Порталы Captive
Большинство хот-спотов реализуют взаимодействие с клиентом с помощью портала, который представляет собой ограниченное сетевое подключение, в котором все HTTP-запросы клиента перенаправляются на веб-сайт поставщика. Затем веб-сайт может предложить пользователям принять условия оператора, ввести платежные данные или ввести учетные данные для проверки предыдущих соглашений об оплате.
При использовании такого интерфейса существует несколько проблем:
- Другие приложения (например, почтовые клиенты) также перенаправляются. Если пользователь сначала попытается использовать приложение, отличное от веб-браузера, он столкнется с ошибками, не зная, как их устранить.
- Если первоначальная попытка подключения выполняется по протоколу SSL, браузер выводит предупреждение системы безопасности для пользователя перед перенаправлением пользователя на скрытый портал. Это создает путаницу для пользователей, так как они должны игнорировать предупреждение системы безопасности, чтобы подключиться.
Windows поддерживает сети скрытых порталов путем немедленного открытия веб-браузера при обнаружении непативного портала. Пользователь видит веб-страницу с фирменной символикой на переднем плане своего устройства, что помогает ему понять, какие действия следует предпринять для проверки подлинности с помощью портала captive.
Windows предоставляет механизмы, позволяющие пользователям обходить скрытые порталы при последующих попытках подключения. Тем не менее, скрытый портал всегда является интерфейсом, с которым сталкивается пользователь впервые.
В этом разделе рассматриваются следующие рекомендации по использованию скрытых порталов.
- Согласованная обработка подключений
- Веб-страницы с поддержкой сенсорного ввода
- Подготовка после покупки
- Предложение установки приложения
Согласованная обработка подключений
Чтобы определить подключение к Интернету и состояние подключенного портала при первом подключении клиента к сети, Windows выполняет ряд сетевых тестов. Конечным сайтом этих тестов является msftncsi.com, который является зарезервированным доменом, который используется исключительно для тестирования подключения. При обнаружении неопубликуемого портала эти тесты периодически повторяются до тех пор, пока не будет освобожден скрытый портал.
Чтобы избежать ложноположительных или ложноотрицательных результатов теста, не следует делать следующее:
- Разрешите доступ к www.msftncsi.com , если у пользователя нет доступа к Интернету.
- Изменение поведения на портале, отображаемого клиентами. Например, не перенаправляйте одни запросы и не отбрасывать другие запросы; Следует продолжать перенаправлять все запросы до успешной проверки подлинности. Примечание
Устранение отказа в обслуживании должно основываться на частоте попыток для каждого клиента, а не на количестве попыток на клиент или общем количестве попыток от всех клиентов.
Веб-страницы с поддержкой сенсорного ввода
Интерфейс Windows предназначен для сенсорного ввода. Это распространяется на веб-страницы. Рассмотрите возможность размещения веб-страницы с более крупными, простыми элементами управления для сенсорного ввода. Используйте макеты, с которыми не требуется чрезмерная прокрутка для взаимодействия, и при необходимости разбивайте потоки на несколько страниц. Дополнительные сведения о веб-дизайне, удобном для сенсорного ввода, см. в разделе Проектирование для сенсорного ввода.
Подготовка после покупки
Тот же файл подготовки, который может применяться приложением, также может применяться веб-сайтом. В JavaScript веб-страницы проверка для доступности метода window.external.msProvisionNetworks. Если он присутствует, браузер может ретранслировать файл подготовки в операционную систему. Дополнительные сведения о создании этого файла подготовки см. в статье Использование метаданных для настройки возможностей мобильного широкополосного подключения.
Примечание Этот файл подготовки должен быть подписан, если он предоставлен веб-сайтом или приложением, которое не является мобильным широкополосным приложением.
Передача XML-файла подготовки позволяет операционной системе автоматически подключаться к другим сетям, включенным в службу пользователя, даже если у них есть разные идентификаторы набора служб (SSID). Если вы используете статические учетные данные wisPr, это также обеспечивает более плавное подключение, так как в будущем Windows сможет автоматически проходить проверку подлинности с помощью этих учетных данных.
Предложение установки приложения
Самый богатый опыт Windows заключается в использовании мобильного широкополосного приложения. Невозможно разрешить доступ только к одному приложению в Microsoft Store через портал в режиме доступа, поэтому приложение не может быть установлено до того, как пользователь получит подключение к Интернету. Однако после проверки подлинности пользователя рекомендуется направить его в Microsoft Store, чтобы установить мобильное широкополосное приложение.
Связанные темы
Совместная работа с нами на GitHub
Источник этого содержимого можно найти на GitHub, где также можно создавать и просматривать проблемы и запросы на вытягивание. Дополнительные сведения см. в нашем руководстве для участников.
Windows driver documentation
Captive Portal
Существует несколько сценариев, где эта функция обязательна или востребована. Начнем с того, что, в, например, соответствии с законом «О связи» РФ, все выходы в интернет должны быть авторизованы. Это значит, что клиентам, подключенным по Wi-Fi и сетевому кабелю к хотспоту, нужно пройти обязательную аутентификацию. Кроме того, Captive Portal может служить для сбора открытых данных о клиентах заведения при авторизации через социальные сети. Еще один популярный вариант — размещение рекламы и опроса посетителей на оформленной под заведение стартовой странице авторизации.
Где обычно развертывают Captive portal?
Этой функцией пользуются гостиницы, автомойки, рестораны, торговые центры, общественный транспорт, вокзалы, фитнес-клубы, университеты, парковые зоны, музеи.
Как работает Captive Portal?
Интернет-центр перехватывает весь трафик http/https подключенных к нему пользователей как по проводным портам LAN так и по Wi-Fi. Далее трафик перенаправляется на выделенный веб-сервер и после авторизации (SMS или телефонный звонок) пользователю предоставляется доступ в Интернет. Авторизация привязывается к MAC-адресу абонентского устройства.
Что нужно для подключения Captive portal, к примеру, владельцу ресторана?
Требуется купить в магазине любую модель Keenetic, подключить интернет по любому каналу связи: Ethernet, xDSL или 4G. Выбрать поставщика сервиса Captive Portal (Мегафон, WiFi Systems, WiFly и др.) по подходящему тарифу и настроить интернет-центр. Captive Portal работает во всех моделях Keenetic, на которые можно установить версию операционной системы 2.10 и новее.
Чем Captive Portal в Keenetic лучше конкурентов?
- Профили ведущих поставщиков сервиса добавлены в веб-интерфейс. Достаточно ввести параметры учетной записи из личного кабинета поставщика сервиса. Конкуренты либо не поддерживают профили, либо единичный пример профиля в каждом ПО. Как правило, на роутеры конкурентов устанавливают прошивки open-wrt или dd-wrt, и далее пользователь остаётся сам со своими проблемами, не получая поддержку ни от автора прошивки, ни от производителя роутера. Вас ждут многостраничные инструкции с десятками нетривиальных действий либо, в лучшем случае, подготовленные скрипты для упрощенной настройки, но только какого-то одного сервиса.
- Интернет-центры Keenetic рекомендованы большинством поставщиков сервиса авторизации. Все профили интегрированы после успешных тестов.
- Captive Portal поддерживается во всей текущей линейке Keenetic и по умолчанию будет поддерживаться в будущих моделях.
- Достаточно одного интернет-центра Keenetic для развертывания хотспота, к примеру, в небольшом кафе. У ряда конкурентов приходится устанавливать контроллер с функцией хотспота и к нему дополнительно точки доступа.
Captive Portal
Модуль «Captive Portal» предоставляет возможность авторизации пользователей на ИКС для доступа к сети Интернет, а также объединяет в себе настройку и функциональность трех сервисов:
- веб-авторизация;
- SMS-авторизация;
- авторизация по звонку.
Для открытия модуля перейдите в меню Пользователи и статистика > Captive Portal.
Все TCP -запросы на порты 80 и 443 от всех неизвестных пользователей перехватывает межсетевой экран и перенаправляет в модуль «Captive Portal». Неавторизованному пользователю в браузере выдается окно авторизации.
Внимание! Не все браузеры способны автоматически выдать окно авторизации Captive Portal. В таком случае пользователь должен обратиться на:
Вместо обращения :81/portal/ на ИКС можно создать виртуальный хост с перенаправлением. Таким образом, пользователь будет обращаться на локально созданное доменное имя, а попадать на :81/portal/ .
Внимание! Авторизация на Captive Portal будет работать только из локальных сетей ИКС.
