Gestion de la politique de pare-feu Internet

Cet article explique comment gérer la politique du pare-feu Internet pour contrôler l'accès Internet de votre organisation.

Pour plus d'informations sur la politique du pare-feu Internet dans Cato, consultez Qu'est-ce que le pare-feu Internet de Cato?.

Vue d'ensemble

Le pare-feu Internet inspecte le trafic entre le WAN et Internet et vous permet de créer des règles pour contrôler ce trafic. Similaire au pare-feu WAN, le pare-feu Internet utilise une base de règles ordonnée, à partir de la première règle, les connexions sont inspectées selon chaque règle.

Le pare-feu Internet permet à différents administrateurs de modifier la politique en parallèle. Chaque administrateur peut modifier les règles et enregistrer les modifications dans leur propre révision privée, puis les publier dans la politique du compte (la révision publiée). Pour plus d'informations sur la gestion des révisions de politique, consultez Travailler avec des révisions de politiques.

Le Assistant de Configuration du Pare-feu Internet passe en revue votre politique de manière autonome en utilisant ces vérifications et idées. Lorsque une vérification échoue, vous pouvez consulter et mettre à jour votre politique directement dans l'Assistant sans modifier les règles individuelles. Cela vous aide à rester sécurisé tout en simplifiant la gestion des politiques.

Configuration de la politique de pare-feu Internet

Cette section explique les procédures pour créer des règles de pare-feu Internet, contourner les verrous pour modifier des règles, et publier ou rejeter une révision non publiée.

Créer de nouvelles règles de pare-feu Internet

Créez des règles de pare-feu Internet et enregistrez les modifications dans votre révision non publiée.

Pour plus d'informations sur les éléments Source, App et Catégorie pour une règle, voir Référence pour les objets de règle.

Les options Temps définissent l'intervalle de temps pendant lequel la règle est activée. Vous pouvez configurer des options personnalisées pour une règle, ou choisir les heures de travail par défaut définies pour le compte.

Pour créer une nouvelle règle pour le pare-feu Internet :

Dans le menu de navigation, sélectionnez Sécurité > Pare-feu Internet.

La page du pare-feu Internet s'ouvre sur votre révision non publiée existante, ou sur la révision publiée la plus récente.
Cliquez sur Nouveau.
Saisissez le Nom de la règle.
Activez ou désactivez la règle à l'aide du curseur (vert activé, gris désactivé).
Configurez l'Ordre de la règle pour cette règle.

Pour plus d'informations sur les options d'ordre de la règle, consultez Qu'est-ce que le pare-feu Internet de Cato?.
Déroulez Source et sélectionnez le type de source.
- Sélectionnez le type (par exemple : Hôte, Interface réseau, IP, Tout). La valeur par défaut est Tout.
- Lorsque cela est nécessaire, sélectionnez un objet spécifique dans la liste déroulante pour ce type.
Développez la section Appareil et ajoutez les conditions d'appareil à la règle. Pour plus d'informations, voir Ajouter des Conditions de Périphérique aux Règles de Pare-feu. Les valeurs par défaut sont Tout.
Déroulez la section App/Catégorie et sélectionnez une ou plusieurs applications pour la règle.

Lorsqu'il y a plus d'un objet App/Catégorie dans une règle, il y a une relation OU entre eux. La valeur par défaut est Tout.
Déroulez la section Service/Port et définissez le ou les types (Service, Port/Protocole, Tout) qui sont appliqués à cette règle.

Lorsqu'il y a plus d'un objet Service/Ports dans une règle, il y a une relation OU entre eux. La valeur par défaut est Any.
Sélectionnez l'Action pour cette règle. Les options sont Autoriser, Bloquer, Inviter.
(Optionnel) Configurer les options de suivi pour générer Événements et Envoyer Notification. La fréquence commence à compter après l'envoi de la première notification.

Pour plus d'informations sur les notifications, consultez l'article pertinent pour les Groupes d'inscription, Listes de diffusion et Intégrations d'alerte dans la section Alertes.
(Facultatif) Configurez les options du Temps qui définissent quand cette règle est activée.
Cliquez sur Appliquer. La nouvelle règle est ajoutée à la base de règles.
Cliquez sur Sauvegarder.

Les modifications sont enregistrées dans votre révision non publiée, et sont disponibles pour modification jusqu'à ce qu'elles soient publiées ou rejetées.

Utilisation des exceptions pour permettre les connexions Internet

Vous pouvez utiliser des exceptions dans la base de règles du pare-feu Internet pour ignorer une règle spécifique et continuer avec les règles de priorité inférieure. N'oubliez pas de vous assurer qu'une règle de priorité inférieure ne correspond pas et ne bloque pas le trafic. La règle finale implicite TOUT TOUT Autoriser permet tout le trafic. Par exemple, si la règle n°3 bloque l'accès à la catégorie Recrutement, vous pouvez créer une exception qui ne bloque pas l'accès pour le département des Ressources Humaines (RH).

L'exception pour une règle est un sous-ensemble de la règle, et certains paramètres s'appliquent à la fois à la règle et à l'exception :

Lorsque vous désactivez la règle, l'exception est également désactivée
Lorsque vous déplacez la règle et changez la priorité, l'exception est également déplacée

Pour ajouter une exception à une règle de pare-feu :

Dans le menu de navigation, sélectionnez Sécurité > Pare-feu Internet.
À droite de la règle, cliquez sur et sélectionnez Ajouter Exception.

Le panneau Ajouter exception s'ouvre.
Développez et configurez les paramètres pour l'exception de règle.

L'Action pour la règle parente ne s'applique pas à l'exception de règle.
Cliquez sur Appliquer. L'exception est ajoutée sous la règle.
Cliquez sur Sauvegarder. L'exception est enregistrée dans votre révision non publiée et est disponible pour modification jusqu'à ce qu'elle soit publiée ou rejetée.

Pour supprimer une exception d'une règle de pare-feu :

Dans le menu de navigation, sélectionnez Sécurité > Pare-feu Internet.
Depuis la colonne de droite de la règle, cliquez sur et dans la fenêtre contextuelle sélectionnez Supprimer l'Exception.

L'exception est supprimée de la règle.
Cliquez sur Sauvegarder. L'exception est supprimée de votre révision non publiée, et vous pouvez publier la révision pour retirer l'exception de la politique du compte.

Limitations connues

Pour l'application Facebook Messenger, il n'est pas possible d'utiliser le pare-feu Internet pour bloquer l'application Messenger et autoriser l'application Facebook, car Messenger partage le même domaine que Facebook pour charger des ressources. Vous pouvez utiliser la Politique de Contrôle des Applications CASB pour gérer l'accès à ces applications.