diff --git a/docs/administrator-manual/security/content_filter.md b/docs/administrator-manual/security/content_filter.md index fafa07bc6..6fd700937 100644 --- a/docs/administrator-manual/security/content_filter.md +++ b/docs/administrator-manual/security/content_filter.md @@ -103,7 +103,7 @@ Considerations: - May require more processing power compared to IP or DNS-based filtering - Requires careful configuration to balance security and performance -- The administrator needs to create DPI rules for each interface +- Rules are evaluated in order and the first matching rule wins, so their position in the list matters To configure DPI filtering, see the [Deep Packet Inspection (DPI) filter](./dpi_filter.md). @@ -114,7 +114,7 @@ To configure DPI filtering, see the [Deep Packet Inspection (DPI) filter](./dpi_ | Blocking method | IP-based | DNS-based | DNS-based | Packet inspection | | Primary focus | Malware | Malware + basic content | Comprehensive content | Application/Protocol specific | | List types | Community, Enterprise | Community, Enterprise | Commercial | N/A (real-time analysis) | -| Configuration | Firewall | Firewall | Cloud | Firewall (per interface) | +| Configuration | Firewall | Firewall | Cloud | Firewall | | Reporting | None | None | Advanced, customizable | Limited | **Implementation strategies** diff --git a/docs/administrator-manual/security/dpi_filter.md b/docs/administrator-manual/security/dpi_filter.md index a4e2099dd..4d15d34f6 100644 --- a/docs/administrator-manual/security/dpi_filter.md +++ b/docs/administrator-manual/security/dpi_filter.md @@ -11,20 +11,80 @@ The Netify Agent functions as a deep-packet inspection server, leveraging nDPI ( Here\'s how it operates: -- the Netify flow actions plugin assigns labels to matching connections -- nft rules can then either block or adjust priority (DSCP) for connections based on these labels +- the Netify Agent evaluates every flow against the DPI rules and assigns a label to the connections matching a rule +- nft rules then block the connections labelled by a **Block** rule -The administrator can create Deep Packet Inspection (DPI) rules for each interface. +The DPI engine is always running: traffic is filtered as soon as at least one rule is enabled. -## Configuration +The **DPI filter** page is split into two tabs: -To configure these rules, the administrator initiates the process by selecting the particular network interface on which the rule is intended to operate. This step ensures that the rule is precisely applied to the designated segment of the network, allowing for targeted and effective management of network traffic. +- **Rules**: the ordered list of rules that allow or block traffic +- **Application groups**: reusable sets of applications, protocols and categories used by the rules -Following the selection of the interface, the administrator is prompted to specify the applications that are to be blocked or regulated. This essential step involves choosing from a comprehensive list of applications accessible through the system interface. +## Application groups {#application-groups} -The interface, as a default feature, presents a catalog of commonly used applications. However, it provides an advanced search functionality enabling the administrator to explore and pinpoint specific applications and application categories that require special attention. +An application group is a named set of applications, protocols, application categories and protocol categories. Groups are created once and can be used by any number of rules. -### Premium application signatures +To create a new group, open the **Application groups** tab and click **Create application group**: + +- **Group name**: a unique name for the group, up to 64 characters +- **Applications** and **Protocols** tabs: select the content of the group. Items are organized by category: + - selecting a category includes every item of that category, including the ones added in the future by signature updates + - click a category to show its contents and select individual items + - use the filter field and the **Show only selected** option to quickly find items + +The selected items are listed in the **Selected** panel, where they can also be removed. A group must contain at least one application, protocol or category. + +From the groups list, each group can be edited, duplicated or deleted. The **Used by rules** column shows which rules reference the group: a group used by one or