Пожаротушение на основе зон: лучшие практики.

Пожаротушение на основе зон: лучшие практики., wifiman

drewdin

Guest

11.02.2025 20:00:00

Пытаюсь разобраться, как лучше всего настроить безопасный доступ, используя новые правила межсетевого экрана на основе зон. Раньше у меня были профайлы для шлюзов, rfc1918 и т.д... Потом я настраивал правила для блокировки доступа, и вижу, что много чего уже сделано, и половина моих профайлов и правил больше не нужна. Это подводит меня к вопросу: как вы блокируете меж-VLAN трафик, доступ к другим шлюзам и т.д.? Я ищу какие-то общие правила и направления. Раньше у меня был список шлюзов, которые я добавлял в заблокированный список, есть ли какой-то более простой способ, чем ручное управление этим списком? Нужно ли мне все еще предоставлять доступ из зоны по умолчанию в новые зоны, или это наследуется? Какие есть советы или хитрости? Спасибо!

travis.vitek

Guest

12.03.2025 21:17:00

Ах, я понял свою ошибку. DHCP использует широковещание, чтобы найти DHCP-сервер, пока у него нет никакой информации о сети. Поэтому первое правило должно позволять доступ к адресам широковещания шлюза, чтобы это работало. В моем тесте сеть 192.168.255.1/24. Мне нужно было разрешить доступ к 192.168.255.1 (адрес локального шлюза), 192.168.255.255 (адрес локального широковещания в подсети) и 255.255.255.255 (адрес ограниченного широковещания). Как только я это сделал, всё заработало. Очевидно, вы найдёте и другие вещи, к которым захотите разрешить доступ. Привыкните включать ведение журнала Syslog для ваших правил и просматривать вывод логов файрвола на вашем шлюзе в реальном времени.

travis.vitek Guest	#3 12.03.2025 20:38:00 Первое из двух правил должно позволять устройствам в этой сети общаться с локальным адресом шлюза на всех портах, кроме SSH, HTTP и HTTPS.

drewdin Guest	#4 12.03.2025 18:19:00 Тебе нужно разрешить сети общаться со шлюзом и осуществлять широковещание, иначе она заблокирует всё.

samuelbarr

Guest

12.03.2025 18:06:00

@travis.vitek Вторая группа правил, похоже, ломает DHCP, и сеть больше не будет выдавать DHCP-IP. ame=Allow IoT to GatewaySource Zone=Untrusted; Network=IoTPort=AnyAction=AllowDestination Zone=Gateway; IP; Specific=<IoT gateway IP>Port=Specific, Custom=22, 80, 443; Match OppositeName=Block Untrusted to GatewaysSource Zone=Untrusted; AnyPort=AnyAction=BlockDestination Zone=Gateways; AnyPort=Any

angeltek Guest	#6 26.02.2025 12:05:00 Текст отсутствует. Предоставьте текст для перевода.

drewdin Guest	#7 19.02.2025 19:36:00 Спасибо за отличный ответ, как у тебя это реализовано?

travis.vitek Guest	#8 12.02.2025 16:24:00 Я делаю это, обеспечивая наличие политики, которая блокирует трафик между зонами/сетями/устройствами, которые не должны общаться, и политик, которые позволяют трафик между теми, которые должны. На самом деле, не так важно, как я это делаю, главное — я настроил это так, чтобы это работало. Прямее этого уже не скажешь. Ваша цель — заблокировать трафик с интерфейсов шлюза для других сетей (например, старое правило "Блокировать IoT для других шлюзов") и заблокировать порты управления шлюзом из этой конкретной сети (например, правило "Блокировать IoT для портов управления шлюзом")? Это можно сделать несколькими способами, но точные детали зависят от того, как настроены ваши зоны и какая политика по умолчанию для этой зоны. Если вы хотите воссоздать именно то, что предлагалось в старых видео на YouTube, вы можете сделать это с помощью двух политик: Имя=Блокировать IoT для других шлюзов Исходная зона=<Зона, содержащая IoT>; Сеть=IoT Порт=Любой Действие=Блокировать Конечная зона=Шлюз; IP; Конкретно=<IP-адрес IoT-шлюза; широковещательный адрес IoT-сети; ограниченный широковещательный адрес>; Соответствовать противоположному Имя=Блокировать IoT для портов управления шлюзом Исходная зона=<Зона, содержащая IoT>; Сеть=IoT Порт=Любой Действие=Блокировать Конечная зона=Шлюз; Любые порты=Конкретно, Настраиваемо=22, 80, 443; Соответствовать противоположному Если вы хотите заблокировать все по умолчанию и разрешить трафик только через исключения (как если бы IoT находился в какой-то недоверенной зоне): Имя=Разрешить IoT для шлюза Исходная зона=Недоверенная; Сеть=IoT Порт=Любой Действие=Разрешить Конечная зона=Шлюз; IP; Конкретно=<IP-адрес IoT-шлюза; широковещательный адрес IoT-сети; ограниченный широковещательный адрес> Порт=Конкретно, Настраиваемо=22, 80, 443; Соответствовать противоположному Имя=Блокировать Недоверенную для шлюзов Исходная зона=Недоверенная; Любой порт=Любой Действие=Блокировать Конечная зона=Шлюзы; Любой порт=Любой В первом случае вам придется дублировать две показанные политики для каждой сети, которую необходимо аналогично заблокировать. Если вы не добавите эти правила, доступ разрешен. Во втором случае вам нужно добавить только одно. Если этого правила нет, то весь доступ заблокирован. Политиками нельзя "наследовать". Пользовательские зоны по умолчанию имеют доступ в Интернет и к шлюзу; все остальное заблокировано. Если вам нужно что-то другое, то нужно либо поместить вашу сеть в одну из существующих зон, которые имеют более мягкие правила по умолчанию, либо вам нужно добавить политики.

Читают тему (гостей: 1)