Что такое следующий поколенческий LAN Firewall сокета

Корпорация Example имеет 200 филиалов по всему миру, использующих один и тот же дизайн LAN сети. Это включает идентификатор VLAN 10 для серверов и VLAN 20 для критически важных бизнес устройств OT. Команда сети решает локально маршрутизировать трафик между этими VLAN, что позволяет устройствам OT и серверам продолжать коммуникацию даже в случае проблемы с интернет-провайдером. Кроме того, они хотят разрешать только определённые протоколы между VLAN.

Команда сети создаёт правило LAN сети с площадкой, настроенной как объект группы, содержащий 200 соответствующих площадок, а транспорт настроен как LAN для локальной маршрутизации трафика. Затем они создают правило LAN Firewall под правилом LAN сети, где VLAN 10 и VLAN 20 настроены как Источник и Назначение, а Направление указано как Оба. Под Сервис/Порт они настраивают протоколы, которые хотят разрешить, а Действие установлено как Разрешить.

Это одно правило LAN Firewall применяет политику к каждому из 200 локальных сетей, не требуя отдельной настройки для всех площадок.

Для понимания роли LAN Firewall и его отношения к другим политиками Cato, важно понимать, что Cato идентифицирует трафик как один из трёх различных типов: LAN, WAN или Интернет. Понимание различий и характеристик этих типов трафика критически важно для оптимального планирования политик и использования различных firewall политик Cato. Для получения дополнительной информации смотрите Начало работы с межсетевыми экранами Cato.

Трафик между хостами на той же площадке может обрабатываться как LAN трафик (маршрутизируется сокетом и не отправляется в PoP), или как WAN трафик (отправляется в PoP и затем обратно на площадку), в зависимости от вашей конфигурации. По умолчанию сокет направляет весь трафик в PoP для проверки, и PoP блокирует или разрешает трафик. Однако, трафик, который соответствует политике LAN Firewall, направляется локально и не отправляется в PoP.

Когда трафик от хоста в LAN достигает сокета, сокет проверяет, соответствует ли трафик правилу в политике LAN Firewall.

Для получения дополнительной информации об определении трафика ЛВС, см. ниже, Политика межсетевого экрана ЛВС.

Ниже приведена диаграмма переходов состояния, показывающая как LAN Firewall сокета обрабатывает трафик от хоста в локальной сети.

LAN Firewall поддерживает инспекцию на уровнях 2-4 и уровне 7 (уровень приложений), позволяя вам контролировать трафик на основе приложений, служб и конкретного содержимого в пределах приложений. По умолчанию, площадки поддерживают функцию уровня 2-4, и вы определяете в политике, какие площадки также имеют возможность уровня 7. Этот раздел описывает различия между Firewall на уровне 2-4 и уровне 7.

Firewall уровня 2-4 фильтруют трафик на основе основных критериев, таких как IP-адреса, порты и транспортные протоколы, такие как TCP или UDP. Для этих критериев, сокетный firewall может принять решение о разрешении или блокировке трафика на основе первого пакета. Хотя это эффективно для базового управления трафиком, данный подход не анализирует фактические данные, передаваемые в пакетах.

Firewall уровня 7 (уровень приложений) проверяют полезную нагрузку пакетов для идентификации конкретных приложений, доменов или протоколов. Например, Firewall уровня 7 может различать трафик SMBv1 и SMBv3 или идентифицировать конкретное приложение, генерирующее трафик (например, Office 365). Эта более глубокая проверка позволяет более детально осуществлять политику и улучшать контроль над местным сетевым трафиком. Однако, поскольку уровень 7 требует анализа дополнительных пакетов для определения данных приложения (например, извлечение доменного имени в HTTP-трафике), и больше ресурсов сокета, чем уровень 4, это должно учитываться при планировании политики LAN Firewall для вашей организации и при выборе площадок, которые следует включить с уровнем 7. Когда вы включаете площадку с функционалом уровня 7, сокет проводит глубокую инспекцию пакетов для трафика, независимо от того, настроено ли правило LAN Firewall, при условии, что трафик определён для использования LAN транспорта (см. ниже, Политика LAN Firewall).

Когда вы включаете сайт с возможностями уровня 7, Socket выполняет глубокий анализ пакетов на трафике, независимо от того, настроено правило Межсетевой экрана ЛВС или нет, пока есть определенный трафик для использования транспорта ЛВС (см. ниже, Политика межсетевого экрана ЛВС). Политика LAN Firewall

Это означает, что каждое правило может быть настроено для применения к нескольким площадкам в аккаунте. Например, если вы настраиваете несколько площадок с использованием одной и той же конфигурации VLAN, вы можете создать одно правило, применяемое к VLAN на каждой площадке, определённой в этом правиле. Правила LAN сети принимают решения маршрутизации уровня 4 и не используют функционал уровня 7. Например, вы можете определить правила сети с условиями для площадок, VLAN или определённых протоколов, но не можете создать условие на основе приложения.

Правило LAN сети может быть родителем для нескольких правил LAN Firewall под ним. Есть правило блока ANY-ANY по умолчанию, настроенное как последнее правило под правилом LAN сети.

Таким образом, если трафик соответствует правилу LAN сети, но не соответствует правилу LAN Firewall, он блокируется. Правила LAN Firewall Таким образом, если трафик соответствует правилу LAN Network, но не соответствует правилу LAN Firewall, он блокируется.

Правила LAN Firewall поддерживают сегментацию до уровня 4 по умолчанию, включая сегментацию на основе MAC адресов. Кроме того, для площадок, настроенных для функционала уровня 7, правила LAN Firewall могут включать интеллектуальную фильтрацию трафика на основе приложений, доменов и других условий уровня 7. Существует правило блока LAN Firewall ANY-ANY по умолчанию, настроенное как последнее правило под каждым правилом LAN сети. Таким образом, если трафик соответствует правилу LAN сети, но не соответствует правилу LAN Firewall, он блокируется.

Такое неявное поведение обеспечивает истинный подход с нулевой доверенностью к сегментации локально, гарантируя, что по локальной сети может передаваться только явно разрешённый трафик. Следовательно, если трафик соответствует правилу сети ЛВС, но не соответствует правилу Межсетевой экрана ЛВС, он блокируется. Это скрытое поведение обеспечивает истинный подход zero-trust для сегментации на месте, гарантируя, что только явно разрешенный трафик может проходить через локальную сеть.

Количество срабатываний помогает определить неиспользуемые правила, которые можно удалить из политики, и оптимизировать конфигурацию правил для более точного соответствия требуемому объему трафика. Количество срабатываний для правила основано на количестве событий, сгенерированных правилом. Если правило не генерирует события, количество срабатываний равно нулю.

Количество срабатываний содержит два числа:

Эти значения обновляются один раз каждые 24 часа и основаны на прошедших 14 днях трафика.

Вы можете быстро определить правила с самым высоким и самым низким количеством попаданий, основываясь на цвете статусной полосы. Этот цвет отражает частоту срабатывания правила по сравнению с другими правилами:

Сброс и обновление счетчика срабатываний

Значения количества срабатываний обновляются автоматически каждые 24 часа и основаны на прошедших 14 днях трафика. Из трех точек в конце каждого правила вы можете сбросить или обновить количество срабатываний для актуальной видимости. Это позволяет вам точно измерить эффективность правил и немедленно подтвердить активность правил.

• Сброс счетчика срабатываний для конкретного правила возвращает количество срабатываний на 0.

• Обновление счетчика срабатываний обновляет количество срабатываний по запросу для всех правил политики.