Pravidla běžně používají zdrojové a cílové adresy, čísla protokolů, transportní porty, rozhraní, směr a vybraná pole hlaviček. Tuto funkci mohou poskytovat routery, switche, hostitelé, cloudové kontroly i firewally.
Protože se nekonzultuje žádná historie spojení, musí zpětný provoz odpovídat vlastnímu explicitnímu pravidlu. To může učinit politiku předvídatelnou a efektivní na prostředky pro jednoduché toky, ale protokoly s dynamickými porty, fragmenty, asymetrickým chováním nebo složitými vzory dotaz–odpověď vyžadují pečlivé zacházení. Implementace se liší v pořadí pravidel, výchozí akci, logování a polích dostupných pro porovnávání.
Klíčové body
Návrh pravidelVycházejte z požadovaných toků, používejte úzké zdroje, cíle, protokoly, porty a směry, definujte výchozí akci a dokumentujte vlastnictví a účel pravidel.
Zpracování paketůSpecifikujte chování IPv4 a IPv6, fragmenty, volby či rozšiřující hlavičky, kontroly podvržených zdrojů, příchozí a odchozí politiku a poškozené pakety.
ProvozOtestujte povolené i zamítnuté cesty, přezkoumávejte čítače a logy, odstraňujte zastaralá nebo zastíněná pravidla a posuďte výkon při vysokých rychlostech paketů, místo aby se předpokládalo, že efektivita odstraňuje limity prostředků.
Důležité omezeníPaket může splnit každé pravidlo hlavičky a přesto nést útok. Bezstavá filtrace nedokáže určit, zda patří k legitimní předchozí výměně, a široká pravidla zpětné cesty mohou služby neočekávaně vystavit.