Ostatnia zmiana dla wersji: 14.1.5 (05.2026)
- Obecnie obsługiwany jest wyłącznie algorytm szyfrowania oparty na standardzie AES dla połączenia danych
- Dodano informację dotyczącą aktualnych wymagań dotyczących certyfikatów
- Wartość domyślna dla Algorytm szyfrowania połączenia danych została zaktualizowana do ‘'AES-256-GCM’'
Wprowadzenie
- Przy użyciu SSL-VPN można również tworzyć połączenia typu Site-to-Site (Skrót: S2S). Aby to osiągnąć, odpowiednia instancja usługi musi działać wyraźnie w trybie klienckim lub serwerowym, dzięki czemu możliwe jest utworzenie kilku instancji usługi SSL-VPN.
Site-to-Site Server
- Ta metoda jest używana, gdy strona przeciwna jest inicjatorem połączenia. W tym celu usługa musi być wyraźnie uruchomiona w trybie serwera.
Site-to-Site Client
- Ta metoda jest używana, gdy UTM jest inicjatorem połączenia. W tym celu usługa musi być wyraźnie uruchomiona w trybie klienta.
Konfiguracja serwera Site-to-Site
- Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
- Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
- Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
- Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
- Niebezpieczne certyfikaty należy pilnie wymienić!
BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSADomyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący
- Dotknięte aplikacje:
- OpenVPN
- Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
- Certyfikat klienta dla S2S
- Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
- Mailrelay
- Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
- Reverse-Proxy
- Ustawienia → Certyfikat SSL
- Webserver
- Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
- HTTP-Proxy
- Przechwytywanie SSL → Certyfikat CA
- OpenVPN
Połączenie SSL-VPN
Konfiguracja połączenia w menu przycisk .
Kreator instalacji
Krok 1
W pierwszym kroku instalacji wybierany jest typ połączenia, dostępne są następujące połączenia:
- Serwer Roadwarrior
- Site-to-Site Server
- Site-to-Site Client
Do konfiguracji serwera Site-to-Site wybierany jest ten typ.
Krok 2
Jeśli ma zostać podłączona lokalna sieć IPv6, opcja IPv6 przez IPv4: musi zostać włączona Tak.
Krok 3
Lokalne ustawienia dla serwera Site-to-Site
| Opis | Wartość | Opis |  Krok instalacji 3
|
|---|---|---|---|
| Name: | SSL-VPN-S2S-server | Unikalna nazwa | |
| Protokół: | Wybierz pożądany protokół | ||
| Port: | 1194 | Podstawowy port dla pierwszego połączenia SSL-VPN. Nie może być używany do innych celów. Dla kolejnych połączeń wybierany jest następny wolny port. | |
| Certyfikat serwera: Można wybrać tylko certyfikaty z częścią prywatnego klucza |
Wybór certyfikatu, za pomocą którego serwer się uwierzytelnia. Jeśli nie istnieje jeszcze certyfikat serwera, można go utworzyć (oraz ewentualnie urząd certyfikacji) w zarządzaniu certyfikatami. Wywołanie za pomocą
Oba certyfikaty muszą być utworzone za pomocą tego samego urzędu certyfikacji! Certyfikat klienta i powiązany urząd certyfikacji są również potrzebne do skonfigurowania strony przeciwnej (klienta). Muszą zostać wyeksportowane przyciskiem . Do użycia z UTM jako klient wymagany jest format .Dodatkowe informacje w artykule wiki na temat używania certyfikatów. notempty
| ||
| Udostępnianie sieci serwera: | » 192.168.175.0/24 | Sieć zlokalizowana na tym urządzeniu (serwer VPN), która ma być dostępna przez SSL-VPN. | |
Krok 4
W kroku instalacji 4 wprowadzana jest sieć transferowa dla tego serwera Site-to-Site.
| Opis | Wartość | Opis |  Krok instalacji 4
|
|---|---|---|---|
| Sieć transferowa: | 192.168.190.0/24 | W zaporze sieciowej należy podać adres sieciowy, który nie jest jeszcze używany w żadnym uczestniczącym urządzeniu. | |
| Adres tunelu serwera: | 192.168.190.1/32 | Adres tunelu serwera i klienta będzie ustalany automatycznie. | |
| Adres tunelu klienta IPv4: | 192.168.190.2/24 | ||
Krok 5
| Opis | Wartość | Opis |  Krok instalacji 5
|
|---|---|---|---|
| Name: | SSL-VPN-S2S-client | Jest automatycznie generowany z nazwy określonej w kroku 3 | |
| Certyfikat klienta: | Certyfikat sieci klienta | ||
| Udostępnianie sieci klienta: | »10.1.0.0/24 | Sieci strony przeciwnej, które mają zostać udostępnione. (Wypełnienie przez kliknięcie w pole i następnie za pomocą klawiatury). | |
notempty
Wybrany certyfikat nie należy używać z żadnym innym klientem ani w żadnej innej sieci. | |||
Sekcja Ogólne
Ogólne S2S Server
Utworzone połączenia SSL-VPN można edytować w przycisk .
| Opis | Wartość | Opis | UTMuser@firewall.name.fqdn VPN SSL-VPN  Sekcja Ogólne
|
|---|---|---|---|
| Name: | SSL-VPN-S2S-Server | Nazwa połączenia SSL | |
| Interfejs: | tun0 | Używany interfejs | |
| Modus: | SERVER | W zależności od typu połączenia | |
| Protokół: | (Default) |
Wybierz preferowany protokół (UDP i TCP mogą być ograniczone odpowiednio na IPv4 lub IPv6). | |
| Port: | 1194 | Podstawowy port dla pierwszego połączenia SSL-VPN. Nie może być używany do innych celów. Dla kolejnych połączeń wybierany jest następny wolny port. | |
| Uwierzytelnianie: | (Default) |
Wybierz odpowiednią metodę uwierzytelniania | |
| Certyfikat: | Używany certyfikat może zostać tutaj zmieniony notempty
| ||
| Typ statycznego klucza SSL-VPN: |
| ||
| Statyczny klucz SSL-VPN: | Klucz do zabezpieczenia połączenia notempty Strona przeciwna musi używać tego samego klucza! Klucz jest tworzony po jednej stronie i musi zostać następnie skopiowany na drugą stronę | ||
| Otwórz zarządzanie kluczami | Otwiera interfejs zarządzania kluczami, aby utworzyć nowy klucz | ||
| Szyfr dla połączenia danych: |
Domyślnie używany jest AES-256-GCM. notempty
Strona przeciwna musi używać tego samego szyfru! | ||
| Opcja Default odpowiada podstawowym ustawieniom OpenSSL Obecnie identyczny z domyślną wartością UTM: AES-256-GCM | |||
| Od wersji 14.1.3 następujące szyfry nie będą już obsługiwane:
| |||
| Hash dla połączenia danych: |
Używane są domyślne ustawienia OpenSSL. notempty
Strona przeciwna musi używać tego samego algorytmu haszowania! | ||
| Opcja Default odpowiada podstawowym ustawieniom OpenSSL Obecnie identyczny z domyślną wartością UTM: SHA256 | |||
| | |||
| Dozwolone szyfry do automatycznego negocjowania (NCP): | Poszczególne algorytmy szyfrowania można wybierać spośród dostępnych algorytmów szyfrowania. | ||
| IPv4 Sieć transferowa: | 192.168.190.0/24 | Wprowadź adres puli | |
| IPv6 Sieć transferowa: | /64 | Wprowadź adres puli | |
| Udostępnianie sieci serwera globalnie: | W tym miejscu można edytować adresy IP sieci znajdujących się za urządzeniem UTM, do których ma być możliwy dostęp za pośrednictwem połączenia SSL VPN. | ||
