Press CTRL+K to open search

Что такое межсетевой экран Cato WAN?

  • Обновлено Sep 8, 2026
  • Опубликовано на Jul 12, 2026
  • 9 Минута(ы) чтения
Prev Next

Эта статья предоставляет основную информацию о межсетевом экране WAN для вашей учетной записи.

Для получения дополнительной информации о работе с межсетевым экраном WAN см. Управление политикой межсетевого экрана WAN.

Обзор межсетевого экрана Cato WAN

Межсетевой экран WAN в облаке Cato контролирует доступ к объектам и сущностям в вашей сети высокой доступности (WAN). Настройте базу правил межсетевого экрана WAN для создания надежной политики контроля доступа и защиты сети.

Межсетевой экран WAN является частью брандмауэра следующего поколения (NGFW), интегрированного в облако Cato, и позволяет создавать правила для предотвращения несанкционированного доступа к сети. Межсетевой экран WAN использует подход белого списка, и существует правило блокировки ANY-ANY по умолчанию, запрещающее все подключения, которые явно не разрешены в базе правил.

Используйте правила для настройки межсетевого экрана для проверки всех соединений и разрешайте только те, которые соответствуют его настроенным параметрам. Межсетевой экран использует упорядоченную базу правил. Это означает, что он начинает проверку соединения и смотрит, совпадает ли оно с первым правилом. Если нет, он продолжает последовательно применять каждое правило к соединению до тех пор, пока какое-либо правило не совпадет с соединением.

Межсетевой экран WAN также включает полную функциональность уровня 7 с осведомленностью пользователей, что позволяет реализовать политику нулевого доверия для доступа к конкретным приложениям в WAN.

Сценарий использования - Разрешение только одобренных производителей устройств видеоконференций

Администратор безопасности получает задание на оценку защищенности переговорных комнат в офисе лондонской филиала. Администратор переходит на страницу Инвентаризация устройств, фильтрует по Поле - тип устройства, Оператор - входит, Значение - видеоконференции, и видит все устройства для видеоконференций на лондонском сайте. Администратор понимает, что есть устройства для видеоконференций от нескольких разных производителей, и это не соответствует политике безопасности организации. ИТ команда уже имеет лицензию безопасности IoT и создает новые правила в политиках межсетевого экрана WAN и Интернета с настройками Атрибут устройства, которые разрешают только двух утвержденных производителей устройств для видеоконференций. Некоторые устройства для видеоконференций на лондонском сайте больше не работают, так как они заблокированы политиками межсетевого экрана, пока не будут заменены на новые устройства от утвержденных производителей.

Понимание автономной аналитики межсетевого экрана

WAN_firewall.png

Автономные аналитические данные межсетевого экрана WAN - это список Проверок положения, которые оценивают вашу политику межсетевого экрана WAN и показывают, как она соответствует рекомендациям Cato. Следуя этим рекомендациям, вы оптимизируете конфигурации межсетевого экрана и улучшаете защищенность.

Есть два типа аналитических данных:

  • Звездочка (на базе ИИ): Включенные правила в вашей политике межсетевого экрана WAN автоматически анализируются искусственным интеллектом (ИИ) для обнаружения проблем, например, правил, которые могут быть отменены или изменены, таких как:

    • Временное правило: Представлено как краткосрочное решение для удовлетворения немедленной необходимости. Эти правила в основном создаются для временного функционирования, пока правильное или постоянное решение развертывается или развивается.

    • Правило тестирования: Правила, явно созданные для проверки, отладки или экспериментов с определенной функцией или сценарием.

    • Истекшее правило или Правило с будущей датой истечения: Правила, созданные для удовлетворения конкретной потребности и имеют желаемую дату окончания, которая уже прошла или еще не достигнута, или ее невозможно доказать/оценить.

