4. 管制條例#

管制條例是整個 NG-UTM 的精隨，每一個進出 NG-UTM 的網路封包，包含 IPSec VPN 通道、IP Tunnel 、PPTP 跟 OpenVPN 等加密的通道，

除了劃分給 SDN 控制器管理的實體 Port 外，通通在這裡控制。

每一個封包進出介面時，會從第一條逐條比對是否符合管制規則，當封包的條件符合某條管制規則中的 基本設定 時，就會按該管制規則的設定讓它通過或丟掉， 且不會再向下 與其他的管制規則進行比對。

當封包比對到最後一條管制規則，仍然無法符合任何管制規則時，該封包就會被禁止。

因為封包的比對是從第一條管制規則開始逐條比對，所以條例的先後順序就會影響整個運作。
管理者在設定時必須要確認想管制的目標是否有進入相對應的管制規則中，NG-UTM 提供封包的通聯跟統計機制，
通聯記錄讓管理者可驗證封包是否在符合管制規則時進入或者出去，只要點選此條管制規則上的統計，NG-UTM 就會開啟新視窗顯示這個條例所有的進出封包。

每一條管制規則包含 3 個部分「基本設定」、「進階設定」與「防護設定」，用較白話的方式解釋：

· 基本設定：哪些人從哪裡來，走哪一條路到哪裡。

· 進階設定：檢查攜帶的東西。

· 防護設定：要不要保鑣保護。

對於 IPSec VPN 通道來說，應用在 Site-to-Site VPN 場景，所以管制規則相對來說簡單一些，只包含「基本設定」、「進階設定」。

Tip

影片參考｜眾至NU系列 UTM教學虛擬伺服器說明與範例、mapping說明與範例

4.1. 管制規則#

管制規則有 5 個頁籤，分別是 Outgoing、Incoming、Advance、SYN 防護跟 IP/PORT對應總覽。頁籤說明如下：

· Outgoing ：內部對外部的管制規則。

在 IP 位址轉換時只有 Routing 跟 NAT 可以選擇，Routing 是在 ZONE 對 ZONE 才會用到，一般上網通常使用 NAT 模式。

· Incoming：外部對內部的管制規則。

在 IP 位址轉換時只有 IP 對應、Port 對應跟伺服器對應，這些對應機制都是要將封包導入內部時會用到。

· Advance：進階版的管制規則，沒有內外之分，由管理者決定封包的進、出規則。

在 IP 位址轉換時就有所有的規則可以選擇，包含 Routing、NAT、IP 對應、Port 對應跟伺服器對應。

· SYN 防護：提供 SYN 攻擊防護機制，確定連線為真後才會將它傳給後端的伺服器。因為處理階段在建立連線之前，因此優先權最高。

在 IP 位址轉換時只有 IP 對應、Port 對應跟伺服器對應，因為主要是阻擋外面對內部伺服器的不正常連線。

· IP/PORT對應總覽：查看 IP 對應、Port 對應跟伺服器對應開放的通訊埠。

方便管理者查詢對外開放的通訊埠。

Tip

影片參考｜眾至NU系列 UTM教學內外條例檢視說明與範例

• 圖示說明：

在管制規則上，會用圖示說明該條條例執行的工作，方便管理者快速辨識，圖示的說明如下：

圖示	名稱	說明
	頻寬管理	頻寬管理功能已開啟。
	時間排程	啟動時間表，在設定時間範圍內自動執行條例。
	URL管制	URL 管制功能已開啟。
	應用程式	管理哪一些應用程式
	連線數管制	限制此條例最多能有多少連線數(Session)。
	掃毒管制	WEB掃毒。
	認證	需登入帳號、密碼，才可上網連線。
	IPS	入侵偵測防禦。
	紀錄管制	WEB、郵件的紀錄。
	電子白板	使用者連線前必須看過電子白板的內容。
	指定閘道	從哪一個閘道走。
	防火牆防護	啟用防火牆防護。
	任何協議	任何協議包含 tcp/udp/icmp 等。
	tcp	tcp 通訊協議。
	udp	udp 通訊協議。
	icmp	icmp 通訊協議。
	允許	允許符合該管制條例的封包進出。
	拒絕	拒絕符合該管制條例的封包進出。
	暫停	暫停該管制條例的運作。
	啟動	啟動該管制條例的運作。
	修改	修改該管制條例的內容。
	刪除	刪除該管制條例。

• 管制規則顯示頁面說明

進入管制規則時，NG-UTM 會列出所有的管制規則，IPV4 跟 IPV6 的管制規則會分開列出，NG-UTM 預設顯示 IPV4 的管制規則，
如果要切換成 IPV6 的管制規則，則在主選單上方  點選 IPV6，整個管制規則就會切換成 IPV6 模式。
不論 IPV4 或是 IPV6，在這個頁面可讓管理者調整的項目如下：