| Search Domain: | Alternatywy: 1. Zawsze wypisuj pełną nazwę domeny | ||
| Renegotiation: | (Default) |
Okres, po którym połączenie zostanie ponownie negocjowane | |
Sekcja zaawansowane
| Opis | Wartość | Opis | UTMuser@firewall.name.fqdn VPN SSL-VPN  Sekcja zaawansowane
|
|---|---|---|---|
| MTU: | 1500 | Maksymalna jednostka transmisji największego pakietu (bajt) | |
| Maksymalna liczba klientów: | 1024 | Maksymalna liczba klientów. Jeśli nie zostanie ustawiona żadna wartość, obowiązuje domyślna wartość 1024. | |
| Przekazywanie DNS: | Nie | Zezwala na przekazywanie DNS Adresy IP DNS i WINS są ustawiane w menu . | |
| Przekazywanie WINS: | Nie | Zezwala na przekazywanie WINS Adresy IP DNS i WINS są ustawiane w menu . | |
| Multihome: | Włączone | Zezwala na używanie wielu tras domyślnych | |
| Akceptuj tylko przypisane certyfikaty: |
Włączone | Mogą być akceptowane tylko przypisane certyfikaty | |
| LZO: | Wyłączone | Kompresja LZO Po zmianie tej opcji odpowiednie strony klienta muszą dostosować swoją konfigurację! | |
| Wyłączone: | Nie | ||
| Pass TOS: | Wyłączone | Zezwala na przekazywanie pól TOS dla automatycznego QoS w pakietach | |
| Interwał ping: | 10 sekundy | Interwał żądań ping | |
| Czas oczekiwania na ping: | 120 sekundy | Czas oczekiwania na odpowiedź ping | |
| Rozmiar bufora wychodzącego: | 65536 Bytes | Określa rozmiar bufora dla soketu | |
| Rozmiar bufora przychodzącego: | 65536 Bytes | patrz wyżej | |
| Rozmiar sekwencji okna replay: | 64 | Liczba pakietów, w ramach których akceptowane są starsze numery sekwencji. | |
| Czas oczekiwania okna replay: | 15 sekundy | Okno czasowe, w którym rozmiar sekwencji jest maksymalnie stosowany | |
Dodatkowe strony klienta
Dodatkowe strony, które mają być podłączone przez ten serwer Site-to-Site, mogą zostać dodane za pomocą przycisku .
Wyświetlanie stron przeciwnych przez kliknięcie na ikonę folderu .
Zasady
Reguły domyślne
W sekcja VPN można aktywować protokół używany do połączenia. Tutaj Włącz SSL-VPN UDP. Ta reguła domyślna udostępnia porty używane do połączeń SSL-VPN na interfejsie WAN.
Obiekty sieciowe
Podczas konfiguracji połączenia został utworzony interfejs TUN. Otrzymuje on automatycznie pierwszy adres IP z sieci transferowej skonfigurowanej w połączeniu i strefę "vpn-ssl-<nazwa_serwera>".
Aby móc osiągnąć sieć klienta strony przeciwnej, należy utworzyć obiekt sieciowy w przycisk .
Interfejs TUN klienta Site-to-Site również otrzymuje adres IP z tej sieci. Służy on jako brama do podsieci klienta Site-to-Site. Podsieć klienta musi zostać utworzona jako obiekt sieciowy i znajduje się w strefie na odpowiednim interfejsie TUN.
| Opis | Wartość | Opis | UTMuser@firewall.name.fqdn Firewall Obiekty sieciowe  Obiekt sieciowy dla sieci tunelowej
|
|---|---|---|---|
| Name: | SSL-VPN-S2S-sieć klienta | Unikalna nazwa | |
| Typ: | Jeśli w sieci klienta ma zostać udostępniony tylko pojedynczy host, można tutaj również wybrać . | ||
| Adres: | 10.1.0.0/24 | Adres sieci, który został udostępniony jako sieć klienta w kroku 5
Jeśli udostępniono wiele sieci klienta, dla każdej z tych sieci należy utworzyć osobny obiekt sieciowy. Następnie obiekty sieciowe można połączyć w grupę.
