ELSA Documentation


Filter-Liste

Aus Objekt-Tabelle und Regel-Tabelle wird schließlich die Filter-Liste aufgebaut. Dabei wird wie bereits weiter oben erwähnt die Vereinigungsmenge aller durch die Regeln und Objekte definierten Filter gebildet. Mit den Default-Einstellungen in der Objekt- und Regel-Liste ergibt sich folgende Default-Filterliste.

Die IP-Filter sind in einer Tabelle mit dem folgenden Aufbau definiert

Idx. Prot Quell-Adresse Quell-
Netzmaske
Q-von Q-bis Ziel-Adresse
WIN TCP 255.255.255.255 0.0.0.0 137 139 0.0.0.0
:

Ziel-Netzmaske Z-von Z-bis Aktion
0.0.0.0 53 53

Die Felder der Tabelle haben folgende Bedeutung:

O Idx.
  Eindeutiger Index. Dieser Eintrag ist nötig, um die Filter unterscheiden zu können. Der Index kann vier Zeichen lang sein und beliebig gewählt werden.
O Prot
  Protokoll, das gefiltert werden soll. Möglich sind TCP, UDP, ICMP und alle.
  Die Einstellung alle filtert jedes Paket aus dem spezifizierten Quell-Netz bzw. zum Ziel-Netz.
O Quell-Adresse, Quell-Netzmaske
  Hiermit kann ein Subnetz des lokalen Netzes angegeben werden, für das der Filter gelten soll. Ist die Quell-Adresse 0.0.0.0 so bedeutet das, dass der Filter auf jeden Rechner angewendet wird. Eine Netzmaske von 0.0.0.0 bedeutet, dass der Filter auf alle Netze angewendet wird (was ebenfalls alle Rechner bedeutet).
O Q-von, Q-bis
  Quell-Port-Bereich, der gefiltert werden soll. Ein Bereich von 0 bis 0 bedeutet, dass kein Quell-Port von diesem Filter beeinflusst wird.
O Ziel-Adresse, Ziel-Netzmaske
  Hiermit kann ein Subnetz des lokalen Netzes angegeben werden, für das der Filter gelten soll. Die Ziel-Adresse 0.0.0.0 bedeutet, dass der Filter auf jeden Rechner angewendet wird. Eine Netzmaske von 0.0.0.0 bedeutet, dass der Filter auf alle Netze angewendet wird (was ebenfalls alle Rechner bedeutet).
O Z-von, Z-bis
  Ziel-Port-Bereich, der gefiltert werden soll. Ein Bereich von 0 bis 0 bedeutet, dass kein Ziel-Port von diesem Filter beeinflusst wird.
O Aktion
  Der Filter kann ein Paket verwerfen (nicht weiterleiten) oder akzeptieren (weiterleiten).

Damit können Netzmasken und IP-Adressen von 0.0.0.0 als "Wildcard" eingesetzt werden. Gleichzeitig können bestimmte Rechner und Netze gezielt gefiltert werden, während andere ungefiltert den Router passieren.

Die Tabellen werden von oben nach unten abgearbeitet. Sobald ein Filter passt, wird das Paket entsprechend behandelt.


© Copyright 2001, ELSA AG
http://www.elsa.de