التصفية حسب الخدمة، لا حسب المضيف فقط

قائمة الوصول التي تتناول الأسماء فقط تجيب على السؤال «هل يمكن أن يتحدث هذان الجهازان». نادرًا ما يكون هذا هو السؤال الذي طرحه أي شخص بالفعل. يتعلق الطلب الحقيقي دائمًا بالخدمة - يحتاج فريق الويب إلى منفذ التطبيق، ويحتاج المدقق إلى قراءة نظام واحد، وشبكة الضيوف تحتاج إلى الإنترنت ولا شيء داخلي.

إضافة الخدمة إلى قاعدة

يمكن أن تتطابق القاعدة في بروتوكول النقل ومنفذ الوجهة بالإضافة إلى العناوين. نفس ترتيب المباراة الأولى، نفس الرفض الضمني في النهاية - حقل آخر للمباراة عليه.

# Permits everything between these two hosts
permit  src 10.30.10.25  dst 10.30.30.10

# Permits one service, and nothing else, between the same two
permit  src 10.30.10.25  dst 10.30.30.10  tcp dport 443

منفذ الوجهة هو المنفذ الذي يحدد الخدمة، لأنه المنفذ الذي يستمع إليه الخادم. يتم اختيار منفذ المصدر عشوائيًا من قبل العميل لكل اتصال وليس من المفيد مطابقته - مطابقته هي خطأ مبكر شائع وتنتج قاعدة تعمل مرة واحدة ثم تتوقف.

عودة حركة المرور

يحتاج الطلب الذي يخرج إلى رد، ويصل الرد إلى منفذ المصدر العشوائي الذي اختاره العميل. يجب أن تسمح قائمة عديمي الجنسية بمجموعة واسعة من المنافذ الواردة للسماح بالردود على الإطلاق، الأمر الذي يبطل الكثير من الدقة المكتسبة للتو.

المطابقة في حالة الاتصال تحل هذا بشكل صحيح. يتتبع جدار الحماية الاتصالات التي يسمح بها للخارج ويعترف بالردود التي تنتمي إليها، بدون قاعدة تسمح لأي شخص ببدء اتصال جديد وارد.

# Replies to connections we already allowed out
permit  ct state established,related

# One service, inbound, from one source
permit  src 10.30.10.25  dst 10.30.30.10  tcp dport 443

الإجابات الثلاثة

عندما لا ينجح الاتصال بمنفذ، فإن الطريقة التي يفشل بها تخبرك بشيء محدد. هذا أمر يستحق المعرفة للتشخيص ولأنه يقرر كيفية كتابة قاعدة الرفض.

الإشارة المميزة هي الوقت. يعود الرفض على الفور بسبب الرد على شيء ما. تستغرق عملية الإسقاط المهلة الكاملة لأنه لم يحدث شيء. يبدو كلاهما وكأنه «لم يتم الاتصال» إذا كنت لا تراقب الفرق.

السقوط ضد الرفض

الإسقاط هو الخيار الافتراضي الصحيح عند الحدود التي تواجه أي شيء غير موثوق به: يكلف المهاجم وقتًا ولا يكشف شيئًا عما هو موجود. الرفض أكثر لطفًا داخل الشبكة التي تتحكم فيها، حيث يؤدي الفشل السريع والواضح إلى إنقاذ شخص ما بعد الظهر من التشخيص ولا يوجد ماسح ضوئي للإحباط.

التحقق حسب السلوك

لا تزال القاعدة التي تقرأ بشكل صحيح لا تعمل، ولا ينبغي وضع علامة خاطئة على المتعلم الذي حقق نفس النتيجة بشكل مختلف. فحص الفلتر يعني اختبار ما يحدث بالفعل من الجهاز المهم.

# Should connect
nc -w 3 10.30.30.10 443

# Should time out with no response at all
nc -w 3 10.30.30.10 3306