more rules cannot be deleted. + +## Rules {#rules} + +DPI rules decide whether matching traffic is allowed or blocked. Rules are evaluated **from top to bottom and the first matching rule wins**: a rule never applies to traffic already matched by a rule above it. Traffic not matching any rule is allowed. + +This makes it possible to combine **Allow** and **Block** rules. For example, to block streaming services for the whole LAN except for a single host: + +1. an **Allow** rule matching all traffic from `192.168.1.10` +2. a **Block** rule matching the streaming application group from `192.168.1.0/24` + +To create a new rule, open the **Rules** tab and click **Add rule**. Application groups must be created first if the rule needs to match specific applications. The rule wizard has four steps: + +1. **General**: the rule **Name** and its **Status** (enabled or disabled) +2. **Source**: choose **Any source address** to apply the rule to every host, or **Enter one or more addresses** to narrow it down. Each entry can be an IP address, a CIDR network (e.g. `10.10.10.0/24`) or an IP range (e.g. `10.10.10.1-10.10.10.5`) +3. **Match and action**: + - **Match type**: **Application groups** matches the traffic of the selected groups, while **All traffic** matches every flow from the source + - **Action**: **Block matching traffic** or **Allow matching traffic** + - **Rule position**: add the new rule at the **Top of the list** or at the **Bottom of the list** +4. **Review**: check the rule settings before saving it + +From the rules list, each rule can be: + +- edited +- enabled or disabled +- duplicated +- deleted +- moved by drag and drop to change the evaluation order; reordering is available only when no filter is applied to the list + +The list can be filtered by name, source, match type and action. + +### Firewall and WAN traffic {#firewall-and-wan-traffic} + +DPI rules can never block the firewall itself: the IP addresses of all firewall interfaces are always exempted from the rules, so a rule can not lock the administrator out. Flows seen on the WAN interfaces are also excluded from the rules. + +### Custom rules {#custom-rules} + +Rules not created from the web interface, such as hand-written rules or rules migrated from a previous version, are marked as **Custom**. Custom rules can be enabled, disabled, moved, renamed or deleted, but their matching criteria can not be edited from the web interface. + +### Upgrade from previous versions {#upgrade-from-previous-versions} + +Previous releases configured DPI rules per network interface, with a separate list of exceptions. The configuration is converted automatically on upgrade, and also when restoring an old backup: + +- each rule blocking applications or protocols becomes a **Custom** **Block** rule that keeps the original behavior +- each exception becomes an **Allow** rule placed at the top of the list, named after the exception description +- rules with a QoS action (bulk, best effort, video, voice) and rules matching nothing are removed, as these actions are no longer supported + +Removed rules are logged in `/var/log/messages`. To take full advantage of the new features, consider replacing the migrated **Custom** rules with new rules based on application groups. + +## Premium application signatures {#premium-application-signatures} :::note @@ -34,7 +94,11 @@ This feature is available only if the firewall has a valid [Community or Enterpr ::: -In the absence of a subscription, the system inherently recognizes a baseline of approximately 400 applications. However, with an active subscription, this capacity significantly expands, encompassing more than 2300 applications. In this scenario, the list of recognized applications undergoes daily updates, ensuring that the system stays abreast of the ever-evolving landscape of applications and digital services. +In the absence of a subscription, the system inherently recognizes a baseline of approximately 200 applications and 300 protocols. With an active subscription, this capacity significantly expands to approximately 2500 applications, and the list of recognized applications is updated daily, ensuring that the system stays abreast of the ever-evolving landscape of applications and digital services. + +For more details about application and protocol licensing, see the [Netify DPI licensing page](https://www.netify.ai/products/netify-dpi/licensing). + +Without a subscription, the application group editor shows