Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Descripción de las condiciones de coincidencia de filtros de firewall

Antes de definir términos para filtros de firewall, debe comprender cómo se manejan las condiciones de coincidencia que especifica en un término y cómo especificar varios tipos de condiciones de coincidencia para lograr los resultados de filtrado deseados. Una condición de coincidencia consta de una cadena (llamada instrucción match) que define la condición de coincidencia. Las condiciones de coincidencia son los valores o campos que debe contener un paquete.

Condiciones de coincidencia de filtro

En la from instrucción de un término de filtro de firewall , especifique las condiciones de paquete que desencadenan la acción en una de las instrucciones then : then con varias opciones, then interface o then vlan. Todas las condiciones de la from instrucción deben coincidir para la acción que se va a realizar. El orden en el que se especifican las condiciones de coincidencia no es importante, ya que un paquete debe coincidir con todas las condiciones de un término para que se produzca una coincidencia.

Si no especifica condiciones de coincidencia en un término, ese término coincide con todos los paquetes.

Una condición individual en una from instrucción no puede contener una lista de valores. Por ejemplo, no puede especificar rangos numéricos ni varias direcciones de origen o destino.

Las condiciones individuales de una from instrucción no se pueden negar. Una condición negada es una discordancia explícita.

Condiciones de coincidencia de filtro numérico

Las condiciones de filtro numérico coinciden con campos de paquete que se identifican por un valor numérico, como números de puerto y protocolo. Para las condiciones de coincidencia de filtro numérico, especifique una palabra clave que identifique la condición y un valor único que un campo de un paquete debe coincidir.

Puede especificar el valor numérico de una de las siguientes maneras:

  • Número único: se produce una coincidencia si el valor del campo coincide con el número. Por ejemplo:

  • Sinónimo de texto para un solo número: se produce una coincidencia si el valor del campo coincide con el número que corresponde al sinónimo. Por ejemplo:

Para especificar más de un valor en un término de filtro, escriba cada valor en su propia instrucción match, que es una cadena que define una condición de coincidencia. Por ejemplo, se produce una coincidencia en el término siguiente si el valor de vlan es 10 o 30.

Las siguientes restricciones se aplican a las condiciones de coincidencia de filtro numérico:

  • No puede especificar un rango de valores.

  • No puede especificar una lista de valores separados por comas.

  • No puede excluir un valor específico en una condición de coincidencia de filtro numérico. Por ejemplo, no puede especificar una condición que coincida solo si la condición de coincidencia no fuera igual a un valor determinado.

Condiciones de coincidencia de filtro de interfaz

Las condiciones de coincidencia de filtro de interfaz pueden coincidir con valores de nombre de interfaz en un paquete. Para condiciones de coincidencia de filtro de interfaz, especifique el nombre de la interfaz, por ejemplo:

Las interfaces de puerto y VLAN no usan números de unidad lógica. Sin embargo, un filtro de firewall que se aplica a una interfaz de enrutador puede especificar el número de unidad lógica en la condición de coincidencia de filtro de interfaz, por ejemplo:

Puede incluir el * comodín como parte del nombre de la interfaz, por ejemplo:

Condiciones de coincidencia de filtro de dirección IP

Las condiciones de coincidencia de filtro de dirección pueden coincidir con valores de prefijo en un paquete, como prefijos ip de origen y destino. Para las condiciones de coincidencia de filtro de dirección, especifique una palabra clave que identifique el campo y un prefijo de ese tipo que un paquete debe coincidir.

La dirección se especifica como un prefijo único. Se produce una coincidencia si el valor del campo coincide con el prefijo. Por ejemplo:

Cada prefijo contiene una instrucción implícita 0/0 excepto, lo que significa que cualquier prefijo que no coincida con el prefijo especificado se considera explícitamente que no coincide.

Para especificar el prefijo de dirección, utilice el prefijo/longitud del prefijo de la notación. Si omite la longitud del prefijo, de forma predeterminada es /32. Por ejemplo:

Para especificar más de una dirección IP en un término de filtro, escriba cada dirección en su propia instrucción de coincidencia. Por ejemplo, se produce una coincidencia en el término siguiente si el valor del source-address campo coincide con cualquiera de los siguientes prefijos de dirección de origen:

Condiciones de coincidencia de filtro de dirección MAC

Las condiciones de coincidencia del filtro de dirección MAC pueden coincidir con los valores de dirección MAC de origen y destino en un paquete. Para las condiciones de coincidencia de filtro de dirección MAC, especifique una palabra clave que identifique el campo y un valor de ese tipo que un paquete debe coincidir.

Puede especificar la dirección MAC como seis bytes hexadecimales en los siguientes formatos:

Para especificar más de una dirección MAC en un término de filtro, escriba cada dirección MAC en su propia instrucción de coincidencia. Por ejemplo, se produce una coincidencia en el término siguiente si el valor del source-mac-address campo coincide con alguna de las direcciones siguientes.

Condiciones de coincidencia de filtro de campo de bits

Las condiciones de filtro de campo de bits coinciden con los campos de paquete si determinados bits en esos campos están o no están establecidos. Puede hacer coincidir las opciones de IP, las marcas TCP y los campos de fragmentación de IP. Para las condiciones de coincidencia de filtro de campo de bits, especifique una palabra clave que identifique el campo y pruebas para determinar que la opción está presente en el campo.

Para especificar el valor de campo de bits que coincidirá, encierre el valor entre comillas dobles. Por ejemplo, se produce una coincidencia si se establece el RST bit en el campo de indicadores TCP:

Normalmente, se especifican los bits que se van a probar mediante el uso de palabras clave. Las palabras clave de coincidencia de campo de bits siempre se asignan a un valor de un solo bit. También puede especificar campos de bits como números hexadecimales o decimales.

Para hacer coincidir varios valores de campo de bits, utilice los operadores lógicos, que se describen en Tabla 1. Los operadores se enumeran en orden desde la prioridad más alta hasta la más baja. Las operaciones son asociativas a la izquierda.

Tabla 1: Operadores lógicos para hacer coincidir varios operadores de campo de bits

Operadores lógicos

Descripción

!

Negación.

&

Lógica Y.

|

Lógica O.

Para negar una coincidencia, precede al valor con un punto de exclamación. Por ejemplo, una coincidencia solo se produce si el bit RST en el campo de indicadores TCP no está establecido:

En el siguiente ejemplo de una operación AND lógica, se produce una coincidencia si el paquete es el paquete inicial en una sesión TCP:

En el siguiente ejemplo de una operación O lógica, se produce una coincidencia si el paquete forma parte del establecimiento o desmontaje de sesión TCP:

Para una operación O lógica, puede especificar un máximo de dos condiciones de coincidencia en un solo término. Si necesita hacer coincidir más de dos valores de campo de bits en una operación OR lógica, configure la misma condición de coincidencia en términos consecutivos con valores de campo de bits adicionales. En el ejemplo siguiente, los dos términos configurados coinciden con el bit SYN, ACK, FIN o RST en el campo de indicadores TCP:

Puede usar sinónimos de texto para especificar algunas coincidencias de campo de bits comunes. Estas coincidencias se especifican como una sola palabra clave. En el siguiente ejemplo de un sinónimo de texto, se produce una coincidencia si el paquete es el paquete inicial en una sesión TCP: