Un pare-feu, une connexion Internet, mais votre personnel, vos étudiants et vos invités ne devraient pas tous être soumis aux mêmes règles. Policy Manager est l'application qui divise un pare-feu Arista (Untangle) en livres de règles distincts, un par groupe.
Dès la sortie de la boîte, chaque appareil derrière votre pare-feu suit la même politique : le même filtre Web, les mêmes catégories bloquées, les mêmes applications. C'est bien pour un réseau domestique, mais dans un bureau ou une école, cela tombe rapidement en panne : les RH ont besoin de sites que les étudiants ne doivent jamais ouvrir et les invités doivent recevoir une liste courte et stricte. Policy Manager résout ce problème en créant des politiques supplémentaires (Arista les appelle des racks). Chaque stratégie comporte son propre ensemble d'applications avec ses propres paramètres, et une règle simple décide quel groupe appartient à quelle stratégie. Ce guide suit exactement le déroulement de la vidéo : connectez-vous, créez une politique RH, installez-y des modules, attribuez des personnes par adresse IP ou MAC et comprenez la politique par défaut qui attrape tout le monde.
| Policy (Rack) | Who Lands Here | Typical Web Filter Behaviour |
|---|---|---|
| HR Policy | HR team PCs, matched by IP or MAC | Job portals and social media allowed, rest standard |
| Student Policy | Lab and classroom devices | Strict — social media, games and proxies blocked |
| Default Policy | Everyone and everything else | Balanced office filtering — this one ships with the firewall |
Tout commence dans l'interface d'administration, exactement comme le montre la vidéo :
Vous verrez une stratégie déjà présente : la stratégie Par défaut. Il est créé automatiquement, il ne peut pas être supprimé et il traite actuellement tout votre trafic. Rien de ce que vous construisez plus tard ne fonctionne jusqu'à ce qu'une règle en éloigne le trafic – gardez cela à l'esprit.
Cliquez pour ajouter une nouvelle politique et donnez-lui un nom que votre équipe comprendra en un coup d'œil. La vidéo utilise la Politique RH comme exemple, car les services sont la raison la plus courante pour le faire. Deux paramètres comptent ici. Le nom n'est qu'une étiquette, alors nommez-le d'après le groupe, pas la technologie : RH, Étudiants, Invités, Serveurs. La Politique parent (rack parent) décide de l'héritage : une stratégie enfant commence par hériter des applications et des paramètres de son parent, et vous modifiez ensuite uniquement ce qui est différent. Choisir la stratégie par défaut comme parent est le choix normal : la nouvelle stratégie commence comme une copie de votre configuration de travail au lieu d'une boîte vide sans aucun filtrage.
Une politique en elle-même ne fait rien : c'est un rack vide jusqu'à ce que vous y installiez des applications. Ouvrez la nouvelle stratégie et installez les modules dont le groupe a besoin, par exemple Web Filter. C'est le cœur de toute la fonctionnalité : le filtre Web de la politique RH est une instance distincte avec ses propres catégories, listes de blocage et listes de réussite. Autoriser un portail d'emploi dans le filtre Web de la politique RH ne l'autorise pas pour les étudiants, car la politique étudiante possède sa propre instance de filtre Web avec ses propres paramètres. Installez uniquement ce dont ce groupe a besoin : chaque application supplémentaire représente un traitement supplémentaire et une chose de plus à gérer.
Dites maintenant au pare-feu qui appartient à cette stratégie. De retour dans Policy Manager, ouvrez l'onglet Règles et ajoutez une règle : lorsque le trafic correspond à la condition, envoyez-la à la stratégie RH. La vidéo attribue les utilisateurs par adresse IP source ou adresse MAC source – par exemple, le PC du responsable des ressources humaines à une adresse fixe telle que 192.168.1.50, ou une liste d'adresses du service RH. Les règles sont vérifiées de haut en bas et la première règle correspondante l'emporte, donc l'ordre de cette liste n'est pas une décoration — c'est la logique. Tout ce qui ne correspond à aucune règle est simplement appliqué à la politique par défaut.
N'annoncez pas les nouvelles règles avant d'avoir vu un véritable appareil y obéir :
Si le premier test échoue, les causes habituelles sont une adresse DHCP qui a changé, une règle située en dessous d'une règle plus large ou une ancienne session qui a démarré avant que la règle n'existe. La page de diagnostic de cette série les passe en revue un par un.
Policy Manager ne fait pas partie du noyau libre du pare-feu. Untangle est désormais vendu sous le nom de Arista Edge Threat Management (ETM) NG Firewall, et Policy Manager — comme le filtre Web complet et le connecteur d'annuaire qui ajoute des règles basées sur le nom d'utilisateur — est une application d'abonnement. Le téléchargement de la plateforme est gratuit et vous pouvez ouvrir l'interface et regarder autour de vous pendant un essai, mais une configuration multi-politiques permanente nécessite l'abonnement qui la couvre. Les prix et les offres groupées changent, alors vérifiez la licence Arista actuelle pour connaître votre nombre d'utilisateurs avant de concevoir un déploiement à grande échelle autour de celle-ci.
Création de la politique RH, définition de son parent, installation du module Web Filter et attribution des utilisateurs par IP et MAC — la séquence complète est montrée en direct dans la vidéo.
▶️ Watch Full VideoNon. La plate-forme de pare-feu (maintenant Arista Edge Threat Management NG Firewall) est téléchargeable gratuitement, mais Policy Manager est une application par abonnement. Sans l’abonnement, vous ne disposez que de la seule politique par défaut. Les licences d'essai vous permettent de le tester avant de payer.
Arista utilise le mot rack pour désigner une politique. Un rack est un livre de règles complet : son propre ensemble d'applications installées, chacune avec ses propres paramètres. Les règles de Policy Manager déterminent quel rack traite chaque nouvelle session, et le rack par défaut gère tout ce qui ne correspond à aucune règle.
Non. Lorsqu'une session démarre, les règles sont vérifiées depuis le haut et la première règle correspondante décide de la politique pour l'ensemble de cette session. Un appareil est toujours traité par exactement une stratégie à la fois, c’est donc l’ordre des règles qui règle les chevauchements.