Устройства и доступ

Квас Про позволяет решать по каждому устройству отдельно: пускать его в интернет только по списку разрешённых сайтов, направлять через защищённый канал или закрывать доступ вовсе. Дома это удобно, а в небольшом офисе — почти обязательно: рабочие компьютеры, гостевой Wi-Fi и касса должны жить по разным правилам.

Управление — на экране «Клиенты» (в левом меню: «Сеть → Клиенты»).

Из чего всё складывается

В Квас Про два уровня управления. Они вложены друг в друга, как матрёшка:

• Устройство (клиент) — конкретный телефон, компьютер, телевизор или касса.
• Сеть — группа устройств с общим диапазоном адресов (например, весь домашний Wi-Fi или отдельная гостевая сеть). Настройки сети по умолчанию действуют на все устройства внутри неё.

Сети и наследование настроек

Сеть — это главный инструмент, когда устройств много. Вы задаёте правила один раз на всю сеть, а устройства их наследуют — то есть автоматически берут настройки сети, пока вы не зададите устройству что-то своё.

У каждой сети есть:

• Режим — «Раздельный» или «Полный туннель» (что это, — ниже).
• Соединение — через какой защищённый канал ходит сеть; есть вариант «— Без соединения».
• Включена — тумблер; если выключить, маршрутизация всей сети перестаёт действовать.

В строке сети видно, сколько устройств «наследуют N из M» — то есть сколько из них живут по общим правилам, а сколько получили собственные.

Кто через какое соединение ходит

Направление трафика задаётся двумя параметрами — режимом и соединением. Их можно установить на всю сеть, а можно на отдельное устройство.

• Режим «Раздельный» — устройство идёт через защищённый канал только для сайтов из белого списка, а всё остальное — напрямую. Это обычный, экономный режим.
• Режим «Полный туннель» — весь трафик устройства идёт через защищённый канал. Подходит, когда устройству нужна максимальная защита. Включается тумблером «Полный туннель» в строке устройства или на уровне сети. Тумблер работает только когда у устройства (или сети) выбрано соединение: без соединения он неактивен и поясняет, что полный туннель направляет весь трафик через канал. Выключить полный туннель можно всегда — это действие от соединения не зависит.
• Соединение — какой именно канал использовать. Разным устройствам можно назначить разные каналы: например, рабочий ноутбук — через один сервер, а телевизор — через другой.

Какие сайты вообще считаются «нужными» и через какой канал они идут, задаётся на отдельном экране — см. Белый список.

Из чего состоит строка устройства

Таблица клиентов состоит из семи колонок: «Имя / Сеть», «IP-адрес», «MAC-адрес», «Соединение», «Полный туннель», «Участие» и «Действия». У сети в колонке «Имя / Сеть» рядом с именем стоит число её устройств — например, «Домашняя (4)», — а адрес сети показан в колонке «IP-адрес». Ширину любой колонки можно потянуть мышью за видимый разделитель в заголовке: полоса при перетаскивании становится синей и толще, ширина запоминается на устройстве, а двойное нажатие по разделителю подгоняет колонку под её содержимое.

• Имя — можно переименовать прямо в строке.
• Адрес и аппаратный адрес (MAC) — как устройство опознаётся в сети. Правила привязаны к устройству, а не к адресу: Квас Про определяет устройство по MAC-адресу, который не меняется, поэтому новый адрес по DHCP не выводит устройство из правил.
• «Обновить адрес» — кнопка на случай, если адрес устройства всё-таки разошёлся с записью: приложение перечитает адрес по MAC и переприменит правила. Пока расхождение есть, оно видно в интерфейсе с пояснением, что правила построены на прежнем адресе.
• Тумблер «Полный туннель» — включает сквозную защиту для этого устройства; доступен, когда выбрано соединение (см. выше).
• «Участие» — участвует ли устройство в маршрутизации: действуют ли на его трафик правила белого списка и выбранное соединение. Состояние видно словами («Участвует» / «Не участвует»), рядом — переключатель. Подробнее — ниже.
• Точка состояния в колонке «Соединение» — «Через туннель», «Напрямую» или «Блокирован». Это про соединение, а не про участие: «Напрямую» означает «соединение не выбрано или устройство отключено», а не «устройство выключено из маршрутизации»; за участие отвечает отдельная колонка. Отдельной колонки «Статус» больше нет — она повторяла ту же мысль, и состояние показывает точка с подсказкой.
• Действия — «Включить»/«Отключить» (пустить трафик мимо защиты или вернуть), «Как у сети»/«Свои настройки» (наследование), «Редактировать», «Удалить».

Участие в маршрутизации

Колонка «Участие» отвечает на один вопрос: действуют ли на это устройство ваши правила. Это отдельный признак — он не заменяется ни «Полным туннелем», ни статусом соединения.

• Найденное в сети устройство участвует в маршрутизации сразу и автоматически. Его трафик идёт по вашим правилам — в том числе по правилу «всё кроме России — в туннель», — а не мимо них. Отмечать устройство вручную больше не нужно.
• Пока вы не подтвердили решение, Квас Про сообщает об этом сам: в Диагностике появляется сведение «Участие устройств включено автоматически», а подсказка — прямо в строке устройства. Это не ошибка: трафик уже идёт по правилам. Переключатель «Участие» подтверждает ваше решение, после чего запись исчезает.
• Устройство, выключенное вами, само не включится никогда. Автоматическое участие касается только тех устройств, по которым вы ещё не принимали решения: выключенное остаётся выключенным и после следующих сканирований сети.
• Устройства со стороны провайдера в маршрутизации не участвуют — они идут напрямую по замыслу и в запись «Устройства без маршрутизации» не попадают.

