1. Regole

Il percorso è Firewall → Regole. La pagina raccoglie tutte le regole di filtraggio, divise in schede secondo la direzione del traffico a cui si applicano.

1.1 Salvare e applicare le regole

Una regola diventa attiva appena la si salva: se non contiene errori, entra in servizio subito, senza un passaggio di conferma separato. I comandi in cima alla pagina non servono a mettere in servizio le singole regole — quello avviene al salvataggio — ma a governare la configurazione nel suo insieme:

Comando	Che cosa fa
Firewall Armato	Indica e comanda lo stato del firewall: armato quando le regole sono attive
Applica Configurazione	Ricarica per intero la configurazione del firewall. Serve nei casi dubbi — per esempio dopo aver cancellato una regola — per essere certi che ciò che è in servizio corrisponda esattamente alle regole presenti
Modifica Manuale	Apre la modifica manuale della configurazione, per gli interventi che le schede non coprono
Ripristina Configurazione	Riporta il firewall a una configurazione salvata in precedenza

Una regola ha effetto nell'istante in cui la si salva

Poiché una regola entra in servizio appena salvata, una regola che blocca il proprio stesso accesso all'apparato lo rende irraggiungibile dall'interfaccia web nel momento stesso del salvataggio. Prima di salvare regole restrittive sull'accesso, verifica di non star chiudendo la porta da cui sei entrato.

A che serve, allora, Applica Configurazione

Se le regole sono già attive dal salvataggio, Applica Configurazione ricarica da capo l'intera configurazione. È utile nei casi dubbi — dopo aver cancellato una regola, o quando si vuole essere certi che lo stato in servizio rispecchi esattamente l'elenco che si sta guardando.

1.2 Come è fatta una regola

Ogni regola dice, in una riga, che cosa fare a un certo traffico: Permetti oppure Nega, in base alla sorgente, alla destinazione e alla porta o servizio. Sorgenti e destinazioni si indicano per lo più con oggetti dal nome parlante — una rete come LAN, un gruppo di server, un singolo host — così che le regole restino leggibili e un indirizzo che cambia si aggiorni in un posto solo.

L'ordine conta: le regole si valutano dall'alto verso il basso e vince la prima che corrisponde. Le frecce su ogni riga spostano la regola più in alto o più in basso, cambiando così la priorità; accanto stanno i comandi per modificarla ed eliminarla, e in fondo Nuova Regola ne aggiunge una.

1.3 Le schede

Ogni scheda raccoglie le regole per una direzione del traffico. Sceglierla bene è il primo passo: la stessa coppia sorgente–destinazione ha effetto diverso a seconda della scheda in cui la regola vive.

Scheda	A quale traffico si applica
Forward	Le porte concesse ai client della rete interna verso Internet — è la scheda dell'uso quotidiano, che stabilisce cosa la LAN può raggiungere fuori
Admins	Regole a massima priorità, valutate prima di tutte le altre: servono agli accessi che devono funzionare sempre, scavalcando il resto
LAN Input	Il traffico dalla rete interna verso l'apparato stesso, cioè l'accesso ai servizi dell'appliance da parte dei client
Servizi	I servizi dell'apparato resi disponibili da Internet
NAT	I servizi dei server interni resi raggiungibili da Internet (port forwarding). Lasciando vuoto l'indirizzo sorgente, la regola vale per qualsiasi indirizzo di provenienza
Proxy	Le eccezioni al proxy: client o destinazioni da non filtrare durante la navigazione e da non tracciare nei log
SMTP	I server SMTP a cui non applicare antivirus e filtri anti-spam sulla posta in uscita
QoS	Le regole di traffic shaping, che assegnano banda e priorità al traffico
Log	Il registro in tempo reale delle comunicazioni bloccate dal firewall, con aggiornamento automatico

Forward e NAT sono le due schede da capire per prime

Nella pratica quotidiana quasi tutto passa da due schede: Forward, per decidere cosa la rete interna può fare verso Internet, e NAT, per pubblicare all'esterno un servizio interno — un server web, un gestionale raggiungibile da fuori. Le altre schede intervengono su casi più specifici.

La differenza fra Servizi e NAT

Servizi apre una porta sull'apparato stesso — un servizio che gira sulla Serie S. NAT inoltra invece la connessione a un server interno dietro l'apparato. Sono due cose diverse: la prima espone l'appliance, la seconda un'altra macchina della rete.

Una scheda in più con il multiWAN

Quando è attivo il multi gateway — più linee Internet bilanciate — alle schede qui elencate se ne aggiunge una, DSL ROUTING, per forzare determinato traffico su una linea specifica escludendolo dal bilanciamento. È trattata con la SD-WAN, perché è lì che ha senso.