【優先權】：NG-UTM 會從第一條 IPSec 管制規則開始執行，所以比對順序對於網路封包的通過與否有關鍵性的影響，數字越小表示越優先。

【啟用】：管制規則的暫停跟啟用按鈕，點選此處圖示後可以將原本啟用的管制規則暫停，原本暫停的改為啟用。

【編輯/刪除】：修改或是刪除此條管制規則。

【統計】：每條管制規則進出的封包數量跟流量，暫停跟重新啟用都會把數值歸零，點選數字後，會出現符合這一個規則的所有網路封包詳細的進出記錄。

當管理者在找尋網路問題或想確認設定的目標是否有進入管制規則中，此時就可以利用 NG-UTM 提供的網路封包即時通聯功能，

點選管制規則上【統計】欄位的數字，NG-UTM 會把進出的網路封包擷取並開啟一個新的視窗讓管理者觀察。（圖4-2）

【更新】：立即更新管制條例的列表。

【刪除所有規則】：把所有的管制規則刪除，回到 NG-UTM 初始的狀態。

【計數器歸零】：把所有管制規則上【統計】欄位的數字通通歸零，重新計算。

【條例動作】：可以複製條例或移動條例。

複製條例：選擇後點選要複製的條例，會自動在下方複製一條相同的條例，名稱前面會加上 [copy] 的字樣。

移動條例：選擇後勾選要移動的條例（可多選），再點選下方的儲存，就會跳出視窗讓管理者選擇要移動到哪一個頁籤中。

【搜尋條例】：在此頁面搜尋出想要查看的條例。可依照來源介面搜尋或自訂搜尋條件，如：找出設定時間表的條例，或通訊協定為 UDP 的條例等。

• 管制規則的封包通聯記錄

【自動更新】：NG-UTM 每隔 3~30 秒，就會自動更新封包的通聯記錄，方便管理者觀察。

【清除】：把通聯記錄的資料全部清除掉，重新記錄跟顯示。

【時間】：封包通過的時間。

【來源 IP/Port】：通過管制規則的來源 IP 位址跟 Port。

【目的 IP/Port】：通過管制規則的目的 IP 位址跟 Port。

【通訊協定】：通過管制規則的通訊協定，有 TCP/UDP/ICMP 三種協定。

【封包大小】：這一個連線的封包大小，單位為 Bytes。

【出口線路】：封包由內到外走的線路出口，如果顯示為【-】，表示是對方 TCP 回傳的封包。

• 管制規則的組合

每條管制規則由 3 個部分組合而成，分別是基本設定、進階設定跟防護設定，除了基本設定區的資料必填，另外 2 個區域的設定由管理者自行決定配置。

4.1.1. Outgoing#

內部對外部的網路都在這裡管制，內部 ZONE 對 ZONE 的管制則在 Advance 中設定。

點選管制規則的編輯圖示後，即可進入設定畫面，修改基本設定、進階設定及防護設定。

4.1.1.1. Outgoing 基本設定#

每個管制規則的來源跟目的都在基本設定中定義，為了增加管理的方便性跟閱讀便利，管理者可以事先在【管理目標】中事先定義位址表、服務表跟應用程式，方便選擇套用。

除了網路介面需要事先規劃外，其他的部分都有自訂方式讓管理者直接填入，例如：IP 位址、網路 Port 等。

【管制條例名稱】：管制規則的名稱，方便管理者辨識，可輸入任何中英文字，例如：禁止上網。

【來源介面】：NG-UTM 是以 ZONE 為管理基礎，每個進出 ZONE 的網路封包都可以管理跟控制。

因為是 Outgoing 的管制，可以選擇的應該為內部要出去的介面，包含內部的 ZONE、PPTP、L2TP、OpenVPN和ZTAVPN 的用戶端。

【出口線路 / IP 位址轉換】：參考下一個段落 Outgoing 基本設定 > 出口線路跟 IP 位址轉換說明。

【通訊協定】：有 4 個選項，全部、TCP、UDP 跟 ICMP，選擇此管制規則想要管制的通訊協定是屬於哪一個類型，預設為全部。

【來源 / 目的網路】：符合管制規則的來源/目的 IP 位址，對Outgoing條例來說，來源IP通常來自內部網路，而目的IP通常是外部網路。有選項模式跟自訂模式。

選項模式 ：系統會自動把下列幾種來源 IP 位址加入，讓管理者選擇。

在網路介面中定義的內部 ZONE。

在 :ref:`位址表`中建立的位址表或是群組。

PPTP、L2TP、OpenVPN、ZTAVPN (Client to Site)這些VPN分配給遠端用戶的 IP 位址。

自訂模式 ：管理者直接填入來源/目的 IP 位址或是 MAC 位址，也可以填入網段。

Note

相同介面 (ZONE) 的不同來源跟目的 IP 位址，NG-UTM 不會管制，它的運作行為類似交換器的橋接功能，只有進、出介面 (ZONE) 的網路封包才會套用管制規則。

【來源 / 目的網路查詢】：為了避免位址表 IP 或是群組的項目太多，查詢功能讓管理者可以快速找到要的位址表或是群組。

【來源 / 目的通訊埠群組】：設定條例允許的來源 / 目的通訊埠，共有 3 種可以選擇，預設服務表、自訂服務群組或是直接輸入 port，
NG-UTM 會把常用的服務表列出，例如：HTTP、FTP 等，為了簡化管制規則數量，可把眾多服務整合在一個服務群組，
這些都需要在「管理目標 > 服務表」事先定義，定義好的管理目標就會出現在選項中，若選擇【使用者自訂】則在後面空格中自行填入 Port。

Note

在 IPV4 的環境下，大量使用 PAT 技術，所以來源 Port 通常不固定，有可能是 1~65535 中任何一個，所以使用時請特別注意是不是要特別指定來源通訊埠，當管理者沒有指定任何群組時，預設值為全部的通訊埠。

【動作】：符合上述比對的封包該如何處理，可以選擇允許或拒絕；允許表示讓封包通過，拒絕則是將封包丟棄。

Note

防火牆有一條拒絕的隱藏預設規則，讓所有流量無法進入其他zone。因此若要讓流量進入其他zone就必需要建立條例，確保管理者知道網路的流向。
如果要使用進階設定中的功能，例如 IPS、URL 管制等，在【動作】上必須為允許，否則封包會被丟棄，當然就無法進入進階設定中。

4.1.1.2. Outgoing 基本設定 > 出口線路跟 IP 位址轉換#

【出口線路】：符合比對的封包，要送到哪個閘道器。

管理者必須事先在「網路設定 > 路由管理 > 出口線路」或是「出口線路群組」中設定，每個設定在【出口線路】或是【出口線路群組】的路由都會列出讓管理者選。

NG-UTM 的預設值為「Default」，所有的網路封包會送到【預設閘道】中；

管理者在「網路設定 > 網路介面 > 網路介面設定」中勾選【定義為外部網路】，這一個 ZONE 上設定的 IP 位址就會是 Default。

【IP 位址轉換】：對於進出介面的封包要執行 NAT/PAT 或是單純的 Routing 動作，在此處設定，詳述如下：

1、Routing

選擇 Routing 模式，進出介面封包的來源 IP 位址不會被改變，此時就是一個單純的 Layer 3 的路由器，再搭配來源及目的 IP 位址管制動作，是標準 Layer 3 核心交換器的功能。