| |
| Strefa: | Strefa na serwerze S2S, przez którą adresowana jest sieć klienta S2S. | ||
| Grupa: | Optional | ||
Reguły filtra pakietów
Menu Przycisk
Dwie reguły zezwalają na dostęp do sieci klienta S2S lub z sieci:
| # | Źródło | Cel | Usługa | NAT | Akcja | Aktywne | |||
| Dostęp z klienta do (wewnętrznej) sieci serwera (strona przeciwna inicjuje połączenie) |  |
9 |  SSL-VPN-S2S-sieć klienta |
 internal-network |
 default-internet |
Accept | Wł. | ||
| Dostęp do sieci klienta (lokalne UTM inicjuje połączenie) | |
10 | internal-network |
SSL-VPN-S2S-sieć klienta |
default-internet |
Accept | Wł. |
Routen
Trasy są ustawiane automatycznie.
Jednak przy użyciu VoIP przez tunel należy ustawić trasy, aby zapewnić prawidłowe połączenie telefonów z centralą.
Menu Obszar Routing przycisk .
Należy ustawić trasę, aby sieć strony przeciwnej mogła być niezawodnie odnaleziona.
| Opis | Wartość | Opis | UTMuser@firewall.name.fqdn  Trasa dla strony przeciwnej
|
|---|---|---|---|
| Interfejs bramy: | Podczas konfiguracji połączenia został utworzony interfejs TUN, który musi zostać tutaj określony. | ||
| Sieć docelowa: | 10.1.0.0/0 | Sieć strony przeciwnej (S2S Client) | |
|
Przekierowywanie wyłącznie przy ustanowionym połączeniu ukryj Klicken für dauerhafte Anzeige Wstępna sytuacja Czasami warto skonfigurować trasy dla połączeń VPN dopiero w momencie faktycznego nawiązania połączenia.
Polecenie CLI Połączenie za pomocą SSH lub poprzez menu : route get określa prawidłowy identyfikator połączenia route set id <ID> flags BLACKHOLE_IF_OFFLINE NP.: route set id "2" flags BLACKHOLE_IF_OFFLINE | |||
Konfiguracja klienta Site-to-Site
Połączenie SSL-VPN
Kreator instalacji
- Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
- Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
- Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
- Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
- Niebezpieczne certyfikaty należy pilnie wymienić!
BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSADomyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący
- Dotknięte aplikacje:
- OpenVPN
- Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
- Certyfikat klienta dla S2S
- Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
- Mailrelay
- Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
- Reverse-Proxy
- Ustawienia → Certyfikat SSL
- Webserver
- Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
- HTTP-Proxy
- Przechwytywanie SSL → Certyfikat CA
- OpenVPN
Krok 1
W kroku instalacji 1 wybierany jest typ połączenia, dostępne są następujące połączenia:
- Serwer Roadwarrior
- Site-to-Site Serwer
- Site-to-Site Klient
Do konfiguracji klienta Site-to-Site wybierany jest ten typ.
Krok 2
Jeśli ma zostać podłączona lokalna sieć IPv6, opcja IPv6 przez IPv4: musi zostać włączona Tak.
Krok 3
Lokalne ustawienia dla klienta Site-to-Site mogą zostać dokonane w kroku 3. Tutaj można wpisać nazwę dla połączenia, wybrać protokół oraz certyfikat serwera - klikając przycisk z oknem można zaimportować urząd certyfikacji i certyfikat.
| Opis | Wartość | Opis |  Krok instalacji 3
|
|---|---|---|---|
| Name: | Name-client--val-client | Unikalna nazwa | |
| Protokół: | Wybierz pożądany protokół | ||
| Certyfikat klienta: | Wybór certyfikatu, za pomocą którego klient się uwierzytelnia.
Tutaj musi zostać użyty ten sam certyfikat, który został wybrany jako certyfikat strony przeciwnej (klienta) dla serwera Site-to-Site w kroku 5. Wywołanie za pomocą
| ||
Krok 4
Ten krok instalacji jest pomijany dla klienta Site-to-Site.
Krok 5
Jeśli używany jest port 1194, ta informacja może zostać pominięta.
