Kerio Control'da firewall qoidalarini to'g'ri sozlash: amaliy qo'llanma

Kerio Control — kichik va o'rta tashkilotlarda keng qo'llanadigan UTM (Unified Threat Management) firewall: u tarmoq shlyuzi, firewall, VPN server, kontent filtr va hujumlarni aniqlash tizimini bitta mahsulotda birlashtiradi. O'zbekistondagi ko'plab ta'lim muassasalari va kompaniyalarda aynan shu tizim ishlaydi.

Muammo shundaki, Kerio Control ko'pincha "ishga tushdi — internet bor" holatida qoldiriladi va qoidalar tartibsiz yig'ilib boradi. Bu qo'llanmada men tarmoqni qanday qilib "faqat ruxsat etilgani ishlaydi" tamoyili asosida sozlashni ko'rsataman — o'z ish tajribamdan.

1. Avval tarmoq rejasini tuzing

Qoidalarni yozishdan oldin qog'ozda tarmoqni segmentlarga ajrating. Har bir segment — alohida interfeys yoki VLAN. Masalan, ta'lim muassasasi uchun:

Asosiy qoida: mehmon tarmog'i hech qachon xodimlar va serverlar tarmog'ini ko'rmasligi kerak. Talaba telefonidagi zararli dastur buxgalteriya kompyuteriga yetib bormasligi shart.

2. Interfeyslarni to'g'ri guruhlarga joylang

Configuration → Interfaces bo'limida Kerio Control interfeyslarni guruhlarga ajratadi. Bu muhim, chunki qoidalarda aynan shu guruhlardan foydalanasiz:

• Internet Interfaces — provayderga ulangan tashqi interfeys(lar).
• Trusted/Local Interfaces — ishonchli ichki tarmoq (LAN).
• Guest Interfaces — mehmon tarmog'i. Kerio unga avtomatik ravishda cheklovlar qo'llaydi.
• VPN Interfaces — VPN orqali ulanganlar.
• Other Interfaces — DMZ va boshqa alohida segmentlar uchun.

3. Traffic Rules qanday ishlaydi

Barcha qoidalar Configuration → Traffic Rules bo'limida. Ularning ishlash mantiqini tushunish — eng muhim qism:

1. Qoidalar yuqoridan pastga tekshiriladi.
2. Birinchi mos kelgan qoida qo'llanadi, qolganlari tekshirilmaydi.
3. Ro'yxat oxirida "Block other traffic" qoidasi turadi — hech bir qoidaga mos kelmagan trafik bloklanadi. Uni o'chirmang va ro'yxat oxirida qoldiring.

Shuning uchun aniq qoidalar yuqorida, umumiylari pastda turishi kerak. Masalan, "IT bo'limiga admin panelga ruxsat" qoidasi "hammaga admin panelni taqiqlash" qoidasidan yuqorida bo'lishi shart.

Har bir qoidaning harakati (Action) uch xil bo'ladi:

• Allow — ruxsat berish.
• Deny — rad etish va yuboruvchiga "ulanish rad etildi" javobini qaytarish. Ichki tarmoq uchun qulay: foydalanuvchi darhol xatoni ko'radi.
• Drop — paketni jimgina tashlab yuborish. Internetdan keladigan trafik uchun yaxshiroq: hujumchi port yopiqmi yoki umuman mavjud emasmi, bila olmaydi.

4. Tayyorgarlik: guruhlar va servislar

Qoidalarda IP manzillarni qo'lda yozish o'rniga Definitions bo'limida nomlangan guruhlar yarating. Keyin manzil o'zgarsa, faqat bitta joyni tahrirlaysiz:

• Definitions → IP Address Groups: IT-Admins (192.168.1.10–20), Servers (192.168.10.0/24), Blacklist (bloklanadigan manzillar).
• Definitions → Services: kerakli portlar (masalan, ichki tizimingiz ishlatadigan maxsus port).
• Definitions → Time Ranges: ish vaqti (masalan, Du–Sha 08:00–18:00) — vaqtga bog'liq qoidalar uchun.

5. Tavsiya etiladigan qoidalar to'plami

Quyida men ishlatadigan asosiy tuzilma. Tartib aynan shunday bo'lishi kerak — yuqoridan pastga:

E'tibor bering: Guest → Trusted/Local uchun alohida ruxsat qoidasi yo'q. Shuning uchun mehmonlar ichki tarmoqqa kira olmaydi — ularni oxirgi qoida bloklaydi.

