Прылады і доступ

Квас Про дазваляе вырашаць па кожнай прыладзе асобна: пускаць яе ў інтэрнэт толькі па спісе дазволеных сайтаў, накіроўваць праз абаронены канал або закрываць доступ наогул. Дома гэта зручна, а ў невялікім офісе — амаль абавязкова: працоўныя камп’ютары, госцевы Wi-Fi і каса павінны жыць па розных правілах.

Кіраванне — на экране «Кліенты» (у левым меню: «Сетка → Кліенты»).

З чаго ўсё складаецца

У Квас Про два ўзроўні кіравання. Яны ўкладзеныя адзін у адзін, як матраёшка:

• Прылада (кліент) — канкрэтны тэлефон, камп’ютар, тэлевізар або каса.
• Сетка — група прылад з агульным дыяпазонам адрасоў (напрыклад, увесь хатні Wi-Fi або асобная госцевая сетка). Налады сеткі па змаўчанні дзейнічаюць на ўсе прылады ўнутры яе.

Сеткі і наследаванне наладаў

Сетка — галоўны інструмент, калі прылад шмат. Правілы задаюцца адзін раз на ўсю сетку, а прылады іх наследуюць — гэта значыць аўтаматычна бяруць налады сеткі, пакуль вы не задасце прыладзе нешта сваё.

У кожнай сеткі ёсць:

• Рэжым — «Раздзельны» або «Поўны тунэль» (што гэта, — ніжэй).
• Злучэнне — праз які абаронены канал ходзіць сетка; ёсць варыянт «— Без злучэння».
• Уключана — перамыкач; калі выключыць, маршрутызацыя ўсёй сеткі перастае дзейнічаць.

У радку сеткі відаць, колькі прылад «наследуюць N з M» — гэта значыць колькі з іх жывуць па агульных правілах, а колькі атрымалі свае.

Хто праз якое злучэнне ходзіць

Кірунак трафіку задаецца двума параметрамі — рэжымам і злучэннем. Іх можна ўстанавіць на ўсю сетку, а можна на асобную прыладу.

• Рэжым «Раздзельны» — прылада ідзе праз абаронены канал толькі для сайтаў з белага спісу, а ўсё астатняе — наўпрост. Гэта звычайны, эканомны рэжым.
• Рэжым «Поўны тунэль» — увесь трафік прылады ідзе праз абаронены канал. Падыходзіць, калі прыладзе патрэбна максімальная абарона. Уключаецца перамыкачом «Поўны тунэль» у радку прылады або на ўзроўні сеткі. Перамыкач працуе толькі калі ў прылады (або сеткі) выбранае злучэнне: без злучэння ён неактыўны і тлумачыць, што поўны тунэль накіроўвае ўвесь трафік праз канал. Выключыць поўны тунэль можна заўсёды — гэта дзеянне ад злучэння не залежыць.
• Злучэнне — які менавіта канал выкарыстоўваць. Розным прыладам можна прызначыць розныя каналы: напрыклад, працоўны ноўтбук — праз адзін сервер, а тэлевізар — праз іншы.

Якія сайты наогул лічацца «патрэбнымі» і праз які канал яны ідуць, задаецца на асобным экране — гл. Белы спіс.

З чаго складаецца радок прылады

Табліца кліентаў складаецца з сямі слупкоў: «Імя / Сетка», «IP-адрас», «MAC-адрас», «Злучэнне», «Поўны тунэль», «Удзел» і «Дзеянні». У сеткі ў слупку «Імя / Сетка» побач з імем стаіць лік яе прылад — напрыклад, «Хатняя (4)», — а адрас сеткі паказаны ў слупку «IP-адрас». Шырыню любога слупка можна пацягнуць мышшу за бачны раздзяляльнік у загалоўку: паласа пры перацягванні робіцца сіняй і таўсцейшай, шырыня запамінаецца на прыладзе, а двайны націск па раздзяляльніку падганяе слупок пад яго змест.

