Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Descripción de las condiciones de coincidencia del filtro de Firewall

Antes de definir los términos de los filtros de firewall, debe comprender cómo se tratan las condiciones de coincidencia que se especifican en un término y cómo especificar varios tipos de condiciones de coincidencia para lograr los resultados de filtrado deseados. Una condición de coincidencia consiste en una cadena (denominada instrucción Match) que define la condición de coincidencia. Las condiciones de coincidencia son los valores o los campos que un paquete debe contener.

Condiciones de coincidencia de filtro

En la from instrucción de un término de filtro de Firewall , especifique las condiciones del paquete que activarán la acción en then una de las instrucciones: then con varias opciones, then interface o then vlan . Todas las condiciones de from la instrucción deben coincidir para que se realice la acción. El orden en el que se especifican las condiciones de coincidencia no es importante, ya que un paquete debe cumplir todas las condiciones en un término para que se produzca una coincidencia.

Si no especifica ninguna condición de coincidencia en un término, dicho término coincidirá con todos los paquetes.

Una condición individual de una from instrucción no puede contener una lista de valores. Por ejemplo, no puede especificar rangos numéricos ni varias direcciones de origen o destino.

Las condiciones individuales de from una instrucción no se pueden negar. Una condición negada es explícitamente incorrecta.

Condiciones de coincidencia de filtro numérico

Las condiciones del filtro numérico coinciden con los campos de paquetes identificados por un valor numérico, como los números de puerto y protocolo. Para las condiciones de coincidencia de filtros numéricos, especifique una palabra clave que identifique la condición y un valor único que debe coincidir con un campo de un paquete.

Puede especificar el valor numérico de una de las maneras siguientes:

  • Número único: se produce una coincidencia si el valor del campo coincide con el número. Por ejemplo:

  • Sinónimo de texto para un único número: se produce una coincidencia si el valor del campo coincide con el número que corresponde al sinónimo. Por ejemplo:

Para especificar más de un valor en un término de filtro, se especifica cada valor en su propia instrucción Match, que es una cadena que define una condición de coincidencia. Por ejemplo, se produce una coincidencia en el término siguiente si el valor vlan de es 10 o 30.

Se aplican las siguientes restricciones a las condiciones de coincidencia de filtros numéricos:

  • No se puede especificar un rango de valores.

  • No se puede especificar una lista de valores separados por comas.

  • No puede excluir un valor específico en una condición de coincidencia de filtro numérico. Por ejemplo, no puede especificar una condición que solo coincidiría si la condición de coincidencia no fuera igual a un valor dado.

Condiciones de coincidencia de filtro de interfaz

Las condiciones de coincidencia de filtro de interfaz pueden coincidir con valores de nombre de interfaz de un paquete. Para las condiciones de coincidencia de filtros de interfaz, especifique el nombre de la interfaz, por ejemplo:

Las interfaces de puerto y VLAN no utilizan números de unidad lógica. Sin embargo, un filtro de firewall que se aplica a una interfaz de enrutador puede especificar el número de unidad lógica en la condición de coincidencia de filtro de interfaz, por ejemplo:

Puede incluir el * comodín como parte del nombre de interfaz, por ejemplo:

Condiciones de coincidencia de filtro de dirección IP

Las condiciones de coincidencia del filtro de direcciones pueden coincidir con los valores de prefijo de un paquete, como el origen IP y los prefijos de destino. En el caso de las condiciones de coincidencia de filtros de direcciones, especifique una palabra clave que identifique el campo y un prefijo de ese tipo con los que debe coincidir un paquete.

La dirección se especifica como un solo prefijo. Si el valor del campo coincide con el prefijo, se produce una coincidencia. Por ejemplo:

Cada prefijo contiene una instrucción 0/0 implícita, lo que significa que cualquier prefijo que no coincida con el prefijo especificado se considerará expresamente como no coincidente.

Para especificar el prefijo de dirección, utilice el prefijo de notación/longitud del prefijo. Si se omite longitud del prefijo, el valor predeterminado es/32. Por ejemplo:

Para especificar más de una dirección IP en un término de filtro, cada dirección se escribe en su propia instrucción Match. Por ejemplo, se produce una coincidencia en el término siguiente si el valor del campo coincide con cualquiera de los siguientes prefijos source-address de dirección de origen:

Condiciones de coincidencia de filtro de direcciones MAC

Dirección MAC condiciones de coincidencia de filtro pueden coincidir con los valores de dirección MAC de origen y destino de un paquete. Para dirección MAC condiciones de coincidencia de filtro, especifique una palabra clave que identifique el campo y un valor de ese tipo que debe coincidir con un paquete.

Puede especificar el dirección MAC como seis bytes hexadecimales en los formatos siguientes:

Para especificar más de una dirección MAC en el término de un filtro, debe especificar cada dirección MAC en su propia instrucción Match. Por ejemplo, se produce una coincidencia en el término siguiente si el valor del campo source-mac-address coincide con cualquiera de las siguientes direcciones.

Condiciones de coincidencia de filtro de campo de bits

Las condiciones del filtro de campos de bits coincidentes con campos de paquetes si determinados bits de esos campos son o no están establecidos. Puede hacer coincidir los campos de opciones IP, indicadores TCP y fragmentación IP. Para las condiciones de coincidencia de filtro de campo de bits, especifique una palabra clave que identifique el campo y las pruebas para determinar que la opción está presente en el campo.

Para especificar el valor del campo de bits que debe coincidir, incluya el valor entre comillas dobles. Por ejemplo, se produce una coincidencia si el bit del RST campo indicadores TCP está establecido:

Normalmente, los bits que se van a probar se especifican utilizando palabras clave. Las palabras clave de coincidencia de campos de bits siempre se asignan a un único valor de bit. También puede especificar los campos de bits como números hexadecimales o decimales.

Para hacer coincidir varios valores del campo de bits, utilice los operadores lógicos, Tabla 1que se describen en. Los operadores se enumeran en orden de mayor a menor prioridad. Las operaciones son asociativas desde la izquierda.

Tabla 1: Operadores lógicos para hacer coincidir varios operadores de campo de bits

Operadores lógicos

Descripción

!

Nega.

&

Y lógico.

|

O lógico.

Para negar una coincidencia, anteponga un signo de exclamación al valor. Por ejemplo, una coincidencia se produce sólo si no se ha establecido el bit RST en el campo de indicadores de TCP:

En el siguiente ejemplo de una operación lógica AND, se produce una coincidencia si el paquete es el paquete inicial en una sesión TCP:

En el siguiente ejemplo de una operación lógica OR, se produce una coincidencia si el paquete no es el paquete inicial en una sesión TCP:

En el caso de una operación lógica OR, puede especificar un máximo de dos condiciones de coincidencia en un único término. Si necesita hacer coincidir más de dos valores del campo de bits en una operación OR lógica, configure la misma condición de coincidencia en términos consecutivos con valores de campo de bits adicionales. En el ejemplo siguiente, los dos términos configurados coinciden con el bit SYN, ACK, FIN o RST del campo de indicadores de TCP:

Puede usar sinónimos de texto para especificar algunas coincidencias de campos de bits comunes. Estas coincidencias se especifican como una palabra clave única. En el siguiente ejemplo de un sinónimo de texto, se produce una coincidencia si el paquete es el paquete inicial en una sesión TCP: