Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Comprendre les conditions de correspondance des filtres de pare-feu

Avant de définir les termes des filtres de pare-feu, vous devez comprendre comment les conditions de correspondance que vous spécifiez dans un terme sont gérées et comment spécifier différents types de conditions de correspondance pour obtenir les résultats de filtrage souhaités. Une condition de correspondance consiste en une chaîne (appelée déclaration de correspondance) qui définit la condition de correspondance. Les conditions de correspondance sont les valeurs ou les champs qu’un paquet doit contenir.

Conditions de correspondance des filtres

Dans l’instruction from d’un terme de filtre de pare-feu , vous spécifiez les conditions de paquet qui déclenchent l’action dans l’une then des instructions : then avec diverses options, then interface ou then vlan. Toutes les conditions de la from déclaration doivent correspondre pour que l’action soit prise. L’ordre dans lequel vous spécifiez les conditions de correspondance n’est pas important, car un paquet doit correspondre à toutes les conditions d’un terme pour qu’une correspondance se produise.

Si vous spécifiez aucune condition de correspondance dans un terme, ce terme correspond à tous les paquets.

Une condition individuelle dans une from instruction ne peut pas contenir une liste de valeurs. Par exemple, vous ne pouvez pas spécifier de plages numériques ou d’adresses source ou de destination.

Les conditions individuelles énoncées dans une from déclaration ne peuvent pas être niées. Une condition annulée est une incompatibilité explicite.

Conditions de correspondance des filtres numériques

Les conditions de filtre numériques correspondent à des champs de paquets identifiés par une valeur numérique, comme des numéros de port et de protocole. Pour les conditions de correspondance des filtres numériques, vous spécifiez un mot-clé qui identifie la condition et une valeur unique qu’un champ d’un paquet doit correspondre.

Vous pouvez spécifier la valeur numérique de l’une des façons suivantes :

  • Numéro unique : une correspondance se produit si la valeur du champ correspond au nombre. Par exemple :

  • Synonyme de texte pour un numéro unique : une correspondance se produit si la valeur du champ correspond au nombre correspondant au synonyme. Par exemple :

Pour spécifier plusieurs valeurs dans un terme de filtre, vous entrez chaque valeur dans sa propre déclaration de correspondance, qui est une chaîne qui définit une condition de correspondance. Par exemple, une correspondance se produit dans le terme suivant si la valeur est de vlan 10 ou 30.

Les restrictions suivantes s’appliquent aux conditions de correspondance des filtres numériques :

  • Vous ne pouvez pas spécifier une plage de valeurs.

  • Vous ne pouvez pas spécifier de liste de valeurs séparées par des virgules.

  • Vous ne pouvez pas exclure une valeur spécifique dans une condition de correspondance de filtre numérique. Par exemple, vous ne pouvez pas spécifier une condition qui correspondrait uniquement si la condition de correspondance n’était pas égale à une valeur donnée.

Conditions de correspondance des filtres d’interface

Les conditions de correspondance des filtres d’interface peuvent correspondre aux valeurs du nom de l’interface dans un paquet. Pour les conditions de correspondance des filtres d’interface, vous spécifiez le nom de l’interface, par exemple :

Les interfaces de ports et VLAN n’utilisent pas de nombres d’unités logiques. Toutefois, un filtre de pare-feu appliqué à une interface de routeur peut spécifier le numéro d’unité logique dans la condition de correspondance du filtre d’interface, par exemple :

Vous pouvez inclure le * générique dans le nom de l’interface, par exemple :

Conditions de correspondance du filtre d’adresse IP

Les conditions de correspondance du filtre d’adresse peuvent correspondre aux valeurs de préfixe d’un paquet, telles que les préfixes de source et de destination IP. Pour que le filtre d’adresse corresponde aux conditions, vous spécifiez un mot-clé qui identifie le champ et un préfixe de ce type qu’un paquet doit correspondre.

