Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Entender as condições de combinação do filtro de firewall

Antes de definir termos para filtros de firewall, você deve entender como as condições de combinação especificadas em um termo são tratadas e como especificar vários tipos de condições de combinação para alcançar os resultados de filtragem desejados. Uma condição de combinação consiste em uma string (chamada de instrução de partida) que define a condição da combinação. Condições de combinação são os valores ou campos que um pacote deve conter.

Condições de combinação de filtro

Na declaração from de um termo de filtro de firewall, você especificará as condições de pacote que acionam a ação em uma das then declarações: then com várias opções, then interface ou then vlan . Todas as condições da from declaração devem combinar com as medidas a serem tomadas. A ordem na qual você especifica condições de combinação não é importante, porque um pacote deve atender a todas as condições de um prazo para que um match ocorra.

Se você não especificar condições de combinação em um termo, esse termo corresponderá a todos os pacotes.

Uma condição individual em from uma declaração não pode conter uma lista de valores. Por exemplo, você não pode especificar intervalos numéricos ou vários endereços de origem ou destino.

As condições individuais from de uma declaração não podem ser negadas. Uma condição negada é uma incompatibilidade explícita.

Condições de combinação de filtro numérico

As condições do filtro numérico são correspondentes a campos de pacote identificados por um valor numérico, como porta e números de protocolo. Para condições de combinação de filtro numérico, você especifica uma palavra-chave que identifica a condição e um único valor que um campo de um pacote deve combinar.

Você pode especificar o valor numérico de uma das seguintes maneiras:

  • Número único — uma combinação ocorre se o valor do campo corresponder ao número. Por exemplo:

  • Sinônimo de texto para um único número: uma combinação ocorre se o valor do campo corresponder ao número que corresponde ao sinônimo. Por exemplo:

Para especificar mais de um valor em um termo de filtro, você inserirá cada valor em sua própria instrução de combinação, que é uma string que define uma condição de combinação. Por exemplo, uma combinação ocorre no termo a seguir, se o valor for vlan de 10 ou 30.

As restrições a seguir aplicam-se às condições de combinação de filtro numérico:

  • Não é possível especificar uma variedade de valores.

  • Não é possível especificar uma lista de valores separados por vírgula.

  • Não é possível excluir um valor específico em uma condição de combinação de filtro numérico. Por exemplo, você não pode especificar uma condição que combinaria apenas se a condição da combinação não fosse igual a um determinado valor.

Condições de combinação do filtro de interface

As condições de combinação do filtro de interface podem combinar valores de nome da interface em um pacote. Para condições de combinação do filtro de interface, você especificará o nome da interface, por exemplo:

As interfaces de porta e VLAN não usam números de unidade lógicos. Entretanto, um filtro de firewall que é aplicado a uma interface do roteador pode especificar o número da unidade lógica na condição de combinação do filtro de interface, por exemplo:

Você pode incluir o * wildcard como parte do nome da interface, por exemplo:

Condições de combinação do filtro de endereço IP

As condições de combinação do filtro de endereço podem combinar valores de prefixo em um pacote, como prefixos de origem ip e destino. Para condições de combinação de filtro de endereço, você especifica uma palavra-chave que identifica o campo e um prefixo desse tipo que um pacote deve combinar.

Você especificará o endereço como um único prefixo. Ocorre uma combinação se o valor do campo corresponder ao prefixo. Por exemplo:

Cada prefixo contém uma instrução implícita de 0/0, exceto a instrução, o que significa que qualquer prefixo que não combina com o prefixo especificado é considerado não corresponder.

Para especificar o prefixo de endereço, use o prefixo/comprimento de prefixo de notação. Se você omitir o comprimento do prefixo, ele será padrão para /32. Por exemplo:

Para especificar mais de um endereço IP em um termo de filtro, você inserirá cada endereço em sua própria declaração de combinação. Por exemplo, uma combinação ocorrerá no termo a seguir se o valor do campo corresponder a um dos seguintes prefixos de source-address endereço de origem:

Condições de combinação do filtro de endereço MAC

As condições de combinação do filtro de endereço MAC podem combinar valores de endereço MAC de origem e destino em um pacote. Para condições de combinação do filtro de endereço MAC, você especifica uma palavra-chave que identifica o campo e um valor desse tipo que um pacote deve combinar.

Você pode especificar o endereço MAC como seis bytes hexadecimal nos seguintes formatos:

Para especificar mais de um endereço MAC em um termo de filtro, você inserirá cada endereço MAC em sua própria instrução de combinação. Por exemplo, uma combinação ocorrerá no termo a seguir se o valor do campo corresponder a source-mac-address um dos endereços a seguir.

Condições de combinação do filtro de campo de bit

As condições do filtro de campo de bit combinam com os campos de pacote se bits específicos desses campos estão ou não definidos. Você pode combinar as opções de IP, bandeiras TCP e campos de fragmentação de IP. Para condições de combinação de filtro de campo de bit, você especificará uma palavra-chave que identifica o campo e os testes para determinar se a opção está presente no campo.

Para especificar o valor do campo de bit a combinar, incluir o valor em duas aspas. Por exemplo, ocorre uma combinação se o bit no campo de RST bandeiras TCP for definido:

Normalmente, você especifica os bits a serem testados usando palavras-chave. Palavras-chave de combinação de campo de bit sempre mapeiam para um único valor de bit. Você também pode especificar campos de bit como números hexadecimal ou decimais.

Para combinar vários valores de campo de bit, use os operadores lógicos descritos em Tabela 1 . Os operadores são indicados na ordem desde a maior precedência até a menor precedência. As operações são de esquerda.

Tabela 1: Operadores lógicos para combinar vários operadores de campo de bit

Operadoras lógicas

Descrição

!

Negação.

&

Lógico E.

|

OR lógico.

Para negar uma combinação, preceda o valor com um ponto de exclamação. Por exemplo, uma combinação só ocorre se o bit RST no campo de bandeiras TCP não estiver definido:

No exemplo a seguir de uma operação AND lógica, ocorre uma combinação se o pacote for o pacote inicial em uma sessão TCP:

No exemplo a seguir de uma operação OR lógica, ocorre uma combinação se o pacote não for o pacote inicial em uma sessão TCP:

Para uma operação OR lógica, você pode especificar um máximo de duas condições de combinação em um único termo. Se você precisar combinar mais de dois valores de campo de bit em uma operação OR lógica, configure a mesma condição de combinação em termos consecutivos com valores adicionais de campo de bit. No exemplo a seguir, os dois termos configurados combinam com o bit SYN, ACK, FIN ou RST no campo de bandeiras TCP:

Você pode usar sinônimos de texto para especificar algumas partidas comuns de campo de bit. Você especifica esses jogos como uma única palavra-chave. No exemplo a seguir de um sinônimo de texto, ocorre uma combinação se o pacote for o pacote inicial em uma sessão TCP: