Симптомы

Общие рекомендации по настройке журналирования правил МСЭ.

Решение

-Default Block правило рекомендуем настраивать для журналирования только в случаях потребности в отладке, т.е. поиска того или иного трафика, который не попал ни в какие созданные пользователем политики и поэтому отработал по правилу Default Block.
-Журналирование представлено в трех состояниях: Нет, Журналирование начала сессии, Журналирование всех пакетов.
-Рекомендуем использовать журналирование начала сессии, т.к. в таком случае Вы получите записи только начала сессий и у вас не будет переизбытка записей, как это было бы в случае с журналированием всех пакетов. Также максимальная детализация журналирования довольно сильно перегружает производительность системы, влияя на весь ее функционал.
-Также надо иметь в виду, что журналирование прямого и обратного трафика может ввести в заблуждение, если есть такие правила, которые могут стоять выше отслеживаемого правила в списке, и под чьи условия может попадать обратный трафик. Для некоторых видов трафика, например TCP, такие правила могут отрабатывать при определении в трафике приложений и др., маркировать пакеты такого трафика, в итоге перехватывая его на себя. Поэтому есть рекомендации не создавать идущие друг за другом раздельные правила МСЭ, разрешающие трафик в обе стороны. Если есть потребность в подобных разрешающих правилах для возможности создания независимых друг от друга соединений, то между такими правилами нужно создавать запрещающие правила, а также задавать более детальные условия для правил, например, адреса источника или назначения и т.д.
-Для удовлетворения условий последнего пункта, при наличии явных запрещающих правил межсетевого экрана над разрешающими, необходимо включать создание одного общего правила межсетевого экрана для обратных пакетов в CLI UserGate в разделе device -> fw_established. В таком случае инициированный трафик в рамках одного правила будет возвращаться через fw_established правило.
-Также необходимо помнить, что UserGate МСЭ является stateful межсетевым экраном и не требует задания явных отдельных разрешающих правил для возвратных пакетов, при условии, что не задаются явные блокирующие правила для обратного трафика, размещаемые выше в списке.
-Для маркированных пакетов трафика возможно может помочь отключение модуля fastpath.
-Для более точечного журналирования необходимо задавать более узкие правила межсетевого экрана, например, с конкретными адресами источника или назначения.