6 Интерфейс управления правилами фильтрации

Введение

Интерфейс управления правилами фильтрации предназначен для управления правилами фильтрации на нескольких DPI одновременно с помощью графического интерфейса.

Установка

Для подсистемы можно использовать оборудование или виртуальные машины со сл.характеристиками:

Процессор (CPU) 2.5 ГГц, 2-4 ядра

Оперативная память (RAM) от 8 Гб (много потребляет sphinx)

Жесткий диск (HDD) 50 Гб - 250 Гб

Операционная система Cent OS 7+ (не ставьте minimal, иначе большинство зависимостей придется руками ставить)

Сетевая плата (NIC) от 10 Mб/сек

Рекомендуемая операционная система Cent OS 7+ (не ставьте minimal, иначе большинство зависимостей придется руками ставить). Если вам необходимо поставить на Cent OS 6, убедитесь что установлен supervisor 3+. Если у вас нет нужного пакета обращайтесь в тех. поддержку.
Интерфейс управления правилами фильтрации является отдельным разделом Интерфейса управления CKAT DPI версия 2. Процесс установки идентичен скрипту инсталяции Интерфейса управления CKAT DPI версия 2

Настройка

Настройки .env

Настройка подсистемы выполняется через файл .env

/var/www/html/dpiui2/backend/.env

Содержимое файла следующее:

#URL редиректа для услуги "Белый список"
ULR_WHITE_LIST_REDIRECT_URL=https://google.com
#Период очистки данных Ulr задач в днях
ULR_QUEUE_DELETE_TASKS_DAYS_INTERVAL=1
#ASN для правил IP-исключений.
ULR_IP_EXCLUDE_ASN=64401
#Хост для выгрузки списка блокируемых ресурсов. Для подключения к серверу блокируемых ресурсов.
ULR_BLACK_LIST_DEPLOY_HOST=<IP адресс или хост Web сервера глобальных блокировок>
#Порт для выгрузки списка блокируемых ресурсов. Для подключения к серверу блокируемых ресурсов.
ULR_BLACK_LIST_DEPLOY_PORT=22
#Имя пользователя для выгрузки списка блокируемых ресурсов. Для подключения к серверу блокируемых ресурсов.
ULR_BLACK_LIST_DEPLOY_USER=default
#Пароль для выгрузки списка блокируемых ресурсов. Для подключения к серверу блокируемых ресурсов
ULR_BLACK_LIST_DEPLOY_PASS=
#Использовать sudo при выгрузке списка блокируемых ресурсов. (0 - не использовать, 1 - использовать)
ULR_BLACK_LIST_DEPLOY_SUDO=1
#Путь для сохранения черных списков.
ULR_BLACK_LIST_DEPLOY_PATH=/var/www/html/blacklists/
#Уровень детализации логов.(0 - инфо, 1 - отладка, 2 - трассировка)
ULR_LOAD_LOG_LEVEL=0

Если были внесены изменения в .env, необходимо выполнить команду php /var/www/html/dpiui2/backend/artisan queue:restart
Данные настройки можно внести в конфигурацию в разделе Администратор→Конфигурация сервера DPIUI2 (GUI) в интерфейсе управления CKAT DPI версия 2

Установка ключа

Для того, чтобы получить возможность пользоваться Интерфейсом управления правилами фильтрации необходимо активировать лицензию Ulr-раздела в DPIUI2.

Для этого необходимо выполнить команду:

dpiui2 ulr_lic --make=1

Далее:

Ввести уровень лицензии standard;

Ввести дату завершения лицензии в формате Y-m-d (например 2099-12-31);

Ввести пароль от лицензии.

В случае, если Вами были введены корректные данные, выведется сообщение об успешной активации лицензии для Ulr-раздела:

dpiui2 ulr_lic --make=1
Enter level:
> standard
Enter expire date in Y-m-d format:
> 2099-12-31
Enter password:
>
stdClass Object
(
[success] => 1
)

Установка роли

В интрефейсе DPIUI2 перейдите в раздел Администратор→Роли. Создайте новую роль и устновите в ней права на чтение и запись в разделе ulr_admin как на изображении ниже.