Sekcja Ogólne
Ogólne S2S Client
Utworzone połączenia SSL-VPN można edytować w przycisk .
| Opis | Wartość | Opis | UTMuser@firewall.name.fqdn VPN SSL-VPN  Sekcja Ogólne
|
|---|---|---|---|
| Name: | S2S-client | Nazwa połączenia SSL | |
| Interfejs: | tun0 | Używany interfejs | |
| Modus: | CLIENT | ||
| Protokół: | (Default) |
Wybierz pożądany protokół | |
| Certyfikat: | Używany certyfikat może zostać tutaj zmieniony notempty
| ||
| Typ statycznego klucza SSL-VPN: |
| ||
| Statyczny klucz SSL-VPN: | Klucz do zabezpieczenia połączenia | ||
| Szyfr dla połączenia danych: | Domyślnie używany jest AES-256-GCM. notempty
Strona przeciwna musi używać tego samego szyfru! | ||
| Hash dla połączenia danych: | Używane są domyślne ustawienia OpenSSL. notempty
Strona przeciwna musi używać tego samego algorytmu haszowania! | ||
| |||
| Renegotiation: | (Default) |
Okres, po którym połączenie zostanie ponownie negocjowane | |
Sekcja zaawansowane
| Opis | Wartość | Opis | UTMuser@firewall.name.fqdn VPN SSL-VPN  Sekcja zaawansowane
|
|---|---|---|---|
| MTU: | 1500 | Maksymalna jednostka transmisji największego pakietu (bajt) | |
| LZO: | Wyłączone | Kompresja LZO Po zmianie tej opcji odpowiednie strony klienta muszą dostosować swoją konfigurację! | |
| Wyłączone: | Nie | ||
| Pass TOS: | Wyłączone | Zezwala na przekazywanie pól TOS dla automatycznego QoS w pakietach | |
| Interwał ping: | 10 sekundy | Interwał żądań ping | |
| Czas oczekiwania na ping: | 120 sekundy | Czas oczekiwania na odpowiedź ping | |
| Rozmiar bufora wychodzącego: | 65536 Bytes | ||
| Rozmiar bufora przychodzącego: | 65536 Bytes | ||
| Rozmiar sekwencji okna replay: | 64 | ||
| Czas oczekiwania okna replay: | 15 sekundy | ||
S2S Client Zasady
S2S Client Reguły domyślne
Ponieważ klient Site-to-Site nawiązuje połączenie z serwerem S2S, a połączenia wychodzące z zapory są domyślnie zawsze dozwolone, nie są potrzebne żadne reguły domyślne.
S2S Client Obiekty sieciowe
Nowy obiekt sieciowy może zostać utworzony w przycisk .
| Opis | Wartość | Opis | UTMuser@firewall.name.fqdn Firewall Obiekty sieciowe  Obiekt sieciowy dla sieci tunelowej
|
|---|---|---|---|
| Name: | sslvpn-S2S-Server-Network | Unikalna nazwa | |
| Typ: | Jeśli w sieci serwera ma zostać udostępniony tylko pojedynczy host, można tutaj również wybrać . | ||
| Adres: | 192.168.175.0/24 |
Jeśli udostępniono wiele sieci serwera, dla każdej z tych sieci należy utworzyć osobny obiekt sieciowy. Następnie obiekty sieciowe można połączyć w grupę.
| |
| Zone: | strefa na kliencie S2S, przez którą adresowana jest sieć serwera S2S. | ||
| Grupa: | Optional | ||
S2S Client Reguły filtra pakietów
Menu przycisk .
Dwie reguły zezwalają na dostęp do sieci serwera S2S lub z sieci:
| # | Źródło | Cel | Usługa | NAT | Akcja | Aktywne | |||
|
5 | internal-network |
sslvpn-S2S-server-network |
default-internet |
Accept | Wł. | |||
|
4 | sslvpn-S2S-server-network |
internal-network |
default-internet |
Accept | Wł. |
S2S Client Routen
Trasy są ustawiane automatycznie.