• Імя — можна перайменаваць прама ў радку.
• Адрас і апаратны адрас (MAC) — як прылада пазнаецца ў сетцы. Правілы прывязаныя да прылады, а не да адраса: Квас Про вызначае прыладу па MAC-адрасе, які не мяняецца, таму новы адрас па DHCP не выводзіць прыладу з правілаў.
• «Абнавіць адрас» — кнопка на выпадак, калі адрас прылады ўсё-такі разышоўся з запісам: праграма перачытае адрас па MAC і прымянее правілы зноў. Пакуль разыходжанне ёсць, яно відаць у інтэрфейсе з тлумачэннем, што правілы пабудаваныя на ранейшым адрасе.
• Перамыкач «Поўны тунэль» — уключае наскрозную абарону для гэтай прылады; даступны, калі выбранае злучэнне (гл. вышэй).
• «Удзел» — ці ўдзельнічае прылада ў маршрутызацыі: ці дзейнічаюць на яе трафік правілы белага спісу і выбранае злучэнне. Стан відаць словамі («Удзельнічае» / «Не ўдзельнічае»), побач — перамыкач. Падрабязней — ніжэй.
• Кропка стану ў слупку «Злучэнне» — «Праз тунэль», «Наўпрост» або «Заблакаваны». Гэта пра злучэнне, а не пра ўдзел: «Наўпрост» азначае «злучэнне не выбранае або прылада адключаная», а не «прылада выключаная з маршрутызацыі»; за ўдзел адказвае асобны слупок. Асобнага слупка «Статус» больш няма — ён паўтараў тую ж думку, і стан паказвае кропка з падказкай.
• Дзеянні — «Забараніць інтэрнэт»/«Дазволіць інтэрнэт» (пусціць трафік міма абароны або вярнуць), «Як у сеткі»/«Свае налады» (наследаванне), «Рэдагаваць», «Выдаліць».

Удзел у маршрутызацыі

Слупок «Удзел» адказвае на адно пытанне: ці дзейнічаюць на гэтую прыладу вашы правілы. Гэта асобная прыкмета — яна не замяняецца ні «Поўным тунэлем», ні статусам злучэння.

• Знойдзеная ў сетцы прылада ўдзельнічае ў маршрутызацыі адразу і аўтаматычна. Яе трафік ідзе па вашых правілах — у тым ліку па правіле «усё апроч Расіі — у тунэль», — а не міма іх. Адзначаць прыладу ўручную больш не трэба.
• Пакуль вы не пацвердзілі рашэнне, Квас Про паведамляе пра гэта сам: у Дыягностыцы з’яўляецца звядзенне «Удзел прылад уключаны аўтаматычна», а падказка — прама ў радку прылады. Гэта не памылка: трафік ужо ідзе па правілах. Перамыкач «Удзел» пацвярджае вашае рашэнне, пасля чаго запіс знікае.
• Прылада, выключаная вамі, сама не ўключыцца ніколі. Аўтаматычны ўдзел датычыцца толькі тых прылад, па якіх вы яшчэ не прымалі рашэння: выключаная застаецца выключанай і пасля наступных сканаванняў сеткі.
• Прылады з боку правайдара ў маршрутызацыі не ўдзельнічаюць — яны ідуць наўпрост па задуме і ў запіс «Прылады без маршрутызацыі» не трапляюць.

Задача: дадаць новую сетку

Майстар «Новая сетка» — 3 крокі.

1. Выберыце спосаб: «Прасканаваць падсеткі» (Квас Про сам знойдзе сеткі) або «Увесці ўручную» — тады ўкажыце дыяпазон адрасоў у выглядзе запісу накшталт 192.168.1.0/24 (гэта запіс «усе адрасы такой-та сеткі»).
2. Адзначце патрэбныя падсеткі са знойдзеных. Ужо дададзеныя пазначаныя «ужо дададзеная». У спісе відаць і інтэрфейсы без прызначанага адраса — для іх праграма падказвае, што падсетку трэба ўвесці ўручную. На роўтарах Keenetic/Netcraze у спіс падмешваюцца адрасы, якія ведае сам роўтар (адрасы яго кліентаў): яны пазначаныя як «падказка роўтара» і таксама падыходзяць для падсетак — так выглядае падсетка за VPN-серверам роўтара, дзе свайго адраса на інтэрфейсе ў яго можа не быць. Маску такой падсеткі роўтар не паведамляе — праграма сумленна піша, што меркавала /24, і просіць праверыць CIDR перад даданнем.
3. Задайце назвы сетак (напрыклад, «Гасцявая»).

Рэжым і злучэнне ў новай сеткі наладжваюцца ў яе радку ўжо пасля стварэння.

Як зразумець, што атрымалася: новая сетка з’явілася ў спісе асобным гармонікам: імя сеткі з лічыльнікам прылад побач («Хатняя (4)»), а адрас сеткі — у слупку «IP-адрас».

Задача: дадаць прыладу

Майстар «Новы кліент» — 3 крокі.

