Телеграмм чат группы chkpchat страница 1292

Я к тому что в какой-то момент (даже за счёт дропа) паттерн трафика конкретного пользователя должен распознаться и ассоциироваться с конкретным приложением . Дальше коробка понимает - ага этот юзер идёт на Google drive , его трафик я больше не инспектирую

источник

11:28пожаловаться #5

Roman Paralon in Check Point Community (RUS)

Ну в принципе я понимаю ответ - типа "а если юзер идёт на "плохой" сайт, то как мне его распознать без инспекции"

источник

11:29пожаловаться #6

Evgeniy Olkov in Check Point Community (RUS)

Roman Paralon

как распознать паттерн трафика, которого нет? Т.к. первые пакеты дропаются

источник

11:31пожаловаться #7

Evgeniy Olkov in Check Point Community (RUS)

распознать трафик по двум пакетам - сомнительная задача

источник

11:31пожаловаться #8

Roman Paralon in Check Point Community (RUS)

Evgeniy Olkov

как распознать паттерн трафика, которого нет? Т.к. первые пакеты дропаются

Под "дропаются" я имею ввиду с точки зрения пользователя. Потому что инспекция происходит.

источник

11:33пожаловаться #9

Roman Paralon in Check Point Community (RUS)

Evgeniy Olkov

распознать трафик по двум пакетам - сомнительная задача

Я не знаю ответа на свой вопрос, поэтому просто спрошу. Сколько нужно пакетов что бы ChekPoint понял что это трафик Google drive?

источник

11:34пожаловаться #10

Evgeniy Olkov in Check Point Community (RUS)

как она произойдет если приложение не работает через https инспекцию например?

источник

11:34пожаловаться #11

Evgeniy Olkov in Check Point Community (RUS)

с тем же certificate pinning

источник

11:35пожаловаться #12

Roman Paralon in Check Point Community (RUS)

Ок, тогда вопрос глубже. Как application filtering распознает что это именно Google drive?

источник

11:36пожаловаться #13

Roman Paralon in Check Point Community (RUS)

Просто по destination IP?

источник

11:36пожаловаться #14

Evgeniy Olkov in Check Point Community (RUS)

Либо по имени в сертификате

источник

11:36пожаловаться #15

Roman Paralon in Check Point Community (RUS)

Тогда что опять же ему мешает по тем же принципам, по которым он соотносит этот трафик с приложением, не делать его инспекцию, если я укажу приложение для bypass правила?

источник

11:37пожаловаться #16

Evgeniy Olkov in Check Point Community (RUS)

потому что: dst ip может меняться, имя в сертификате - тоже

источник

11:38пожаловаться #17

Roman Paralon in Check Point Community (RUS)

Хорошо. Спасибо!

источник

11:43пожаловаться #18

Gregory Konovalov in Check Point Community (RUS)

Коллеги, никак не пойму что даёт лицензия HA? Без неё кластере не соберётся?

источник

17:36пожаловаться #19

Aleksei Shelepov in Check Point Community (RUS)

Она подходит только для второстепенных железок в кластере, нужно чтобы ещё и обычная (не НА) была на другом устройстве, чтобы кластер работал. Поэтому она и дешевле.
Можно сделать кластер только на обычных лицензиях (не НА), но нельзя делать только на НА.

источник

17:45пожаловаться #20