the full catalog, but the items not recognized by the community signatures are marked as **Available only with enterprise subscription** and can not be selected. Use the **Show only community apps** and **Show only community protocols** options to hide them. ### Applications and protocols list @@ -43,15 +107,15 @@ The full list of all applications and protocols supported by the Enterprise vers - [Applications](https://www.netify.ai/resources/applications_reference) - [Protocols](https://www.netify.ai/resources/protocols) -### Exceptions - -DPI exclusion allows for the exclusion of specific network addresses, such as the gateway or other critical infrastructure, preventing them from being blocked. +## Logging blocked connections {#logging-blocked-connections} -To add a new exception, click the `Add exception` button. Enter the `IP address or CIDR` that should be exempted from the filter. You can include a description explaining the reason for the exclusion. +Blocked connections can be logged inside `/var/log/messages` with the `DPI block: ` prefix. To enable logging: -Each exception can be enabled or disabled as desired. + uci set dpi.config.log_blocked=1 + uci commit dpi + /etc/init.d/dpi reload -### Netify traffic bypass +## Netify traffic bypass By default, Netifyd processes all traffic passing from, to, and out of the firewall. In some cases it may be desirable to completely ignore traffic analysis for specific hosts or subnets. Bypasses are configured using the `bypassv4` and `bypassv6` options, which take a list of IP addresses or CIDR subnets. A description can be added after a `|` pipe character. diff --git a/docs/administrator-manual/system/subscription.md b/docs/administrator-manual/system/subscription.md index f52884ee1..a791719e5 100644 --- a/docs/administrator-manual/system/subscription.md +++ b/docs/administrator-manual/system/subscription.md @@ -18,7 +18,7 @@ sidebar_position: 1 Typical benefits of the subscription service include: - **Monitoring portals**: subscribers can access monitoring portals to manage their subscription and receive [alerts](../monitoring/monitoring.md#alert-section) for registered servers. -- **Enhanced DPI signatures**: firewalls with a valid subscription have access to a much larger database of [DPI signatures](../security/dpi_filter.md) (more than 1820 in total instead of 415) that are regularly updated. +- **Enhanced DPI signatures**: firewalls with a valid subscription have access to a much larger database of [DPI signatures](../security/dpi_filter.md) (approximately 2800 applications/protocols instead of 500) that are regularly updated. - **Enterprise Block lists**: Firewalls with a valid subscription can purchase high-quality IP and DNS blocklists. These lists are actively maintained, updated very frequently, and exhibit high effectiveness while generating a very low number of false positives, they can be used in [IP](../security/threat_shield_ip.md) and [DNS](../security/threat_shield_dns.md) block lists. - **Automatic remote backup**: subscribers can benefit from automatic remote backups of the firewall configuration. This feature is crucial for businesses that need to ensure the safety of their data and configurations. - **Support**: subscribers can receive priority support on stable releases. This can be crucial for businesses relying on NethSecurity for their operations. See also [Remote support](./remote_support.md). diff --git a/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/security/content_filter.md b/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/security/content_filter.md index e809df403..10d31bde7 100644 --- a/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/security/content_filter.md +++ b/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/security/content_filter.md @@ -103,7 +103,7 @@ Considerazioni: - Potrebbe richiedere più potenza di elaborazione rispetto al filtraggio basato su IP o DNS - Richiede una configurazione attenta per bilanciare sicurezza e prestazioni -- L'amministratore deve creare regole DPI per ogni interfaccia +- Le regole vengono valutate in ordine e prevale la prima regola corrispondente, quindi la loro posizione nell'elenco è importante Per configurare il filtraggio DPI, vedere [Filtro Deep Packet Inspection (DPI)](./dpi_filter.md). @@ -114,7 +114,7 @@ Per configurare il filtraggio DPI, vedere [Filtro Deep Packet Inspection (DPI)]( | Metodo di blocco | Basato su IP | Basato su DNS | Basato su DNS | Ispezione dei pacchetti | | Enfasi principale | Malware | Malware + contenuti di base | Contenuti completi | Specifico per applicazione/protocollo | | Tipi di liste | Comunità, Aziendali | Comunità, Aziendali | Commerciale | N/A (analisi in tempo reale) | -| Configurazione | Firewall | Firewall | Cloud | Firewall (per interfaccia) | +| Configurazione | Firewall | Firewall | Cloud | Firewall | | Reporting | Nessuno | Nessuno | Avanzato, personalizzabile | Limitato | **Strategie di implementazione** diff --git a/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/security/dpi_filter.md b/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/security/dpi_filter.md index e466b05bb..e1b4ddc6c 100644 --- a/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/security/dpi_filter.md +++ b/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/security/dpi_filter.md @@ -11,20 +11,80 @@ Netify Agent funziona come server di deep-packet inspection, sfruttando nDPI (pr Ecco come funziona: -- il plugin di azioni di flusso Netify assegna etichette alle connessioni corrispondenti -- le regole nft possono quindi bloccare o regolare la priorità (DSCP) per le connessioni in base a queste etichette +- Netify Agent valuta ogni flusso rispetto alle regole DPI e assegna un'etichetta alle connessioni che corrispondono a una regola +- le regole nft bloccano quindi le connessioni etichettate da una regola con azione **Blocca** -L'amministratore può creare regole di Deep Packet Inspection (DPI) per ogni interfaccia. +Il motore DPI è sempre in esecuzione: il traffico viene filtrato non appena almeno una regola è abilitata. -## Configurazione +La pagina **Filtro DPI** è suddivisa in due schede: -Per configurare queste regole, l'amministratore avvia il processo selezionando la particolare interfaccia di rete su cui la regola è destinata a operare. Questo passaggio assicura che la regola sia applicata con precisione al segmento di rete designato, consentendo una gestione del traffico di rete mirata ed efficace. +- **Regole**: l'elenco ordinato delle regole che consentono o bloccano il traffico +- **Gruppi di applicazioni**: insiemi riutilizzabili di applicazioni, protocolli e categorie utilizzati dalle regole -Dopo la selezione dell'interfaccia, all'amministratore viene richiesto di specificare le applicazioni che devono essere bloccate o regolate. Questo passaggio essenziale comporta la scelta da un elenco completo di applicazioni accessibile tramite l'interfaccia del sistema. +## Gruppi di applicazioni {#application-groups} -L'interfaccia, come funzione predefinita, presenta un catalogo di applicazioni comunemente utilizzate. Tuttavia, fornisce una funzionalità di ricerca avanzata che consente all'amministratore di esplorare e individuare applicazioni specifiche e categorie di applicazioni che richiedono un'attenzione particolare. +Un gruppo di applicazioni è un insieme con nome di applicazioni, protocolli, categorie di applicazioni e categorie di protocolli. I gruppi vengono creati una sola volta e possono essere utilizzati da un numero qualsiasi di regole. -### Firme di applicazioni Premium +Per creare un nuovo gruppo, aprire la scheda **Gruppi di applicazioni** e fare clic su **Crea gruppo di applicazioni**: + +- **Nome del gruppo**: un nome univoco per il gruppo, fino a 64 caratteri +- schede **Applicazioni** e **Protocolli**: permettono di selezionare il contenuto del gruppo. Gli elementi sono organizzati per categoria: + - selezionando una categoria si includono tutti gli elementi di quella categoria, compresi quelli che verranno aggiunti in futuro dagli aggiornamenti delle firme + - facendo clic su una categoria, si visualizzerà il contenuto e si potranno selezionare i singoli elementi + - utilizzando il campo di filtro e l'opzione **Mostra solo i selezionati** sarà possibile ricercare più rapidamente gli elementi + +Gli elementi selezionati sono elencati nel pannello **Selezionati**, dal quale possono anche essere rimossi. Un gruppo deve contenere almeno un'applicazione, un protocollo o una categoria. + +Dall'elenco dei gruppi, ogni gruppo può essere modificato, duplicato o eliminato. La colonna **Usato da regole** mostra quali regole fanno riferimento al gruppo: un gruppo utilizzato da una o più regole non può essere eliminato. + +## Regole {#rules} + +Le regole DPI decidono se il traffico corrispondente viene consentito o bloccato. Le regole vengono valutate **dall'alto verso il basso e prevale la prima regola corrispondente**: una regola non si applica mai al traffico già corrispondente a una regola posta più in alto. Il traffico che non corrisponde ad alcuna regola viene consentito. + +Questo permette di combinare regole **Consenti** e **Blocca**. Ad esempio, per bloccare i servizi di streaming per l'intera LAN tranne che per un singolo host: + +1. una regola **Consenti** che corrisponde a tutto il traffico da `192.168.1.10` +2. una regola **Blocca** che corrisponde al gruppo di applicazioni di streaming da `192.168.1.0/24` + +Per creare una nuova regola, aprire la scheda **Regole** e fare clic su **Aggiungi regola**. Se la regola deve corrispondere ad applicazioni specifiche, i gruppi di applicazioni devono essere creati prima. La procedura guidata di creazione della regola prevede quattro passaggi: + +1. **Generale**: il **Nome** della regola e il suo **Stato** (abilitata o disabilitata) +2. **Sorgente**: scegliere **Qualsiasi indirizzo sorgente** per applicare la regola a tutti gli host, oppure **Inserisci uno o più indirizzi** per restringerla. Ogni voce può essere un indirizzo IP, una rete CIDR (ad es. `10.10.10.0/24`) o un intervallo di IP (ad es. `10.10.10.1-10.10.10.5`) +3. **Corrispondenza e azione**: + - **Tipo di corrispondenza**: **Gruppi di applicazioni** corrisponde al traffico dei gruppi selezionati, mentre **Tutto il traffico** corrisponde a ogni flusso proveniente dalla sorgente + - **Azione**: **Blocca il traffico corrispondente** oppure **Consenti il traffico corrispondente** + - **Posizione della regola**: aggiungere la nuova regola all'**Inizio dell'elenco** oppure alla **Fine dell'elenco** +4. **Riepilogo**: verificare le impostazioni della regola prima di salvarla + +Dall'elenco delle regole, ogni regola può essere: + +- modificata +- abilitata o disabilitata +- duplicata +- eliminata +- spostata con il trascinamento (drag and drop) per modificare l'ordine di valutazione; il riordino è disponibile solo quando all'elenco non è applicato alcun filtro + +L'elenco può essere filtrato per nome, sorgente, tipo di corrispondenza e azione. + +### Traffico del firewall e WAN {#firewall-and-wan-traffic} + +Le regole DPI non possono mai bloccare il firewall stesso: gli indirizzi IP di tutte le interfacce del firewall sono sempre esclusi dalle regole, quindi una regola non può impedire l'accesso all'amministratore. Anche i flussi rilevati sulle interfacce WAN sono esclusi dalle regole. + +### Regole personalizzate {#custom-rules} + +Le regole non create dall'interfaccia web, come quelle scritte manualmente o migrate da una versione precedente, sono contrassegnate come **Personalizzata**. Le regole personalizzate possono essere abilitate, disabilitate, spostate, rinominate o eliminate, ma i loro criteri di corrispondenza non possono essere modificati dall'interfaccia web. + +### Aggiornamento dalle versioni precedenti {#upgrade-from-previous-versions} + +Le versioni precedenti configuravano le regole DPI per singola interfaccia di rete, con un elenco separato di eccezioni. La configurazione viene convertita automaticamente durante l'aggiornamento e anche durante il ripristino di un vecchio backup: + +- ogni regola che blocca applicazioni o protocolli diventa una regola **Blocca** **Personalizzata** che mantiene il comportamento originale +- ogni eccezione diventa una regola **Consenti** posizionata all'inizio dell'elenco, con il nome ricavato dalla descrizione dell'eccezione +- le regole con un'azione QoS (bulk, best effort, video, voice) e le regole che non corrispondono a nulla vengono rimosse, poiché queste azioni non sono più supportate + +Le regole rimosse vengono registrate in `/var/log/messages`. Per sfruttare appieno le nuove funzionalità, valutare la sostituzione delle regole **Personalizzata** migrate con nuove regole basate sui gruppi di applicazioni. + +## Firme di applicazioni Premium {#premium-application-signatures} :::note @@ -34,7 +94,11 @@ Questa funzione è disponibile solo se il firewall ha un [abbonamento Community ::: -In assenza di un abbonamento, il sistema riconosce intrinsecamente una baseline di circa 400 applicazioni. Tuttavia, con un abbonamento attivo, questa capacità si espande significativamente, comprendendo più di 2300 applicazioni. In questo scenario, l'elenco delle applicazioni riconosciute subisce aggiornamenti quotidiani, assicurando che il sistema sia al passo con il panorama delle applicazioni e dei servizi digitali in continua evoluzione. +In assenza di un abbonamento, il