    • Слишком разрешающие правила: Правила, которые могут быть чрезмерно разрешающими на основе пользователей, хостов, приложений или протоколов, определенных для правила. Эти аналитические данные используют топологическую эвристику, указывающую на то, что мы рекомендуем удалить лишние элементы из правила, чтобы лучше придерживаться стратегии нулевого доверия.

      Например: ограничить доступ пользователя только к sampleAdmin, условно по конкретному профилю состояния устройства Профиль состояния устройства, ограничить приложение только RDP, и ограничить протокол только до TCP.

    • Неиспользуемые правила: Определяет правила межсетевого экрана с действием "Разрешить", которые не генерировали событий в течение последних 60 дней.

  • На основе конфигурации: Конфигурации и настройки в вашей политике межсетевого экрана Интернета, чтобы гарантировать следование лучшим практикам.

Работа с Мастером Конфигурации Межсетевого Экрана WAN

Мастер Конфигурации Межсетевого Экрана WAN автономно проверяет вашу политику, используя эти проверки и аналитические данные. Когда проверка не пройдена, вы можете пересмотреть и обновить вашу политику непосредственно в Мастере без редакции отдельных правил. Это помогает вам оставаться защищенными, упрощая управление политикой. Для получения дополнительной информации см. Использование Мастера Конфигурации.

Защита от подмены в файерволе Cato

One of the basic functionalities of an NGFW is to protect against anti-spoofing attacks. The security engines in the Cato Cloud implicitly drop any connection where the source IP is outside the scope of the configured entity (such as site, network range, device, or user). This blocks anti-spoofing attacks and prevents violations of the configured logical topology.

Работа с упорядоченными правилами

Межсетевой экран WAN проверяет соединения последовательно и проверяет, соответствует ли соединение правилу. Последнее правило в базе правил - это правило блокировки ANY-ANY по умолчанию - поэтому, если соединение не соответствует правилу, оно будет заблокировано последним правилом по умолчанию. Сильная политика контроля доступа содержит правила межсетевого экрана, разрешающие определенные соединения и трафик в WAN.

Вы можете просмотреть настройки правила по умолчанию в разделе Default Rules в конце базы правил. Эти параметры правил нельзя изменить.

Правила, которые находятся вверху базы правил, имеют более высокий приоритет, так как они применяются к соединениям перед правилами ниже в базе правил. Например, если соединение соответствует правилу №3, действие применяется к соединению, и межсетевой экран прекращает его проверку. Межсетевой экран не продолжается применять правила №4 и ниже к соединению. Вы можете повысить эффективность межсетевого экрана WAN и уделить высокий приоритет правилам, которые соответствуют наибольшему количеству соединений.

Работа с несколькими объектами в одном правиле

Когда есть правило с объектами в нескольких столбцах, такими как приложение и служба, между ними существует связь И. Например, если существует правило, позволяющее приложение Backup Services на порту 443, то трафик разрешен, когда он соответствует как приложению, так и порту.

Для правил, использующих несколько объектов в одном столбце, таких как более чем один порт, между ними существует OR-связь. Например, если существует правило, позволяющее доступ к серверу электронной почты для сервиса SMTP и портов 25, 265, 587 и 2525, то трафик разрешен, когда он соответствует сервису SMTP или любому из портов.

  • Примечание: Каждое правило может иметь максимум 64 условия с отношением «и» между ними, и исключения для правила включаются в лимит правил. Например, если есть правило с двумя условиями «и» (такими как источник и сервис), и у правила 25 исключений с 3 условиями «и» каждое (такими как источник, приложение и сервис), тогда у правила 77 условий. Это превышает допустимый лимит в 64 условия, и правило может работать неправильно. Однако вы можете назначить более 64 объектов в одной колонке правила, так как есть отношение «или» между ними. Например, вы можете назначить более 64 приложений в одно правило.

Понимание количества попаданий

Количество срабатываний помогает определить неиспользуемые правила, которые можно удалить из политики, и оптимизировать конфигурацию правил для более точного соответствия необходимой области трафика. Количество срабатываний правила основано на количестве событий, сгенерированных этим правилом. Если правило не генерирует события, количество срабатываний равно нулю.

