модуль check_point.mgmt.cp_mgmt_set_global_properties — изменение глобальных свойств.

advanced_conf

dictionary

Настройка расширенных глобальных атрибутов. Перед изменением этих значений настоятельно рекомендуется проконсультироваться со службой технической поддержки Check Point.

certs_and_pki

dictionary

Настройка свойств сертификатов и PKI.

cert_validation_enforce_key_size

string

Требовать определенную длину ключа при проверке сертификата (только для шлюзов R80 и более поздних версий).

Варианты:

• "off"
• "alert"
• "fail"

host_certs_ecdsa_key_size

string

Выберите размер ключа ECDSA для сертификата хоста.

Варианты:

• "p-256"
• "p-384"
• "p-521"

host_certs_key_size

string

Выберите размер ключа сертификата хоста.

Варианты:

• "4096"
• "1024"
• "2048"

allow_remote_registration_of_opsec_products

boolean

После установки приложения OPSEC утилита удаленного администрирования (RA) позволяет продукту OPSEC завершить регистрацию без доступа к SmartConsole. Если задано значение true, утилиту может запускать любой хост, включая хост приложения. В противном случае утилиту RA можно запустить только с хоста управления безопасностью.

Варианты:

• false
• true

authentication

dictionary

Задайте свойства аутентификации, общие для всех пользователей и различных способов, которыми шлюз безопасности Check Point запрашивает пароли (аутентификация пользователей, клиентов и сеансов).

allowed_suffix_for_internal_users

string

Суффикс для аутентификации внутренних пользователей.

auth_internal_users_with_specific_suffix

boolean

Требовать суффикс для аутентификации внутренних пользователей.

Варианты:

• false
• true

delay_each_auth_attempt_by

integer

Задержка каждой попытки аутентификации на указанное число миллисекунд. В этом поле можно указать любое значение от 1 до 25000.

enable_delayed_auth

boolean

Все виды аутентификации, кроме аутентификации на основе сертификатов, будут задерживаться на указанный период времени. Такая задержка замедляет атаки методом перебора учетных данных. Задержка применяется как к неудачным, так и к успешным попыткам аутентификации.

Варианты:

• false
• true

max_client_auth_attempts_before_connection_termination

integer

Допустимое количество неудачных попыток аутентификации клиента до завершения сеанса. В этом поле можно указать любое значение от 1 до 800 попыток.

max_days_before_expiration_of_non_pulled_user_certificates

integer

Срок действия сертификатов пользователей, которые были инициированы, но не получены, истекает через указанное количество дней. В этом поле можно указать любое значение от 1 до 60 дней.

max_rlogin_attempts_before_connection_termination

integer

Допустимое количество неудачных попыток rlogin до завершения сеанса. В этом поле можно указать любое значение от 1 до 800 попыток.

max_session_auth_attempts_before_connection_termination

integer

Допустимое количество неудачных попыток аутентификации сеанса до завершения сеанса. В этом поле можно указать любое значение от 1 до 800 попыток.

max_telnet_attempts_before_connection_termination

integer

Допустимое количество неудачных попыток telnet до завершения сеанса. В этом поле можно указать любое значение от 1 до 800 попыток.

auto_publish_session

boolean

Опубликовать текущий сеанс, если после завершения задачи были внесены изменения.

Варианты:

• false ← (по умолчанию)
• true

carrier_security

dictionary

Задайте свойства всей системы. Выберите параметры проверки туннелей GTP, включая защиту от подмены адресов, параметры отслеживания и ведения журналов, а также проверки целостности.

aggressive_aging

boolean

Если задано значение true, можно настроить пороговые значения и время ожидания для ускоренного устаревания соединений.

Варианты:

• false
• true

aggressive_timeout

integer

Время ожидания для ускоренного устаревания соединений. Доступно только если для aggressive-aging задано значение true.

allow_ggsn_replies_from_multiple_interfaces

boolean

Разрешает получать ответы GTP-сигнализации с IP-адреса, отличного от адреса, на который отправляются запросы (применимо только к шлюзам ниже R80).

Варианты:

• false
• true

block_gtp_in_gtp

boolean

Запрещает инкапсуляцию пакетов GTP в туннели GTP. Если этот параметр включен, такие пакеты отбрасываются и регистрируются в журнале.

Варианты:

• false
• true

enable_g_pdu_seq_number_check_with_max_deviation

boolean

Если задано значение false, проверка последовательности не выполняется, и принимаются все G-PDU с нарушением последовательности.<br>Для повышения производительности отключите эту расширенную проверку целостности.

Варианты:

• false
• true

enable_reverse_connections

boolean

Разрешает шлюзам Carrier Security принимать PDU, отправленные от GGSN к SGSN в ранее установленном контексте PDP, даже если эти PDU передаются через порты, не совпадающие с портами установленного контекста PDP.

Варианты:

• false
• true

enforce_gtp_anti_spoofing

boolean

Проверяет, используют ли G-PDU IP-адрес конечного пользователя, согласованный в процессе активации контекста PDP. Если этот параметр включен, пакеты, в которых используется другой IP-адрес, отбрасываются и регистрируются в журнале.

Варианты:

• false
• true

g_pdu_seq_number_check_max_deviation

integer

Указывает, что G-PDU принимается, только если разница между его порядковым номером и ожидаемым порядковым номером не превышает допустимое отклонение.<br>Доступно только если для enable-g-pdu-seq-number-check-with-max-deviation задано значение true.

gtp_signaling_rate_limit_sampling_interval

integer

Работает совместно со свойством «Ограничение частоты пакетов GTP-сигнализации» в окне Carrier Security сетевого объекта GSN. Например, если интервал выборки ограничения частоты равен значению по умолчанию — 1 секунде, а для сетевого объекта установлено ограничение частоты пакетов GTP-сигнализации по умолчанию — 2048 PDU в секунду, выборка будет выполняться один раз в секунду, то есть между двумя последовательными выборками будет проходить 2048 PDU сигнализации.

memory_activation_threshold

integer

Порог активации памяти. Доступно только если для aggressive-aging задано значение true.

memory_deactivation_threshold

integer

Порог деактивации памяти. Доступно только если для aggressive-aging задано значение true.

one_gtp_echo_on_each_path_frequency

integer

Задает количество обменов GTP Echo на каждом пути за установленный период времени. Запросы Echo, превышающие эту частоту, отбрасываются и регистрируются в журнале. Значение 0 отключает эту функцию и разрешает неограниченное количество запросов Echo на каждом пути с любым интервалом.

produce_extended_logs_on_unmatched_pdus

boolean

Регистрирует в журнале пакеты GTP, не соответствующие предыдущим правилам, с расширенными полями журнала Carrier Security, связанными с GTP. Такие записи выделены коричневым цветом, а их атрибут Action не заполнен. По умолчанию этот параметр включен.

Варианты:

• false
• true

produce_extended_logs_on_unmatched_pdus_position

string

Выберите, где разместить это неявное правило: перед последним правилом или в качестве последнего правила.<br>Доступно только если для produce-extended-logs-on-unmatched-pdus задано значение true.

Варианты:

• "before last"
• "last"

protocol_violation_track_option

string

Задайте соответствующий параметр отслеживания или оповещения, который будет использоваться при обнаружении нарушения протокола (неправильно сформированного пакета).

Варианты:

• "none"
• "log"
• "popup alert"
• "mail alert"
• "snmp trap alert"
• "user defined alert no.1"
• "user defined alert no.2"
• "user defined alert no.3"

tunnel_activation_threshold

integer

Порог активации туннеля. Доступно только если для aggressive-aging задано значение true.

tunnel_deactivation_threshold

integer

Порог деактивации туннеля. Доступно только если для aggressive-aging задано значение true.

verify_flow_labels

boolean

Проверяет, соответствует ли метка потока каждого пакета меткам потока, заданным сигнализацией GTP. Этот параметр применим только к версии 0 GTP.<br>Для повышения производительности отключите эту расширенную проверку целостности.

Варианты:

• false
• true

connect_control

dictionary

Настройка параметров балансировки нагрузки сервера ConnectControl.

load_agents_port

integer

Задает номер порта, через который агенты измерения нагрузки взаимодействуют с ConnectControl.

load_measurement_interval

integer

Задает периодичность (в секундах), с которой агенты измерения нагрузки передают ConnectControl сведения о состоянии нагрузки.

persistence_server_timeout

integer

Задает период времени (в секундах), в течение которого клиент после перенаправления на определенный сервер будет продолжать направляться на этот же сервер.

server_availability_check_interval

integer

Задает периодичность (в секундах), с которой ConnectControl проверяет, работают ли серверы с балансировкой нагрузки и отвечают ли они на запросы служб.

server_check_retries

integer

Задает количество попыток ConnectControl связаться с сервером, прежде чем прекратить направлять на него трафик.

data_access_control

dictionary

Настройка автоматической загрузки данных с Check Point и анонимного предоставления данных о продукте. Выбранные здесь параметры применяются ко всем шлюзам безопасности, кластерам и устройствам VSX, управляемым этим сервером управления.

auto_download_important_data

boolean

Автоматически загружать и устанавливать контракты Software Blade, обновления безопасности и другие важные данные (настоятельно рекомендуется).

Варианты:

• false
• true

auto_download_sw_updates_and_new_features

boolean

Автоматически загружать обновления программного обеспечения и новые функции (настоятельно рекомендуется).<br>Доступно только если для auto-download-important-data задано значение true.

Варианты:

• false
• true

send_anonymous_info

boolean

Помогите Check Point улучшить продукт, отправляя анонимную информацию.

