Regulile folosesc în mod obișnuit adresele sursă și destinație, numerele de protocol, porturile de transport, interfețele, direcția și anumite câmpuri de antet. Routere, switch-uri, gazde, controale cloud și firewall-uri pot furniza această funcție.
Deoarece nu se consultă niciun istoric de conexiune, traficul de întoarcere trebuie să se potrivească cu propria regulă explicită. Aceasta poate face politica predictibilă și eficientă ca resurse pentru fluxuri simple, dar protocoalele cu porturi dinamice, fragmente, comportament asimetric sau modele complexe de cerere și răspuns necesită o tratare atentă. Implementările diferă prin ordinea regulilor, acțiunea implicită, jurnalizare și câmpurile disponibile pentru potrivire.
Puncte esențiale
Proiectarea regulilorPorniți de la fluxurile necesare, folosiți surse, destinații, protocoale, porturi și direcții cât mai înguste, definiți acțiunea implicită și documentați proprietatea și scopul fiecărei reguli.
Tratarea pachetelorSpecificați comportamentul pentru IPv4 și IPv6, fragmente, opțiuni sau antete de extensie, controale împotriva surselor falsificate, politica de intrare și ieșire și pachetele malformate.
OperațiuniTestați căile permise și respinse, revizuiți contoarele și jurnalele, eliminați regulile învechite sau acoperite și evaluați performanța la rate mari de pachete, în loc să presupuneți că eficiența elimină limitele de resurse.
Limitare importantăUn pachet poate satisface fiecare regulă de antet și totuși poate transporta un atac. Filtrarea stateless nu poate determina dacă aparține unui schimb anterior legitim, iar regulile largi pentru calea de întoarcere pot expune servicii în mod neașteptat.