Помимо деления сетевых интерфейсов на группы доверенных и недоверенных, существует деление на два класса сетевых интерфейсов, в зависимости от наличия или отсутствия возможности СКЗИ и МЭ контролировать на них трафик. Если СКЗИ и МЭ может контролировать трафик на сетевом интерфейсе, то такой интерфейс будет называться «контролируемым» и, соответственно, относиться к классу контролируемых, в противном случае – «неконтролируемым» и входить в класс неконтролируемых.
Внимание! |
Сетевые интерфейсы, подключенные к недоверенным сетям, не должны переводиться в неконтролируемое состояние. |
Таблица 2 показывает возможные состояния интерфейса с точки зрения подконтрольности и допустимые переходы между ними.
Таблица 2
Группа \ Класс |
Контролируемый |
Неконтролируемый |
Доверенный |
По умолчанию |
Переключение по инициативе администратора для выполнения расширенных функций |
Недоверенный |
По умолчанию |
Недопустимо |
Настройки сетевых интерфейсов, при которых они могут стать неконтролируемыми с точки зрения СКЗИ и МЭ, описаны в главе «Добавление и удаление виртуальных сетевых интерфейсов».
Для исполнений 4, 5, 6 (для С-Терра Шлюз DP (FP)) все интерфейсы, которые не описаны в файле /opt/VPNagent/etc/ipsm_dpdk.cfg, считаются неконтролируемыми. Сопоставление интерфейсов в данном файле с сетевыми картами нужно осуществлять на основе адреса PCI шины (см. параметр pci_id в данном конфигурационном файле).