Варианты:

• false
• true

share_sensitive_info

boolean

Разрешить передачу файлов дампа памяти и других соответствующих данных о сбоях, которые могут содержать персональную информацию. Все передаваемые данные будут обрабатываться в соответствии с политикой конфиденциальности Check Point.<br>Доступно только если для send-anonymous-info задано значение true.

Варианты:

• false
• true

details_level

string

Уровень детализации некоторых полей в ответе может варьироваться от отображения только значения UID объекта до полностью детализированного представления объекта.

Варианты:

• "uid"
• "standard"
• "full"

domains_to_process

list / elements=string

Указывает, в каких доменах выполнять команды. Нельзя использовать со значением details-level full; запускать команду можно только из системного домена и при значении ignore-warnings true. Допустимые значения: CURRENT_DOMAIN, ALL_DOMAINS_ON_THIS_SERVER.

firewall

dictionary

Добавляет подразумеваемые правила в базу правил межсетевого экрана или удаляет их из нее. Определяет положение подразумеваемых правил в базе правил и необходимость ведения для них журнала.

accept_control_connections

boolean

Используется для,<br>&nbsp;&nbsp;&nbsp;&nbsp; <ul><li> установки политики безопасности с сервера Security Management на шлюзы.</li><br>&nbsp;&nbsp;&nbsp;&nbsp; <li> отправки журналов со шлюзов на сервер Security Management.</li><br>&nbsp;&nbsp;&nbsp;&nbsp; <li> обмена данными между клиентами SmartConsole и сервером Security Management</li><br>&nbsp;&nbsp;&nbsp;&nbsp; <li> обмена данными между демонами межсетевого экрана на разных машинах (сервер Security Management, шлюз безопасности).</li><br>&nbsp;&nbsp;&nbsp;&nbsp; <li> подключения к приложениям OPSEC, таким как серверы аутентификации RADIUS и TACACS.</li></ul>Если отключить параметр Accept Control Connections и требуется, чтобы компоненты Check Point обменивались данными друг с другом и с компонентами OPSEC, необходимо явно разрешить эти соединения в базе правил.

Варианты:

• false
• true

accept_domain_name_over_tcp

boolean

Принимает запросы и ответы службы доменных имен (DNS) через TCP, что позволяет загружать таблицы разрешения доменных имен, используемые для передачи зон между серверами. Клиенты используют DNS через TCP только в том случае, если передаваемые таблицы очень велики.

Варианты:

• false
• true

accept_domain_name_over_tcp_position

string

Положение подразумеваемых правил в базе правил.<br>Доступно, только если параметр accept-domain-name-over-tcp имеет значение true.

Варианты:

• "first"
• "last"
• "before last"

accept_domain_name_over_udp

boolean

Принимает запросы и ответы службы доменных имен (DNS) через UDP.

Варианты:

• false
• true

accept_domain_name_over_udp_position

string

Положение подразумеваемых правил в базе правил.<br>Доступно, только если параметр accept-domain-name-over-udp имеет значение true.

Варианты:

• "first"
• "last"
• "before last"

accept_dynamic_addr_modules_outgoing_internet_connections

boolean

Разрешает исходящие подключения модулей с динамическими адресами к Интернету. Принимает трафик DHCP для шлюзов DAIP (шлюзов с динамически назначаемым IP-адресом). На шлюзах Small Office Appliance это правило разрешает исходящие подключения DHCP, PPP, PPTP и L2TP к Интернету (независимо от того, является ли шлюз шлюзом DAIP).

Варианты:

• false
• true

accept_icmp_requests

boolean

Принимает сообщения протокола управляющих сообщений Интернета (ICMP).

Варианты:

• false
• true

accept_icmp_requests_position

string

Положение подразумеваемых правил в базе правил.<br>Доступно, только если параметр accept-icmp-requests имеет значение true.

Варианты:

• "first"
• "last"
• "before last"

accept_identity_awareness_control_connections

boolean

Принимает трафик между шлюзами безопасности в конфигурациях распределенной среды Identity Awareness.

Варианты:

• false
• true

accept_identity_awareness_control_connections_position

string

Положение подразумеваемых правил в базе правил.<br>Доступно, только если параметр accept-identity-awareness-control-connections имеет значение true.

Варианты:

• "first"
• "last"
• "before last"

accept_incoming_traffic_to_dhcp_and_dns_services_of_gws

boolean

Позволяет шлюзу Small Office Appliance предоставлять службы ретрансляции DHCP, сервера DHCP и прокси-сервера DNS независимо от базы правил.

Варианты:

• false
• true

accept_ips1_management_connections

boolean

Принимает подключения IPS-1.<br>Доступно, только если параметр accept-control-connections имеет значение true.

Варианты:

• false
• true

accept_outgoing_packets_originating_from_connectra_gw

boolean

Принимает исходящие пакеты, инициированные шлюзом Connectra.<br>Доступно, только если параметр accept-outgoing-packets-originating-from-gw имеет значение false.

Варианты:

• false
• true

accept_outgoing_packets_originating_from_gw

boolean

Принимает все пакеты от подключений, инициированных шлюзом безопасности Check Point.

Варианты:

• false
• true

accept_outgoing_packets_originating_from_gw_position

string

Положение подразумеваемых правил в базе правил.<br>Доступно, только если параметр accept-outgoing-packets-originating-from-gw имеет значение false.

Варианты:

• "first"
• "last"
• "before last"

accept_outgoing_packets_to_cp_online_services

boolean

Разрешает шлюзам безопасности доступ к онлайн-службам Check Point. Поддерживается для шлюзов R80.10 и более поздних версий.<br>Доступно, только если параметр accept-outgoing-packets-originating-from-gw имеет значение false.

Варианты:

• false
• true

accept_outgoing_packets_to_cp_online_services_position

string

Положение подразумеваемых правил в базе правил.<br>Доступно, только если параметр accept-outgoing-packets-to-cp-online-services имеет значение true.

Варианты:

• "first"
• "last"
• "before last"

accept_remote_access_control_connections

boolean

Принимает подключения удаленного доступа.<br>Доступно, только если параметр accept-control-connections имеет значение true.

Варианты:

• false
• true

accept_rip

boolean

Принимает протокол RIP (Routing Information Protocol), использующий UDP-порт 520.

Варианты:

• false
• true

accept_rip_position

string

Положение подразумеваемых правил в базе правил.<br>Доступно, только если параметр accept-rip имеет значение true.

Варианты:

• "first"
• "last"
• "before last"

accept_smart_update_connections

boolean

Принимает подключения SmartUpdate.

Варианты:

• false
• true

accept_vrrp_packets_originating_from_cluster_members

boolean

Выбор этого параметра создает подразумеваемое правило в базе правил политики безопасности, которое принимает входящий и исходящий трафик VRRP от участников кластера и к ним.

Варианты:

• false
• true

accept_web_and_ssh_connections_for_gw_administration

boolean

Принимает веб-подключения и подключения SSH для шлюзов Small Office Appliance.

Варианты:

• false
• true

log_implied_rules

boolean

Создает записи журнала для обмена данными, соответствующего подразумеваемым правилам, которые формируются в базе правил на основе свойств, заданных в этом окне.

Варианты:

• false
• true

security_server

dictionary

Управляет приветственными сообщениями, которые видят пользователи при входе на серверы за шлюзами безопасности Check Point.

client_auth_welcome_file

string

Файл приветствия для аутентификации клиента — это имя файла, содержимое которого отображается при начале пользователем сеанса аутентификации клиента (необязательно) с использованием метода ручного входа. Сеансы аутентификации клиента, инициированные вручную, не обрабатываются сервером безопасности.

ftp_welcome_msg_file

string

Файл приветственного сообщения FTP — это имя файла, содержимое которого отображается при начале пользователем аутентифицированного сеанса FTP.

http_next_proxy_host

string

Узел следующего HTTP-прокси — это имя узла HTTP-прокси, расположенного за HTTP-сервером безопасности шлюза безопасности Check Point (если он есть). Изменения полей HTTP Next Proxy вступают в силу после загрузки базы данных шлюза безопасности на шлюз, выполняющий аутентификацию, или после повторной установки политики безопасности. <br>Эти настройки применяются только к шлюзам с межсетевым экраном, выпущенным до NG. Для более поздних версий эти настройки следует задавать в окне свойств узла. - Доступно начиная с версии управления R82.

http_next_proxy_port

integer

Порт следующего HTTP-прокси — это порт HTTP-прокси, расположенного за HTTP-сервером безопасности шлюза безопасности Check Point (если он есть). Изменения полей HTTP Next Proxy вступают в силу после загрузки базы данных шлюза безопасности на шлюз, выполняющий аутентификацию, или после повторной установки политики безопасности. <br>Эти настройки применяются только к шлюзам с межсетевым экраном, выпущенным до NG. Для более поздних версий эти настройки следует задавать в окне свойств узла.

Доступно начиная с версии управления R82.

http_servers

list / elements=dictionary

Этот список задает HTTP-серверы. Определение HTTP-серверов позволяет ограничивать входящий HTTP-трафик.

host

string

Имя узла HTTP-сервера.

logical_name

string

Уникальное логическое имя HTTP-сервера.

port

integer

Номер порта HTTP-сервера.

reauthentication

string

Указывает, требуется ли пользователям повторно проходить аутентификацию при обращении к определенному серверу.

