2026-10-13T09%3A28%3A28Z&se=2026-10-13T09%3A46%3A28Z&sr=c&sp=r&sig=AYBhEUOt1G0Iueji3CBvN3VjIw3yYvhjrZBZjK1wFok%3D)
Чтобы включить возможность уровня 7 для сайта:
В меню навигации нажмите Безопасность > Межсетевой экран для локальной сети.
Страница межсетевого экрана для локальной сети открывается на существующую неопубликованную ревизию или на последнюю опубликованную ревизию.
Выберите вкладку Сайты уровня 7.
Нажмите Новое. Панель Добавить сайт откроется.
Под Сайт выберите один или несколько сайтов из выпадающего списка сайтов сокетов.
Щелкните Применить. Сайт добавляется в список сайтов уровня 7.
Нажмите Save. Функциональность уровня 7 настроена для сайта.
Создайте новое правило локальной сети и настройте параметры, чтобы определить транспорт для трафика. Для правил, определенных с использованием локального транспорта, можно добавить правила межсетевого экрана для локальной сети для управления контролем доступа к трафику. Для получения дополнительной информации см. ниже Создание правил LAN Файервол.
Чтобы создать сетевое правило ЛВС:
В меню навигации нажмите Безопасность > Межсетевой экран для локальной сети.
Страница межсетевого экрана для локальной сети открывается на существующую неопубликованную ревизию или на последнюю опубликованную ревизию.
Нажмите Новый и из выпадающего меню выберите Новое сетевое правило ЛВС. Панель Новое сетевое правило откроется.
Введите Имя для правила.
Включите или отключите правило с помощью ползунка (зеленый - включен, серый - отключен).
Настройте Положение и Направление нового правила.
По умолчанию правило применяется в одном направлении, от источника К назначению. Нажмите выпадающее меню Направление, чтобы установить правило для работы в Обеих направлениях.
Разверните раздел Сайт и выберите один или несколько сайтов или групп сайтов, к которым применяются правила. Значение по умолчанию - Любое.
Разверните раздел Источник и выберите один или несколько объектов для источника трафика для данного правила.
Выберите тип (например: Хост, Сетевой интерфейс, IP, Пользователь, Группа пользователей, Любое). Значение по умолчанию - Любое.
При необходимости выберите конкретный объект из выпадающего списка этого типа.
Разверните раздел Назначение и выберите один или несколько объектов назначения для данного правила.
Выберите тип (например: Хост, Сетевой интерфейс, IP, Пользователь, Группа пользователей, Любое). Значение по умолчанию - Любое.
При необходимости выберите конкретный объект из выпадающего списка этого типа.
Разверните Критерии доверенных сетей и добавьте условия устройства в правило. Для получения дополнительной информации смотрите Добавление условий устройства в правила брандмауэра. Значения по умолчанию - Любые.
Примечание: Критерии для брандмауэра ЛВС поддерживаются начиная с версии сокета 26.Разверните раздел Сервис/Порт и выберите протоколы, к которым применяется правило, с помощью одного из следующих параметров:
Простой сервис - Выберите соответствующие протоколы уровня 4 из списка.
Список предопределенных сервисов основан на определении RFC каждого сервиса.
Пользовательский сервис - Введите соответствующий порт и протокол в формате "Протокол/Порт" (например, TCP/80-88, UDP/53, ICMP)
Значение по умолчанию - Любой.
(Опционально) Разверните секцию NAT, чтобы включить NAT на исходящем интерфейсе. Это переводит все исходящие IP на один NAT IP.
Выберите Транспорт для трафика, соответствующего правилу. Доступные варианты:
LAN - Трафик маршрутизируется локально через Socket и не отправляется на PoP
WAN - Трафик отправляется через WAN на PoP для проверки
Нажмите Save.
Изменения сохраняются в неопубликованной версии и доступны для редактирования до тех пор, пока они не будут опубликованы или удалены.
Создать новое правило межсетевого экрана LAN и настроить его для управления контролем доступа к трафику. Правило межсетевого экрана для локальной сети можно настроить только с объектами в рамках родительского правила локальной сети.
Правила для площадок с включенными возможностями уровня 7 могут включать условия с объектами уровня приложения, такими как Приложение и Домен. Если правила для площадок без возможностей уровня 7 включают эти объекты, правила не будут правильно функционировать.
