Создание правил пакетной фильтрации
Создание правил пакетной фильтрации
Создание правил пакетной фильтрации состоит из формирования списков доступа и привязывания их к конкретным интерфейсам аппаратной платформы S-Terra или сетевого модуля.
В cisco-like конфигурации
В интерфейсе командной строки с помощью команды ip access-list создаются листы доступа.
Команда ip access-list и ipv6 access-list осуществляет вход в режим редактирования списков доступа. В этом режиме команды permit и deny формируют списки для запрета или прохождения трафика.
Например, для ipv4-трафика:
ip access-list extended IPV4_LIST
permit ip 192.168.66.0 0.0.0.255 192.168.64.0 0.0.0.255
!
Например, для ipv6-трафика:
ipv6 access-list IPV6_LIST
permit ipv6 2023:1234:5678:1a::/64 2023:1234:5678:3c::/64
!
Далее заданное правило привязывается к интерфейсу. Для установки заданных правил пакетной фильтрации необходимо в настройках интерфейса указать используемый фильтр входящего (in) и/или исходящего (out) трафика:
interface GigabitEthernet0/1
ip access-group IPV4_LIST out
ipv6 access-group IPV6_LIST in
!
В LSP-конфигурации
В конфигурационном файле правила пакетной фильтрации создаются средствами структур Filters или IPv6Filters, путем перечисления в них структур Filter. Таким образом создается набор правил фильтрации. В структуре Filter задает правило фильтрации, в котором задаётся набор атрибутов с описанием трафика. Также в данной структуре задается атрибут Action – определяющий выполняемое действие для пакета, если он соответствует заданному описанию, т.е. попадает под правило фильтрации. Например:
FilterChain FilterChain:IPV4_LIST:IPV6_LIST (
Filters = Filter (
SourceIP = 192.168.66.0/24
DestinationIP = 192.168.64.0/24
Action = PASS
LogEventID = "IPV4_LIST"
),
Filter (
DestinationIP = 0.0.0.0/0
Action = DROP
)
IPv6Filters = Filter (
SourceIP = 2023:1234:5678:1a::/64
DestinationIP = 2023:1234:5678:3c::/64
Action = PASS
LogEventID = "IPV6_LIST"
),
Filter (
DestinationIP = ::/0
Action = DROP
))
Далее заданное правило привязывается к интерфейсу. Для установки заданных правил пакетной фильтрации необходимо в настройках интерфейса указать используемый фильтр входящего (InputFilter) или исходящего (OutputFilter) трафика.
NetworkInterface (
LogicalName = "GigabitEthernet0/1"
OutputFilter = FilterChain:IPV4_LIST:IPV6_LIST
)