Варианты:

• "standard"
• "post request"
• "every request"

mdq_welcome_msg

string

Приветственное сообщение MDQ — это сообщение, отображаемое при начале пользователем сеанса MDQ. Приветственное сообщение MDQ должно содержать символы в соответствии с RFC 1035 и соответствовать правилам ARPANET для имен узлов.<br> - Сообщение должно начинаться с цифры или буквы. После первого буквенного или цифрового символа могут следовать буквы, цифры, пробелы, символы табуляции или дефисы.<br> - Сообщение не должно заканчиваться пробелом или символом табуляции; его длина не должна превышать 63 символа.

rlogin_welcome_msg_file

string

Файл приветственного сообщения Rlogin — это имя файла, содержимое которого отображается при начале пользователем аутентифицированного сеанса RLOGIN.

server_for_null_requests

string

Логическое имя сервера запросов Null из списка http-servers.

smtp_welcome_msg

string

Приветственное сообщение SMTP — это сообщение, отображаемое при начале пользователем сеанса SMTP.

telnet_welcome_msg_file

string

Файл приветственного сообщения Telnet — это имя файла, содержимое которого отображается при начале пользователем аутентифицированного сеанса Telnet.

hit_count

dictionary

Включает функцию Hit Count, которая отслеживает количество подключений, соответствующих каждому правилу.

enable_hit_count

boolean

Установите флажок, чтобы включить, или снимите его, чтобы отключить мониторинг всеми шлюзами безопасности количества подключений, соответствующих каждому правилу.

Варианты:

• false
• true

keep_hit_count_data_up_to

string

Выберите один из вариантов диапазона времени. Данные хранятся в базе данных сервера управления безопасностью в течение этого периода и отображаются в столбце Hits.

Варианты:

• "3 months"
• "6 months"
• "1 year"
• "2 years"

ignore_errors

boolean

Применить изменения, игнорируя ошибки. Опубликовать такие изменения не удастся. Если флаг ignore-warnings не указан, предупреждения также будут игнорироваться.

Варианты:

• false
• true

ignore_warnings

boolean

Применить изменения, игнорируя предупреждения.

Варианты:

• false
• true

log_and_alert

dictionary

Задать общесистемные параметры ведения журнала и оповещений.

administrative_notifications

string

Параметр административных уведомлений задает действие, выполняемое при возникновении административного события (например, когда срок действия сертификата скоро истекает).

Варианты:

• "none"
• "log"
• "popup alert"
• "mail alert"
• "snmp trap alert"
• "user defined alert no.1"
• "user defined alert no.2"
• "user defined alert no.3"

alerts

dictionary

Задать поведение журналов оповещений и тип оповещения для системных журналов оповещений.

default_track_option_for_system_alerts

string

Задать параметр отслеживания по умолчанию для системных оповещений.

Варианты:

• "Popup Alert"
• "Mail Alert"
• "SNMP Trap Alert"
• "User Defined Alert no.1"
• "User Defined Alert no.2"
• "User Defined Alert no.3"

mail_alert_script

string

Сценарий почтового оповещения — сценарий операционной системы, выполняемый, когда в правиле в качестве параметра Track указано Mail. По умолчанию используется internal_sendmail, который является не сценарием, а внутренней командой Security Gateway.

popup_alert_script

string

Сценарий всплывающего оповещения — сценарий операционной системы, выполняемый при выдаче оповещения. Например, можно настроить другой способ уведомления, например электронную почту или пользовательскую команду.

send_mail_alert_to_smartview_monitor

boolean

Отправлять почтовое оповещение в SmartView Monitor: при выдаче почтового оповещения оно также отправляется в SmartView Monitor.

Варианты:

• false
• true

send_popup_alert_to_smartview_monitor

boolean

Отправлять всплывающее оповещение в SmartView Monitor: при выдаче оповещения оно также отправляется в SmartView Monitor.

Варианты:

• false
• true

send_snmp_trap_alert_to_smartview_monitor

boolean

Отправлять оповещение о SNMP-ловушке в SmartView Monitor: при выдаче такого оповещения оно также отправляется в SmartView Monitor.

Варианты:

• false
• true

send_user_defined_alert_num1_to_smartview_monitor

boolean

Отправлять пользовательское оповещение № 1 в SmartView Monitor: при выдаче оповещения оно также отправляется в SmartView Monitor.

Варианты:

• false
• true

send_user_defined_alert_num2_to_smartview_monitor

boolean

Отправлять пользовательское оповещение № 2 в SmartView Monitor: при выдаче оповещения оно также отправляется в SmartView Monitor.

Варианты:

• false
• true

send_user_defined_alert_num3_to_smartview_monitor

boolean

Отправлять пользовательское оповещение № 3 в SmartView Monitor: при выдаче оповещения оно также отправляется в SmartView Monitor.

Варианты:

• false
• true

snmp_trap_alert_script

string

Сценарий оповещения о SNMP-ловушке — команда, выполняемая, когда в правиле в качестве параметра Track указано SNMP Trap. По умолчанию используется internal_snmp_trap. Эта команда выполняется процессом fwd.

user_defined_script_num1

string

Пользовательский сценарий — сценарий операционной системы, выполняемый, когда в правиле в качестве параметра Track указано User-Defined или в качестве параметра Track выбрано User Defined Alert no. 1.

user_defined_script_num2

string

Пользовательский сценарий 2 — сценарий операционной системы, выполняемый, когда в правиле в качестве параметра Track указано User-Defined или в качестве параметра Track выбрано User Defined Alert no. 2.

user_defined_script_num3

string

Пользовательский сценарий 3 — сценарий операционной системы, выполняемый, когда в правиле в качестве параметра Track указано User-Defined или в качестве параметра Track выбрано User Defined Alert no. 3.

connection_matched_by_sam

string

Параметр Connection matched by SAM задает действие, выполняемое при блокировке соединения системой SAM (мониторинг подозрительной активности).

Варианты:

• "Popup Alert"
• "Mail Alert"
• "SNMP Trap Alert"
• "User Defined Alert no.1"
• "User Defined Alert no.2"
• "User Defined Alert no.3"

dynamic_object_resolution_failure

string

Параметр Dynamic object resolution failure задает действие, выполняемое, если динамический объект не удается разрешить.

Варианты:

• "none"
• "log"
• "popup alert"
• "mail alert"
• "snmp trap alert"
• "user defined alert no.1"
• "user defined alert no.2"
• "user defined alert no.3"

ip_options_drop

string

Параметр IP Options drop задает действие при обнаружении пакета с параметрами IP. Check Point Security Gateway всегда отбрасывает такие пакеты, но их можно регистрировать в журнале или выдавать оповещение.

Варианты:

• "none"
• "log"
• "popup alert"
• "mail alert"
• "snmp trap alert"
• "user defined alert no.1"
• "user defined alert no.2"
• "user defined alert no.3"

log_every_authenticated_http_connection

boolean

Параметр Log every authenticated HTTP connection указывает, что для каждого аутентифицированного HTTP-соединения следует создавать запись в журнале.

Варианты:

• false
• true

log_traffic

string

Параметр Log Traffic указывает, следует ли вести журнал трафика.

Варианты:

• "none"
• "log"

packet_is_incorrectly_tagged

string

Пакет помечен неверно.

Варианты:

• "none"
• "log"
• "popup alert"
• "mail alert"
• "snmp trap alert"
• "user defined alert no.1"
• "user defined alert no.2"
• "user defined alert no.3"

packet_tagging_brute_force_attack

string

Атака методом перебора при маркировке пакетов.

Варианты:

• "none"
• "log"
• "popup alert"
• "mail alert"
• "snmp trap alert"
• "user defined alert no.1"
• "user defined alert no.2"
• "user defined alert no.3"

sla_violation

string

Параметр SLA violation задает действие, выполняемое при нарушении SLA, определенном в окне Virtual Links.

Варианты:

• "none"
• "log"
• "popup alert"
• "mail alert"
• "snmp trap alert"
• "user defined alert no.1"
• "user defined alert no.2"
• "user defined alert no.3"

time_settings

dictionary

Настроить параметры времени, связанные с общесистемными параметрами ведения журнала и оповещений.

excessive_log_grace_period

integer

Задает минимальный интервал времени (в секундах) между последовательными записями в журнале для похожих пакетов. Пакеты считаются похожими, если у них совпадают адрес источника, порт источника, адрес назначения и порт назначения, а также используется один и тот же протокол. После первого пакета похожие пакеты, обнаруженные в течение льготного периода, обрабатываются согласно политике безопасности, но запись в журнале или оповещение создается только для первого пакета. В этом поле можно указать значение от 0 до 90 секунд.<br>Примечание. Этот параметр применяется только к правилам DROP с ведением журнала.

logs_resolving_timeout

integer

Задает время (в секундах), по истечении которого отображается страница журнала без разрешения имен и только с IP-адресами. В этом поле можно указать значение от 0 до 90 секунд.

status_fetching_interval

integer

Задает частоту опроса сервером управления безопасностью Check Point Security Gateway, Check Point QoS и других управляемых им шлюзов для получения сведений о состоянии. В этом поле можно указать значение от 30 до 900 секунд.

virtual_link_statistics_logging_interval

integer

Задает частоту (в секундах) регистрации статистики Virtual Link. Этот параметр применяется только к Virtual Links, для которых включена статистика SmartView Monitor на вкладке SLA Parameters окна Virtual Link. В этом поле можно указать значение от 60 до 3600 секунд.

vpn_conf_and_key_exchange_errors

string

Параметр VPN configuration & key exchange errors задает действие при возникновении ошибок конфигурации или обмена ключами, например при попытке установить зашифрованное соединение с сетевым объектом в том же домене шифрования.

Варианты:

• "none"
• "log"
• "popup alert"
• "mail alert"
• "snmp trap alert"
• "user defined alert no.1"
• "user defined alert no.2"
• "user defined alert no.3"

vpn_packet_handling_error

string

Параметр VPN packet handling errors задает действие при возникновении ошибок шифрования или расшифрования. Запись в журнале содержит выполненное действие (Drop или Reject) и краткое описание причины ошибки, например несоответствие схемы или метода.

