Grundlegendes zu Übereinstimmungsbedingungen für Firewall-Filter

Filter-Übereinstimmungsbedingungen

In der Anweisung eines Firewallfilterbegriffs geben Sie die Paketbedingungen an, die die Aktion in einer der folgenden Anweisungen auslösen:fromthen mit verschiedenen Optionen oder .thenthen interfacethen vlan Alle Bedingungen in der Anweisung müssen übereinstimmen, damit die Aktion ausgeführt werden kann.from Die Reihenfolge, in der Sie Übereinstimmungsbedingungen angeben, ist nicht wichtig, da ein Paket alle Bedingungen in einem Ausdruck erfüllen muss, damit eine Übereinstimmung auftritt.

Wenn Sie in einem Begriff keine Übereinstimmungsbedingungen angeben, stimmt dieser Begriff mit allen Paketen überein.

Eine einzelne Bedingung in einer Anweisung kann keine Liste von Werten enthalten.from Sie können z. B. keine numerischen Bereiche oder mehrere Quell- oder Zieladressen angeben.

Einzelne Bedingungen in einer Anweisung können nicht negiert werden.from Eine negierte Bedingung ist eine explizite Nichtübereinstimmung.

Übereinstimmungsbedingungen für numerische Filter

Numerische Filterbedingungen stimmen mit Paketfeldern überein, die durch einen numerischen Wert identifiziert werden, z. B. Port- und Protokollnummern. Bei Übereinstimmungsbedingungen für numerische Filter geben Sie ein Schlüsselwort an, das die Bedingung identifiziert, und einen einzelnen Wert, mit dem ein Feld in einem Paket übereinstimmen muss.

Sie können den numerischen Wert auf eine der folgenden Arten angeben:

• Einzelne Zahl: Eine Übereinstimmung tritt auf, wenn der Wert des Feldes mit der Zahl übereinstimmt. Hier einige Zahlen zum Generationswechsel:

• Textsynonym für eine einzelne Zahl: Eine Übereinstimmung tritt auf, wenn der Wert des Felds mit der Zahl übereinstimmt, die dem Synonym entspricht. Hier einige Zahlen zum Generationswechsel:

Wenn Sie mehr als einen Wert in einem Filterbegriff angeben möchten, geben Sie jeden Wert in eine eigene Übereinstimmungsanweisung ein, bei der es sich um eine Zeichenfolge handelt, die eine Übereinstimmungsbedingung definiert. Eine Übereinstimmung tritt z. B. im folgenden Begriff auf, wenn der Wert von 10 oder 30 ist.vlan

Die folgenden Einschränkungen gelten für Übereinstimmungsbedingungen mit numerischen Filtern:

• Sie können keinen Wertebereich angeben.

• Sie können keine Liste von durch Trennzeichen getrennten Werten angeben.

• Sie können einen bestimmten Wert in einer numerischen Filterübereinstimmungsbedingung nicht ausschließen. Sie können z. B. keine Bedingung angeben, die nur dann erfüllt wird, wenn die Übereinstimmungsbedingung nicht mit einem bestimmten Wert übereinstimmt.

Übereinstimmungsbedingungen für Schnittstellenfilter

Übereinstimmungsbedingungen für Schnittstellenfilter können mit den Werten für Schnittstellennamen in einem Paket übereinstimmen. Bei Übereinstimmungsbedingungen für Schnittstellenfilter geben Sie den Namen der Schnittstelle an, z. B.:

Port- und VLAN-Schnittstellen verwenden keine logischen Einheitennummern. Ein Firewallfilter, der auf eine Routerschnittstelle angewendet wird, kann jedoch die Nummer der logischen Einheit in der Übereinstimmungsbedingung für den Schnittstellenfilter angeben, z. B.:

Sie können den Platzhalter als Teil des Schnittstellennamens einfügen, z. B.:*

Übereinstimmungsbedingungen für IP-Adressenfilter

Die Übereinstimmungsbedingungen für Adressfilter können mit Präfixwerten in einem Paket übereinstimmen, z. B. mit IP-Quell- und Zielpräfixen. Für Übereinstimmungsbedingungen für Adressfilter geben Sie ein Schlüsselwort an, das das Feld identifiziert, und ein Präfix dieses Typs, mit dem ein Paket übereinstimmen muss.

Sie geben die Adresse als einzelnes Präfix an. Eine Übereinstimmung tritt auf, wenn der Wert des Felds mit dem Präfix übereinstimmt. Hier einige Zahlen zum Generationswechsel:

Jedes Präfix enthält eine implizite 0/0 except-Anweisung, was bedeutet, dass jedes Präfix, das nicht mit dem angegebenen Präfix übereinstimmt, explizit als nicht übereinstimmend betrachtet wird.