Для успешной авторизации доменного пользователя ИКС должен находиться в домене. Настроить это можно в модуле «Сетевое окружение».
В модуле расположены следующие вкладки:
Captive Portal
На данной вкладке отображаются:
- статус службы ( запущен , остановлен , выключен , не настроен );
- кнопка «Включить» («Выключить») — позволяет запустить или остановить службу;
- журнал последних событий.
Настройки
На данной вкладке можно выбрать режим работы Captive Portal. Для этого просто установите соответствующие флаги:
- «Авторизация по логину/паролю» — в качестве сервиса веб-авторизации;
- «SMS-авторизация» — в качестве сервиса SMS-авторизации;
- «Авторизация по звонку» — в качестве сервиса авторизации по звонку;
- совместная работа в любой комбинации (при установке нескольких флагов одновременно).
Чтобы при обращении пользователя к HTTPS -ресурсам корректно работало перенаправление на страницу авторизации, в поле «Сертификат» установите конечный сертификат, а также используйте прозрачный прокси.
Каждый авторизованный пользователь в Captive Portal сохраняется как сессия на основе MAC-адреса данного пользователя. Идентификация по MAC-адресу используется вместо идентификации по IP-адресу . Это помогает избежать случаев с подменой IP-адреса или случаев, когда IP-адрес еще не истекшей сессии выдается другому пользователю по DHCP .
Каждая сессия имеет время жизни, по истечении которого пользователь автоматически разлогинивается. Время жизни сессии можно изменить в одноименном поле. Также Captive Portal каждую 1 минуту проверяет кеш ARP операционной системы.
По умолчанию Captive Portal работает во всех сетях. В соответствующем поле можно указать конкретную сеть. Это может быть локальная сеть либо Wi-Fi.
- Если MAC-адрес авторизованного пользователя отсутствует в кеше, то Captive Portal считает, что пользователь неактивен и автоматически разлогинивает его.
- Если MAC-адресу был присвоен другой IP-адрес, то Captive Portal обновляет у сессии IP-адрес, при этом сессия не закрывается.
Авторизация по логину/паролю
- Установите флаг «Авторизация по логину/паролю». Тогда в модуле «Captive Portal» будет включен и запущен сервер веб-авторизации. При первом обращении пользователя к какому-либо ресурсу ему будет предложено ввести логин и пароль, закрепленный за его учетной записью в ИКС.
- При необходимости установите флаг «Запретить множественную авторизацию с одним логином». Тогда пользователь, использующий конкретный логин, не сможет одновременно авторизоваться при помощи Captive Portal с различных устройств (IP-адресов). Аналогичная опция присутствует в настройках сервера авторизации (Xauth), однако действие этих опций не перекрывается и каждая из них влияет только на соответствующую службу. Пример для двух пользователей В системе два пользователя. Снят флаг «Запретить множественную авторизацию с одним логином». В Captive Portal авторизованы несколько пользователей под одним логином и паролем. Если установить флаг «Запретить множественную авторизацию с одним логином», то множественная авторизация сработает только тогда, когда новый пользователь авторизуется в Captive Portal под этим же логином и паролем. В таком случае все подключенные пользователи будут отключены и активная сессия будет только у нового пользователя. А если нового пользователя не будет, то у текущих пользователей сессии будут активны и оборвутся в тот момент, когда закончится время жизни сессии (установлено в настройках Captive Portal).
- Нажмите «Сохранить».
Внимание! При данном типе авторизации, если вы нажали кнопку выхода из сети Интернет, войти снова не получится до тех пор, пока соединение не восстановится.
SMS-авторизация
- Установите флаг «SMS-авторизация» — тогда пользователи будут проходить авторизацию через SMS.
- В поле «Назначать адреса пользователю» выберите одного из пользователей, заведенных на ИКС. Данному пользователю для каждой новой сессии будут выдаваться динамические IP-адреса .
- В поле «Время действия кода, отправленного в SMS» укажите время действительности кода в секундах (от 60 до 999999). Если время действия кода истекло и код не был введен, то пользователю необходимо вновь запросить код, нажав соответствующую кнопку в форме веб-авторизации. По умолчанию установлено значение 180 секунд.
- В поле «Интервал между повторными попытками отправки SMS» задайте время блокировки кнопки «Отправить СМС повторно» для пользователя при SMS-авторизации. Значение, задаваемое в данном поле, не должно превышать время действия кода, указанное в Шаге 3.
- В поле «Максимальное число попыток повторной отправки SMS для одного номера» укажите число попыток повторной отправки SMS, которое может совершить пользователь для одного абонентского номера. При этом время между попытками будет вычисляться по формуле: номер попытки * «Интервал между повторными попытками отправки SMS». Если пользователь исчерпал указанное число попыток отправки SMS, он сможет изменить абонентский номер для отправки SMS. При смене абонентского номера число попыток обнулится.
- В поле «Текст SMS» введите текст сообщения, которое будет отправлено пользователю при авторизации. Данное сообщение обязательно должно содержать шаблон . Вместо этого шаблона SMS-сервер вставит четырехзначное число.
- Для подключения сервера SMPP заполните в блоке «Параметры SMPP» следующие поля: «SMPP-сервер», «Порт», «Логин/system_id» и «Пароль». Значения дополнительных параметров подключения «source-addr-ton», «source-addr-npi», «dest-addr-ton», «dest-addr-npi» должны быть указаны в документации к подключаемому серверу SMPP. В большинстве случаев они такие:
- source-addr-ton — 5
- source-addr-npi — 1
- dest-addr-ton — 1
- dest-addr-npi — 1
Чтобы проверить правильность введенных настроек, воспользуйтесь функцией тестовой отправки. Для этого:
- Нажмите «Проверка отправки SMS».
- В открывшемся окне заполните поле «Номер телефона» (является обязательным). Вводимые номера должны иметь следующий формат: . Все вводимые номера должны содержать только цифры (не менее одиннадцати), без скобок и дефисов (например, +79991112233 или 85554447799).
- В поле «Текст SMS» можно ввести любой текст для отправки.
- Нажмите «Отправить». Если сообщение было успешно отправлено, будет показана соответствующая информация, в противном случае отобразится ошибка отправки и код ошибки.
Авторизация по звонку
- Установите флаг «Авторизация по звонку» — тогда пользователи будут проходить авторизацию по звонку.
- В поле «Назначать адреса пользователю» выберите одного из пользователей, заведенных на ИКС. Данному пользователю для каждой новой сессии будут выдаваться динамические IP-адреса.
- В поле «Провайдер телефонии для приема звонков» задайте SIP -провайдера модуля IP-телефонии ИКС, который будет ожидать входящий звонок от авторизуемого пользователя.
- В поле «Номер для звонка» укажите внешний номер провайдера, на который необходимо совершить звонок авторизуемому пользователю.
- В поле «Время ожидания звонка» задайте время (в секундах), в течение которого авторизуемый пользователь должен совершать звонок на указанный номер.
- Нажмите «Сохранить».
Изменить логотип
На вкладке «Настройки» также можно изменить приветственный логотип для SMS-авторизации и авторизации по логину/паролю. Для этого:
- Нажмите кнопку «Изменить логотип» — в открывшемся окне отобразится текущий логотип (по умолчанию это логотип ИКС).
- Нажмите «Загрузить .png» и выберите файл формата .png . Рекомендуемый размер загружаемого логотипа 316*118 пикселей. Кнопка «Восстановить по умолчанию» позволяет вернуть логотип ИКС.
- Нажмите «Закрыть».
Активные сессии
На данной вкладке отображаются текущие сеансы пользователей, авторизованных через Captive Portal, с присвоенными им динамическими IP-адресами в ИКС.
Заблокированные номера
На данной вкладке показаны номера абонентов, которые исчерпали все попытки ввода кода. Блокировка на данные номера устанавливается на время жизни сессии. Блокировка может быть принудительно снята пользователем ИКС, имеющим права администратора.
Журнал
На данной вкладке отображается сводка всех системных сообщений соответствующих серверов с указанием даты и времени.
Журнал является стандартным элементом веб-интерфейса ИКС.
Настройка Captive-портала
Captive-портал позволяет авторизовать неизвестных пользователей (Unknown users) с помощью методов авторизации с использованием каталогов Active Directory, Radius, Kerberos или локальной базы пользователей. Кроме этого, с помощью Captive-портала можно настроить самостоятельную регистрацию пользователей с подтверждением идентификации через SMS или Email.
Следует помнить, что:
* Идентифицированные пользователи, например, у которых явно в свойствах пользователя указан IP-адрес, идентифицированные с помощью агентов авторизации терминальных серверов или для систем Windows, не авторизуются на Captive-портале. Такие пользователи уже относятся к типу Known users и не требуют дополнительной идентификации
* Авторизация с помощью Captive-портала возможна только для протоколов HTTP и HTTPS. Например, если вы создали правило межсетевого экрана, разрешающее доступ в интернет по протоколу FTP только для пользователя Known users, то пользователи не смогут получить доступ в интернет по этому протоколу до тех пор, пока они не станут идентифицированными, то есть не запустят у себя браузер и не пройдут авторизацию на Captive-портале
* Если Captive-портал использует метод авторизации Active Directory, то пользователь должен указывать в качестве логина свое доменное имя в формате DOMAIN\username или username@domain
Настройка Captive-портала сводится к следующим шагам:
Наименование
Шаг 1. Создать метод авторизации, например, авторизация с помощью домена Active Directory
В консоли UserGate UTM в разделе Пользователи и устройства à Серверы авторизации нажать на кнопку Добавить и создать сервер авторизации
Шаг 2. Создать Captive-профиль, в котором указать необходимые методы авторизации
В консоли UserGate UTM в разделе Пользователи и устройства à Captive-профили нажать на кнопку Добавить и создать captive-профиль, используя созданный ранее метод авторизации
Шаг 3. Создать правило Captive-портала
В консоли UserGate UTM в разделе Пользователи и устройства à Captive-портал нажать на кнопку Добавить и создать правило captive-портала
Шаг 4. Настроить DNS для доменов auth.captive и logout.captive
Служебные доменные имена auth.captive и logout.captive используются UserGate UTM для авторизации пользователей. Если клиенты используют в качестве DNS-сервера сервер UTM, то ничего делать не надо. В противном случае необходимо прописать в качестве IP-адреса для этих доменов IP-адрес интерфейса сервера UTM, который подключен в клиентскую сеть. Альтернативное решение — настроить параметры Домен Auth Captive-портала и Домен Logout Captive-портала. Более детально эти переметры описаны в разделе Настройки
Создание методов авторизации подробно рассматривалось в предыдущих главах. Рассмотрим более подробно создание Captive-профиля и правил Captive-портала.
Чтобы создать Captive-профиль, необходимо в разделе Captive-профили нажать на кнопку Добавить и указать необходимые параметры:
Наименование
Шаблон страницы авторизации
Выбрать шаблон страницы авторизации. Создавать страницы авторизации можно в разделе Библиотеки à Шаблоны страниц . Если необходимо настроить самостоятельную регистрацию пользователей с подтверждением по SMS или Email, то следует выбрать соответствующий тип шаблона (Captive portal: SMS auth/ Captive portal: Email auth)
Метод идентификации
Метод, с помощью которого UserGate UTM запомнит пользователя. Возможны 2 варианта:
* Запоминать IP-адрес. После успешной авторизации пользователя через Captive-портал UserGate UTM запоминает IP-адрес пользователя, и все последующие соединения с этого IP-адреса будут относятся к данному пользователю. Данный метод позволяет идентифицировать данные, передаваемые по любому из протоколов семейства TCP/IP, но не будет корректно работать при наличии NAT-подключения между пользователями и сервером UserGate UTM.
Это рекомендуемое значение, устанавливаемое по умолчанию.
* Запоминать cookie. После успешной авторизации пользователя через Captive-портал UserGate UTM добавляет в браузер пользователя cookie, с помощью которого идентифицирует последующие соединения данного пользователя. Данный метод позволяет авторизовать пользователей, находящихся за NAT-устройством, но авторизуется только протокол HTTP/S и только в том браузере, в котором происходила авторизация через Captive-портал. Кроме этого, для авторизации HTTPS-сессий пользователя UserGate UTM будет принудительно дешифровать все HTTPS-соединения. Для правил межсетевого экрана пользователь, идентифицированный по cookie, будет всегда определен как Unknown— пользователь
URL для редиректа
URL, куда будет перенаправлен пользователь после успешной авторизации с помощью Captive-портала. Если не заполнено, то пользователь переходит на запрошенный им URL
Время бездействия до отключения
Данный параметр определяет, через сколько секунд UserGate UTM переведет пользователя из Known users в Unknown users при неактивности пользователя (отсутствии сетевых пакетов с IP-адреса пользователя)
Время жизни авторизованного пользователя
Данный параметр определяет, через сколько секунд UserGate UTM переведет пользователя из Known users в Unknown users. По прошествии указанного времени пользователю потребуется повторно авторизоваться на Captive-портале
Число неудачных попыток авторизации
Разрешенное количество неудачных попыток авторизации через Captive-портал до блокировки учетной записи пользователя
Время блокировки пользователя
Время, на которое блокируется учетная запись пользователя при достижении указанного числа неудачных попыток авторизации
Предлагать выбор домена AD/LDAP на странице авторизации Captive-портала
Если в качестве метода аутентификации используется авторизация с помощью Active Directory, то при включении данного параметра пользователь сможет выбрать имя домена из списка на странице авторизации. Если данный параметр не включен, пользователь должен явно указывать домен в виде DOMAIN\username или username@domain
HTTPS для страницы авторизации
Использовать HTTPS при отображении страницы авторизации Captive-портала для пользователей. Необходимо иметь корректно настроенный сертификат для SSL Captive-портала. Более подробно о сертификатах смотрите в разделе Управление сертификатами
Методы аутентификации
Созданные ранее методы авторизации пользователей, например, сервер авторизации Active Directory. Если указано более одного метода авторизации, то они будут использоваться в порядке, в котором они перечислены в консоли. Метод авторизации Принять политику позволяет использовать шаблон авторизации без требования вводить имя и пароль, достаточно согласия пользователя с политикой доступа к сети
Для настройки самостоятельной регистрации пользователей с подтверждением пароля с помощью SMS или Email необходимо настроить параметры на вкладке Регистрация временных пользователей. Следует помнить, что в этом случае необходимо использовать соответствующий тип шаблона (Captive portal: SMS auth/ Captive portal: Email auth).
Наименование
Профиль оповещения
Профиль оповещения, который будет использоваться для отсылки информации о созданном пользователе и его пароле. Может использоваться 2 типа — SMS и Email. Более подробно о создания профиля оповещения смотрите в главе Оповещения
Указать, от имени кого будут отправляться оповещения
Тема оповещения
Тема оповещения (только для Email-оповещений)
Письмо оповещения
Тело письма сообщения. В письме можно использовать специальные переменные и , которые будут заменены на имя пользователя и его пароль.
Дата и время окончания
Время, когда учетная запись временного пользователя будет отключена
Время жизни
Продолжительность времени с момента первой авторизации временного пользователя, по истечении которого его учетная запись будет отключена
Длина пароля
Определяет длину пароля для создаваемого пользователя
Сложность пароля
Определяет сложность пароля для создаваемого пользователя. Возможны варианты:
Цифры
Буквы+цифры
Буквы+цифры+спецсимволы
Группа для временных пользователей, в которую будут помещены создаваемые пользователи. О группах для временных пользователей читайте в главе Временные пользователи
Чтобы создать правило Captive-портала, необходимо нажать на кнопку Добавить в разделе правил Captive-портала и указать необходимые параметры:
Наименование
Название правила Captive-портала
Описание правила Captive-портала
Captive-профиль
Выбрать Captive-профиль, созданный ранее. Доступно действие Не использовать аутентификацию, при выборе которого авторизация не будет требоваться
Адреса Источника. В качестве источника можно указать определенную зону, например, зону LAN и диапазон адресов IP
IP-адреса назначения. Могут быть использованы IP-адреса стран (Geo-IP)
Категории URL-фильтрации
Категории URL-фильтрации, для которых будет применяться правило. Для URL-фильтрации необходимо иметь соответствующую лицензию
Списки URL, для которых будет применяться правило
Время, когда данное правило будет активно
Таким образом, создав несколько правил Captive-портала, можно настроить различные политики идентификации пользователей для различных зон, адресов и времени.
Важно! Условия, указанные во вкладках правила, применяются согласно логике «И», то есть требуют совпадения всех указанных условий для того, чтобы правило сработало. Если необходимо использовать логику «ИЛИ», то это достигается путем создания нескольких правил.
Важно! Правила применяются в порядке, в котором они отображаются в консоли. Вы можете изменить порядок правил с помощью соответствующих кнопок.
Важно! При обработке правил применяется только первое сработавшее правило.