Симптомы

При настроенных запрещающих правилах блокировки в разделе Контентной фильтрации срабатывает нижестоящее (нижнее) правило, хотя трафик должен попасть под вышестоящее (верхнее) правило.

Решение

Проверьте последовательность блокирующих правил контентной фильтрации, есть ли между ними разрешающие правила?

В контентной фильтрации при обработке целевого трафика устройство сразу берет на анализ список всех правил и дальше сравниваются их условия. Если менее специфичное блокирующее правило так или иначе должно сработать (допустим, между более специфичным и менее специфичным блокирующими правилами нет разрешающего правила), оно сработает прежде более специфичного. Таким образом обработка правил производится наиболее оптимальным образом, сохраняется производительность устройства, так как не потребуется в каждом случае производить глубокий анализ трафика, если он будет в любом случае заблокирован менее специфичным правилом, несмотря даже на тот факт, что расположено оно ниже. И только при равных прочих в блокирующих правилах будет выбрано вышестоящее правило.

В случае же конфигурации правил, где присутствует разрешающее между двумя блокирующими, вышестоящее блокирующее правило будет отрабатывать, так как в этом случае будет происходить их дифференциация.

Еще один сценарий, который необходимо учесть, это сопоставление правил с действием блокировать и разрешить. Разрешающее правило расположено сверху, ниже стоит блокирующее, в разрешающем правиле указаны некоторые условия для целевого трафика (адреса источника/назначения, приложения, URL-списки). Трафик пускается, соответствует условиям, в некоторых случаях даже журналируется действие разрешающего правила, однако в итоге попадает под нижнее блокирующее правило. Почему?

В таком случае проверьте, что похожие условия прописаны в блокирующем правиле, особенно, это касается применения типов контента, категорий URL, пользователей. Так как данные параметры являются пунктами проверки при сравнении правил, и если на этапе проверки блокирующее правило оказалось без этих добавленных параметров, оно оказывается менее специфичным и трафик может попасть под блокировку. Например, в разрешающем правиле существует условие по нескольким выбранным типам контента, тогда в блокирующем правиле требуется добавить все типы контента, чтобы при сопоставлении правил проверка проходила на это условие тоже.