1-0 Instalando o Firewall Aker - Data - Aker Security Solutions

Trabalharemos com a seguinte regra: Todas as máquinas da rede 10.1.x.x podem se
comunicar com as máquinas da rede 10.2.x.x. Escreveremos esta regra utilizando o
conceito de mascaramento (para maiores informações, veja o capítulo intitulado
Cadastrando Entidades). Assim temos:
10.1.0.0 & 255.255.0.0 -> 10.2.0.0 & 255.255.0.0
------- Origem ------ ------- Destino -------
Vamos agora aplicar a regra a um pacote que trafega da máquina 10.1.1.2 para a
maquina 10.3.7.7. Aplicaremos a máscara da regra aos dois endereços, o da regra e o do
pacote e verificamos se os endereços são iguais, tanto o destino quanto o origem.:
Para o endereço origem temos
10.1.0.0 AND 255.255.0.0 = 10.1.0.0 (para a regra)
10.1.1.2 AND 255.255.0.0 = 10.1.0.0 (para o pacote)
Temos então que os dois endereços origem são iguais após a aplicação da máscara.
Veremos agora para o endereço destino:
10.2.0.0 AND 255.255.0.0 = 10.2.0.0 (para a regra)
10.3.7.7 AND 255.255.0.0 = 10.3.0.0 (para o pacote)
Como o endereço destino do pacote não está igual ao endereço destino da regra após a
aplicação da máscara, por definição, esta regra não se aplicaria a este pacote.
Esta operação é feita em toda a lista de endereços e máscaras destino e origem até o
da lista, ou até uma das regras se aplicar para o pacote examinado. Uma lista de regras
teria a seguinte forma:
10.1.1.2 & 255.255.255.255 -> 10.2.0.0 & 255.255.0.0
10.3.3.2 & 255.255.255.255 -> 10.1.2.1 & 255.255.255.255
10.1.1.0 & 255.0.0.0 -> 10.2.3.0 & 255.255.255.0
10.1.0.0 & 255.255.0.0 -> 10.2.0.0 & 255.255.0.0
Além dos endereços origem e destino, cada pacote IP possui um protocolo e um serviço
associados. Esta combinação serviço mais protocolo pode ser utilizado como mais um
critério de filtragem.
Os serviços no protocolo TCP, por exemplo, estão sempre associados a uma porta (para
maiores informações, veja o capítulo intitulado Cadastrando Entidades). Assim, pode-se
também associar uma lista de portas aos endereços.
Pegaremos como exemplo dois serviços conhecidos, o POP3 e o HTTP. O POP3 está
associado à porta 110 do servidor e o HTTP está associado à porta 80. Assim, iremos
acrescentar estas portas no formato da regra. Teremos então:
10.1.0.0 & 255.255.0.0 -> 10.2.0.0 & 255.255.0.0
110
TCP 80
------- Origem ------ ------- Destino ------- - Protocolo - --
Portas--
Esta regra autoriza todo pacote que vai da rede 10.1.x.x para a rede 10.2.x.x e que
utiliza os serviços HTTP ou POP3 a trafegar pelo firewall.
Assim, em uma primeira etapa compara-se os endereços da regra com os do pacote.
Caso estes endereços sejam iguais após a aplicação das máscaras, passa-se a comparar o
protocolo e a porta destino no pacote com o protocolo e a lista de portas associados à
regra. Se o protocolo for o mesmo e se for encontrada uma porta da regra igual à porta
do pacote, esta regra por definição se aplica ao pacote, caso contrário a pesquisa
continua na próxima regra.
Assim um conjunto de regras teria o seguinte formato
fim