Port forwarding (tashqaridan ichki serverga kirish)

4-qoidada tashqaridan kelgan HTTPS so'rovi DMZ'dagi veb-serverga yo'naltiriladi. Buning uchun qoidaning Translation ustunida Destination NATni yoqing va ichki manzilni ko'rsating: 192.168.10.10.

6. Intrusion Prevention'ni yoqing

Configuration → Intrusion Prevention bo'limida Kerio Control ma'lum hujumlarni avtomatik aniqlaydi. Tahdidlar xavf darajasi bo'yicha uch guruhga bo'linadi:

• High severity → Log and drop (darhol bloklash).
• Medium severity → avval Log, bir-ikki hafta loglarni kuzatib, soxta signal bo'lmasa — Log and drop.
• Low severity → Log.

Signaturalarni avtomatik yangilash yoqilganiga ishonch hosil qiling — eski signaturalar yangi hujumlarni tanimaydi.

7. Qo'shimcha himoya sozlamalari

• Anti-spoofing — soxta manba IP manzilli paketlarni bloklaydi. Xavfsizlik sozlamalari (Security Settings) bo'limida yoqing.
• Connection limit — bitta xostdan ochiladigan ulanishlar sonini cheklash. Zararlangan kompyuter tarmoqni "bo'g'ib" qo'yishining oldini oladi.
• Content Filter — zararli va fishing saytlar kategoriyalarini bloklang. Ayniqsa mehmon tarmog'i uchun foydali.
• Bandwidth Management — mehmon Wi-Fi'ga tezlik chegarasi qo'ying, toki u asosiy ish trafikini sekinlashtirmasin.

8. Administrator hisobini himoyalang

Firewall'ning o'zi buzilsa, butun tarmoq qo'lga tushadi. Shuning uchun:

• Kuchli parol (kamida 16 belgi) va ikki bosqichli tasdiqlash (2-step verification) — Kerio Control 9.x da mavjud.
• Har bir administrator uchun alohida hisob — umumiy "admin" hisobidan foydalanmang. Shunda loglarda kim nima o'zgartirgani ko'rinadi.
• Admin panelga faqat IT-Admins guruhidan kirish (yuqoridagi 2–3-qoidalar).
• Kerio Control'ni o'z vaqtida yangilang — yangilanishlar xavfsizlik zaifliklarini yopadi.

9. Loglar va monitoring

Firewall sozlangandan keyin ham ish tugamaydi. Muntazam tekshiring:

• Logs → Security — Intrusion Prevention va anti-spoofing hodisalari.
• Logs → Filter — muhim qoidalarda logging'ni yoqsangiz, bloklangan ulanishlar shu yerda ko'rinadi.
• Status → Active Hosts — hozir kim qancha trafik ishlatayotgani. G'ayrioddiy ko'p trafik — zararlangan kompyuter belgisi bo'lishi mumkin.

Bloklash qoidalarida (ayniqsa 3- va 9-qoidalarda) logging'ni yoqing — kim taqiqlangan joyga kirishga urinayotganini ko'rasiz.

10. Konfiguratsiya zaxirasi

Har qanday katta o'zgarishdan oldin konfiguratsiyani eksport qiling va xavfsiz joyda saqlang. Noto'g'ri qoida tufayli o'zingizni admin paneldan qulflab qo'ysangiz, zaxira nusxa vaziyatni bir necha daqiqada tiklaydi.

Xulosa: tekshiruv ro'yxati

• ✅ Tarmoq segmentlarga ajratilgan (LAN, DMZ, mehmon)
• ✅ Interfeyslar to'g'ri guruhlarda, mehmon tarmog'i "Guest" guruhida
• ✅ Qoidalar tartibi: aniq qoidalar yuqorida, "Block other traffic" oxirida
• ✅ RDP, SSH, ma'lumotlar bazasi va admin panel internetga ochilmagan
• ✅ Admin panelga faqat IT bo'limidan kirish mumkin, 2FA yoqilgan
• ✅ Intrusion Prevention va anti-spoofing yoqilgan
• ✅ Bloklash qoidalarida logging yoqilgan, loglar muntazam ko'rib boriladi
• ✅ Konfiguratsiya zaxirasi mavjud

Firewall — bu bir marta sozlab qo'yiladigan narsa emas, balki doimiy jarayon. Savollaringiz bo'lsa yoki tashkilotingiz tarmog'ini audit qilish kerak bo'lsa — bog'laning.

Shuningdek o'qing: Ubuntu serverni noldan xavfsiz sozlash.

Nodirbek Amonov (ADN HacKeR)
Kiberxavfsizlik mutaxassisi, Denov tadbirkorlik va pedagogika instituti axborot xavfsizligi bo'limi boshlig'i. Bog'lanish →