2、NAT

封包出去介面時轉換成哪個 IP 位址，基本上使用 PAT (Port Address Translation) 技術。

· 出口線路選擇「Default」，系統在執行 PAT 時自動選擇轉換 IP 並將所有的轉換 IP 位址列出，管理者想要指定轉換 IP 時就不能使用「Default」。

· 出口線路選擇是特定的閘道，執行 NAT 動作時，管理者可以自行選擇哪一個 IP 位址要被當成 PAT/NAT 的來源位址轉換。

例如：在「網路設定 > 出口線路 > 介面位址」中設定 IP 位址 192.168.100.0/24，則這裡可以設定的 IP 位址是 192.168.100.0-192.168.100.254 其中一個。

· 出口線路選擇的是出口線路群組，則管理者可以分別指定每個出口線路要用哪一個 IP 位址當作 PAT/NAT 的來源位址。

Tip

影片參考｜眾至NU系列 UTM教學內對外負載平衡與範例

4.1.1.3. Outgoing 進階設定#

對於符合【基本設定】規則且【動作】設定為允許的網路封包，NG-UTM 可以進行更進階的動作，包含時間表、IPS 跟掃毒等，

每一個項目都需要事先在相對應的【管理目標】中設定，整個管制規則才會生效。

Tip

每個項目都有一個選項【新增】，當要設定的內容不在選項中，點選【新增】系統就會自動開啟新的頁面讓管理者快速新增管理項目。

例如：選項中沒有想選擇的位址表，此時選【新增】，系統就會開新的視窗讓管理者新增位址表，而不用切換到「管理目標 > 位址表」設定。

【時間表】：可直接在選項中點選新增，或前往「管理目標 > 時間表」設定。

建立要管制的時間表，整個條例只有在時間表內才會有效，時間表外則無效。

【頻寬管理】：可直接在選項中點選新增，或前往「管理目標 > 頻寬管理」設定。

建立要管制的頻寬，整個條例每秒使用的流量會被限制。

【應用程式管制】：可直接在選項中點選新增，或前往「管理目標 > 應用程式管制」設定。

建立要管制的應用程式，套用後設定的應用程式就會被阻擋或是限制使用的頻寬。

【每個來源 IP 能使用的最大連線數】：預設是 0，代表不管制，當設定最大連線數後，符合這個管制條例的每個來源 IP 位址能使用的最大連線數就會被限制。

【上網認證】：可直接在選項中點選新增，或前往「管理目標 > 上網認證」中建立認證群組。

套用後，來源 IP 位址要到目的 IP 位址，都會彈跳出認證視窗，要求使用者認證。

【電子白板】：可直接在選項中點選新增，或前往「管理目標 > 電子白板」中設定使用者群組。

套用後，來源 IP 位址要到介面外時，會自動跳出電子白板訊息讓使用者確認。

【URL 管制】：可直接在選項中點選新增，或前往「管理目標 > URL 管理」中設定黑名單跟白名單。

套用後，黑名單的 URL 會被拒絕，白名單則允許通過。

【IPS】：可直接在選項中點選新增，或前往「管理目標 > IPS 設定」中建立群組。

套用後，這個條例的封包就會進入 IPS 特徵值中比對，由 IPS 設定比對符合的封包是記錄還是阻擋。

【DNS Filter】：可直接在選項中點選新增，或前往「管理目標 > DNS Filter」設定。

DNS Filter 的管制來源有 2 個，一個是 Sandstorm 另一個是自訂，這個機制可以阻擋惡意程式跟木馬網址。

【流量配額/天 (每個來源 IP)】：這個條例中的每個來源 IP 位址能使用的上、下載量，預設值為 0，代表不限制。

設定上、下載限制時，當配額使用超過，就由【配額用完後動作】中設定的動作處理。

【配額用完後動作】：超過配額後，後續的封包要拒絕或是繼續執行下一條。

拒絕：超過配額的封包就全部丟棄，同時使用者的網頁會出現【網頁阻擋訊息】中設定的文字。
繼續執行下一條：超過配額的封包進入下一條比對，由下一個管制條例處理。

【網頁阻擋訊息】：超過配額後，使用者的網頁就會出現訊息，通知他不能再繼續使用網路的原因。

【WEB(S)】：共有 2 個選項，掃毒跟紀錄。掃毒會對所有通過的 http / https 封包執行掃毒的動作；記錄則會記錄下 http/https 的網頁瀏覽紀錄。

