При помощи данного раздела администратор может настроить инспекцию данных, передаваемых по протоколу SSH (Secure Shell). SSH также позволяет создавать шифрованные туннели для практически любых сетевых протоколов.
Правила данного раздела могут инспектировать SSH-трафик для определённых пользователей и/или их групп, зон и адресов источников и получателей данных, а также типов сервисов, передаваемых через SSH-туннель. Имеется календарь для применения каждого правила в выбранные дни недели и время суток.
Примечание
Правила применяются поочередно сверху вниз в том порядке, в котором они указаны в списке. Выполняется только первое правило, для которого совпали все указанные в нём условия. Это значит, что более специфические правила должны быть выше в списке, чем более общие правила. Используйте кнопки Выше/Ниже, Наверх/Вниз или перетаскивание мышью для изменения порядка применения правил.
Примечание
Чекбокс Инвертировать меняет действие условия на противоположное, что соответствует логическому «НЕ» (отрицание).
Примечание
Если не создано ни одного правила или все правила отключены, то SSH не перехватывается и не дешифруется, то есть передаваемые по SSH данные не инспектируются.
Чтобы включить возможность инспектирования контента SSH необходимо:
|
Наименование |
Описание |
|---|---|
|
Шаг 1. Разрешить сервис SSH-прокси на необходимой зоне. |
В разделе Сеть --> Зоны разрешить сервис SSH-прокси для той зоны, со стороны которой будет инициирован трафик SSH. |
|
Шаг 2. Создать необходимые правила инспектирования SSH. |
Правило инспектирования SSH определяет критерии и действия, применяемые к трафику SSH. |
Чтобы создать правило инспектирования SSH, необходимо нажать на кнопку Добавить в разделе Политики безопасности --> Инспектирование SSH и указать необходимые параметры.
|
Наименование |
Описание |
|---|---|
|
Включено |
Включает или отключает правило. |
|
Название |
Название правила. |
|
Описание |
Описание правила. |
|
Действие |
Расшифровывать или не расшифровывать передаваемые данные. |
|
Записывать в журнал правил |
Регистрировать срабатывание правила в соответствующем журнале статистики (лог-файле). |
|
Блокировать удаленный запуск shell |
Не разрешать удаленному пользователю запуск shell (интерпретатора командной строки, оболочки). |
|
Блокировать удаленное выполнение по SSH |
Не разрешать удаленному пользователю выполнение любых команд и скриптов по SSH. |
|
Редактировать команду SSH |
Команда linux, которую требуется передать, в формате ssh user@host 'command' Например, ssh root@192.168.1.1 reboot |
|
Блокировать SFTP |
Блокировать соединение SFTP (Secure File Transfer Protocol). |
|
Вставить |
Место вставки создаваемого правила в списке правил -- наверх, вниз или выше выбранного существующего правила. |
|
Пользователи |
Список пользователей и групп, для которых применяется правило. Могут быть использованы пользователи типа Any, Unknown, Known. Для применения правил к конкретным пользователям или к пользователям типа Known необходимо настроить идентификацию пользователей. Подробнее об идентификации пользователей читайте в главе Пользователи и устройства. |
|
Источник |
Зоны и/или списки IP-адресов источника трафика. Важно! Обработка трафика происходит по следующей логике:
Более подробно о работе со списками IP-адресов читайте в главе IP-адреса. |
|
Адрес назначения |
Списки IP-адресов назначения трафика. Важно! Обработка трафика происходит по следующей логике:
Более подробно о работе со списками IP-адресов читайте в главе IP-адреса. |
|
Сервис |
Сервис, для которого необходимо дешифровать трафик. Поле обязательно для заполнения. |
|
Время |
Временной интервал, в течение которого правило активно. Можно добавить разнообразные периоды в разделе Календари. |