sistema riconosce intrinsecamente una baseline di circa 200 applicazioni e 300 protocolli. Con un abbonamento attivo, questa capacità si espande significativamente fino a circa 2500 applicazioni, e l'elenco delle applicazioni riconosciute viene aggiornato quotidianamente, assicurando che il sistema sia al passo con il panorama delle applicazioni e dei servizi digitali in continua evoluzione. + +Per maggiori dettagli sulle licenze di applicazioni e protocolli, consultare la [pagina sulle licenze di Netify DPI](https://www.netify.ai/products/netify-dpi/licensing). + +Senza abbonamento, l'editor dei gruppi di applicazioni mostra il catalogo completo, ma gli elementi non riconosciuti dalle firme community sono contrassegnati come **Disponibile solo con sottoscrizione enterprise** e non possono essere selezionati. Utilizzare le opzioni **Mostra solo le app community** e **Mostra solo i protocolli community** per nasconderli. ### Elenco di applicazioni e protocolli @@ -43,15 +107,15 @@ L'elenco completo di tutte le applicazioni e i protocolli supportati dalla versi - [Applicazioni](https://www.netify.ai/resources/applications_reference) - [Protocolli](https://www.netify.ai/resources/protocols) -### Eccezioni - -L'esclusione DPI consente l'esclusione di indirizzi di rete specifici, quali il gateway o altre infrastrutture critiche, prevenendo che vengano bloccati. +## Registrazione delle connessioni bloccate {#logging-blocked-connections} -Per aggiungere una nuova eccezione, fare clic sul pulsante `Aggiungi eccezione`. Immettere l'`indirizzo IP o CIDR` che deve essere esentato dal filtro. È possibile includere una descrizione che spieghi il motivo dell'esclusione. +Le connessioni bloccate possono essere registrate in `/var/log/messages` con il prefisso `DPI block: `. Per abilitare la registrazione: -Ogni eccezione può essere abilitata o disabilitata secondo le necessità. + uci set dpi.config.log_blocked=1 + uci commit dpi + /etc/init.d/dpi reload -### Bypass del traffico Netify +## Bypass del traffico Netify Per impostazione predefinita, Netifyd elabora tutto il traffico che passa da, verso e attraverso il firewall. In alcuni casi può essere utile escludere completamente dall'analisi del traffico determinati host o sottoreti. I bypass si configurano usando le opzioni `bypassv4` e `bypassv6`, che accettano un elenco di indirizzi IP o sottoreti CIDR. È possibile aggiungere una descrizione dopo il carattere `|` pipe. diff --git a/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/system/subscription.md b/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/system/subscription.md index 17d552418..3aa240273 100644 --- a/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/system/subscription.md +++ b/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/system/subscription.md @@ -18,7 +18,7 @@ sidebar_position: 1 I vantaggi tipici del servizio di abbonamento includono: - **Portali di monitoraggio**: gli abbonati possono accedere ai portali di monitoraggio per gestire il loro abbonamento e ricevere [avvisi](../monitoring/monitoring.md#alert-section) per i server registrati. -- **Firme DPI migliorate**: i firewall con un abbonamento valido hanno accesso a un database molto più ampio di [firme DPI](../security/dpi_filter.md) (più di 1820 in totale invece di 415) che vengono aggiornate regolarmente. +- **Firme DPI migliorate**: i firewall con un abbonamento valido hanno accesso a un database molto più ampio di [firme DPI](../security/dpi_filter.md) (circa 2800 tra applicazioni e protocolli invece di 500) che vengono aggiornate regolarmente. - **Blocklist Enterprise**: i firewall con un abbonamento valido possono acquistare blocklist IP e DNS di alta qualità. Questi elenchi sono attivamente mantenuti, aggiornati molto frequentemente e mostrano un'elevata efficacia generando un numero molto basso di falsi positivi, possono essere utilizzati nelle blocklist [IP](../security/threat_shield_ip.md) e [DNS](../security/threat_shield_dns.md). - **Backup remoto automatico**: gli abbonati possono beneficiare di backup remoti automatici della configurazione del firewall. Questa funzione è fondamentale per le aziende che hanno bisogno di garantire la sicurezza dei loro dati e configurazioni. - **Supporto**: gli abbonati possono ricevere supporto prioritario sui rilasci stabili. Questo può essere cruciale per le aziende che si affidano a NethSecurity per le loro operazioni. Vedi anche [Supporto remoto](./remote_support.md).