根據想達成的結果，執行前可能需要額外的設定。可參考 WEB 服務。

【SMTP 記錄】：在「郵件管理 > 郵件過濾及記錄」中先設定要執行的項目，有掃毒、郵件稽核、垃圾郵件過濾、郵件備份等功能，每個功能可以單獨啟用或是全選。

啟用掃毒、郵件稽核、垃圾郵件過濾這 3 項功能時，還需要到【郵件管理】的【郵件掃毒】、【垃圾郵件過濾】跟【郵件稽核】項目中分別設定。

【POP3 記錄】：需要在「郵件管理 > 郵件過濾及記錄」中事先設定【收信的郵件掃毒、郵件稽核、垃圾信過濾、備份】要執行的項目，

有掃毒、郵件稽核、垃圾郵件過濾、郵件備份等功能，每個功能可以單獨啟用或是全選。

Note

對於【WEB (S)】、【SMTP 記錄】、【POP3 記錄】這 3 項功能是整台 NG-UTM 都套用同一套規則，無法根據每一個條例客製化規則，

所以管理者只能選擇啟用或是關閉，啟用後在每一個條例都是套用相同的機制。

4.1.1.4. Outgoing 防護設定#

對於進入介面的封包，要不要提供防火牆的保護。

每一個管制規則都可以設定防火牆保護，但是整台 NG-UTM 只有一種防護能力的配置，防火牆的防護能力配置是在「管理目標 > 防火牆功能」中設置。

4.1.2. Incoming#

所有從外面進入內部 ZONE 的管制，可以在此設定，例如：內部有一台 ERP 伺服器欲讓外面的人可以存取。

點選管制規則的編輯圖示後，即可進入設定畫面，修改基本設定、進階設定及防護設定。

4.1.2.1. Incoming 基本設定#

IP 位址轉換有三種運作模式，IP 對應、Port 對應、伺服器負載，每一個動作都有不同的目的，

簡單來說 IP 對應就是一對一的 IP 位址對應關係，Port 對應跟伺服器負載是一對多的 IP 位址對應關係。

【管制條例名稱】：管制規則的名稱，方便管理者辨識，可輸入任何中英文字，例如：ERP 伺服器。

【來源介面】：NG-UTM 是以 ZONE 為管理基礎，每個進出 ZONE 的網路封包都可以管理跟控制。

因為這是 Incoming 的管制，可以選擇的 ZONE 應該為外部要進來的介面，系統會將所有的外部網路介面列出，讓管理者選擇。

【 IP 位址轉換】：參考下一個段落 Incoming 基本設定 > IP 位址轉換說明。

【通訊協定】：有 4 個選項，全部、TCP、UDP 跟 ICMP，選擇管制規則想要管制的通訊協定是屬於哪一個類型，預設為全部。

【來源 / 目的網路】：符合管制規則的來源/目的 IP 位址，對Incoming條例來說，來源IP通常來自外部網路，目的IP則是內部網路。有選項模式跟自訂模式。

選項模式 ：系統會自動把下列幾種來源 IP 位址加入，讓管理者選擇。

在網路介面中定義的內部 ZONE。

在 :ref:`位址表`中建立的位址表或是群組。

自訂模式 ：管理者直接填入來源/目的 IP 位址或是 MAC 位址，也可以填入網段。

【來源網路 / 目的網路查詢】：為了避免位址表 IP 或是群組的項目太多，查詢功能讓管理者可以快速找到要的位址表或是群組。

【來源通訊埠群組】：限制的來源通訊埠，共有 3 種可以選擇，預設服務表、自訂服務群組或是直接輸入 port，
NG-UTM 會把常用的服務表列出，例如：HTTP、FTP 等，為了簡化管制規則數量，可把眾多服務整合出一個服務群組，
這些都需要在「管理目標 > 服務表」事先定義，定義好的管理目標就會出現在選項中，若選擇【使用者自訂】則在後面空格中自行填入 Port。

Note

使用注意!
在 IPV4 的環境下，大量使用 PAT 技術，所以來源 Port 通常不固定，有可能是 1~65535 中任何一個，
所以使用時請特別注意是不是要特別指定來源通訊埠，當管理者沒有指定任何群組時，預設值為全部的通訊埠。

【目的通訊埠群組】：限制的目的通訊埠，共有 3 種可以選擇，預設服務表、自訂服務群組或是直接輸入 port，
NG-UTM 會把常用的服務表列出，例如：HTTP、FTP 等，如果管理者為了簡化管制規則數量，把眾多服務整合出一個服務群組，
這些都需要在「管理目標 > 服務表」事先定義，定義好的管理目標就會出現在選項中，若選擇【使用者自訂】則在後面空格中自行填入 Port。

Note

使用注意!
在 IPV4/IPV6 的環境下，目的 Port 就是要管制的網路服務，例如：只允許 HTTP 進入，則這裡就需要填入 HTTP，
當管理者沒有指定任何群組時，預設值為全部。

【NAT】：勾選後，這個條例的來源 IP 位址會被換成內部的 IP 位址，通常是此內部介面上綁定的 IP 位址。

使用時機：內部伺服器會管制來源 IP 位址，只開放給內部使用，當需要讓外部的人使用時，除了改變內部伺服器的管制規則，另一種方法就是在條例中勾選【NAT】。

【動作】：符合上述比對的封包該如何處理，可以選擇允許或拒絕；允許表示讓封包通過，拒絕則是將封包丟棄。

Note

使用注意!

如果要使用進階設定中的功能，例如 IPS、URL 管制等，在【動作】上必須為允許，否則封包會被丟棄，當然就無法進入進階設定中。

4.1.2.2. Incoming 基本設定 > IP 位址轉換#

IP 位址轉換有三種運作模式，IP 對應、Port 對應、伺服器負載，每一個動作都有不同的目的，

簡單來說 IP 對應就是一對一的 IP 位址對應關係，Port 對應跟伺服器負載是一對多的 IP 位址對應關係。

1、IP 對應

在網路介面中設定的 IP 位址，轉換成介面內部真正提供服務的 IP 位址，是 NAT 位址轉換技術的 1 對 1 對應機制。

例如：在網路介面設定是 192.168.1.200，要對應到內部的 IP 位址是 10.10.1.200，當介面以外的人訪問 192.168.1.200 的 IP 位址時，所有的網路封包都會被自動轉換到 10.10.1.200 上。

以上述例子，說明設定 IP 對應的方式：

在管制規則的「基本設定 > IP 位址轉換」選擇【IP 對應】後，欄位填入內部 IP 位址 10.10.1.200，
【來源網路】選擇 ANY，若要限制來源網段，可在選單選擇位址表內已設定的 IP 或按下【切換為自訂】按鈕輸入要限制的來源 IP。
【目的網路】選擇已經在網路介面設定的 IP 位址 192.168.1.200，或按下【切換為自訂】按鈕，直接輸入外部的 IP 位址。
同時也須勾選【來源介面】，選擇正確的來源介面，就可以讓外面的連線進入。

2、Port 對應

Port 對應是一對多的 NAT 技術，把某一個對外的 IP 位址，根據不同的服務 Port 轉到內部不同的服務主機上。
跟 IP 對應的設定觀念一樣，Port 對應也需要選擇來源介面，不是設定的來源介面無法進入。
理論上，一個合法 IP 位址，最多可分配給內部 65535 個內部 IP 位址。