1. Выберыце спосаб: «Выбраць са знойдзеных» або «Увесці ўручную».
2. З вынікаў сканавання адзначце патрэбныя прылады (можна адразу некалькі), альбо ўвядзіце ўручную адрас (або дыяпазон) і, пры жаданні, апаратны адрас (MAC — не абавязковы, вызначыцца сам), а таксама выберыце сетку.
3. Праверце зводку: задайце імёны прылад (пры некалькіх — паражкова), затым націсніце «Захаваць».

Новая прылада дадаецца ў рэжыме «Раздзельны». Поўны тунэль і канкрэтнае злучэнне перамыкаюцца потым у яе радку.

Як зразумець, што атрымалася: прылада з’явілася ў сваёй сетцы са статусам «Наўпрост» або «Праз тунэль» — у залежнасці ад налад сеткі — і з удзелам «Удзельнічае»: правілы дзейнічаюць на яе з гэтага моманту.

Прыклад для дома

• Хатні Wi-Fi — рэжым «Раздзельны»: звычайныя сайты ідуць наўпрост, а патрэбныя — з белага спісу — праз абаронены канал.
• Тэлевізару прызначаеце асобнае злучэнне, каб анлайн-кінатэатры працавалі праз «свой» сервер.
• Дзіцячаму планшэту — поўны тунэль і ўключаны «Бацькоўскі кантроль» (гл. Фільтры).

Прыклад для малога офіса (SOHO)

Сеткавы ўзровень кіравання асабліва карысны ў невялікім офісе: працоўная падсетка, асобны госцевы Wi-Fi і ізаляваная прылада накшталт касы. Раскладка і крокі — у блоку Офіс.

Удзел у маршрутызацыі: тры станы, а не два

У кожнай прылады ў спісе ёсць вашае рашэнне пра ўдзел, і яно захоўваецца асобна ад самога факту ўдзелу. Таму станаў тры:

Слупок «Удзел» паказвае бягучы стан, перамыкач у ім фіксуе вашае рашэнне. Падказка каля значка прама кажа, калі ўдзел уключаны аўтаматычна.

Што значыць «ніколі» для выключанай прылады

1. Кожнае сканаванне (вартаўнік праходзіць па лакальнай сетцы раз у хвіліну) звяраецца з вашым рашэннем і прылады, якія вы выключылі, не ўключае — што б ён ні знайшоў.
2. Перазагрузка роўтара нічога не мяняе: рашэнне захоўваецца ў базе, а не ў памяці.
3. Змена адраса або імя прылады (напрыклад новы адрас па DHCP) рашэнне не скідвае — яно пераносіцца на абноўлены запіс.
4. Вяртанне прылады ў сетку пасля знікнення таксама не «ажыўляе» ўдзел: ваша «выключана» мацнейшае за аўтаматыку.

Сумленныя заўвагі: калі выдаліць прыладу са спісу (кошык у радку), а потым яна знойдзецца зноў, гэта будзе новы запіс — рашэння ў яе няма, і прылада лакальнай сеткі зноў пачне ўдзельнічаць аўтаматычна. Пры імпарце стану з заменай рашэнні пераязджаюць разам з імпартаваным станам — гэта ўласцівасць імпарту, а не скід.

Чаго ваша «выключана» не робіць

• не выдаляе прыладу са спісу: яна застаецца бачнай, а ў Дыягностыцы па ёй ёсць радок «без маршрутызацыі» — каб вы памяталі, што выключылі яе самі;
• не блакуе яе трафік: прылада проста ідзе наўпрост, міма правілаў і тунэлю — як і задумана для неўдзельніка;
• уключаецца назад тым жа перамыкачом «Удзел».

Што не лічыцца лакальнай прыладай

Прылады, чый адрас не трапляе ў падсеткі інтэрфейсаў роўтара (напрыклад прылада за іншым маршрутызатарам у чужой падсетцы), лакальнымі не прызнаюцца і аўтаматычна не ўключаюцца — іх удзел вы прызначаеце ўручную. Так зроблена свядома: прадукт не бярэцца сцвярджаць, што чужая падсетка — яго сетка.

Значкі заўваг у спісе

У прылады з заўвагай побач з імем відаць значок з прычынай: «не ўдзельнічае ў маршрутызацыі», «адрас разышоўся з запісам» (правілы пабудаваныя на ранейшым адрасе) або «не ў сетцы» (звесткі — прылада проста адсутнічае). Крыніца ў значка тая ж, што ў Дыягностыкі і званочка, таму яны не могуць разысціся.