Примечание: Трафик в пределах одного сайта, который не соответствует правилу файервола ЛВС, считается трафиком WAN, даже если он перемещается к PoP и обратно на тот же сайт.
Заметка:
Для получения рекомендаций по использованию объектов Пользователь и Группа пользователей в полях Источник и Назначение, или по использованию критериев устройства в правиле, свяжитесь с feature-releases@catonetworks.com.
Чтобы создать правило межсетевого экрана для локальной сети:
В меню навигации нажмите Безопасность > Межсетевой экран для локальной сети.
Страница межсетевого экрана для локальной сети открывается на существующую неопубликованную ревизию или на последнюю опубликованную ревизию.
Нажмите Новый и выберите Новое правило межсетевого экрана для локальной сети из выпадающего меню. Открывается панель Новое правило межсетевого экрана.
Введите Имя для правила.
Включите или отключите правило, используя ползунок (зелёный — включен, серый — отключен).
Настройте Положение для правила и выберите соответствующее правило ссылки из выпадающего меню Правила следующими способами:
Для вариантов Перед правилом и После правила выберите из выпадающего меню Правила правило межсетевого экрана для локальной сети в соответствующем правиле локальной сети.
Для вариантов Первый в правиле и Последний в правиле выберите из выпадающего меню Правила родительское правило локальной сети для этого правила.
Настройте Направление для правила.
По умолчанию правило применяется в одном направлении, от источника К назначению. Нажмите выпадающее меню Направление, чтобы установить правило для работы в Обеих направлениях.
Разверните раздел Источник и выберите один или несколько объектов для источника трафика для данного правила.
Выберите тип (например: Хост, Сетевой интерфейс, IP, Пользователь, Группа пользователей, Любое). Значение по умолчанию - Любой.
При необходимости выберите конкретный объект из выпадающего списка этого типа.
Разверните раздел Назначение и выберите один или несколько объектов назначения для данного правила.
Выберите тип (например: Хост, Сетевой интерфейс, IP, Пользователь, Группа пользователей, Любое). Значение по умолчанию Выборка.
При необходимости выберите конкретный объект из выпадающего списка этого типа.
Раскройте секцию Приложение/Категория и выберите одно или несколько приложений для правила.
Когда в правиле более одного объекта Приложение/Категория, между ними существует отношения ИЛИ. Значение по умолчанию Выборка.
Примечание: Настраивайте объекты Приложение/Категория только для правил площадок с включенными возможностями уровня 7. В противном случае правило не будет правильно функционировать.
Разверните секцию Сервис/Порт и выберите протоколы, для которых применяется правило, с одним из следующих параметров:
Простой сервис - Выберите соответствующие сервисы уровня 4 из списка
Список предопределенных сервисов основан на определении RFC каждого сервиса.
Сервис - Выберите соответствующие сервисы уровня 7 из списка
Пользовательский сервис - Введите соответствующий порт и протокол в формате "Протокол/Порт" (например, TCP/80-88, UDP/53, ICMP)
Значение по умолчанию Выборка.
Выберите Действие для этого правила. Варианты: Разрешить и Блокировать.
(Необязательно) Настройте параметры отслеживания для генерации Событий и Отправки уведомления. Частота начинается с момента отправки первого уведомления.
Для получения дополнительной информации о уведомлениях смотрите соответствующую статью о Группы подписок, Списки рассылки и Интеграции оповещений в разделе Оповещения.
Нажмите Save.
Изменения сохраняются в неопубликованной версии и доступны для редактирования до тех пор, пока они не будут опубликованы или удалены.
Использование подполитик и RBAC для политики межсетевого экрана LAN
Политика межсетевого экрана LAN поддерживает подполитики, чтобы вы могли передавать управление определенным набором правил конкретным администраторам при сохранении централизованного контроля и границ безопасности для остальной части политики. Создайте подполитики для конкретных правил и определите, какие администраторы имеют доступ к облаку для просмотра или редактирования этих подполитик.
Политика межсетевого экрана LAN состоит из основной политики и любого количества подполитик. Любые правила, не входящие в подполитику, принадлежат к основной политике при определении разрешений администратора.
