Правила фильтрации

Работа сетевых экранов построена на использовании правил фильтрации. Правила бывают двух типов: разрешающие и запрещающие.

– и для разрешающих, и для запрещающих правил используются системы работающих вместе правил;

– выбирается приоритет – определяется, какие правила «выше»;

– для правил часто устанавливается порядок применения, т.к. они могут иметь пересечение по параметрам;

– правила, работающие на любом из уровней, оперируют теми понятиями адресации, которые существуют на этом уровне. Так, правила канального уровня оперируют MAC-адресами, правила сетевого уровня – IP-адресами, правила транспортного уровня – IP- адресами и номерами портов, а правила прикладного уровня – IP-адресами, номерами портов и именами программ.

Пример: может быть создано правило для фильтрации входящего UDP-трафика и правило для входящего UDP-трафика, идущего на порт 2048.

Очевидно, что второе правило является подмножеством первого. Однако часто между правилами могут возникать противоречия. В этом случае становится непонятным, какое из них должно работать первым, а какое – вторым. Управляя порядком, вы управляете приоритетом срабатывания правил.

Дата добавления: 2014-11-16