Um das Adresspräfix anzugeben, verwenden Sie die Notation prefix/prefix-length. Wenn Sie prefix-length weglassen, wird standardmäßig /32 verwendet. Hier einige Zahlen zum Generationswechsel:

Wenn Sie mehr als eine IP-Adresse in einem Filterbegriff angeben möchten, geben Sie jede Adresse in einer eigenen Übereinstimmungsanweisung ein. Eine Übereinstimmung tritt z. B. im folgenden Ausdruck auf, wenn der Wert des Felds mit einem der folgenden Quelladresspräfixe übereinstimmt:source-address

Übereinstimmungsbedingungen für MAC-Adressenfilter

Die Übereinstimmungsbedingungen für MAC-Adressfilter können mit den Werten der Quell- und Ziel-MAC-Adressen in einem Paket übereinstimmen. Für Übereinstimmungsbedingungen für MAC-Adressfilter geben Sie ein Schlüsselwort an, das das Feld identifiziert, und einen Wert dieses Typs, mit dem ein Paket übereinstimmen muss.

Sie können die MAC-Adresse als sechs Hexadezimalbytes in den folgenden Formaten angeben:

Wenn Sie mehr als eine MAC-Adresse in einem Filterbegriff angeben möchten, geben Sie jede MAC-Adresse in einer eigenen Übereinstimmungsanweisung ein. Eine Übereinstimmung tritt z. B. im folgenden Begriff auf, wenn der Wert des Felds mit einer der folgenden Adressen übereinstimmt.source-mac-address

Übereinstimmungsbedingungen für Bitfeldfilter

Bitfeldfilterbedingungen stimmen mit Paketfeldern überein, wenn bestimmte Bits in diesen Feldern gesetzt sind oder nicht. Sie können die Felder IP-Optionen, TCP-Flags und IP-Fragmentierung abgleichen. Bei Übereinstimmungsbedingungen für Bitfeldfilter geben Sie ein Schlüsselwort an, das das Feld identifiziert und testet, um festzustellen, ob die Option im Feld vorhanden ist.

Um den abzugleichenden Bitfeldwert anzugeben, schließen Sie den Wert in doppelte Anführungszeichen ein. Eine Übereinstimmung tritt z. B. auf, wenn das Bit im Feld TCP-Flags festgelegt ist:RST

In der Regel geben Sie die zu testenden Bits mithilfe von Schlüsselwörtern an. Bitfeld-Übereinstimmungskeywords werden immer einem einzelnen Bitwert zugeordnet. Sie können Bitfelder auch als Hexadezimal- oder Dezimalzahlen angeben.

Um mehrere Bitfeldwerte abzugleichen, verwenden Sie die logischen Operatoren, die in beschrieben werden .Tabelle 1 Die Operatoren werden in der Reihenfolge von der höchsten zur niedrigsten Priorität aufgelistet. Operationen sind linksassoziativ.

Um eine Übereinstimmung zu negieren, stellen Sie dem Wert ein Ausrufezeichen voran. Eine Übereinstimmung tritt z. B. nur auf, wenn das RST-Bit im Feld TCP-Flags nicht festgelegt ist:

Im folgenden Beispiel einer logischen UND-Verknüpfung tritt eine Übereinstimmung auf, wenn es sich bei dem Paket um das ursprüngliche Paket einer TCP-Sitzung handelt:

Im folgenden Beispiel einer logischen ODER-Operation tritt eine Übereinstimmung auf, wenn das Paket Teil des TCP-Sitzungsauf- oder -abbaus ist:

Für eine logische ODER-Verknüpfung können Sie maximal zwei Übereinstimmungsbedingungen in einem einzelnen Ausdruck angeben. Wenn Sie mehr als zwei Bitfeldwerte in einer logischen ODER-Operation abgleichen müssen, konfigurieren Sie dieselbe Übereinstimmungsbedingung nacheinander mit zusätzlichen Bitfeldwerten. Im folgenden Beispiel stimmen die beiden konfigurierten Begriffe mit dem SYN-, ACK-, FIN- oder RST-Bit im Feld TCP-Flags überein:

Sie können Textsynonyme verwenden, um einige gängige Bitfeldübereinstimmungen anzugeben. Sie geben diese Übereinstimmungen als einzelnes Schlüsselwort an. Im folgenden Beispiel eines Textsynonyms tritt eine Übereinstimmung auf, wenn es sich bei dem Paket um das ursprüngliche Paket in einer TCP-Sitzung handelt: