Списки контроля доступа

Общие сведения о списках контроля доступа

Списки контроля доступа позволяют ограничить запросы к сетевым абстракциям, настроенным в Termidesk Connect: например, можно ограничить доступ к Виртуальным Серверам. Список контроля доступа привязывается к сетевому интерфейсу устройства (см. подраздел Интерфейсы).

Создание и настройка списка контроля доступа выполняется одним из способов:

Создание и настройка списка контроля доступа осуществляется через объект acl (см. подраздел Объект acl).

Создание и настройка списка контроля доступа из CLI

Для создания и настройки списка контроля доступа используются команды:

  • создание списка контроля доступа:

set acl list <имя>

  • (опционально) настройка журналирования событий (по умолчанию – false):

set acl list <имя> logging <true/false>

Возможные значения:

  • true – разрешить журналирование событий;

  • false – запретить журналирование событий.

Пример команды:

set acl list ACL_LIST logging true

  • добавление правила в список. Указывается приоритет правила в списке контроля доступа (значение от 0 до 65534):

set acl list <имя> rules <приоритет>

Значение 65535 - запрет всех IP-адресов по умолчанию.

Пример команды:

set acl list ACL_LIST rules 2

Может быть добавлено несколько правил для одного списка контроля доступа.

  • задание протокола, для которого создается правило (по умолчанию – TCP):

set acl list <имя> rules <приоритет> proto <протокол>

Возможные значения:

  • ICMP;

  • IP;

  • TCP;

  • UDP.

Пример команды:

set acl list ACL_LIST rules 2 proto TCP

  • задание типа действия при обработке правила (по умолчанию – ALLOW):

set acl list <имя> rules <приоритет> action <действие>

Возможные значения:

  • ALLOW – разрешить обработку пакета;

  • DENY – запретить обработку пакета.

Пример команды:

set acl list ACL_LIST rules 2 action ALLOW

  • задание адреса сети назначения, для которой создается правило. Указывается значение в формате CIDR (по умолчанию – 0.0.0.0/0):

set acl list <имя> rules <приоритет> destination network <значение>

Пример команды:

set acl list ACL_LIST rules 2 destination network 192.168.0.2/24

  • задание определенного порта назначения, для которого создается правило:

set acl list <имя> rules <приоритет> destination oneport <порт>

Пример команды:

set acl list ACL_LIST rules 2 destination oneport 80

Команда применяется для протокола TCP или UDP.

  • задание условия определения списка портов назначения, для которых создается правило:

set acl list <имя> rules <приоритет> destination compare <параметр> <значение>

Параметром может быть:

  • eq – применять правило к указанному значению;

  • gt – применять правило к значению больше указанного;

  • lt – применять правило к значению меньше указанного;

  • not – применять правило ко всем значениям, не соответствующим указанному.

Пример команды:

set acl list ACL_LIST rules 2 destination compare gt 1024

Команда применяется для протокола TCP или UDP.

  • задание диапазона портов назначения, для которых создается правило:

set acl list <имя> rules <приоритет> destination portrange from <порт>
set acl list <имя> rules <приоритет> destination portrange to <порт>

Пример команды:

set acl list ACL_LIST rules 2 destination portrange from 1000
set acl list ACL_LIST rules 2 destination portrange to 2000

Команда применяется для протокола TCP или UDP.

  • задание адреса сети источника запроса, для которой создается правило. Указывается значение в формате CIDR (по умолчанию – 0.0.0.0/0):

set acl list <имя> rules <приоритет> source network <значение>

Пример команды:

set acl list ACL_LIST rules 2 source network 192.168.100.0/24

  • задание определенного порта источника запроса, для которого создается правило:

set acl list <имя> rules <приоритет> source oneport <порт>

Пример команды:

set acl list ACL_LIST rules 2 source oneport 80

Команда применяется для протокола TCP или UDP.

  • задание условия определения списка портов источника запроса, для которых создается правило:

set acl list <имя> rules <приоритет> source compare <параметр> <значение>

Параметром может быть:

  • eq – применять правило к указанному значению;

  • gt – применять правило к значению больше указанного;

  • lt – применять правило к значению меньше указанного;

  • not – применять правило ко всем значениям, не соответствующим указанному.

Пример команды:

set acl list ACL_LIST rules 2 source compare gt 1023

Команда применяется для протокола TCP или UDP.

  • задание диапазона портов источника запроса, для которых создается правило:

set acl list <имя> rules <приоритет> source portrange from <порт>
set acl list <имя> rules <приоритет> source portrange to <порт>

Пример команды:

set acl list ACL_LIST rules 2 source portrange from 1000
set acl list ACL_LIST rules 2 source portrange to 2000

Команда применяется для протокола TCP или UDP.

  • применение заданных настроек:

commit

  • сохранение настроек:

write

  • просмотр заданных настроек (указывается формат вывода – XML, JSON или TXT):

show configuration xml acl list <имя>

  • просмотр выполненных команд:

show configuration cli acl list <имя>

Создание и настройка списка контроля доступа из WUI

Для отображения списка контроля доступа следует перейти «Настройки – Безопасность – Списки Контроля Доступа».

По умолчанию записи представлены в табличном виде и упорядочены согласно столбцу «Имя».

Основные параметры списка приведены в таблице (см. таблицу Основные параметры списка контроля доступа).

Таблица 1. Основные параметры списка контроля доступа
Параметр Описание

«Имя»

Наименование списка контроля доступа

«Используется»

Статус использования списка контроля доступа

«Количество правил»

Количество правил в списке контроля доступа

Для добавления списка контроля доступа следует перейти «Настройки – Безопасность – Списки Контроля Доступа» и нажать экранную кнопку [Добавить].

Затем заполнить данные, перечисленные в столбце «Параметр» следующей таблицы (см. таблицу Данные для добавления списка контроля доступа).

Таблица 2. Данные для добавления списка контроля доступа
Параметр Описание

«Имя»

Наименование списка контроля доступа

«Журналировать»

Использование журналирования событий.

Включение параметра разрешает журналирование событий, отключение параметра запрещает журналирование событий

«Правила»

Список правил контроля доступа.

Над списком правил можно выполнять следующие действия:

  • добавить, для этого нажать экранную кнопку [Добавить];

  • копировать, для этого выбрать правило в списке и нажать экранную кнопку [Копировать];

  • изменить, для этого выбрать правило в списке и нажать экранную кнопку [Изменить];

  • удалить, для этого выбрать правила в списке и нажать экранную кнопку [Удалить]

Форма «Добавление списка контроля доступа» позволяет задать список правил контроля доступа.

Доступные параметры для добавления правила перечислены в столбце «Параметр» следующей таблицы (см. таблицу Данные для добавления правила).

Таблица 3. Данные для добавления правила
Параметр Описание

«Номер»

Приоритет правила в списке контроля доступа.

Возможные значения: от 0 до 65534.

Значение: «65535» - запрет всех IP-адресов по умолчанию

«Протокол»

Протокол, для которого создается правило.

Возможные значения:

  • «ICMP»;

  • «IP»;

  • «TCP»;

  • «UDP».

Значение по умолчанию: «TCP»

«Действие»

Тип действия при обработке правила.

Возможные значения:

  • «Allow» – разрешить обработку пакета;

  • «Deny» – запретить обработку пакета.

Значение по умолчанию: «Allow»

Секция «Источник»

«Сеть»

Адрес сети источника запроса, для которой создается правило. Указывается значение в формате CIDR.

Значение по умолчанию: «0.0.0.0/0»

«Диапазон»

Использование диапазона портов источника запроса.

Параметр доступен для протокола TCP или UDP

«Порт»

Порт или диапазон портов источника запроса:

  • при отключенном параметре «Диапазон» в раскрывающемся списке нужно выбрать условие сравнения и указать порт:

    • «=» – применять правило к указанному значению;

    • «>» – применять правило к значению больше указанного;

    • «<» – применять правило к значению меньше указанного;

    • «≠» – применять правило ко всем значениям, не соответствующим указанному.

  • при включенном параметре «Диапазон» указываются начальный и конечный порт диапазона.

Параметр доступен для протокола TCP или UDP

Секция «Назначение»

«Сеть»

Адрес сети назначения, для которой создается правило. Указывается значение в формате CIDR.

Значение по умолчанию: «0.0.0.0/0»

«Диапазон»

Использование диапазона портов назначения.

Параметр доступен для протокола TCP или UDP

«Порт»

Порт или диапазон портов назначения:

  • при отключенном параметре «Диапазон» в раскрывающемся списке нужно выбрать условие сравнения и указать порт:

    • «=» – применять правило к указанному значению;

    • «>» – применять правило к значению больше указанного;

    • «<» – применять правило к значению меньше указанного;

    • «≠» – применять правило ко всем значениям, не соответствующим указанному.

  • при включенном параметре «Диапазон» указываются начальный и конечный порт диапазона.

Параметр доступен для протокола TCP или UDP

Для копирования списка контроля доступа нужно:

Копируются все исходные параметры, кроме имени.

  • отметить его в списке и нажать экранную кнопку [Копировать];

  • в открывшейся форме заполнить имя создаваемого списка контроля доступа. Если имя уже существует, конфигурация будет перезаписана.

Для изменения списка контроля доступа нужно:

  • либо отметить его в списке и нажать экранную кнопку [Изменить];

  • либо нажать левой кнопкой мыши на его имя.

Для удаления списка контроля доступа нужно:

Для удаления нескольких списков контроля доступа отметить их в списке.

  • отметить его в списке и нажать экранную кнопку [Удалить];

  • подтвердить удаление, нажав экранную кнопку [Удалить] на запрос об удалении.

Объект acl

Доступные команды объекта acl приведены в таблице (см. таблицу Доступные команды объекта acl).

Таблица 4. Доступные команды объекта acl
Команда Описание

set acl list <имя>

Создание списка контроля доступа

set acl list <имя> logging <true/false>

Настройка журналирования событий (по умолчанию – false).

Возможные значения:

  • true – разрешить журналирование событий;

  • false – запретить журналирование событий

set acl list <имя> rules <приоритет>

Добавление правила в список. Указывается приоритет правила в списке контроля доступа (значение от 0 до 65534).

Значение 65535 - запрет всех IP-адресов по умолчанию.

Может быть добавлено несколько правил для одного списка контроля доступа

set acl list <имя> rules <приоритет> action <значение>

Тип действия при обработке правила (по умолчанию – ALLOW).

Возможные значения:

  • ALLOW – разрешить обработку пакета;

  • DENY – запретить обработку пакета

set acl list <имя> rules <приоритет> destination compare <параметр> <значение>

Условие определения списка портов назначения, для которых создается правило.

Параметром может быть:

  • eq – применять правило к указанному значению;

  • gt – применять правило к значению больше указанного;

  • lt – применять правило к значению меньше указанного;

  • not – применять правило ко всем значениям, не соответствующим указанному.

Команда применяется для протокола TCP или UDP

set acl list <имя> rules <приоритет> destination network <значение>

Адрес сети назначения, для которой создается правило. Указывается значение в формате CIDR (по умолчанию – 0.0.0.0/0)

set acl list <имя> rules <приоритет> destination oneport <значение>

Определяет один порт назначения, для которого создается правило.

Команда применяется для протокола TCP или UDP

set acl list <имя> rules <приоритет> destination portrange <параметр> <значение>

Диапазон портов назначения, для которых создается правило.

Параметром может быть:

  • from – начальный порт диапазона;

  • to – конечный порт диапазона.

Команда применяется для протокола TCP или UDP

set acl list <имя> rules <приоритет> proto <значение>

Протокол, для которого создается правило (по умолчанию – TCP).

Возможные значения:

  • ICMP;

  • IP;

  • TCP;

  • UDP

set acl list <имя> rules <приоритет> source compare <параметр> <значение>

Условие определения списка портов источника запроса, для которых создается правило.

Параметром может быть:

  • eq – применять правило к указанному значению;

  • gt – применять правило к значению больше указанного;

  • lt – применять правило к значению меньше указанного;

  • not – применять правило ко всем значениям, не соответствующим указанному.

Команда применяется для протокола TCP или UDP

set acl list <имя> rules <приоритет> source network <значение>

Адрес сети источника запроса, для которой создается правило. Указывается значение в формате CIDR (по умолчанию – 0.0.0.0/0)

set acl list <имя> rules <приоритет> source oneport <значение>

Определяет один порт источника запроса, для которого создается правило.

Команда применяется для протокола TCP или UDP

set acl list <имя> rules <приоритет> source portrange <параметр> <значение>

Диапазон портов источника запроса, для которых создается правило.

Параметром может быть:

  • from – начальный порт диапазона;

  • to – конечный порт диапазона.

Команда применяется для протокола TCP или UDP