選擇【Port 對應】並按下修改按鈕後，NG-UTM 會出現一個新的視窗，在此設定的 IP 位址就是內部的 IP 位址及 Port 號。

例如：在「外部網路 ZONE > 介面位址」定義外部 IP 位址為 192.168.1.200，
伺服器 192.168.1.200 對外提供 3 種服務，WEB、FTP 跟 DNS，
這 3 種服務分別對應到內部不同的主機，10.10.1.200、10.10.1.100 跟 10.10.1.50。

在 Port 對應修改表格的【轉換 IP 位址】上填入：

A、10.10.1.200／轉換目的通訊埠：80

B、10.10.1.100／轉換目的通訊埠：21

C、10.10.1.50／轉換目的通訊埠：53

【轉換目的通訊埠】一般會跟【原始目的通訊埠】一樣，也可以設定成不相同，若設定為不同，從內部使用的 Port 號跟外部使用的 Port 號就不一樣。

另外，在基本設定中：
1. 須勾選【來源介面】，選擇正確的來源介面，就可以讓外面的連線進入。
2. 【來源網路】選擇 ANY，若要限制來源網段，可在選單選擇位址表內已設定的 IP 或按下【切換為自訂】按鈕輸入要限制的來源 IP。
3. 【目的網路】則選擇 IP 位址，依上述範例為 192.168.1.200；
系統會自動把已經設定在【位址表】的 IP 位址列出，也可按下【切換為自訂】按鈕，直接輸入外部的 IP 位址。

Note

WEB 類型的伺服器，NG-UTM 提供 WAF 保護機制，詳細設定請參考 WAF 章節。

3、伺服器負載

NG-UTM 可以執行伺服器負載均衡的任務，也就是把某一個服務，平均分配給內部 2 台以上的設備，並根據設定的權重或服務模式，分配不同的負載給不同的伺服器，

跟 IP 對應的設定觀念一樣，伺服器負載也需要先選擇來源介面，不是設定的來源介面無法進入。

選擇【伺服器負載】並按下修改按鈕後，NG-UTM 會出現一個新的視窗，在此設定哪一些 IP 跟服務執行負載均衡的工作。

下圖範例是把 192.168.1.200 的 WEB 服務，依照權重設定分配給 2 台內部伺服器，分別是 10.10.1.100 跟 10.10.1.200。

1. 首先確認【原始目的通訊埠】，可以選擇服務表中的選項，也可自行填入 TCP Port，

伺服器負載均衡機制是按照每個服務分配負載，所以每一個 Port 就需要新增一筆對應設定。

分配模式有 2 種：依序循環跟依來源 IP，每一種分配方式，都會搭配權重的觀念，分配負載給轉換 IP 位址。

· 依序循環：根據來源的連線要求，分配給後端的 IP 位址。
例如：10.10.1.200 權重 1，10.10.1.201 權重 2，則第 1 個連線給 10.10.1.200，第 2、3 個連線給 10.10.1.201，
第 4 個連線給10.10.1.200，第 5、6 個連線給 10.10.1.201，以此類推。

· 依來源 IP：根據來源 IP 位址分配 IP 位址。

例如：第一個來源 IP 位址分配給 10.10.1.200，第 2、3 個不同來源 IP 位址分配給 10.10.1.201，以此類推。

另外，在基本設定中：

須勾選【來源介面】，選擇正確的來源介面，就可以讓外面的連線進入。
【來源網路】選擇 ANY，若要限制來源網段，可在選單選擇位址表內已設定的 IP 或按下【切換為自訂】按鈕輸入要限制的來源 IP。
【目的網路】則選擇 IP 位址，以上述範例就是 192.168.1.200；
系統會自動把已經設定在【位址表】的 IP 位址列出，方便選擇，也可按下【切換為自訂】按鈕，直接輸入外部的 IP 位址。

4.1.2.3. Incoming 進階設定#

對於符合【基本設定】規則且【動作】設定為允許的網路封包，NG-UTM 可以進行下列進階動作，包含時間表、IPS 跟 SMTP，

每一個項目都需要事先在相對應的【管理目標】中設定，整個管制規則才會生效。

Tip

每個項目都有一個選項【新增】，當要設定的內容不在選項中，點選【新增】系統就會自動開啟新的頁面讓管理者快速新增管理項目。

例如：選項中沒有想選擇的位址表，此時選【新增】，系統就會開新的視窗讓管理者新增位址表，而不用切換到「管理目標 > 位址表」設定。

【時間表】：可直接在選項中點選新增，或前往「管理目標 > 時間表」設定。

建立要管制的時間表，整個條例只有在時間表內才會有效，時間表外則無效。

【頻寬管理】：可直接在選項中點選新增，或前往「管理目標 > 頻寬管理」設定。

建立要管制的頻寬，整個條例每秒使用的流量就會被限制。

【應用程式管制】：可直接在選項中點選新增，或前往「管理目標 > 應用程式管制」設定。

建立要管制的應用程式，套用後設定的應用程式就會被阻擋或是限制使用的頻寬。

【每個來源 IP 能使用的最大連線數】：預設是 0，代表不管制，當設定最大連線數後，符合這個管制條例的每個來源 IP 位址能使用最大的連線數就會被限制。

【IPS】：可直接在選項中點選新增，或前往「IPS > IPS 設定」中建立一個群組。

套用後，這個條例的封包就會進入 IPS 特徵值中比對，由 IPS 設定比對符合的封包是記錄還是阻擋。

WEB 記錄不需要事先設定，啟動就生效，會記錄所有通過 NG-UTM 的 WEB 協定中 URI，不論是 http 或是 https 都會被記錄下來。

要讓 NG-UTM 紀錄 https 的 URI 有一個前置動作，也就是要讓每一個要被記錄的使用者先匯入 NG-UTM 的 SSL 憑證，
此憑證存放的位址是 https://NG-UTM管理IP/myca.crt ，IE / Chrome 瀏覽器均會自動執行此一憑證，
而 Firefox 會自行管理憑證，因此使用 Firefox 時，需要再輸入一次，並將它的三個選項全部啟用。
可參考 WEB 服務 。

