МКСЗ «Diamond Next» поддерживает географическую фильтрацию сетевого трафика на основании страновой принадлежности IP-адресов. Механизм GeoIP позволяет ограничивать сетевые взаимодействия с отдельными странами или группами стран и дополняет основные средства межсетевого экранирования.
Страновая принадлежность определяется путём сопоставления IP-адреса отправителя или получателя с базой зарегистрированных адресных диапазонов. При подготовке устройства к эксплуатации на него устанавливается базовый набор IP-подсетей для стран мира. Администратор может изменять и дополнять эти данные с учётом требований организации и используемой политики информационной безопасности.
Исходные данные формируются на основании информационной системы страновой принадлежности IP-адресов и содержат сведения о соответствии стран и выделенных им диапазонов IP-адресов.
Механизм GeoIP позволяет реализовать различные сценарии ограничения сетевого взаимодействия:
GeoIP-фильтрация выполняется до применения основных правил межсетевого экрана. Трафик, разрешённый географической политикой, передаётся для дальнейшей проверки другими механизмами фильтрации МКСЗ «Diamond Next». Это позволяет последовательно применять ограничения по страновой принадлежности IP-адресов и более детальные правила контроля сетевых соединений.
При обработке трафика учитывается состояние сетевого соединения. Например, администратор может запретить установление новых входящих соединений из выбранной страны, сохранив возможность обращения пользователей локальной сети к расположенным в этой стране ресурсам. Ответный трафик, относящийся к соединению, инициированному из локальной сети, будет пропущен, тогда как попытка установить новое соединение со стороны заблокированной страны будет отклонена.
Такой подход позволяет ограничить нежелательные входящие подключения без нарушения разрешённой работы пользователей с внешними информационными ресурсами. Географическая фильтрация упрощает формирование политики сетевой безопасности и сокращает количество потенциально опасных или не требующихся организации сетевых взаимодействий.