Варианты:

• "none"
• "log"
• "popup alert"
• "mail alert"
• "snmp trap alert"
• "user defined alert no.1"
• "user defined alert no.2"
• "user defined alert no.3"

vpn_successful_key_exchange

string

Параметр VPN successful key exchange задает действие при успешном обмене ключами VPN.

Варианты:

• "none"
• "log"
• "popup alert"
• "mail alert"
• "snmp trap alert"
• "user defined alert no.1"
• "user defined alert no.2"
• "user defined alert no.3"

nat

dictionary

Настроить параметры, применяемые ко всем NAT-соединениям.

addr_alloc_and_release_track

string

Указывает, следует ли регистрировать в журнале каждое выделение и освобождение IP-адреса из пула IP-адресов.<br>Доступно только при значении enable-ip-pool-nat true.

Варианты:

• "ip allocation log"
• "none"

addr_exhaustion_track

string

Задает действие на случай исчерпания пула IP-адресов.<br>Доступно только при значении enable-ip-pool-nat true.

Варианты:

• "ip exhaustion alert"
• "none"
• "ip exhaustion log"

allow_bi_directional_nat

boolean

Применяется к автоматическим правилам NAT в базе правил NAT и позволяет двум таким правилам соответствовать одному соединению. Без двунаправленного NAT соединению может соответствовать только одно автоматическое правило NAT.

Варианты:

• false
• true

auto_arp_conf

boolean

Гарантирует, что на ARP-запросы для преобразованной с помощью NAT машины, сети или диапазона адресов отвечает Check Point Security Gateway.

Варианты:

• false
• true

auto_translate_dest_on_client_side

boolean

Применяется к пакетам, отправляемым клиентом серверу. Статический NAT для сервера выполняется на стороне клиента.

Варианты:

• false
• true

enable_ip_pool_nat

boolean

Применяется к пакетам, отправляемым клиентом серверу. Статический NAT для сервера выполняется на стороне клиента.

Варианты:

• false
• true

manually_translate_dest_on_client_side

boolean

Применяется к пакетам, исходящим от клиента и направленным серверу. Статическая трансляция NAT для сервера выполняется на стороне клиента.

Варианты:

• false
• true

merge_manual_proxy_arp_conf

boolean

Объединяет автоматические и ручные конфигурации ARP. Для ручных правил статического NAT требуется ручная конфигурация proxy ARP.<br>Доступно, только если значение auto-arp-conf равно true.

Варианты:

• false
• true

non_unique_ip_address_ranges

list / elements=dictionary

Укажите диапазоны неуникальных IP-адресов.

address_type

string

Тип IP-адреса.

Варианты:

• "IPv4"
• "IPv6"

first_ipv4_address

string

Первый IPv4-адрес в диапазоне.

first_ipv6_address

string

Первый IPv6-адрес в диапазоне.

last_ipv4_address

string

Последний IPv4-адрес в диапазоне.

last_ipv6_address

string

Последний IPv6-адрес в диапазоне.

num_spoofing_errs_that_trigger_brute_force

integer

Указывает, сколько пакетов с неверной подписью будет допущено, прежде чем система предположит, что выполняется атака на маркировку пакетов, и отзовёт ключ клиента.

proxy

dictionary

Укажите, следует ли использовать прокси-сервер, когда серверам, шлюзам или клиентам требуется доступ к Интернету для работы определённых функций Check Point, и задайте используемый по умолчанию прокси-сервер.

proxy_address

string

Укажите URL или IP-адрес прокси-сервера.<br>Доступно, только если для use-proxy-server задано значение true.

proxy_port

integer

Укажите порт, через который будет осуществляться доступ к серверу.<br>Доступно, только если для use-proxy-server задано значение true.

use_proxy_server

boolean

Если задано значение true, при необходимости доступа функций к Интернету используется прокси-сервер.

Варианты:

• false
• true

qos

dictionary

Задайте общие параметры качества обслуживания (QoS) и примените их к правилам QoS.

authenticated_ip_expiration

integer

Задайте время ожидания аутентификации для QoS. Значение указывается в минутах. Для аутентифицированного IP-адреса пропускная способность гарантируется для всех соединений, открытых в пределах указанного срока, но после его истечения гарантия пропускной способности прекращает действовать.

default_weight_of_rule

integer

Задайте вес, на основе которого гарантируется пропускная способность. Укажите вес правила по умолчанию.<br>Примечание. Значение применяется только к новым правилам.

max_weight_of_rule

integer

Задайте вес, на основе которого гарантируется пропускная способность. Укажите максимальный вес правила.

non_authenticated_ip_expiration

integer

Задайте время ожидания аутентификации для QoS. Значение указывается в минутах.

unanswered_queried_ip_expiration

integer

Задайте время ожидания аутентификации для QoS. Значение указывается в минутах.

unit_of_measure

string

Задайте скорость передачи пакетов, для которой будет гарантироваться пропускная способность. Укажите единицу измерения.

Варианты:

• "bits-per-sec"
• "bytes-per-sec"
• "kbits-per-sec"
• "kbytes-per-sec"
• "mbits-per-sec"
• "mbytes-per-sec"

remote_access

dictionary

Настройте параметры удалённого доступа.

enable_back_connections

boolean

Обычно соединение с удалёнными клиентами должны инициировать сами клиенты. Однако после того, как клиент установил соединение, узлы за VPN могут открыть ответное соединение с клиентом. Для этого сведения о клиенте должны храниться на всех устройствах между клиентом и шлюзом, а также на самом шлюзе. Укажите, включено ли ответное соединение.

Варианты:

• false
• true

encrypt_dns_traffic

boolean

Можно указать, будут ли DNS-запросы, отправляемые удалённым клиентом DNS-серверу в корпоративной локальной сети, проходить через VPN-туннель. Отключите этот параметр, если клиенту необходимо отправлять DNS-запросы DNS-серверу в корпоративной локальной сети при подключении к организации без использования клиента SecuRemote.

Варианты:

• false
• true

endpoint_connect

dictionary

Настройте глобальные параметры Endpoint Connect. Эти параметры применяются ко всем шлюзам.

cache_password_timeout

integer

Время ожидания для кэшированного пароля (в минутах).

client_upgrade_mode

string

Выберите способ обновления клиента.

Варианты:

• "force_upgrade"
• "ask_user"
• "no_upgrade"

connect_mode

string

Способ инициации соединения со шлюзом:<br>Вручную — VPN-соединения не будут устанавливаться автоматически.<br>Постоянное соединение — Endpoint Connect будет автоматически устанавливать соединение с последним использовавшимся шлюзом в следующих случаях: (a) устройство имеет действительный IP-адрес; (b) устройство выходит из режима энергосбережения или выполняет программный сброс; (c) прекращает действовать условие, из-за которого устройство автоматически отключилось (например, устройство вышло из режима синхронизации с ПК или отключение в состоянии простоя выключено).<br>Настраивается на клиенте конечной точки — способ инициации соединения со шлюзом определяется клиентом конечной точки.

Варианты:

• "Manual"
• "Always Connected"
• "Configured On Endpoint Client"

disconnect_when_conn_to_network_is_lost

string

При включении этой функции пользователи отключаются от шлюза при потере связи с сетью.

Варианты:

• "client_decide"
• "true"
• "false"

disconnect_when_device_is_idle

string

При включении этой функции пользователи отключаются от шлюза, если в течение заданного периода времени не передавался трафик.

Варианты:

• "client_decide"
• "true"
• "false"

enable_password_caching

string

Определяет, сохраняется ли на компьютере пользователя локально пароль, введённый для аутентификации.

Варианты:

• "client_decide"
• "true"
• "false"

network_location_awareness

string

Широкое воздействие. Также применяется к клиентам Check Point GO!<br>Endpoint Connect автоматически определяет, находится ли устройство внутри домена VPN (корпоративной локальной сети) или за его пределами, и при необходимости подключается или отключается. Выберите true и отредактируйте network-location-awareness-conf, чтобы настроить эту функцию.

Варианты:

• "client_decide"
• "true"
• "false"

network_location_awareness_conf

dictionary

Настройте способ определения клиентом своего местоположения относительно внутренней сети.

consider_undefined_dns_suffixes_as_external

boolean

Классификацию местоположений как внутренних или внешних можно ускорить, создав список заведомо внешних DNS-суффиксов. Включите этот параметр, чтобы иметь возможность задавать DNS-суффиксы, которые не будут считаться внешними.

Варианты:

• false
• true

consider_wireless_networks_as_external

boolean

Классификацию местоположений как внутренних или внешних можно ускорить, создав список заведомо внешних беспроводных сетей. Беспроводная сеть определяется по идентификатору набора служб (SSID) — имени, используемому для идентификации конкретной беспроводной локальной сети 802.11.

Варианты:

• false
• true

dns_suffixes

list / elements=string

DNS-суффиксы, не указанные здесь, будут считаться внешними. Если список пуст, параметр consider-undefined-dns-suffixes-as-external автоматически получит значение false.<br>Доступно, только если для consider-undefined-dns-suffixes-as-external задано значение true.

excluded_internal_wireless_networks

list / elements=string

Исключает указанные имена внутренних сетей (SSID).<br>Доступно, только если для consider-wireless-networks-as-external задано значение true.

network_or_group_of_conn_vpn_client

string

Имя или UID сети либо группы, из которой подключается VPN-клиент.<br>Доступно, только если для vpn-clients-are-considered-inside-the-internal-network-when-the-client задано значение «Connects from network or group».

remember_previously_detected_external_networks

boolean

Классификацию местоположений как внутренних или внешних можно ускорить, кэшируя на стороне клиента имена сетей, ранее определённых как внешние.