Далее, перейдите в раздел Администратор→Пользователи. Создайте нового пользователя и установите ему роль, которую вы создали ранее.

При авторизации от имени этого пользователя, он будет переключен в раздел управления правилами фильтрации.

Настройка справочников

Справочник категорий

Справочник регуляторов

Данные справочники используются при создании/редактировании правил.

Справочник категорий

В интерфейсе управления провилами фильтрации перейдите в раздел Справочники→Категории.

Создание

В форме введите название категории, ее описание и нажмите кнопку "Добавить запись".

Редактирование

В таблице с категориями нажмите на кнопку редактирования категории, чтобы открылась форма редактирования. В форме измените название и/или описание категории, после чего нажмите кнопку "Сохранить запись".

Удаление

В таблице с категориями нажмите на кнопку удаления категории. В появившемся окне подтвердите или отмените действие.

Внимание: Перед удалением категории проверьте наличие правил, которые ссылаются на эту категорию!

Справочник регуляторов

В интерфейсе управления провилами фильтрации перейдите в раздел Справочники→Регуляторы.

Создание

В форме введите название регулятора, его описание и нажмите кнопку "Добавить запись".

Редактирование

В таблице со списком регуляторов нажмите на кнопку редактирования регулятора, чтобы открылась форма редактирования. В форме измените название и/или описание регулятора, после чего нажмите кнопку "Сохранить запись".

Удаление

В таблице со списком регуляторов нажмите на кнопку удаления записи. В появившемся окне подтвердите или отмените действие.

Внимание: Перед удалением записи проверьте наличие правил, которые ссылаются на эту запись!

Управления профилями IGW

Перейдите в раздел "Профили ISP и IGW"→"Список IGW".

Создание

Для добавления нового профиля IGW перейдите в раздел "Профили ISP и IGW"→"Добавить профиль IGW".

В форме укажите:

Имя профиля;

Режим работы (Snadalone/Cluster)

Узлы для профиля (Имя узла, DPI оборудование из списка доступных и количество мостов)

Перед тем как создавать профиль IGW добавьте FastDPI сервер в основном интерфейсе DPIUI 2 в разделе "Администратор"->"Оборудование"

Редактирование

В разделе "Профили ISP и IGW"→"Список IGW" нажмите кнопку "Редактировать профиль".

Откроется форма создания/редактирования профиля IGW, внесите необходимые Вам изменения и нажмите "Сохранить изменения".

Удаление

В разделе "Профили ISP и IGW"→"Список IGW" нажмите кнопку "Удалить" и подтвердите/отмените действие.

Внимание: Перед удалением профиля проверьте наличие ISP профилей, которые ссылаются на этот профиль!

Настройка веб-сервера для глобальных списков

Собственный веб-сервер

1. Подготовить машину с установленной CentOS7+

2. Создать беспарольного sudo пользователя аналогично описанию в разделе Dpiui2:Настройка поключения к dpi

3. Запустите следующий скрипт:

rpm --import http://vasexperts.ru/centos/RPM-GPG-KEY-vasexperts.ru
rpm -Uvh http://vasexperts.ru/centos/6/x86_64/vasexperts-repo-1-0.noarch.rpm
yum install dpiutils -y
yum install httpd -y
yum install unzip -y
mkdir /var/www/html/blacklists
chmod -R 777 /var/www/html/blacklists
echo "
<VirtualHost *:80>
DocumentRoot \"/var/www/html/blacklists\"
<proxy *>
Order deny,allow
Allow from all
</proxy>
</VirtualHost>
" > /etc/httpd/conf.d/bl_lists.conf
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --reload
systemctl enable httpd.service
systemctl restart httpd.service

4. В конфигурации dpiui2 в разделе Ulr настроек указать данные для доступа к Web-серверу

5. В настройках всех подключенных FastDPI-серверов указать путь к Custom спискам блокировок:

# Словарь URL для блокирования по протоколу HTTP (custom_url_black_list)
custom_url_black_list=http://<IP адрес Web-сервера>/blacklist.dict
# Словарь имен для блокирования протокола HTTPS по сертификату (custom_cname_black_list)
custom_cname_black_list=http://<IP адрес Web-сервера>/blacklistcn.dict
# Словарь IP адресов для блокирования протокола HTTPS по IP (custom_ip_black_list)
custom_ip_black_list=http://<IP адрес Web-сервера>/blacklistip.dict
# Словарь имен хостов для блокирования HTTPS по SNI (custom_sni_black_list)
custom_sni_black_list=http://<IP адрес Web-сервера>/blacklistsni.dict

Правила DSCP

Перейдите в раздел "Приложения и полисинги"→"Правила DSCP".

