NetdefendOS_2.27.01_Firewall_User_Manual_RUS

При установке правил фильтрации сервиса возможно использование объекта, называемого
all_services, ссылающегося на все протоколы. Однако применять этот объект не рекомендуется,
определение более конкретных сервисов обеспечивает лучшую безопасность. Если, например,
требуется фильтровать только протоколы типа TCP, UDP и ICMP, то можно использовать объект
all_tcpudpicmp.
Совет: Сервис http-all не включает в себя DNSпротокол
Необходимый для web-серфинга DNS-протокол входит в состав сервиса dns-all,
который можно добавить в группу сервиса http-all и связать IP-правилами.
Ограничение сервисов по минимально необходимым параметрам
При выборе сервисных объектов следует создавать политики, такие как IP-правила, протоколы,
входящие в этот объект необходимы только для достижения трафика к фильтру. Использование
объекта all_services может быть удобным, но исключаются преимущества безопасности, которые
может обеспечить более конкретный сервисный объект.
Лучшей стратегией является сужение фильтра сервиса в политике безопасности таким образом,
чтобы пропускались только те протоколы, которые действительно необходимы. Часто в качестве
первоначального для общего трафика выбирается сервисный объект all_tcpudpicmp, но даже он
разрешает больше протоколов, чем обычно необходимо; в дальнейшем администратор может сузить
диапазон разрешаемых протоколов.
Пример 3.8. Создание пользовательского TCP/UDP-сервиса
В этом примере показывается добавление TCP/UDP-сервиса, применяя порт назначения 3306, который
используется MySQL:
CLI
gw-world:/> add Service ServiceTCPUDP MySQL
DestinationPorts=3306 Type=TCP
Web-интерфейс
1. Перейти к Objects > Services > Add > TCP/UDP service
2. Указать подходящее имя для сервиса, например MySQL
3. Ввести:
• Type: TCP
• Source: 0-65535
• Destination: 3306
4. Нажать кнопку OK
3.2.3. ICMP-сервисы
Другим типом создаваемых пользовательских сервисов является ICMP-сервис.
Протокол управления сообщениями в сети - Internet Control Message Protocol (ICMP) – протокол,
84