Варианты:

• false
• true

vpn_clients_are_considered_inside_the_internal_network_when_the_client

string

Когда VPN-клиент находится во внутренней сети, внутренние ресурсы доступны, и VPN-туннель следует отключить. Укажите, когда VPN-клиенты считаются находящимися во внутренней сети:<br>Подключается к GW через внутренний интерфейс — клиент подключается к шлюзу через один из его внутренних интерфейсов (рекомендуется).<br>Подключается из сети или группы — клиент подключается из сети или группы, указанной в network-or-group-of-conn-vpn-client.<br>Работает на компьютере с доступом к домену Active Directory — клиент работает на компьютере, который может получить доступ к своему домену Active Directory.<br>Примечание. VPN-туннель автоматически восстановится, когда VPN-клиент выйдет из внутренней сети, если для клиента выбран режим «Постоянное соединение».

Варианты:

• "connects to gw through internal interface"
• "connects from network or group"
• "runs on computer with access to active directory domain"

re_auth_user_interval

integer

Период времени (в минутах), по истечении которого учётные данные пользователя повторно отправляются шлюзу для проверки авторизации.

route_all_traffic_to_gw

string

Переводит клиент в режим Hub, направляя весь трафик на VPN-сервер для маршрутизации, фильтрации и обработки.

Варианты:

• "client_decide"
• "true"
• "false"

hot_spot_and_hotel_registration

dictionary

Настройте параметры регистрации для беспроводных точек доступа и доступа в Интернет в отелях.

enable_registration

boolean

Чтобы настроить параметры, задайте для Enable registration значение true. Чтобы отменить регистрацию, задайте значение false (указанные ниже параметры станут недоступны). После включения функции на завершение регистрации отводится несколько минут.

Варианты:

• false
• true

local_subnets_access_only

boolean

Доступ только к локальным подсетям.

Варианты:

• false
• true

max_ip_access_during_registration

integer

Максимальное количество адресов, к которым разрешён доступ во время регистрации.

ports

list / elements=string

Порты, которые будут открыты во время регистрации (до 10 портов).

registration_timeout

integer

Максимальное время (в секундах), отведённое на завершение регистрации.

track_log

boolean

Вести журнал.

Варианты:

• false
• true

keep_alive_packet_to_gw_interval

integer

Обычно обмен данными с удалёнными клиентами должен инициироваться клиентами. Однако после установления клиентом соединения узлы за VPN могут открыть обратное соединение с клиентом. Для обратного соединения сведения о клиенте должны сохраняться на всех устройствах между клиентом и шлюзом, а также на самом шлюзе. Укажите частоту (в секундах) отправки клиентом пакетов Keep Alive для поддержания соединения со шлюзом.<br>Доступно, только если параметр enable-back-connections имеет значение true.

scv

dictionary

Задайте свойства процесса проверки безопасной конфигурации (Secure Configuration Verification).

apply_scv_on_simplified_mode_fw_policies

boolean

Определяет, проверяет ли шлюз безопасную настройку клиентов удалённого доступа. Этот параметр задаётся здесь, только если политика безопасности определена в упрощённом режиме (Simplified Mode). Если политика безопасности определена в традиционном режиме (Traditional Mode), проверка выполняется для каждого правила.

Варианты:

• false
• true

exceptions

list / elements=dictionary

Укажите узлы, к которым можно получить доступ с помощью выбранных служб, даже если клиент не прошёл проверку.<br>Доступно, только если параметр apply-scv-on-simplified-mode-fw-policies имеет значение true.

hosts

list / elements=string

Укажите узлы, которые необходимо исключить из SCV.

services

list / elements=string

Укажите службы, к которым разрешён доступ.

generate_log

boolean

Если клиент обнаружит нарушение безопасной конфигурации, укажите, должен ли клиент удалённого доступа создавать запись журнала и отправлять её на сервер управления безопасностью.

Варианты:

• false
• true

no_scv_for_unsupported_cp_clients

boolean

Не выполнять проверку безопасной конфигурации для подключений клиентов Check Point VPN, которые её не поддерживают, например SSL Network Extender, GO, Capsule VPN / Connect, Endpoint Connect ниже R75 или клиентов L2TP.<br>Доступно, только если параметр apply-scv-on-simplified-mode-fw-policies имеет значение true.

Варианты:

• false
• true

notify_user

boolean

Если клиент обнаружит нарушение безопасной конфигурации, укажите, следует ли уведомить пользователя.

Варианты:

• false
• true

only_tcp_ip_protocols_are_used

boolean

Большинство проверок SCV настраиваются с помощью политики SCV. Укажите, следует ли проверять использование только протоколов TCP/IP.

Варианты:

• false
• true

policy_installed_on_all_interfaces

boolean

Большинство проверок SCV настраиваются с помощью политики SCV. Укажите, следует ли проверять, установлена ли политика безопасности рабочего стола на всех интерфейсах клиента.

Варианты:

• false
• true

upon_verification_accept_and_log_client_connection

boolean

Если шлюз проверяет конфигурацию клиента, укажите, как шлюз должен обрабатывать подключения клиентов, не прошедших проверку конфигурации безопасности. Подключение можно либо отбросить, либо принять и зарегистрировать в журнале.

Варианты:

• false
• true

secure_client_mobile

dictionary

Задайте свойства SecureClient Mobile.

automatically_initiate_dialup

string

Если этот параметр выбран, клиент установит коммутируемое GPRS-соединение перед попыткой установить VPN-соединение. Обратите внимание: если локальный IP-адрес уже доступен через другой сетевой интерфейс, коммутируемое GPRS-соединение не устанавливается.

Варианты:

• "client_decide"
• "true"
• "false"

cache_password_timeout

integer

Время хранения кэшированного пароля (в минутах).

connect_mode

string

Способы инициирования соединения со шлюзом.<br>Настраивается на клиентском устройстве — способ инициирования соединения со шлюзом определяется клиентом.<br>Вручную — VPN-соединения не устанавливаются автоматически.<br>Постоянное подключение — SecureClient Mobile автоматически устанавливает соединение с последним шлюзом, к которому выполнялось подключение, при следующих обстоятельствах: (a) устройство имеет действительный IP-адрес; (b) устройство выходит из режима низкого энергопотребления или выполняется программный сброс; (c) перестаёт действовать условие, из-за которого устройство автоматически отключилось (например, устройство вышло из режима PC Sync или отключение не связано с бездействием).<br>По запросу приложения — приложениям, которым нужен доступ к ресурсам через VPN, разрешается инициировать VPN-соединение.

Варианты:

• "manual"
• "always connected"
• "on application request"
• "configured on endpoint client"

disconnect_when_device_is_idle

string

При включении этого параметра пользователи отключаются от шлюза, если в течение заданного периода времени не отправлялся трафик.

Варианты:

• "client_decide"
• "true"
• "false"

enable_password_caching

string

Определяет, сохраняется ли локально на компьютере пользователя пароль, введённый для аутентификации.

Варианты:

• "client_decide"
• "true"
• "false"

re_auth_user_interval

integer

Широкое влияние. Применяется также к клиентам SSL Network Extender!<br>Период времени (в минутах), по истечении которого учётные данные пользователя повторно отправляются на шлюз для проверки авторизации.

route_all_traffic_to_gw

string

Переводит клиент в режим Hub, направляя весь трафик на VPN-сервер для маршрутизации, фильтрации и обработки.

Варианты:

• "client_decide"
• "true"
• "false"

supported_encryption_methods

string

Широкое влияние. Применяется также к клиентам SSL Network Extender!<br>Выберите алгоритмы шифрования, поддерживаемые для удалённых пользователей.

Варианты:

• "3des_or_rc4"
• "3des_only"

user_auth_method

string

Широкое влияние. Применяется также к клиентам SSL Network Extender и Check Point GO.<br>Способ аутентификации пользователя на шлюзе.

Варианты:

• "certificate_with_enrollment"
• "certificate"
• "mixed"
• "legacy"

simultaneous_login_mode

string

Выберите режим одновременного входа.

Варианты:

• "allowonlysinglelogintouser"
• "allowseverallogintouser"

ssl_network_extender

dictionary

Задайте свойства для пользователей SSL Network Extender.

client_outgoing_keep_alive_packets_frequency

integer

Выберите интервал отправки пакетов keep-alive.

client_uninstall_upon_disconnection

string

Укажите, следует ли автоматически удалять SSL Network Extender с клиента при отключении от шлюза.

Варианты:

• "force_uninstall"
• "ask_user"
• "dont_uninstall"

client_upgrade_upon_connection

string

При подключении клиента к шлюзу с помощью SSL Network Extender клиент автоматически проверяет наличие обновлений. Укажите, следует ли автоматически обновлять клиент.

Варианты:

• "force_upgrade"
• "ask_user"
• "no_upgrade"

re_auth_user_interval

integer

Широкое влияние. Применяется к SecureClient Mobile!<br>Выберите интервал, с которым пользователям потребуется повторно проходить аутентификацию.

scan_ep_machine_for_compliance_with_ep_compliance_policy

boolean

Установите значение true, если требуется проверять соответствие конечных устройств политике соответствия конечных устройств (Endpoint Compliance Policy).

Варианты:

• false
• true

supported_encryption_methods

string

Широкое влияние. Применяется также к устройствам SecureClient Mobile!<br>Выберите алгоритмы шифрования, поддерживаемые для удалённых пользователей. Изменения, внесённые здесь, также применяются ко всем клиентам SSL.