Задача: добавить новую сеть

Мастер «Новая сеть» — 3 шага.

1. Выберите способ: «Просканировать подсети» (Квас Про сам найдёт сети) или «Ввести вручную» — тогда укажите диапазон адресов в виде записи вроде 192.168.1.0/24 (это запись «все адреса такой-то сети»).
2. Отметьте нужные подсети из найденных. Уже добавленные помечены «уже добавлена». В списке видны и интерфейсы без назначенного адреса — для них приложение подсказывает, что подсеть нужно ввести вручную. На роутерах Keenetic/Netcraze в список подмешиваются адреса, которые знает сам роутер (адреса его клиентов): они помечены как «подсказка роутера» и тоже годятся в подсети — так выглядит подсеть за VPN-сервером роутера, где своего адреса на интерфейсе у него может не быть. Маску такой подсети роутер не сообщает — приложение честно пишет, что предположило /24, и просит проверить CIDR перед добавлением.
3. Задайте названия сетей (например, «Гостевая»).

Режим и соединение у новой сети настраиваются в её строке уже после создания.

Как понять, что получилось: новая сеть появилась в списке отдельной гармошкой: имя сети со счётчиком устройств рядом («Домашняя (4)»), а адрес сети — в колонке «IP-адрес».

Задача: добавить устройство

Мастер «Новый клиент» — 3 шага.

1. Выберите способ: «Выбрать из обнаруженных» или «Ввести вручную».
2. Из результатов сканирования отметьте нужные устройства (можно сразу несколько), либо введите вручную адрес (или диапазон) и, при желании, аппаратный адрес (MAC — не обязателен, определится сам), а также выберите сеть.
3. Проверьте сводку: задайте имена устройств (при нескольких — построчно), затем нажмите «Сохранить».

Новое устройство добавляется в режиме «Раздельный». Полный туннель и конкретное соединение переключаются потом в его строке.

Как понять, что получилось: устройство появилось в своей сети со статусом «Напрямую» или «Через туннель» — в зависимости от настроек сети — и с участием «Участвует»: правила действуют на него с этого момента.

Пример для дома

• Домашний Wi-Fi — режим «Раздельный»: обычные сайты идут напрямую, а нужные — из белого списка — через защищённый канал.
• Телевизору назначаете отдельное соединение, чтобы онлайн-кинотеатры работали через «свой» сервер.
• Детскому планшету — полный туннель и включённый «Родительский контроль» (см. Фильтры).

Пример для малого офиса (SOHO)

Сетевой уровень управления особенно полезен в небольшом офисе: рабочая подсеть, отдельный гостевой Wi-Fi и изолированное устройство вроде кассы. Раскладка и шаги — в блоке Офис.

Участие в маршрутизации: три состояния, а не два

У каждого устройства в списке есть ваше решение об участии, и оно хранится отдельно от самого факта участия. Поэтому состояний три:

Колонка «Участие» показывает текущее состояние, переключатель в ней фиксирует ваше решение. Подсказка у значка прямо говорит, если участие включено автоматически.

Что значит «никогда» для выключенного устройства

1. Каждое сканирование (сторож проходит по локальной сети раз в минуту) сверяется с вашим решением и устройства, которые вы выключили, не включает — что бы он ни нашёл.
2. Перезагрузка роутера ничего не меняет: решение хранится в базе, а не в памяти.
3. Смена адреса или имени устройства (например новый адрес по DHCP) решение не сбрасывает — оно переносится на обновлённую запись.
4. Возвращение устройства в сеть после пропажи тоже не «оживляет» участие: ваше «выключено» сильнее автоматики.

Честные оговорки: если удалить устройство из списка (корзина в строке), а затем оно найдётся заново, это будет новая запись — решения у неё нет, и устройство локальной сети снова начнёт участвовать автоматически. При импорте состояния с заменой решения переезжают вместе с импортируемым состоянием — это свойство импорта, а не сброс.

Чего ваше «выключено» не делает

• не удаляет устройство из списка: оно остаётся видимым, а в Диагностике по нему есть строка «без маршрутизации» — чтобы вы помнили, что выключили его сами;
• не блокирует его трафик: устройство просто идёт напрямую, мимо правил и туннеля — как и задумано для неучаствующего;
• включается обратно тем же переключателем «Участие».

Что не считается локальным устройством

Устройства, чей адрес не попадает в подсети интерфейсов роутера (например устройство за другим маршрутизатором в чужой подсети), локальными не признаются и автоматически не включаются — их участие вы назначаете вручную. Так сделано осознанно: продукт не берётся утверждать, что чужая подсеть — его сеть.

Значки замечаний в списке

У устройства с замечанием рядом с именем виден значок с причиной: «не участвует в маршрутизации», «адрес разошёлся с записью» (правила построены на прежнем адресе) или «не в сети» (сведения — устройство просто отсутствует). Источник у значка тот же, что у Диагностики и колокола, поэтому они не могут разойтись.