【SMTP 記錄】：在「郵件管理 > 郵件過濾及記錄」中先設定要執行的項目，有掃毒、郵件稽核、垃圾郵件過濾、郵件備份等功能，每一個功能可以單獨啟用或是全選。

啟用掃毒、郵件稽核、垃圾郵件過濾這 3 項功能時，還需要到【郵件管理】的【郵件掃毒】、【垃圾郵件過濾】跟【郵件稽核】項目中分別設定。

【WAF】：可參考 WAF 。

Note

對於【SMTP 記錄】、【WAF】這 2 項功能是整台 NG-UTM 都套用同一套規則，無法根據每一個介面客制化規則，

所以管理者只能選擇啟用或是關閉，啟用後這一個條例內都是套用相同的機制。

4.1.2.4. Incoming 防護設定#

對於進入介面的封包，是否要提供防火牆的保護。

每一個管制規則都可以設定防火牆保護，但是整台 NG-UTM 只有一種防護能力的配置，防火牆的防護能力配置是在「管理目標 > 防火牆功能」中設置。

4.1.3. Advance#

點選管制規則的編輯圖示後，即可進入設定畫面，修改基本設定、進階設定及防護設定。
Advance 是進階版的管制規則，兼有 Outgoing 跟 Incoming 的功能。
在基本設定中，選擇對應的【IP 位址轉換】，來源介面就會切換成 Outgoing 或 Incoming 的設定項目。
此 5 項設定的應用時機說明如下：

1、Routing ：通常用在內部 ZONE 對內部 ZONE 之間的管制。

2、NAT：通常應用在內部各個 ZONE 要出去外部的管制。

Routing 、NAT 請參考 Outgoing 基本設定 > 出口線路跟 IP 位址轉換。

3、IP 對應：把外部 IP 位址轉到內部特定的 IP 位址，所有的 Port 都會一起轉。

4、Port 對應：把外部 IP 位址的特定 Port 轉到內部 IP 位址的特定 Port 上。

5、伺服器負載：把外部 IP 位址的特定 Port 轉到內部 2 台以上不同 IP 位址的特定 Port，

這 2 台不同內部 IP 位址的主機是做相同的工作，例如：WEB 伺服器。

IP 對應、Port 對應跟伺服器負載請參考 Incoming 基本設定 > IP 位址轉換。

Note

Advance 的優先權高於 Outgoing 跟 Incoming，若分別設定相同的管制條例在 Outgoing、Incoming 跟 Advance 上，Advance 會優先生效。

4.1.4. SYN 防護#

駭客常用 SYN 攻擊來癱瘓伺服器，而 NG-UTM 提供 SYN 防護機制，保護後端的伺服器拒絕大量不正常的 SYN 攻擊，確保服務正常運作。

因為是保護後端的伺服器，所以它的設定跟 Incoming 的規則一樣，提供 IP 對應、Port 對應跟伺服器負載等 3 種 IP 位址轉換方式。

• SYN 防護運作

TCP 的三方交握是用戶端要與伺服器間建立 TCP 連線時，用戶端與伺服器端按照順序交換資訊如下：

用戶端透過傳送 SYN 封包給伺服器要求建立連線。
伺服器回應用戶端 SYN-ACK 已抄收（acknowledge）請求。
用戶端回應 ACK，TCP 連線就建立完成。SYN 攻擊時用戶端不會回應 ACK。

因為駭客會送出大量的 SYN 給伺服器要求連線，占據伺服器的資源並導致正常的 TCP 連線要求無法使用，伺服器的服務就可能癱瘓。

NG-UTM 的保護機制就是接手以上步驟，確定這個連線為真之後才會將它傳給後端的伺服器，所以駭客攻擊的設備是 NG-UTM，而不是後端的伺服器。

在基本設定中，選擇不同的【IP 位址轉換】選項，介面就會切換成對應的設定項目。轉換模式請參考 Incoming 基本設定 > IP 位址轉換。

SYN 防護的進階設定只有【時間表】、【頻寬管理】、【應用程式管制】跟【每個來源 IP 能使用的最大連線數】這 4 種。

Note

SYN 防護頁面 VS Outgoing/Incoming/Advance頁面內的SYN 攻擊，兩者選項的差異說明如下：

SYN 防護頁面是利用 SYN 的行為是否有正常交握，來判斷與阻擋連線。
Outgoing/Incoming/Advance頁面中的 SYN 攻擊防護是參考防火牆功能的 偵測 SYN 攻擊設定值，時間段內超過連線上限將封鎖來源 IP

4.1.5. IP / Port 對應總覽#

為了避免在對外開放的管制規則（Incoming 和 Advance）中，設定的 IP 對應、Port 對應跟伺服器負載的規則太多，NG-UTM 提供一個總覽頁面，讓管理者可以快速檢視所有的 IP 對應、Port 對應跟伺服器負載的規則。

上方是搜尋條件，下方是搜尋結果，預設顯示的是目的網路 IP 和其開放的埠號，

搜尋結果可以勾選「顯示目的位址轉換」來查看轉換後的目的位址和埠

再點選詳細，可以查看更多資訊。如：位址轉換類型、管制規則名稱。點選右側的編輯，會跳轉到該條例的編輯頁面。

4.2. IPSec 管制#

IPSec 管制規則跟其他的管制規則設定相同，只是它的選項較少且不需要選擇來源介面。

• IPSec 管制顯示頁面說明

進入 IPSec 管制時，NG-UTM 會依序列出所有的管制規則，IPV4 跟 IPV6 的管制規則會分開列出，NG-UTM 預設顯示 IPV4 的管制規則，
如果要切換成 IPV6 的管制規則，則在主選單上方  點選 IPV6，整個管制規則就會切換成 IPV6 模式。
不論 IPV4 或是 IPV6，在這個頁面可讓管理者調整的項目如下：