Vous spécifiez l’adresse comme préfixe unique. Une correspondance se produit si la valeur du champ correspond au préfixe. Par exemple :

Chaque préfixe contient une instruction 0/0 implicite, sauf instruction, ce qui signifie que tout préfixe qui ne correspond pas au préfixe spécifié est explicitement considéré comme ne pas correspondre.

Pour spécifier le préfixe d’adresse, utilisez la longueur du préfixe/préfixe de notation. Si vous omettez la longueur du préfixe, elle est définie par défaut sur /32. Par exemple :

Pour spécifier plusieurs adresses IP dans un terme de filtre, vous saisissez chaque adresse dans sa propre déclaration de correspondance. Par exemple, une correspondance se produit dans le terme suivant si la valeur du source-address champ correspond à l’un des préfixes d’adresse source suivants :

Conditions de correspondance du filtre d’adresse MAC

Les conditions de correspondance du filtre d’adresse MAC peuvent correspondre aux valeurs d’adresse MAC source et de destination dans un paquet. Pour que les conditions du filtre d’adresse MAC correspondent, vous spécifiez un mot-clé qui identifie le champ et une valeur de ce type qu’un paquet doit correspondre.

Vous pouvez spécifier l’adresse MAC sous la forme de six octets hexadécimaux dans les formats suivants :

Pour spécifier plusieurs adresse MAC dans un terme de filtre, vous saisissez chaque adresse MAC dans sa propre déclaration de correspondance. Par exemple, une correspondance se produit dans le terme suivant si la valeur du source-mac-address champ correspond à l’une des adresses suivantes.

Conditions de correspondance des filtres sur bit

Les conditions du filtre de champs de bits correspondent aux champs de paquets si certains bits de ces champs sont ou ne sont pas définis. Vous pouvez assortir les options IP, les flags TCP et les champs de fragmentation IP. Pour les conditions de correspondance du filtre de champ de bits, vous spécifiez un mot-clé qui identifie le champ et teste pour déterminer que l’option est présente sur le terrain.

Pour spécifier la valeur du champ de bits correspondant, joignez la valeur en deux guillemets. Par exemple, une correspondance se produit si le RST bit du champ indicateurs TCP est défini :

Vous spécifiez généralement les bits à tester à l’aide de mots-clés. Les mots-clés correspondant au champ de bits correspondent toujours à une valeur de bit unique. Vous pouvez également spécifier des champs bits en tant que nombres hexadécimaux ou décimaux.

Pour correspondre à plusieurs valeurs de champ de bits, utilisez les opérateurs logiques décrits dans Tableau 1le livre . Les opérateurs sont répertoriés par ordre de priorité le plus élevé à priorité la plus faible. Les opérations sont laissées en l’espace.

Tableau 1 : Opérateurs logiques pour la comparaison de plusieurs opérateurs de champs de bits

Opérateurs logiques

Description

!

Négation.

&

Logique et.

|

Logique OU.

Pour annuler une correspondance, précèdez la valeur par un point d’exclamation. Par exemple, une correspondance n’est établie que si le bit RST du champ des indicateurs TCP n’est pas défini :

Dans l’exemple suivant d’une opération ET logique, une correspondance se produit si le paquet est le paquet initial sur une session TCP :

Dans l’exemple suivant d’une opération OU logique, une correspondance se produit si le paquet fait partie de l’établissement de session TCP ou s’il est déchiré :

Pour une opération OU logique, vous pouvez spécifier un maximum de deux conditions de correspondance en un seul terme. Si vous devez correspondre à plus de deux valeurs de champ de bits dans une opération OU logique, configurez la même condition de correspondance en termes consécutifs avec des valeurs de champ de bits supplémentaires. Dans l’exemple suivant, les deux termes configurés correspondent aux bits SYN, ACK, FIN ou RST du champ des flags TCP :

Vous pouvez utiliser des synonymes de texte pour spécifier quelques correspondances courantes sur les champs de bits. Vous spécifiez ces correspondances sous la forme d’un seul mot-clé. Dans l’exemple suivant d’un synonyme de texte, une correspondance se produit si le paquet est le paquet initial d’une session TCP :