Количество срабатываний содержит два числа:

  • Примерное количество событий, сгенерированных каждым правилом в политике.

  • Как часто правило срабатывает по сравнению с другими правилами (ранжировано по процентилю).

Вы можете быстро определить правила с самым высоким и самым низким количеством попаданий, основываясь на цвете статусной полосы. Этот цвет отражает частоту срабатывания правила по сравнению с другими правилами:

  • Синий: 0 - 24-го перцентиля

  • Зеленый: 25-й - 49-й перцентиль

  • Оранжевый: 50-й - 74-й перцентиль

  • Красный: 75-й - 100-й перцентиль

Сброс и обновление счетчика срабатываний

Reset.png

Значения количества срабатываний обновляются автоматически каждые 24 часа и основаны на прошедших 14 днях трафика. Из трех точек в конце каждого правила вы можете сбросить или обновить количество срабатываний для актуальной видимости. Это позволяет вам точно измерить эффективность правил и немедленно подтвердить активность правил.

  • Сброс счетчика срабатываний для специфического правила брандмауэра возвращает количество срабатываний к 0.

  • Обновление счетчика срабатываний обновляет количество срабатываний по запросу для всех правил брандмауэра.

Редакции политики и одновременное редактирование несколькими администраторами

Межсетевой экран WAN позволяет различным администраторам параллельно редактировать политику. Каждый администратор может редактировать правила и сохранять изменения в базе правил в своём личном варианте редакции, а затем публиковать их в политике аккаунта (опубликованная редакция). Для получения дополнительной информации о том, как управлять ревизиями политики, смотрите Работа с ревизиями политики.

Настройка параметров времени для правила

Вы можете настроить временные параметры для правила, чтобы оно было активировано или отключено в определенные дату и время. В выпадающем меню Время вы можете настроить Ежедневное расписание и/или Активный период.

Вы можете настроить обе эти опции так, чтобы, например, правило было активно в будние дни в течение мая 2025 года. Или вы можете настроить каждую опцию отдельно, чтобы удовлетворить ваши требования.

Понимание ежедневного расписания

Ежедневное расписание определяет расписание, когда правило активно. Если для правила настроено расписание, в таблице правил в колонке Действие отображается символ часов.

Опции для Ежедневного расписания включают:

  • Без временного ограничения: Для правила нет расписания. Это поведение правил по умолчанию.

  • Ограничение рабочими часами: Правило активно только в рабочие часы, настроенные в приложении управления Cato. Для получения дополнительной информации о рабочих часах см. Определение стандартных рабочих часов для аккаунта.

  • Настраиваемые: Выберите время дня и дни недели, когда правило активно. Снимите флажок Повторяющееся и выберите Дата для настройки времени правила.

    • Повторяющийся: Настройка времени будет применяться более одного раза, например, каждый вторник с 9:00 до 17:00.

Понимание активного периода

Активный период определяет дату и время, когда правило активно в UTC. Если поле Действует с не выбрано, правило активно сразу после его сохранения и публикации.

В таблице правил, если определен Активный период, в колонке Действие отображается символ песочных часов. Цвет символа отражает статус:

  • Черный: Правило не активно и станет активным в будущем.

  • Зеленый: Правило активно.

  • Красный: Правило имеет истекший срок действия.

Понимание настроек правил межсетевого экрана WAN

Этот раздел объясняет поля и настройки правил в базе правил межсетевого экрана WAN. Тщательное понимание межсетевого экрана WAN помогает успешно управлять контролем доступа к корпоративной сети.

Действия правила

Следующая таблица описывает действия, которые каждое правило межсетевого экрана может применить к сетевому трафику. Для действий, которые генерируют события, вы можете показывать журналы событий в Домашняя > События.

