Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

방화벽 필터 일치 조건 이해

방화벽 필터에 대한 용어를 정의하기 전에, 용어에서 지정한 일치 조건이 어떻게 처리되는지 그리고 원하는 필터링 결과를 달성하기 위해 다양한 유형의 일치 조건을 지정하는 방법을 이해해야 합니다. 일치 조건은 일치 조건을 정의하는 문자열(match statement이라고도)으로 구성됩니다. 일치 조건은 패킷이 포함해야 하는 값 또는 필드입니다.

필터 일치 조건

방화벽 필터 용어의 명령문에서, 명령문 중 하나에서 작업을 트리거하는 패킷 조건을 fromthen 지정합니다. then 다양한 옵션을 선택할 then interfacethen vlan 있습니다. 조치가 취해지기 위해 명령문의 모든 조건이 from 일치해야 합니다. 패킷이 발생할 수 있는 용어의 모든 조건과 일치해야 하기 때문에 일치 조건을 지정하는 순서는 중요하지 않습니다.

용어에서 일치 조건을 지정하지 않으면 해당 용어가 모든 패킷과 일치합니다.

명령문의 개별 조건은 값 목록을 포함할 from 수 없습니다. 예를 들어 숫자 범위 또는 여러 소스 또는 대상 주소를 지정할 수 없습니다.

성명서의 개별 조건을 기만할 from 수는 없습니다. 부정한 조건은 명시적인 불일치입니다.

숫자 필터 일치 조건

숫자 필터 조건은 포트 및 프로토콜 번호와 같은 숫자 값으로 식별되는 패킷 필드와 일치합니다. 숫자 필터 일치 조건의 경우 조건과 패킷 필드가 일치해야 하는 단일 값을 식별하는 키워드를 지정합니다.

다음 방법 중 하나에서 숫자 값을 지정할 수 있습니다.

  • 단일 번호—필드의 값이 숫자와 일치하면 일치가 발생합니다. 몇 가지 예를 들면 다음과 같습니다.

  • 단일 번호에 대한 텍스트 동의어— 필드의 값이 동의어에 해당하는 수와 일치하면 일치(match)가 발생합니다. 몇 가지 예를 들면 다음과 같습니다.

필터 용어에서 두 개 이상의 값을 지정하기 위해 각 값을 자체 일치 명령문에 입력합니다. 이는 일치 조건을 정의하는 문자열입니다. 예를 들어, 값이 10 또는 30인 경우 다음 용어에서 vlan 일치가 발생합니다.

숫자 필터 일치 조건에는 다음과 같은 제한이 적용됩니다.

  • 값 범위를 지정할 수 없습니다.

  • 콤마 분리된 값의 목록을 지정할 수 없습니다.

  • 숫자 필터 일치 조건에서 특정 값을 제외할 수 없습니다. 예를 들어, 일치 조건이 주어진 값과 같지 않은 경우와 일치하는 조건을 지정할 수 없습니다.

인터페이스 필터 일치 조건

인터페이스 필터 일치 조건은 패킷에서 인터페이스 이름 값을 일치할 수 있습니다. 인터페이스 필터 일치 조건의 경우 인터페이스의 이름을 다음과 같은 예로 지정합니다.

포트 및 VLAN 인터페이스는 논리적 단위 번호를 사용하지 않습니다. 그러나 라우터 인터페이스에 적용된 방화벽 필터는 인터페이스 필터 일치 조건에서 논리적 단위 번호를 지정할 수 있습니다.

예를 들어 인터페이스 이름에 와일드카드를 * 포함할 수 있습니다.

IP 주소 필터 일치 조건

주소 필터 일치 조건은 IP 소스 및 대상 Prefix와 같은 패킷에서 Prefix 값을 일치할 수 있습니다. 주소 필터 일치 조건의 경우 필드를 식별하는 키워드와 패킷이 일치해야 하는 유형의 Prefix 하나를 지정합니다.

주소를 단일 Prefix로 지정합니다. 필드의 값이 Prefix와 일치하면 일치가 발생합니다. 몇 가지 예를 들면 다음과 같습니다.