【優先權】：NG-UTM 會從第一條 IPSec 管制規則開始執行，所以比對順序對於網路封包的通過與否有關鍵性的影響，數字越小表示越優先。

【啟用】：管制規則的暫停跟啟用按鈕，點選此處圖示可以將原本啟用的管制規則暫停，原本暫停的改為啟用。

【編輯/刪除】：修改或是刪除此條 IPSec 管制規則。

當管理者在找尋網路問題或想確認設定的目標是否有進入管制規則中，此時就可以利用 NG-UTM 提供的網路封包即時通聯功能，

點選 IPSec 管制規則上【統計】欄位的數字，NG-UTM 會把進出的網路封包擷取並開啟一個新的視窗讓管理者觀察。

【自動更新】：NG-UTM 每隔 3~30 秒，就會自動更新封包的通聯記錄，方便管理者觀察。

【清除】：把通聯記錄的資料全部清除掉，重新記錄跟顯示。

【時間】：IPSec 網路封包通過的時間。

【來源 IP/Port】：此條 IPSec 管制規則的來源 IP 位址跟 PORT。

【目的 IP/Port】：此條 IPSec 管制規則的目的 IP 位址跟 PORT。

【通訊協定】：此條 IPSec 管制規則的通訊協定，有 TCP/UDP/ICMP。

【封包大小】：這一個連線的封包大小，單位為 Bytes。

【出口線路】：這個封包由內到外走的線路出口，如果顯示為【-】，表示是對方 TCP 回傳的封包。

4.2.1. IPSec 管制規則 > 基本設定#

每個 IPSec 管制規則的來源跟目的都在基本設定中設定。

因為專屬於 IPSec VPN 通道的管制機制，所以來源或目的的一端就是 IPSec 通道。

【管制條例名稱】：IPSec 管制規則的名稱，方便管理者辨識，可輸入任何中英文字，例如：禁止上網。

【通訊協定】：通訊協定共有 3 個選項，全部、TCP 跟 UDP。選擇這個 IPSec 管制規則想要管制的通訊協定是屬於哪一個類型，預設為全部。

【方向】：有 2 個方向選項，簡單區分如下：

· To IPSec：從內部透過 IPSec VPN 通道到遠端。

· IPSec To：從 IPSec VPN 通道進來到內部的方向。

【來源網路】：根據選擇的【方向】不同，來源網路就會不一樣。

若【方向】為 To IPSec 那麼來源網路是內部 ZONE 的 IP 位址；【方向】為 IPSec To 則來源網路是 IPSec VPN 通道另一端的 IP 位址。

· 選項模式 ：系統列出在「管理目標 > 位址表」中已建立的位址表或是群組。

· 自訂模式 ：直接填入來源的 IP 位址或是 MAC 位址。

【目的網路】：根據選擇的【方向】不同，目的網路就會不一樣。

若【方向】為 To IPSec 那麼目的網路是 IPSec VPN 通道另一端的 IP 位址；【方向】為 IPSec To 則目的網路是內部 ZONE 的 IP 位址。

· 選項模式 ：系統列出在「管理目標 > 位址表」中已建立的位址表或是群組。

· 自訂模式 ：直接填入目的 IP 位址。

【來源網路 / 目的網路查詢】：為了避免位址表 IP 或是群組的項目太多，查詢功能讓管理者可以快速找到要的位址表或是群組。

【通訊埠或群組】：限制通過 IPSec VPN 通道的通訊埠，共有 3 種類別可以選擇，預設服務表、自訂服務群組跟使用者自訂，
NG-UTM 會把常用的服務表列出，例如：HTTP、FTP 等，為了簡化管制規則數量，可把眾多服務整合在一個服務群組，
這些需要在「管理目標 > 服務表」事先定義，定義好的管理目標就會出現在選項中，若選擇【使用者自訂】則在後面空格中自行填入 Port。

Note

使用注意!

在 IPV4/IPV6 的環境下，如果沒有指定任何群組，代表為全部的通訊埠。

【動作】：符合上述比對的封包該如何處理，可以選擇允許或拒絕；

允許表示讓封包通過並再進行進階設定中時間表或是頻寬管理的處理，拒絕則是將封包丟棄。

4.2.2. IPSec 管制規則 > 進階設定#

對於符合【基本設定】規則的且【動作】設定為允許的網路封包，NG-UTM 可以進行下列進階動作，包含時間表、頻寬管理及 NAT（限方向為 IPSec To 的條例）。

【時間表】：在「管理目標 > 時間表」建立要管制的時間表，整個 IPSec 條例只有在時間表內才會有效，時間表外則無效。

【頻寬管理】：在「管理目標 > 頻寬管理」建立要管制的頻寬，整個條例每秒使用的流量就會被限制，若無設定就會使用到線路提供的最大頻寬。

【NAT】：對於從 IPSec VPN 通道進入網路介面的封包，執行 NAT 的動作。
勾選後，這個條例的來源 IP 位址會被換成內部的 IP 位址，通常是此內部介面上綁定的 IP 位址。
使用時機：內部伺服器會管制來源 IP 位址，只開放給內部使用，當需要讓外部的人使用時，除了改變內部伺服器的管制規則，另一種方法就是在條例中勾選【NAT】。

4.3. SD-WAN 管制#

NG-UTM 具有 SD-WAN 的功能，它能整合包含 MPLS、IP Tunnel 或是 IPSec VPN 等線路，並且分配或管理每一條線路使用的通訊協議或是頻寬，

進行管制前須前往「VPN > SD-WAN」把每一條使用到的通道種類事先定義完成。

一個簡單的運用示意圖如下，2 點之間使用 MPLS 專線，另外用網際網路的 IPSec VPN 建立第 2 條備援線路，此時管理者可以分配 2 點之間的負載分配機制，

例如：MAIL 用 MPLS，ERP 用 IPSec VPN，當任何線路斷掉，另一個線路就馬上接手。

除了當 MPLS 線路的備援外，也可以建立多條的 IPSec VPN 或是 IP Tunnel VPN 通道，並把 2 邊通訊需要的負載分配到合適的通道上。

• SD-WAN 管制顯示頁面說明

進入 SD-WAN 管制時，NG-UTM 會依序列出所有的管制規則，IPV4 跟 IPV6 的管制規則會分開列出，NG-UTM 預設顯示 IPV4 的管制規則，
如果要切換成 IPV6 的管制規則，則在主選單上方  點選 IPV6，整個管制規則就會切換成 IPV6 模式。
不論 IPV4 或是 IPV6 在這個頁面可讓管理者調整的項目如下：