Создание

В форме создания правила:

Выбрать тип правила: Протокол(по умолчанию) | Группа протоколов

Введите имя протокола приложения и выберите нужный из представленного списка | Выберите группу протоколов;

Выберите приоритет из представленного списка.

Сохраните правило путем нажатия кнопки "Установить DSCP".

В случае, если существует правило для протокола, который принадлежит к группе протоколов, для которой существует правило с другим приоритетом, в конфигурации для этого протокола применится приоритет, установленный в правиле для протокола.

Редактирование

В списке правил DSCP нажмите на кнопку "Редактировать правило". В открывшейся форме редактирования правила DSCP задайте необходимый приоритет и сохраните изменения нажатием кнопки "Установить DSCP".

Удаление

В списке правил DSCP нажмите на кнопку "Удалить правило" и, в появившемся окне, подтвердите либо отмените действие.

Фильтр номеров АС

Перейдите в раздел "Фильтр номеров АС".

Создание

В форме создания правила:

Укажите номер АС;

Выберите приоритет из представленного списка;

Укажите название правила;

Укажите описание правила;

Сохраните правило путем нажатия кнопки "Установить DSCP".

Редактирование

В списке правил DSCP в направлении ASN нажмите на кнопку "Редактировать правило". В открывшейся форме редактирования правила DSCP в направлении ASN при необходимости:

Выберите приоритет из представленного списка;

Укажите название правила;

Укажите описание правила;

Сохраните изменения путем нажатия кнопки "Установить DSCP".

Удаление

В списке правил DSCP в направлении ASN нажмите на кнопку "Удалить правило" и, в появившемся окне, подтвердите либо отмените действие.

Исключение IP & АС

Перейдите в раздел "Исключение IP & АС".

Исключение IP

Перейдите в раздел "Исключение IP & АС"→"Исключение IP".

Создание

В форме создания правила:

Укажите IP/CIDR;

Укажите название правила;

Укажите описание правила;

Сохраните правило путем нажатия кнопки "Установить исключение".

Редактирование

Нажмите на кнопку "Редактировать исключение". В форме редактирования правила есть возможность изменить:

название правила;

описание правила.

Сохраните изменения путем нажатия кнопки "Установить DSCP".

Удаление

В списке исключений нажмите на кнопку "Удалить исключение" и, в появившемся окне, подтвердите либо отмените удаление.

Исключение номеров АС

Перейдите в раздел "Исключение IP & АС"→"Исключение номеров АС".

Создание

В форме создания правила:

Укажите номер АС;

Укажите название правила;

Укажите описание правила;

Сохраните правило путем нажатия кнопки "Установить исключение".

Редактирование

Нажмите на кнопку "Редактировать правило". В форме редактирования правила есть возможность изменить:

название правила;

описание правила.

Сохраните изменения путем нажатия кнопки "Установить DSCP".

Удаление

В списке исключений нажмите на кнопку "Удалить правило" и, в появившемся окне, подтвердите либо отмените удаление.

Управление VIP абонентами

Перейдите в раздел "Исключение IP & АС"→"VIP Абоненты".

Создание

В форме создания VIP Абонента:

Выберите в выпадающем списке тип IP или Login;

Укажите IP или Login в поле Абонент, в зависимости от того, что вы выбрали в выпадающем списке;

Вы можете применить правило к ISP из списка и выбрать несколько ISP или же нажать на кнопку "Выбрать все". Если вы случайно нажали кнопку "Выбрать все", то нажмите на кнопку "Снять все";

Если ваш ползунок выключен на применении к определенным ISP, то новое правило будет установлено глобально на всех ISP.