각 Prefix에는 명령문을 제외한 암시적 0/0이 포함되어 있습니다. 즉, 지정된 Prefix와 일치하지 않는 모든 Prefix가 일치하지 않는 것으로 간주됩니다.

address prefix를 지정하고, notation prefix/prefix-length를 사용하세요. Prefix-length를 생략하면 기본적으로 /32로 설정됩니다. 몇 가지 예를 들면 다음과 같습니다.

필터 용어에서 두 개 이상의 IP 주소를 지정하기 위해 각 주소를 자체 일치 명령문에 입력합니다. 예를 들어 필드의 값이 다음 소스 주소 프리픽스 중 하나에 일치하면 다음 용어에서 일치가 source-address 발생합니다.

MAC 주소 필터 일치 조건

MAC 주소 필터 일치 조건은 패킷에서 소스 및 대상 MAC 주소 값을 일치할 수 있습니다. MAC 주소 필터 일치 조건의 경우 필드를 식별하는 키워드와 패킷이 일치해야 하는 유형의 값을 지정합니다.

MAC 주소를 다음과 같은 형식으로 6 hexadecimal bytes로 지정할 수 있습니다.

필터 용어에서 두 개 이상의 MAC 주소를 지정하기 위해 각 MAC 주소를 자체 일치 명령문에 입력합니다. 예를 들어 필드의 값이 다음 주소 중 하나에 일치하면 다음 용어에서 일치가 source-mac-address 발생합니다.

Bit-Field 필터 일치 조건

이러한 필드의 특정 비트가 설정되지 않은 경우 비트 필드 필터 조건은 패킷 필드와 일치합니다. IP 옵션, TCP 플래그 및 IP 단편화 필드를 일치할 수 있습니다. 비트 필드 필터 일치 조건의 경우, 필드와 테스트를 식별하는 키워드를 지정하여 해당 옵션이 현장에 있는지 판단합니다.

일치할 비트 필드 값을 지정하기 위해 이중 견적 마크에 값을 동봉합니다. 예를 들어, TCP 플래그 필드의 비트가 설정되어 있는 경우 일치가 RST 발생합니다.

일반적으로, 키워드를 사용하여 테스트할 비트를 지정합니다. 비트 필드 일치 키워드는 항상 단일 비트 값에 매핑됩니다. 비트 필드를 적시(hexadecimal) 또는 소수(decimal) 번호로 지정할 수도 있습니다.

여러 비트 필드 값과 일치하기 위해 에 설명된 논리적 연산자를 표 1 사용합니다. 운영자는 가장 높은 우선 순위에서 최저 우선 순위로 순서대로 나열됩니다. 운영은 좌측면 연결(left-associative)됩니다.

표 1: 여러 비트 필드 운영자에 일치하기 위한 논리적 운영자

논리적 운영자

설명

!

부정.

&

논리적 및 논리적.

|

논리적 또는.

일치를 무의미하게 설정하기 위해, 설명문이 있는 값을 앞에 두면 됩니다. 예를 들어, TCP 플래그 필드의 RST 비트가 설정되지 않은 경우 매치가 발생합니다.

논리적 및 작동의 다음 예에서 패킷이 TCP 세션의 초기 패킷인 경우 일치가 발생합니다.

논리적 또는 운영의 다음 예에서, 패킷이 TCP 세션 구성의 일부인 경우 매치가 발생합니다.

논리적 또는 연산의 경우, 단일 용어로 최대 2개의 일치 조건을 지정할 수 있습니다. 논리적 또는 연산에서 2개 이상의 비트 필드 값을 일치해야 하는 경우 추가 비트 필드 값과 함께 연속적으로 동일한 일치 조건을 구성합니다. 다음 예제에서 TCP 플래그 필드의 SYN, ACK, FIN 또는 RST 비트와 일치하도록 구성된 두 가지 용어가 있습니다.

텍스트 신소문을 사용하여 몇 가지 일반적인 비트 필드 일치를 지정할 수 있습니다. 이러한 일치를 단일 키워드로 지정합니다. 텍스트 동의어의 다음 예에서는 패킷이 TCP 세션의 초기 패킷인 경우 매치가 발생합니다.