Создание правил контекстной фильтрации

Создание правил контекстной фильтрации

В cisco-like конфигурации

В интерфейсе командной строки для создания правил контекстной фильтрации используются следующие команды:

• Команда ip port-map служит для ассоциации протоколов (сервисов) прикладного уровня с номерами TCP-портов (PAM - port-to-application mapping) и позволяет перенаправлять трафик стандартных (системных) протоколов и пользовательских, заданных пользователем, на любой TCP-порт.
• Команда ip inspect name и ipv6 inspect name применяется для создания правила проверки трафика для протоколов прикладного уровня и TCP, UDP.
• Команды ip inspect tcp synwait-time, ip tcp finwait-time, ip inspect tcp idle-time, ip inspect max-incomplete hight, ip inspect max-incomplete low, ip inspect one-minute hight, ip inspect one-minute low являются командами управления состоянием сеансов в системе CBAC (Context-Based Access Control – управление доступом на основе контекста).

Например, правило, задающее максимальное количество сессий для TCP и UDP ipv4‑трафика:

ip inspect tcp sessions-max 256000

ip inspect udp sessions-max 65536

ip inspect name INSPECT tcp

ip inspect name INSPECT udp

Далее правило привязывается к интерфейсу:

interface GigabitEthernet0/2

ip inspect INSPECT out!

Более подробное описание см. «Настройка сетевых интерфейсов».

В LSP-конфигурации

В конфигурационном файле правила контекстной фильтрации задаются в структурах Filter и FirewallParameters.

В структуре Filter атрибутами DestinationIP и ProtocolID описывается трафик, который будет подвергаться контекстной фильтрации, а в атрибуте ExtendedAction указывается параметр отслеживания состояний TCP и UDP соединений:

FilterChain InspectChain:INSPECT (

Filters = Filter (

DestinationIP = 0.0.0.0/0

ProtocolID = 6

Action = PASS

ExtendedAction = inspect_tcp<>

LogEventID = "Inspect:INSPECT:tcp"

),

Filter (

DestinationIP = 0.0.0.0/0

ProtocolID = 17

Action = PASS

ExtendedAction = inspect_udp<>

LogEventID = "Inspect:INSPECT:udp"

),

Filter (

DestinationIP = 0.0.0.0/0

Action = PASS

)

Ограничивающие количество сессий параметры задаются в структуре FirewallParameters с помощью атрибутов TCPSessionsMax и UDPSessionsMax:

FirewallParameters(

TCPSessionsMax = 256000

UDPSessionsMax = 65536

)

Далее созданное правило привязывается к интерфейсу:

NetworkInterface (

LogicalName = "GigabitEthernet0/2"

OutputFilter = InspectChain:INSPECT

)

Более подробное описание см. «Настройка сетевых интерфейсов».