Варианты:

• "3des_or_rc4"
• "3des_only"

user_auth_method

string

Широкое влияние. Применяется также к устройствам SecureClient Mobile и клиентам Check Point GO!<br>Способ аутентификации пользователя определяет, как шлюз будет проверять подлинность пользователя. Изменения, внесённые здесь, также применяются к клиентам SSL.<br>Устаревший — только имя пользователя и пароль.<br>Сертификат — только сертификат при наличии действующего сертификата.<br>Сертификат с регистрацией — позволяет получить новый сертификат, а затем использовать только аутентификацию по сертификату.<br>Смешанный — можно использовать имя пользователя и пароль либо сертификат.

Варианты:

• "certificate_with_enrollment"
• "certificate"
• "mixed"
• "legacy"

vpn_advanced

dictionary

Настройте методы шифрования и разрешение интерфейсов для клиентов удалённого доступа.

allow_clear_traffic_to_encryption_domain_when_disconnected

boolean

Поведение SecuRemote/SecureClient при отключении — способ обработки трафика, направленного в домен VPN, когда клиент VPN удалённого доступа не подключён к сайту. Трафик можно отбросить или передать без шифрования.

Варианты:

• false
• true

enable_load_distribution_for_mep_conf

boolean

Распределение нагрузки для конфигураций с несколькими точками входа — клиенты удалённого доступа будут случайным образом выбирать шлюз из списка точек входа. Убедитесь, что для всех шлюзов безопасности, назначенных точками входа, определён один и тот же домен VPN.

Варианты:

• false
• true

use_first_allocated_om_ip_addr_for_all_conn_to_the_gws_of_the_site

boolean

Использовать первый выделенный IP-адрес Office Mode для всех подключений к шлюзам сайта. После подключения удалённого пользователя и получения IP-адреса Office Mode от шлюза все подключения к домену шифрования этого шлюза будут использовать IP-адрес Office Mode в качестве внутреннего исходного IP-адреса. Узлы в домене шифрования будут распознавать этот адрес как IP-адрес удалённого пользователя. IP-адрес Office Mode, назначенный конкретным шлюзом, можно использовать в его собственном домене шифрования, а также в соседних доменах шифрования. Соседние домены шифрования должны находиться за шлюзами, входящими в то же сообщество VPN, что и назначающий шлюз. Поскольку подключения удалённых узлов зависят от полученного IP-адреса Office Mode, при недоступности шлюза, выдавшего этот IP-адрес, все подключения к сайту будут прекращены.

Варианты:

• false
• true

vpn_authentication_and_encryption

dictionary

Настройте поддерживаемые методы шифрования и аутентификации для клиентов удалённого доступа.

encryption_algorithms

dictionary

Выберите методы, согласуемые на этапе 2 IKE и используемые в подключениях IPSec.

ike

dictionary

Настройте параметры этапа 1 IKE.

support_data_integrity

dictionary

Выберите алгоритмы хеширования, поддерживаемые для удалённых узлов и обеспечивающие целостность данных.

aes_xcbc

boolean

Укажите, следует ли поддерживать алгоритм хеширования AES-XCBC для удалённых узлов с целью обеспечения целостности данных.

Варианты:

• false
• true

md5

boolean

Выберите, будет ли алгоритм хеширования MD5 поддерживаться для удаленных узлов для обеспечения целостности данных.

Варианты:

• false
• true

sha1

boolean

Выберите, будет ли алгоритм хеширования SHA1 поддерживаться для удаленных узлов для обеспечения целостности данных.

Варианты:

• false
• true

sha256

boolean

Выберите, будет ли алгоритм хеширования SHA256 поддерживаться для удаленных узлов для обеспечения целостности данных.

Варианты:

• false
• true

sha384

boolean

Выберите, будет ли алгоритм хеширования SHA384 поддерживаться для удаленных узлов для обеспечения целостности данных.

Доступно начиная с версии управления R82.

Варианты:

• false
• true

sha512

boolean

Выберите, будет ли алгоритм хеширования SHA512 поддерживаться для удаленных узлов для обеспечения целостности данных.

Доступно начиная с версии управления R82.

Варианты:

• false
• true

support_diffie_hellman_groups

dictionary

Выберите группы Диффи — Хеллмана, которые будут поддерживаться для удаленных узлов.

group1

boolean

Выберите, будет ли группа 1 Диффи — Хеллмана (768 бит) поддерживаться для удаленных узлов.

Варианты:

• false
• true

group14

boolean

Выберите, будет ли группа 14 Диффи — Хеллмана (2048 бит) поддерживаться для удаленных узлов.

Варианты:

• false
• true

group2

boolean

Выберите, будет ли группа 2 Диффи — Хеллмана (1024 бита) поддерживаться для удаленных узлов.

Варианты:

• false
• true

group5

boolean

Выберите, будет ли группа 5 Диффи — Хеллмана (1536 бит) поддерживаться для удаленных узлов.

Варианты:

• false
• true

support_encryption_algorithms

dictionary

Выберите алгоритмы шифрования, которые будут поддерживаться для удаленных узлов.

aes_128

boolean

Выберите, будет ли алгоритм шифрования AES-128 поддерживаться для удаленных узлов.

Варианты:

• false
• true

aes_256

boolean

Выберите, будет ли алгоритм шифрования AES-256 поддерживаться для удаленных узлов.

Варианты:

• false
• true

des

boolean

Выберите, будет ли алгоритм шифрования DES поддерживаться для удаленных узлов.

Варианты:

• false
• true

tdes

boolean

Выберите, будет ли алгоритм шифрования Triple DES поддерживаться для удаленных узлов.

Варианты:

• false
• true

use_data_integrity

string

Выбранному здесь алгоритму хеширования будет назначен наивысший приоритет, если доступно несколько вариантов.

Варианты:

• "aes-xcbc"
• "sha256"
• "sha1"
• "md5"
• "sha384"
• "sha512"

use_diffie_hellman_group

string

Пользователи SecureClient используют выбранную в этом поле группу Диффи — Хеллмана.

Варианты:

• "group 1"
• "group 2"
• "group 5"
• "group 14"

use_encryption_algorithm

string

Выберите алгоритм шифрования, которому будет назначен наивысший приоритет среди выбранных алгоритмов. Если предлагается несколько алгоритмов шифрования, будет использоваться алгоритм, выбранный в этом поле.

Варианты:

• "AES-256"
• "DES"
• "AES-128"
• "TDES"

ipsec

dictionary

Настройте параметры IPSEC Phase 2.

enforce_encryption_alg_and_data_integrity_on_all_users

boolean

Применять алгоритм шифрования и проверку целостности данных для всех пользователей.

Варианты:

• false
• true

support_data_integrity

dictionary

Выберите алгоритмы хеширования, которые будут поддерживаться для удаленных узлов для обеспечения целостности данных.

aes_xcbc

boolean

Выберите, будет ли алгоритм хеширования AES-XCBC поддерживаться для удаленных узлов для обеспечения целостности данных.

Варианты:

• false
• true

md5

boolean

Выберите, будет ли алгоритм хеширования MD5 поддерживаться для удаленных узлов для обеспечения целостности данных.

Варианты:

• false
• true

sha1

boolean

Выберите, будет ли алгоритм хеширования SHA1 поддерживаться для удаленных узлов для обеспечения целостности данных.

Варианты:

• false
• true

sha256

boolean

Выберите, будет ли алгоритм хеширования SHA256 поддерживаться для удаленных узлов для обеспечения целостности данных.

Варианты:

• false
• true

sha384

boolean

Выберите, будет ли алгоритм хеширования SHA384 поддерживаться для удаленных узлов для обеспечения целостности данных.

Доступно начиная с версии управления R82.

Варианты:

• false
• true

sha512

boolean

Выберите, будет ли алгоритм хеширования SHA512 поддерживаться для удаленных узлов для обеспечения целостности данных.

Доступно начиная с версии управления R82.

Варианты:

• false
• true

support_encryption_algorithms

dictionary

Выберите алгоритмы шифрования, которые будут поддерживаться для удаленных узлов.

aes_128

boolean

Выберите, будет ли алгоритм шифрования AES-128 поддерживаться для удаленных узлов.

Варианты:

• false
• true

aes_256

boolean

Выберите, будет ли алгоритм шифрования AES-256 поддерживаться для удаленных узлов.

Варианты:

• false
• true

des

boolean

Выберите, будет ли алгоритм шифрования DES поддерживаться для удаленных узлов.

Варианты:

• false
• true

tdes

boolean

Выберите, будет ли алгоритм шифрования Triple DES поддерживаться для удаленных узлов.

Варианты:

• false
• true

use_data_integrity

string

Выбранному здесь алгоритму хеширования будет назначен наивысший приоритет, если доступно несколько вариантов.

Варианты:

• "aes-xcbc"
• "sha1"
• "sha256"
• "sha384"
• "sha512"
• "md5"

use_encryption_algorithm

string

Выберите алгоритм шифрования, которому будет назначен наивысший приоритет среди выбранных алгоритмов. Если предлагается несколько алгоритмов шифрования, будет использоваться алгоритм, выбранный в этом поле.

Варианты:

• "AES-256"
• "DES"
• "AES-128"
• "TDES"

encryption_method

string

Выберите метод шифрования.

Варианты:

• "prefer_ikev2_support_ikev1"
• "ike_v2_only"
• "ike_v1_only"

l2tp_pre_shared_key

string

Введите предварительно распределенный ключ.<br>Доступно, только если для параметра support-l2tp-with-pre-shared-key задано значение true.

pre_shared_secret

boolean

Пароль пользователя указывается на вкладке Authentication в свойствах IKE пользователя (в окне свойств пользователя: вкладка Encryption > Edit).

