Comprendre comment les filtres de pare-feu sont évalués
Un filtre de pare-feu est constitué d’un ou plusieurs termes, et l’ordre des termes à l’intérieur d’un filtre est important. Avant de configurer des filtres de pare-feu, vous devez comprendre comment les commutateurs évaluent les termes à l’intérieur d’un filtre et comment les paquets sont évalués par rapport à ces termes.
Lorsqu’un filtre de pare-feu est constitué d’un seul terme, il est évalué comme suit :
Si le paquet répond à toutes les conditions, l’action de l’instruction
then
est effectuée.Si le paquet correspond à toutes les conditions et qu’aucune action n’est spécifiée dans l’instruction, l’action
then
accept par défaut est effectuée.Si le paquet ne correspond pas à toutes les conditions, le commutateur le rejette.
Lorsqu’un filtre de pare-feu est composé de plusieurs termes, il est évalué de manière séquentielle :
Le paquet est évalué par rapport aux conditions de l’instruction
from
au premier terme.Si le paquet répond à toutes les conditions du terme, l’action de l’instruction est effectuée et l’évaluation
then
se termine. Les termes suivants dans le filtre ne sont pas évalués.Si le paquet ne correspond pas à toutes les conditions du terme, il est évalué par rapport aux conditions de l’instruction
from
du second terme.Ce processus se poursuit jusqu’à ce que le paquet corresponde à toutes les conditions de l’instruction
from
dans l’un des termes suivants ou qu’il n’y ait plus de termes dans le filtre.Si un paquet passe par tous les termes du filtre sans correspondance, le commutateur le rejette.
L’ordre des conditions dans une instruction n’a pas d’importance, car un paquet doit correspondre à toutes les conditions pour être considéré comme une from
correspondance.
Figure 1 Montre comment les commutateurs évaluent les termes à l’intérieur d’un filtre de pare-feu.
Si vous n’incluez pas d’instruction dans un terme, tous les paquets correspondront au terme et seront traités par l’instruction from
then
. Si un terme ne contient pas d’instruction ou si une action n’a pas été configurée dans l’instruction then
then
, le terme accepte tous les paquets correspondants.
Chaque filtre de pare-feu contient une instruction implicite deny
à la fin du filtre, qui est équivalente au terme de filtre explicite suivant :
term implicit-rule { then discard; }
Par conséquent, un paquet qui ne correspond à aucun des termes d’un filtre de pare-feu est ignoré. Si vous configurez un filtre qui n’a pas de termes, tous les paquets qui passent par le filtre sont ignorés.
Le filtrage par pare-feu est pris en charge sur les paquets d’au moins 64 octets.