Сохраните VIP Абонента путем нажатия кнопку "Добавить".

Редактирование

Нажмите на кнопку "Редактировать VIP Абонента". В форме редактирования правила есть возможность изменить:

Применение к определенным ISP из списка;

Убрать или добавить ISP.

Сохраните изменения путем нажатия кнопки "Сохранить".

Удаление

В списке VIP Абонентов нажмите на кнопку "Удалить VIP Абонента" и, в появившемся окне, подтвердите либо отмените удаление.

Настройка ISP

Перейдите в раздел "Профили ISP и IGW"→"Список ISP".

Создание ISP профиля

Для добавления нового профиля IGW перейдите в раздел "Профили ISP и IGW"→"Добавить профиль ISP".

В форме укажите:

Имя профиля ISP;

Выберите бордер из представленного списка;

Логин, который будет использоваться на узле DPI;

Префикс для списков на узле DPI(будет использоваться как имя профиля услуг на узле);

Выберите используемые мосты выбранного бордера;

Выберите Обучение сети для получения адресов данного профиля;

Укажите адрес/сети данного ISP (при необходимости).

Нажмите кнопку "Сохранить изменения" или "Сохранить и Отключить/Включить".

По умолчанию профиль ISP при создании включен. На узлы DPI выгружаются только включенные профили.

Редактирование ISP профиля

В разделе "Профили ISP и IGW"→"Список ISP" нажмите кнопку "Редактировать профиль".

Откроется форма создания/редактирования профиля ISP, внесите ,необходимые Вам, изменения и нажмите кнопку "Сохранить изменения" или "Сохранить и Отключить/Включить".

Удаление ISP профиля

В разделе "Профили ISP и IGW"→"Список ISP" нажмите кнопку "Удалить" и подтвердите/отмените действие.

Внимание: Перед удалением профиля проверьте наличие правил, которые ссылаются на этот профиль!

Профиль полисинга

Перейдите в раздел "Приложения и полисинги"→"Профили полисинга".

Редактирование профиля полисинга

Нажмите на кнопку "Редактировать полисинг".

В открывашейся форме редактирования полисинга:

Введите описание профиля;

Выберите тип полисинга TBF/HTB (в зависимости от выбранного типа форма со значениями по классам будет выглядеть по-разному)

Вы можете воспользоваться автозаполнением конфигурации: Для HTB типа: rate=8Бит/с, ceil=значение, которое было указано в форме автозаполнения; Для TBF типа: rate=значение, которое было указано в форме автозаполнения.

Для того, чтобы сохранить изменения профиля, нажмите кнопку "Сохранить профиль" либо "Сохранить и отключить/включить".

По умолчанию профиль полисинга отключен.

Удаление профиля полисинга

Удалить профиль можно либо путем нажатия кнопки "Удалить профиль" в списке профилей полисингов либо на странице редактирования профиля нажатием кнопки "Удалить профиль".

Фильтр WEB и IP

Список правил блокировок

Перейдите в раздел "Фильтр WEB и IP".

Создание/Редактирование правила блокировки

Для создания нового правила блокировка ресурса перейдите в раздел "Фильтр WEB и IP"→"Добавить новое правило";

Для внесения изменений в существующее правило перейдите в раздел "Фильтр WEB и IP" и нажмите на кнопку "Редактировать правило".

В открывшейся форме:

Выберите регулятор;

Выберите категорию;

Введите публичное описание правила;

Введите скрытое описание правила;

В форме проверки/валидации ресурса введите ресурс и выберите его тип:

В случае, если нет необходимости в проверке/валидации ресурса нажмите "Добавить в список";

Нажмите кнопку "Проверить". Будет произведен вывод информации по ресурсу, которую можно будет добавить в список блокировок по этому правилу нажатием кнопки "Добавить в список".

В подразделе привязки правила к профилям ISP:

В случае, если опция "Применит правило к ISP из списка" отключена, данное правило считается глобальным и ресурсы из данного правила включаются в глобальные списки заблокированных ресурсов.

В случае, если опция "Применит правило к ISP из списка" включена, данное правило применяется только к ISP профилям, которые отмечены в данном правиле и ресурсы из данного правила включаются в списки блокировок по этим ISP профилям.

