МКСЗ «Diamond Next» поддерживает межсетевое экранирование сетевого трафика в прозрачном режиме, а также при работе устройства на втором, третьем и четвёртом уровнях сетевой модели.
Механизм межсетевого экранирования построен на базе высокопроизводительной системы обработки трафика VPP и позволяет создавать правила фильтрации с использованием поддерживаемых полей заголовков L2, L3 и L4. В зависимости от требований политики информационной безопасности правила могут учитывать MAC-адреса, параметры VLAN, IP-адреса, сетевые протоколы, порты транспортного уровня и другие параметры сетевого пакета.
Межсетевой экран позволяет разрешать или блокировать сетевой трафик, контролировать установление соединений и регистрировать срабатывания правил. Фильтрация может выполняться как без отслеживания состояния соединений, так и с контролем сетевой сессии в рамках единого правила.
МКСЗ «Diamond Next» поддерживает следующие режимы фильтрации:
Прозрачный режим позволяет установить устройство в разрыв существующего сетевого соединения и применять правила межсетевого экранирования без изменения IP-адресации и маршрутизации защищаемой сети. Трафик передаётся через устройство без терминации сетевого взаимодействия на транзитных интерфейсах.
Фильтрация в режиме L2 применяется при объединении интерфейсов в прозрачный мост. В этом режиме передача Ethernet-кадров между интерфейсами выполняется механизмом коммутации, а межсетевой экран контролирует проходящий трафик в соответствии с назначенными правилами.
Фильтрация в режиме L3/L4 применяется к маршрутизируемому трафику. Правила могут учитывать параметры сетевого и транспортного уровней и использоваться для разграничения взаимодействия между сетями, подсетями и отдельными узлами.
Настройка межсетевого экранирования выполняется с помощью списков доступа ACL. Внутри ACL создаётся упорядоченный набор правил, определяющих условия обработки и требуемое действие для соответствующего трафика.
После создания ACL назначается одному или нескольким сетевым интерфейсам с указанием направления обработки:
Один и тот же ACL может применяться на нескольких интерфейсах и в разных направлениях. Это позволяет повторно использовать подготовленные политики и поддерживать единообразные правила безопасности для нескольких сетевых сегментов.
На один интерфейс для одного направления может быть назначено несколько ACL. В этом случае списки доступа обрабатываются последовательно в установленном порядке. Такой подход позволяет разделять политики по назначению, например использовать отдельные ACL для общих ограничений, защиты конкретного сегмента и контроля отдельных сервисов.
Для упрощения настройки поддерживается создание групп сетевых адресов и сетевых портов. Подготовленные группы могут многократно использоваться в разных правилах фильтрации. Это сокращает количество однотипных настроек и упрощает изменение политики при расширении или реорганизации сети.
Дополнительно поддерживается фильтрация по доменным именам и применение правил по заданному расписанию. Расписание позволяет автоматически включать ограничения в определённые дни и интервалы времени, например разрешать доступ к отдельным ресурсам только в рабочие часы.
Межсетевой экран может работать как в режиме независимой проверки отдельных пакетов, так и в режиме фильтрации с отслеживанием состояния соединений.
Механизм Conntrack контролирует состояние сетевых сессий и позволяет в рамках одного правила учитывать прямой и ответный трафик. Если соединение было разрешено и инициировано одной из сторон, относящиеся к нему ответные пакеты могут обрабатываться как часть уже установленной сессии без создания отдельного разрешающего правила для обратного направления.
Для протоколов, создающих дополнительные или динамически согласуемые соединения, предусмотрены специализированные обработчики — connection tracking helpers. Поддерживается обработка соединений протоколов FTP, TFTP, PPTP и SIP. Helpers анализируют управляющее взаимодействие и позволяют корректно учитывать связанные с ним дополнительные соединения.
Использование контроля состояния соединений повышает точность фильтрации и упрощает настройку политик для протоколов со сложной структурой сетевого взаимодействия.
Для правил межсетевого экранирования поддерживается журналирование срабатываний. Администратор может выбрать подходящий режим регистрации событий:
Различные режимы журналирования позволяют подобрать необходимую степень детализации и избежать формирования избыточного количества однотипных событий. Полученные записи могут использоваться для контроля соблюдения политики безопасности, расследования инцидентов и анализа сетевых взаимодействий.
Сочетание фильтрации на уровнях L2-L4, интерфейсно-ориентированного применения политик, контроля состояния соединений, группировки объектов и гибкого журналирования позволяет адаптировать межсетевой экран МКСЗ «Diamond Next» к сетям различного масштаба и архитектуры.