Варианты:

• false
• true

support_l2tp_with_pre_shared_key

boolean

Использовать централизованно управляемый предварительно распределенный ключ для IKE.

Варианты:

• false
• true

support_legacy_auth_for_sc_l2tp_nokia_clients

boolean

Поддерживать устаревшую аутентификацию для SC (гибридный режим), L2TP (PAP) и клиентов Nokia (CRACK).

Варианты:

• false
• true

support_legacy_eap

boolean

Поддерживать устаревший EAP (расширяемый протокол аутентификации).

Варианты:

• false
• true

stateful_inspection

dictionary

Настройте параметры отслеживания состояния соединений.

accept_stateful_icmp_errors

boolean

Принимать пакеты с ошибками ICMP, относящиеся к другому соединению не ICMP (например, к активному соединению TCP или UDP), которое было разрешено базой правил.

Варианты:

• false
• true

accept_stateful_icmp_replies

boolean

Принимать пакеты ответов ICMP на запросы ICMP, разрешенные базой правил.

Варианты:

• false
• true

accept_stateful_other_ip_protocols_replies_for_unknown_services

boolean

Принимать пакеты-ответы для других неопределённых служб (то есть служб, отличных от TCP, UDP и ICMP).

Возможные значения:

• false
• true

accept_stateful_udp_replies_for_unknown_services

boolean

Указывает, следует ли принимать ответы UDP для неизвестных служб.

Возможные значения:

• false
• true

drop_out_of_state_icmp_packets

boolean

Отбрасывать пакеты ICMP, не соответствующие текущему состоянию соединения.

Возможные значения:

• false
• true

drop_out_of_state_sctp_packets

boolean

Отбрасывать пакеты SCTP, не соответствующие текущему состоянию соединения.

Возможные значения:

• false
• true

drop_out_of_state_tcp_packets

boolean

Отбрасывать пакеты TCP, не соответствующие текущему состоянию соединения.

Возможные значения:

• false
• true

icmp_virtual_session_timeout

integer

Виртуальный сеанс ICMP будет считаться завершившимся по истечении этого периода времени (в секундах).

log_on_drop_out_of_state_icmp_packets

boolean

Создавать запись в журнале при отбрасывании этих пакетов ICMP, не соответствующих состоянию соединения.<br>Доступно только при значении true для параметра drop-out-of-state-icmp-packets.

Возможные значения:

• false
• true

log_on_drop_out_of_state_sctp_packets

boolean

Создавать запись в журнале при отбрасывании этих пакетов SCTP, не соответствующих состоянию соединения.<br>Доступно только при значении true для параметра drop-out-of-state-sctp-packets.

Возможные значения:

• false
• true

log_on_drop_out_of_state_tcp_packets

boolean

Создавать запись в журнале при отбрасывании этих пакетов TCP, не соответствующих состоянию соединения.<br>Доступно только при значении true для параметра drop-out-of-state-tcp-packets.

Возможные значения:

• false
• true

other_ip_protocols_virtual_session_timeout

integer

Виртуальный сеанс служб, которые не настроены здесь явно, будет считаться завершившимся по истечении этого периода времени (в секундах).

sctp_end_timeout

integer

Соединения SCTP завершаются через указанное количество секунд после завершения или сброса соединения, чтобы учесть запоздавшие пакеты ACK для этого соединения.

sctp_session_timeout

integer

Время (в секундах), в течение которого неактивное соединение остаётся в таблице соединений Security Gateway.

sctp_start_timeout

integer

Время ожидания для соединений SCTP истекает, если интервал между получением первого пакета и установлением соединения превышает это значение (в секундах).

tcp_end_timeout

integer

Соединение TCP завершится только по истечении времени ожидания завершения TCP после получения двух пакетов FIN (по одному в каждом направлении: от клиента к серверу и от сервера к клиенту) или пакета RST. После завершения соединения TCP (отправки пакетов FIN или сброса соединения) Check Point Security Gateway будет хранить его в таблице соединений ещё в течение времени ожидания завершения TCP, чтобы учесть запоздавшие пакеты ACK для этого соединения.

tcp_end_timeout_r8020_gw_and_above

integer

Соединение TCP завершится только по истечении времени ожидания завершения TCP после получения двух пакетов FIN (по одному в каждом направлении: от клиента к серверу и от сервера к клиенту) или пакета RST. После завершения соединения TCP (отправки пакетов FIN или сброса соединения) Check Point Security Gateway будет хранить его в таблице соединений ещё в течение времени ожидания завершения TCP, чтобы учесть запоздавшие пакеты ACK для этого соединения.

tcp_out_of_state_drop_exceptions

list / elements=string

Имя или UID шлюзов и кластеров, для которых разрешены пакеты, не соответствующие состоянию соединения.

tcp_session_timeout

integer

Время (в секундах), в течение которого неактивное соединение остаётся в таблице соединений Security Gateway.

tcp_start_timeout

integer

Время ожидания для соединения TCP истекает, если интервал между получением первого пакета и установлением соединения (трёхэтапным рукопожатием TCP) превышает время ожидания запуска TCP.

udp_virtual_session_timeout

integer

Указывает, как долго (в секундах) канал ответов UDP может оставаться открытым без получения каких-либо пакетов.

user_accounts

dictionary

Задать срок действия учётной записи пользователя и настроить предупреждения о скором истечении срока действия.

days_until_expiration

integer

Срок действия учётной записи истекает через выбранное количество дней.<br>Доступно только если для параметра expiration-date-method задано значение «expire after».

expiration_date

string

Укажите дату истечения срока действия в формате YYYY-MM-DD.<br>Доступно только если для параметра expiration-date-method задано значение «expire at».

expiration_date_method

string

Выберите способ задания даты истечения срока действия.<br>Expire at — срок действия учётной записи истекает в выбранную дату.<br>Expire after — срок действия учётной записи истекает через выбранное количество дней.

Возможные значения:

• "expire after"
• "expire at"

show_accounts_expiration_indication_days_in_advance

boolean

Активирует ссылку «Учётные записи с истёкшим сроком действия», открывающую соответствующее окно.

Возможные значения:

• false
• true

user_authority

dictionary

Определяет, следует ли отображать базу правил WebAccess и предоставлять к ней доступ. Эта политика определяет, какие пользователи (то есть какие домены Windows) имеют доступ к внутренним сайтам организации.

display_web_access_view

boolean

Укажите, отображать ли базу правил WebAccess. Эта база правил используется для UserAuthority.

Возможные значения:

• false
• true

trust_only_following_windows_domains

list / elements=string

Укажите, каким доменам Windows будет предоставлен доступ к внутренним сайтам организации.<br>Доступно только если для параметра windows-domains-to-trust задано значение SELECTIVELY.

windows_domains_to_trust

string

При сопоставлении имён пользователей брандмауэра с именами пользователей доменов Windows для единого входа выберите, следует ли доверять всем доменам Windows или указать конкретные домены.<br>ALL — разрешить доступ к внутренним сайтам организации всем доменам Windows.<br>SELECTIVELY — указать, каким доменам Windows будет предоставлен доступ к внутренним сайтам организации.

Возможные значения:

• "selectively"
• "all"

user_check

dictionary

Задаёт язык сообщения UserCheck, если не удаётся определить языковые настройки браузера пользователя.

preferred_language

string

Предпочитаемый язык для новых сообщений UserCheck.

Возможные значения:

• "Afrikaans"
• "Albanian"
• "Amharic"
• "Arabic"
• "Armenian"
• "Basque"
• "Belarusian"
• "Bosnian"
• "Bulgarian"
• "Catalan"
• "Chinese"
• "Croatian"
• "Czech"
• "Danish"
• "Dutch"
• "English"
• "Estonian"
• "Finnish"
• "French"
• "Gaelic"
• "Georgian"
• "German"
• "Greek"
• "Hebrew"
• "Hindi"
• "Hungarian"
• "Icelandic"
• "Indonesian"
• "Irish"
• "Italian"
• "Japanese"
• "Korean"
• "Latvian"
• "Lithuanian"
• "Macedonia"
• "Maltese"
• "Nepali"
• "Norwegian"
• "Polish"
• "Portuguese"
• "Romanian"
• "Russian"
• "Serbian"
• "Slovak"
• "Slovenian"
• "Sorbian"
• "Spanish"
• "Swahili"
• "Swedish"
• "Thai"
• "Turkish"
• "Ukrainian"
• "Vietnamese"
• "Welsh"

send_emails_using_mail_server

string

Имя или UID почтового сервера, через который отправляются электронные письма.

user_directory

dictionary

Пользователь может включить каталог пользователей LDAP и задать глобальные параметры LDAP. Если каталог пользователей LDAP включён, пользователи управляются на внешнем сервере LDAP, а не во внутренних базах данных пользователей Check Point Security Gateway.

cache_size

integer

Максимальное количество пользователей, которые могут храниться в кэше. Кэш работает по принципу FIFO (первым пришёл — первым ушёл). При добавлении нового пользователя в заполненный кэш первый пользователь удаляется, освобождая место. Check Point Security Gateway не обращается к серверу LDAP за пользователями, уже находящимися в кэше, пока не истечёт время ожидания кэша.

display_user_dn_at_login

string

Определяет, следует ли отображать DN пользователя при входе в систему. Если выбран показ DN пользователя, можно указать, отображать ли его при запросе пароля во время входа или по запросу схемы аутентификации. Это свойство полезно для диагностики, если в подразделении учётных записей есть несколько пользователей с одинаковым именем. В этом случае выбирается первый пользователь, а остальные игнорируются.

