Reguły zwykle używają adresów źródłowego i docelowego, numerów protokołów, portów transportowych, interfejsów, kierunku i wybranych pól nagłówka. Funkcję tę mogą zapewniać routery, przełączniki, hosty, kontrole chmurowe i zapory sieciowe.
Ponieważ nie jest sprawdzana historia połączenia, ruch powrotny musi pasować do własnej jawnej reguły. Może to czynić politykę przewidywalną i oszczędną zasobowo dla prostych przepływów, ale protokoły z dynamicznymi portami, fragmenty, zachowanie asymetryczne lub złożone wzorce żądanie–odpowiedź wymagają starannego traktowania. Implementacje różnią się kolejnością reguł, domyślnym działaniem, rejestrowaniem i polami dostępnymi do dopasowania.
Najważniejsze punkty
Projekt regułZaczynaj od wymaganych przepływów, używaj wąskich źródeł, miejsc docelowych, protokołów, portów i kierunków, definiuj domyślne działanie oraz dokumentuj właścicielstwo i cel reguł.
Obsługa pakietówOkreślaj zachowanie IPv4 i IPv6, fragmentów, opcji lub nagłówków rozszerzeń, kontroli sfałszowanych źródeł, polityki przychodzącej i wychodzącej oraz pakietów zniekształconych.
OperacjeTestuj ścieżki dozwolone i zablokowane, przeglądaj liczniki i logi, usuwaj przestarzałe lub przesłonięte reguły i oceniaj wydajność przy wysokim tempie pakietów, zamiast zakładać, że efektywność usuwa limity zasobów.
Istotne ograniczeniePakiet może spełniać każdą regułę nagłówkową i nadal przenosić atak. Filtrowanie bezstanowe nie potrafi ustalić, czy należy do uprawnionej wcześniejszej wymiany, a szerokie reguły ścieżki powrotnej mogą nieoczekiwanie eksponować usługi.