Jednak przy użyciu VoIP przez tunel należy ustawić trasy, aby zapewnić prawidłowe połączenie telefonów z centralą.
Menu Obszar Routing przycisk .
Należy ustawić trasę, aby sieć strony przeciwnej mogła być niezawodnie odnaleziona.
| Opis | Wartość | Opis | UTMuser@firewall.name.fqdn  Trasa dla strony przeciwnej
|
|---|---|---|---|
| Interfejs bramy: | Podczas konfiguracji połączenia został utworzony interfejs TUN, który musi zostać tutaj określony. | ||
| Sieć docelowa: | Sieć strony przeciwnej (S2S Server) | ||
|
Przekierowywanie wyłącznie przy ustanowionym połączeniu ukryj Klicken für dauerhafte Anzeige Wstępna sytuacja Czasami warto skonfigurować trasy dla połączeń VPN dopiero w momencie faktycznego nawiązania połączenia.
Polecenie CLI Połączenie za pomocą SSH lub poprzez menu : route get określa prawidłowy identyfikator połączenia route set id <ID> flags BLACKHOLE_IF_OFFLINE NP.: route set id "2" flags BLACKHOLE_IF_OFFLINE | |||
Uwagi
Multipath
W przypadku multipath po stronie klienta, połączenie VPN w kliencie musi zostać powiązane z interfejsem.
Aby powiązać połączenie klienta z interfejsem, należy użyć polecenia CLI openvpn get zlokalizować ID połączenia.
Polecenie openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES można następnie ustawić wychodzący adres IP.
Dodatkowo w regule wychodzącej (internal-network → sieć VPN → $DIENST) wymagana jest Rule-Route przez odpowiedni interfejs tunX.
Transparentne HTTP-Proxy
Podczas dostępu do serwera za połączeniem Site-to-Site z wewnętrznej sieci przez HTTP, transparentne HTTP-Proxy może filtrować pakiety. Może to prowadzić do błędów w dostępie do celu.
Aby temu zapobiec, należy dodać regułę w menu Obszar Tryb transparentny przycisk :
|
UTMuser@firewall.name.fqdnAplikacjaHTTP-Proxy | |
| Protokół: | |
| Typ: | |
| Źródło: | |
| Cel: | |
Connection Rate Limit
Ograniczanie dostępu z określonych adresów IP źródłowych do powtarzających się portów
Na razie funkcję tę można skonfigurować wyłącznie za pomocą CLI
Dostęp przez SSL-VPN można na przykład zabezpieczyć przed agresywnymi skanami lub próbami logowania.
Od wersji 12.6.2 urządzenie UTM może ograniczać liczbę połączeń TCP i/lub UDP z zewnętrznego adresu IP do jednego portu.
Obowiązują przy tym następujące warunki:
- Monitorowane są wyłącznie połączenia przychodzące, dla których istnieje default-route
- Liczone są połączenia z jednego adresu IP do jednego portu urządzenia UTM w ciągu jednej minuty
- Po aktywacji dozwolonych jest 5 połączeń / prób połączenia na minutę
Następnie połączenia zostaną ograniczone:- W tym przypadku dodatkowe dozwolone połączenia zostaną równomiernie rozłożone w ciągu 60 sekund od pierwszego połączenia.
- Gdy wartość CONNECTION_RATE_LIMIT wynosi 20, co 3 sekundy dodawane jest kolejne połączenie.
- 10 sekund po pierwszym połączeniu mogłyby zostać nawiązane kolejne 3 połączenia (każde z tego samego adresu IP na ten sam port docelowy)
- Zablokowanie adresu IP dotyczy wyłącznie dostępu do portu, który był zbyt często korzystany.