Возможные значения:

• "no display"
• "display upon request"
• "display"

enable_password_change_when_user_active_directory_expires

boolean

Для организаций, использующих MS Active Directory, этот параметр позволяет пользователям с истёкшими паролями автоматически создавать новые пароли.

Возможные значения:

• false
• true

enable_password_expiration_configuration

boolean

Включить настройку количества дней, в течение которых пароль действителен.<br>Если для параметра enable-password-change-when-user-active-directory-expires задано значение true, срок действия пароля определяется Active Directory. В этом случае рекомендуется не задавать этому параметру значение true.

Возможные значения:

• false
• true

enforce_rules_for_user_mgmt_admins

boolean

Применять правила надёжности паролей к пользователям LDAP при создании или изменении пароля Check Point.

Возможные значения:

• false
• true

min_password_length

integer

Задаёт минимальную длину пароля (в символах).

password_expires_after

integer

Задаёт количество дней, в течение которых пароль действителен. Для аутентификации пользователей используется специальный пароль LDAP. Если срок действия этого пароля истечёт, необходимо задать новый пароль.<br>Доступно только при значении true для параметра enable-password-expiration-configuration.

password_must_include_a_digit

boolean

Пароль должен содержать цифру.

Возможные значения:

• false
• true

password_must_include_a_symbol

boolean

Пароль должен содержать специальный символ.

Возможные значения:

• false
• true

password_must_include_lowercase_char

boolean

Пароль должен содержать строчную букву.

Возможные значения:

• false
• true

password_must_include_uppercase_char

boolean

Пароль должен содержать заглавную букву.

Возможные значения:

• false
• true

timeout_on_cached_users

integer

Период времени, по истечении которого срок действия записи о пользователе в кэше истекает и её необходимо повторно получить с сервера LDAP.

version

string

Версия Check Point. Если она не указана, используется последняя версия.

vpn

dictionary

Настройка параметров, относящихся к VPN.

domain_name_for_dns_resolving

string

Введите доменное имя, которое будет использоваться для поиска шлюзов в DNS. Используемое имя хоста DNS имеет вид «gateway_name.domain_name».

enable_backup_gw

boolean

Включить резервный шлюз.

Варианты:

• false
• true

enable_decrypt_on_accept_for_gw_to_gw_traffic

boolean

Включить расшифрование при принятии трафика между шлюзами. Этот параметр актуален только для политик в традиционном режиме. В традиционном режиме действие «Accept» означает, что соединение разрешено, а действие «Encrypt» — что соединение разрешено и зашифровано. Выберите, будет ли VPN принимать зашифрованный пакет, соответствующий правилу с действием «Accept», или отбрасывать его.

Варианты:

• false
• true

enable_load_distribution_for_mep_conf

boolean

Включить распределение нагрузки для конфигураций с несколькими точками входа (соединений «сеть-сеть»). Функция VPN Multiple Entry Point (MEP) обеспечивает высокую доступность и распределение нагрузки для шлюзов безопасности Check Point. MEP работает в четырех режимах,<br>&nbsp;&nbsp;&nbsp;&nbsp; <ul><li> Первый ответивший: выбирается первый шлюз, ответивший шлюзу-партнеру. Организация может выбрать этот вариант, например, если у нее есть два шлюза в конфигурации MEP — один в Лондоне, другой в Нью-Йорке. Для партнерских шлюзов безопасности Check Point, расположенных в Англии, имеет смысл сначала обращаться к шлюзу в Лондоне, а затем к шлюзу в Нью-Йорке. Поскольку шлюз в Лондоне географически ближе к партнерским шлюзам безопасности Check Point в Англии, он ответит первым и станет точкой входа во внутреннюю сеть.</li><br>&nbsp;&nbsp;&nbsp;&nbsp; <li> Домен VPN: если IP-адрес назначения принадлежит определенному домену VPN, шлюз этого домена становится выбранной точкой входа. Этот шлюз становится основным, а остальные шлюзы в конфигурации MEP — его резервными шлюзами.</li><br>&nbsp;&nbsp;&nbsp;&nbsp; <li> Случайный выбор: удаленный партнерский шлюз безопасности Check Point случайным образом выбирает шлюз для установления VPN-соединения. Для каждой пары IP-адресов источника и назначения случайным образом выбирается новый шлюз. В организации может быть несколько машин с одинаковой производительностью. В этом случае имеет смысл включить распределение нагрузки. Машины используются случайным образом и равномерно.</li><br>&nbsp;&nbsp;&nbsp;&nbsp; <li> Список приоритетов, заданный вручную: приоритеты шлюзов можно задать вручную для всего сообщества или для отдельных шлюзов-сателлитов.</li></ul>.

Варианты:

• false
• true

enable_vpn_directional_match_in_vpn_column

boolean

Включить направленное сопоставление VPN в столбце VPN.<br>Обратите внимание: направленное сопоставление VPN поддерживается только в Gaia, SecurePlatform, Linux и IPSO.

Варианты:

• false
• true

grace_period_after_the_crl_is_not_valid

integer

При установлении VPN-туннелей партнер предъявляет свой сертификат для аутентификации. Часы на компьютере со шлюзом должны быть синхронизированы с часами на компьютере центра сертификации. В противном случае список отозванных сертификатов (CRL), используемый для проверки сертификата партнера, может считаться недействительным, и аутентификация завершится неудачей. Чтобы устранить проблему рассинхронизации часов, период ожидания расширяет временной интервал, в течение которого CRL считается действительным.

grace_period_before_the_crl_is_valid

integer

При установлении VPN-туннелей партнер предъявляет свой сертификат для аутентификации. Часы на компьютере со шлюзом должны быть синхронизированы с часами на компьютере центра сертификации. В противном случае список отозванных сертификатов (CRL), используемый для проверки сертификата партнера, может считаться недействительным, и аутентификация завершится неудачей. Чтобы устранить проблему рассинхронизации часов, период ожидания расширяет временной интервал, в течение которого CRL считается действительным.

grace_period_extension_for_secure_remote_secure_client

integer

При работе с удаленными клиентами период ожидания необходимо увеличить. Иногда удаленный клиент получает CRL от шлюза-партнера. Если часы клиента не синхронизированы с часами шлюза, CRL, который шлюз считает действительным, может считаться недействительным на клиенте.

support_ike_dos_protection_from_identified_src

string

Если количество одновременно обрабатываемых согласований IKE превышает порог, соответствующий пропускной способности VPN, шлюз делает вывод, что он либо перегружен, либо подвергается атаке типа «отказ в обслуживании». VPN может отфильтровывать партнеров, которые, вероятно, являются источниками потенциальной атаки типа «отказ в обслуживании». Существуют два типа защиты,<br>&nbsp;&nbsp;&nbsp;&nbsp; <ul><li> Без сохранения состояния: партнер должен ответить на уведомление IKE таким образом, чтобы доказать, что его IP-адрес не подменен. Если партнер не может этого доказать, VPN не выделяет ресурсы для согласования IKE</li><br>&nbsp;&nbsp;&nbsp;&nbsp; <li> Головоломки: аналогично режиму без сохранения состояния, но партнер также должен решить математическую головоломку. Решение этой головоломки расходует ресурсы процессора партнера и затрудняет одновременный запуск нескольких согласований IKE.</li></ul>Головоломки обеспечивают более высокий уровень безопасности, чем режим без сохранения состояния, но снижают производительность.<br>Поскольку для таких атак используется новое проприетарное расширение протокола IKE, включение этих механизмов защиты может вызвать проблемы при взаимодействии с продуктами VPN сторонних производителей или более старыми версиями VPN.

Варианты:

• "puzzles"
• "stateless"
• "none"

support_ike_dos_protection_from_unidentified_src

string

Если количество одновременно обрабатываемых согласований IKE превышает порог, соответствующий пропускной способности VPN, шлюз делает вывод, что он либо перегружен, либо подвергается атаке типа «отказ в обслуживании». VPN может отфильтровывать партнеров, которые, вероятно, являются источниками потенциальной атаки типа «отказ в обслуживании». Существуют два типа защиты,<br>&nbsp;&nbsp;&nbsp;&nbsp; <ul><li> Без сохранения состояния: партнер должен ответить на уведомление IKE таким образом, чтобы доказать, что его IP-адрес не подменен. Если партнер не может этого доказать, VPN не выделяет ресурсы для согласования IKE</li><br>&nbsp;&nbsp;&nbsp;&nbsp; <li> Головоломки: аналогично режиму без сохранения состояния, но партнер также должен решить математическую головоломку. Решение этой головоломки расходует ресурсы процессора партнера и затрудняет одновременный запуск нескольких согласований IKE.</li></ul>Головоломки обеспечивают более высокий уровень безопасности, чем режим без сохранения состояния, но снижают производительность.<br>Поскольку для таких атак используется новое проприетарное расширение протокола IKE, включение этих механизмов защиты может вызвать проблемы при взаимодействии с продуктами VPN сторонних производителей или более старыми версиями VPN.

Варианты:

• "puzzles"
• "stateless"
• "none"

vpn_conf_method

string

Выберите упрощенный или традиционный режим для всех новых политик безопасности либо задайте режим отдельно для каждой политики.

Варианты:

• "simplified"
• "traditional"
• "per policy"

wait_for_task

boolean

Дождаться завершения задачи, например публикации.

Варианты:

• false
• true ← (значение по умолчанию)

wait_for_task_timeout

integer

Сколько минут ждать до возникновения ошибки тайм-аута.

По умолчанию: 30

cp_mgmt_set_global_properties

dictionary

Результат выполнения команды checkpoint set-global-properties.

Возвращается: всегда.