【優先權】：NG-UTM 會從第一條 SD-WAN 管制規則開始執行，所以比對順序對於網路封包的通過與否有關鍵性的影響，數字越小表示越優先。

【啟用】：SD-WAN 管制規則的暫停跟啟用按鈕，點選此處圖示可以將原本啟用的 SD-WAN 管制規則暫停，原本暫停的改為啟用。

【編輯/刪除】：修改或是刪除此條 SD-WAN 管制規則。

當管理者在找尋網路問題或想確認設定的目標是否有進入管制規則中，此時就可以利用 NG-UTM 提供的網路封包即時通聯功能，

點選 SD-WAN 管制規則上【統計】欄位的數字，NG-UTM 會把進出的網路封包擷取並開啟一個新的視窗讓管理者觀察。

【自動更新】：NG-UTM 每隔 3~30 秒，就會自動更新封包的通聯記錄，方便管理者觀察。

【清除】：把通聯記錄的資料全部清除掉，重新記錄跟顯示。

【時間】：SD-WAN 網路封包通過的時間。

【來源IP/Port】：此條 SD-WAN 管制規則的來源 IP 位址跟 PORT。

【目的IP/Port】：此條 SD-WAN 管制規則的目的 IP 位址跟 PORT。

【通訊協定】：此條 SD-WAN 管制規則的通訊協定，有 TCP/UDP/ICMP。

【封包大小】：這一個連線的封包大小，單位為 Bytes。

【出口線路】：這個封包由內到外走的線路出口，如果是【-】，表示是對方 TCP 回傳的封包或是 UDP 封包。

4.3.1. SD-WAN 管制規則 > 基本設定#

每個 SD-WAN 管制規則的來源跟目的都在基本設定中定義，因為專屬於 SD-WAN 通道的管制機制，所以來源或是目的的另一端就是 SD-WAN 通道。

【管制條例名稱】：SD-WAN 管制規則的名稱，方便管理者辨識，可輸入任何中英文字，例如：禁止上網。

【通訊協定】：通訊協定共有 3 個選項，全部、TCP 跟 UDP。

選擇 SD-WAN 管制規則想要管制的通訊協定是屬於哪一個類型，預設為全部。

【方向】：有 2 個方向選項，簡單來區分如下：

· To SD-WAN ：從本機要透過 SD-WAN 通道，到達 SD-WAN 另一端的連線。

· SD-WAN To ：從 SD-WAN 通道進來到本機的連線。

【來源網路】：根據選擇的【方向】不同，來源網路就會不一樣。

若【方向】為 To SD-WAN 那麼來源網路是內部 ZONE 的 IP 位址；【方向】為 SD-WAN To 則來源網路是 SD-WAN 通道另一端的 IP 位址。

· 選項模式 ：選擇已在「管理目標 > 位址表」中建立的位址表或是群組。

· 自訂模式 ：直接填入來源的 IP 位址或是 MAC 位址。

【目的網路】：根據選擇的【方向】不同，目的網路就會不一樣。

若【方向】為 To SD-WAN 那麼目的網路是 SD-WAN 通道另一端的 IP 位址；【方向】為 SD-WAN To 則目的網路是內部 ZONE 的 IP 位址。

· 選項模式 ：選擇已在「管理目標 > 位址表」中建立的位址表或是群組。

· 自訂模式 ：管理者直接填入目的 IP 位址。

【來源網路 / 目的網路查詢】：為了避免位址表 IP 或是群組的項目太多，查詢功能讓管理者可以快速找到要的位址表或是群組。

【通訊埠或群組】：限制通過 IPSec VPN 通道的通訊埠，共有 3 種類別可以選擇，預設服務表、自訂服務群組跟使用者自訂，
NG-UTM 會把常用的服務表列出，例如：HTTP、FTP 等，為了簡化管制規則數量，可把要眾多服務整合在一個服務群組，
這些需要在「管理目標 > 服務表」事先定義，定義好的管理目標就會出現在選項中，若選擇【使用者自訂】則在後面空格中自行填入 Port。

Note

使用注意!

在 IPV4/IPV6 的環境下，如果沒有指定任何群組，代表為全部的通訊埠。

【動作】：符合上述比對的封包該如何處理，可以選擇允許或拒絕；

允許表示讓封包通過並再進行進階設定中時間表或是頻寬管理的處理，拒絕則是將封包丟棄。

4.3.2. SD-WAN 管制規則 > 進階設定#

對於符合【基本設定】規則且【動作】設定為允許的網路封包，NG-UTM 可以進行下列進階動作。

【時間表】：選擇要管制的時間表（在「管理目標 > 時間表」建立），整個 SD-WAN 條例只有在時間表內才會有效，時間表外則無效。

【頻寬管理】：設定要管制的頻寬（在「管理目標 > 頻寬管理」建立），整個條例每秒使用的流量就會被限制。

【SD-WAN】：當管制方向為 To SD-WAN 時顯示。

符合基本設定的封包且【動作】設定為允許下，讓它走哪幾條線路，SD-WAN 可以由多條 IPSec VPN 通道或是 MPLS 線路組合，

這一些組合需要事先在「VPN > SD-WAN」中設定，選擇通道名稱後，系統會自動列出通道的所有 SD-WAN 線路名稱。

【NAT】：當管制方向為 SD-WAN To 時顯示。

對於從 IPSec VPN 通道進入網路介面的封包，執行 NAT 的動作。
勾選後，這個條例的來源 IP 位址會被換成內部的 IP 位址，通常是此內部介面上綁定的 IP 位址。
使用時機：內部伺服器會管制來源 IP 位址，只開放給內部使用，當需要讓外部的人使用時，除了改變內部伺服器的管制規則，另一種方式就是在條例中勾選【NAT】。