Dostęp do pozostałych portów pozostaje bez zmian. - W przypadku nowych instalacji funkcja ta jest domyślnie włączona z limitem 20 połączeń UDP na minutę dla wszystkich portów
- W przypadku aktualizacji funkcja musi zostać ręcznie aktywowana
| extc-Variable | Default | Opis |
|---|---|---|
| CONNECTION_RATE_LIMIT_TCP | 0 | Liczba dozwolonych połączeń TCP dla danego adresu IP na port 0 = Funkcja wyłączona, nie są stosowane żadne blokowania |
| CONNECTION_RATE_LIMIT_TCP_PORTS | Porty, które mają być monitorowane. Przy ustawieniu domyślnym pole jest puste= oznacza to, że (po włączeniu) monitorowane będą wszystkie porty. Porty należy oddzielić spacjami: [ 1194 1195 ] | |
| CONNECTION_RATE_LIMIT_UDP | 20 / 0 Domyślne ustawienie w przypadku nowej instalacji od wersji 12.6.2: 20 W przypadku instalacji z aktualizacją wartość ta wynosi 0, co oznacza, że funkcja jest wyłączona. |
Liczba dozwolonych połączeń UDP dla jednego adresu IP na port |
| CONNECTION_RATE_LIMIT_UDP_PORTS | Porty, które mają być monitorowane. W ustawieniach domyślnych pole jest puste = Wszystkie porty będą monitorowane (tylko w przypadku nowych instalacji!). Porty należy oddzielić spacjami: [ 1194 1195 ] |
Konfiguracja za pomocą poleceń CLI
| CLI polecenie | Funkcja |
|---|---|
| extc value get application securepoint_firewall Alternatywnie użytkownikiem root: spcli extc value get application securepoint_firewall | grep RATE |
Wyświetla listę wszystkich zmiennych aplikacji „securepoint_firewall”. Zmienne zaczynające się od „CONNECTION_RATE_LIMIT_” odpowiadają za limit połączeń. application |variable |value --------------------+-------------------------------+----- securepoint_firewall |… |… |CONNECTION_RATE_LIMIT_TCP |0 |CONNECTION_RATE_LIMIT_TCP_PORTS| |CONNECTION_RATE_LIMIT_UDP |20 |CONNECTION_RATE_LIMIT_UDP_PORTS| |
| extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 20 system update rule |
Ogranicza dopuszczalną liczbę połączeń „TCP” z pojedynczego adresu IP na dany port do 20 na minutę
Zmiana jest wprowadzana bezpośrednio poprzez „aktualizację reguły”. Wartość nie musi być najpierw ustawiona na 0! |
| extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 0 system update rule |
Wyłącza monitorowanie połączeń TCP |
| extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ 443 11115 ] system update rule |
Ogranicza monitorowanie połączenia TCP z portami 443 i 11115 Przed i po nawiasach kwadratowych [ ] muszą znajdować się spacje! |
| extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ ] system update rule |
Przed i po nawiasach kwadratowych [ ] muszą znajdować się spacje! |
| extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 20 system update rule |
Ogranicza dopuszczalną liczbę połączeń UDP z jednego adresu IP na określony port do 20 na minutę Domyślne ustawienie w przypadku nowej instalacji od wersji 12.6.2: 20 W przypadku instalacji z aktualizacją wartość ta wynosi 0, co oznacza, że funkcja jest wyłączona. Wartość nie musi być najpierw ustawiona na 0! |
| extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 0 system update rule |
Wyłącza monitorowanie dla połączeń UDP |
| extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ 1194 1195 ] system update rule |
Ogranicza monitorowanie połączeń UDP do portów 1194 i 1195. (Przykład dla 2 utworzonych tuneli SSL-VPN). Przed i po nawiasach kwadratowych [ ] muszą znajdować się spacje! |
| extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ ] system update rule |
Przed i po nawiasach kwadratowych [ ] muszą znajdować się spacje! |
extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 20 notempty
Na koniec należy wprowadzić polecenie CLI system update rule, aby zastosować wartości określone w regułach. |
Na przykład, aby zezwolić na maksymalnie 20 połączeń na minutę na adres IP i port. W przypadku protokołu TCP monitorowanie ogranicza się do portów 443 i 11115. W przypadku połączeń UDP monitorowane są wszystkie porty. |