Элемент

Описание

Разрешить

Файервол разрешает соответствующий трафик.

Блокировать

Файервол блокирует соответствующий трафик.

Запрос

Файервол перенаправляет соответствующий трафик на веб-страницу с сообщением. Пользователю предлагается решить, продолжить или нет. Вы можете настроить страницу запроса, см. Настройка страницы блокировки/запроса.

Страница запроса Cato — это HTML-страница, использующая JavaScript и сессионные куки для управления согласием пользователя. Эти куки домен-специфичны, временные, и обычно удаляются при закрытии браузера. Cato в настоящее время использует три префикса имени куки (tls_cert_err, fw_wan, и fw_inet). Обработка куки и сохранение сессии зависит от настроек и поведения пользователя, браузера и операционной системы.

Чтобы просмотреть события, когда пользователь выбирает продолжить после страницы запроса, отфильтруйте страницу События, чтобы показать события с полем Запрос Действие, установленным на значение Продолжить.

Колонки базы правил

Следующая таблица описывает каждый столбец в базе правил межсетевого экрана WAN. Когда для правила настроено несколько столбцов, между ними существует отношение И.

Для более подробной информации о Источник, Назначение, Приложение и Категория для правила, см. Справочник по объектам правил.

Item

Description

#

Показывает приоритет правила в базе правил межсетевого экрана WAN.

  • Используйте поле Порядок правил для изменения приоритета правила.

  • Используйте переключатель Включено для включения или отключения правила. Переключатель становится зеленым toggle.png когда включен.

Имя

Введите Имя для правила

Источник

Источник трафика для этого правила

Критерии

Определите условный доступ на основе атрибутов фактического устройства конечного пользователя или других устройств, работающих в вашей сети, таких как IoT/OT. Включает опции:

  • Атрибуты устройства - Атрибуты устройств, идентифицированных движком инвентаризации устройств

  • Платформы - Операционная система (ОС) устройства

  • Страны - Страна источника для подключения на основе физического местоположения устройства (по геолокации IP-адреса)

  • Профили состояния устройства - Профили устройства (настроенные в Доступ > Постура устройства)

  • Источник соединения - Геолокация устройства (удалённое или находящееся за площадкой)

Направление

Указывает направление правила. Включает опции:

  • К - Это правило разрешает трафик в одном направлении, Источник к Назначение. Например, сайт Аlpha разрешено подключаться к сайту Bravo, но сайт Bravo не может связываться с сайтом Alpha.

  • Оба - Это правило управляет трафиком в обоих направлениях, в и из Источник и Назначение.

Назначение

Назначение трафика для этого правила

Приложение/Категория

Применяется только к соответствующим объектам для конкретных приложений, категорий и других объектов

Служба/Порт

Применяется только к трафику, который соответствует указанным сервисам и портам

Действие

Примените указанное действие к трафику, который соответствует правилу

Например, когда трафик блокируется, соединение отбрасывается, и правила с низким приоритетом не применяются к этому подключению.

Отслеживание

Когда правило соответствует, создается событие или отправляется уведомление по электронной почте списоку.

Количество срабатываний

Количество срабатываний для этого правила

More_icon.png

Открывается выпадающее меню с этими опциями:

  • Добавить правило выше: Добавить новое правило выше выбранного правила

  • Добавить правило ниже: Добавить новое правило ниже выбранного правила

  • Дублировать правило: Создать новое идентичное правило прямо под оригинальным выбранным правилом в том же разделе

  • Переместить правило: Измените приоритет правила, определяя для него другое положение в порядке правил

  • Добавить исключение: Создайте новое исключение для выбранного правила

  • Включить/Отключить - Когда правило отключено, кург не инспектирует соединения на предмет настроек в правиле

  • Просмотр Событий Правила - Показать страницу События, предварительно отфильтрованную для событий, связанных с правилом

  • Удалить Правило - Удалить выбранное правило

Связанные Ресурсы для Файервола WAN