Создание подполитики
Настройте подполитику и ее разрешения перед включением определяющего правила, чтобы правила и доступ были установлены до начала применения.Примечание: Убедитесь, что вы определили правила и разрешения, прежде чем включить подполитику.
Чтобы создать подполитику:
В политике межсетевого экрана ЛВС нажмите Новый > Подполитика.
Определите Имя, Позицию и условия (определяющее правило) для подполитики.
Нажмите Сохранить.
Оставьте определяющее правило отключенным, пока правила и разрешения для подполитики не будут настроены.
Определение разрешений администратора для подполитик
По умолчанию, у администраторов есть разрешения на просмотр и редактирование всех подполитик на каждой странице, к которой у них есть разрешения. Чтобы ограничить администратора к конкретной подполитике, удалите разрешение для всех подполитик межсетевого экрана ЛВС и добавьте его обратно для индивидуальной подполитики.
Чтобы определить разрешения администратора на подполитику:
Из меню навигации выберите Администрирование > Администраторы.
Выберите администратора и перейдите в область Разрешения доступа к сущностям.
В таблице найдите строку для Всех политик межсетевого экрана ЛВС и удалите разрешения на просмотр и редактирование.
В выпадающем списке выберите Подполитики межсетевого экрана ЛВС.
Во втором выпадающем списке выберите целевую подполитику. Подполитика добавлена в таблицу.
В таблице дайте администратору разрешения Редактировать или Только просмотр для подполитики.
Повторите этот процесс для каждого администратора.
После определения разрешений администраторов, назначенные администраторы могут настроить правила для подполитики.
Настройка правил в подполитике
Добавьте правила ЛВС Сети и правила межсетевого экрана ЛВС для подполитики так же, как для основной политики (см. Создание правил ЛВС Сети и Создание правил межсетевого экрана ЛВС). Узнайте о характере правил, специфичном для подполитик здесь.
Включение подполитики
После того как правила и разрешения определены, включите подполитику.
Чтобы включить подполитику:
В политике межсетевого экрана ЛВС выберите подполитику.
Разверните раздел Общие настройки и используйте переключатель, чтобы его включить.
Опубликуйте ваши изменения.
Заметка:
Примечание: трафик LAN Firewall не будет виден в дашбордах аналитики приложений и сетей.
События появляются в разделе Мониторинг Сайтов > События.
Тип события - Безопасность
Подтип - LAN Firewall
Чтобы отфильтровать события LAN Firewall:
Перейдите в Главная > События.
Нажмите на Фильтр и выберите соответствующее поле, оператор и значение.
Поле - Несколько полей могут быть выбраны в качестве фильтра. Например, мы можем выбрать фильтровать по "Источник сайта" или "Подтип" (LAN Firewall)
Оператор - Выберите включение или исключение определенных значений (Равно, Не равно) или нескольких значений (Входит в, Не входит в), например, "Источник сайта" с оператором "Входит в" позволяет выбрать несколько источников сайтов в качестве значений.
Значение - Значение для поля.
Нажмите Добавить фильтр.
В следующем примере вы можете увидеть детали события LAN Firewall.
Действие - Блокировать или Мониторить. (Трафик был заблокирован или разрешен локально LAN Firewall)
Настроенное имя хоста - Дополнительная информация о хосте для IP-источника, если доступно.
Подтип - LAN Firewall. Все события, сгенерированные брандмауэром локальной сети, будут иметь этот подтип.
Сетевое правило - Родительское сетевое правило LAN для правила брандмауэра LAN, которое сгенерировало событие.
Имя правила - Название правила брандмауэра LAN, которое сгенерировало событие.
В отличие от WAN или Межсетевого экрана Интернета, где события создаются PoP Cato, события брандмауэра LAN создаются на самом сокете. Эти события отправляются через туннель сайта, чтобы быть сохраненными в Приложении Управления Cato.
Весь потоковый трафик через туннель имеет приоритет перед событиями брандмауэра LAN, которые имеют приоритет QoS по умолчанию 255 и могут создавать дополнительную нагрузку.
Cato рекомендует отслеживать только высокоприоритетные правила брандмауэра LAN, чтобы избежать дополнительной нагрузки на туннель.