Удаление правила блокировки

Перейдите в раздел «Фильтр WEB и IP» и нажмите на кнопку «Редактировать правило».

Внимание: Перед удалением убедитесь, что данное правило не ссылается на ISP профили.

Проверка домена

Перейдите в раздел "Фильтр WEB и IP"→"Проверить домен".

В поле ввода "Проверка ресурса" введите URL ресурса, информацию о котором Вы хотите проверить, и нажмите кнопку "Проверить". Под формой выведется информация о введенном Вами ресурсе:

SSL/TLS, тип блокировки;

Информация о сертификате;

Список DNS;

Рекомендации о значениях, которые нужно использовать для блокировки данного ресурса.

Поиск по базе (среди правил блокировки)

Перейдите в раздел "Фильтр WEB и IP"→"Поиск по базе".

В поле "IP,CIDR,Домен, Комментарий" введите значение в соответствии с подсказками вверху страницы, выберите тип поиска: Полный текст, По ресурсами или По описанию. Нажмите на кнопку "Поиск".

В результате поиска отобразятся все правила блокировок, которые соответствуют выбранным параметрам поиска.

Белый список

Список правил белого списка

Перейдите в раздел "Белый список".

Создание/Редактирование белого списка

Для создания нового правила белого списка перейдите в раздел "Белый список"→"Добавить новое правило";

Для внесения изменений в существующее правило перейдите в раздел "Белый список" и нажмите на кнопку "Редактировать правило".

В открывшейся форме:

Выберите регулятор;

Выберисте категорию;

Введите публичное описание правила;

Введите скрытое описание правила;

В форме проверки/валидации ресурса введите ресурс и выберите его тип:

В случае, если нет необходимости в проверке/валидации ресурса нажмите "Добавить в список";

Нажмите кнопку "Проверить". Будет произведен вывод информации по ресурсу, которую можно будет добавить в список блокировок по этому правилу нажатием кнопки "Добавить в список".

В подразделе привязки правила к профилям ISP:

В случае, если опция "Применит правило к ISP из списка" отключена, данное правило считается глобальным и ресурсы из данного правила применяются ко всем ISP, у которых включен белый список.

В случае, если опция "Применит правило к ISP из списка" включена, данное правило применяется только к ISP профилям, которые отмечены в данном правиле.

Удаление правила белого списка

Перейдите в раздел «Белый список» и нажмите на кнопку «Редактировать правило».

Внимание: Перед удалением убедитесь, что данное правило не ссылается на ISP профили.

Управление режимом работы белого списка

Перейдите в раздел "Белый список"→"Режим".

При включенном глобальном режиме белого списка услуга белого списка применяется на все ISP профили и списки ресурсов формируются только из глобальных правил белого списка;

При включенном режиме белого списка по отдельному профилю ISP услуга белого списка применяется только к ISP, у которого она включена и списки ресурсов формируются только из правил белого списка, в которых отмечен этот ISP профиль;

В случае комбинации включенных режимов глобального белого списка и билого списка по отдельному профилю ISP происходит конкатенация списков ресурсов для глобальных правил и правил, в которых отмечен ISP профиль. Для остальных ISP применяется услуга белого списка с использованием только глобальных правил белого списка.

Поиск по базе (глобальный)

Перейдите в раздел "Поиск по базе".

В поле "IP,CIDR,Домен, Комментарий" введите значение в соответствии с подсказками вверху страницы, выберите тип поиска: Полный текст, По ресурсами или По описанию. Нажмите на кнопку "Поиск".

В результате поиска отобразятся все правила (с указанием типа правила), которые соответствуют выбранным параметрам поиска.

Мониторинг задач

Перейдите в раздел "Состояние системы".

В данном разделе отображается очередь выполнения задач, статус и время. Для того, чтобы увидеть детали выполнения задачи нажмите на "Детали задачи".

Логи

Логи по данному разделу хранятся в файлах:

/var/www/html/dpiui2/backend/storage/logs/ulr*.log

Уровень детализации логов задается опцией ULR_LOAD_LOG_LEVEL в .env файле конфигурации.