Operation Manual

Filter und Regeln
NT/MPRI – 4 Spezielle Einstellungen im NT/MPRI 63
– Quelle des Pakets: Als Quelle des Pakets kann ein bestimmtes
Netzwerk oder eine konkrete Station festgelegt werden.
– Ziel des Pakets: Als Ziel des Pakets kann ein bestimmtes Netz-
werk oder eine konkrete Station festgelegt werden.
l einer Aktion, die auf das Paket angewendet werden soll:
– Durchlassen: Das Paket wird an die im Header angegebene
Zieladresse gesendet oder dem nächsten Filter übergeben.
– Verwerfen: Das Paket wird nicht weitergeleitet.
– Zurückweisen: Das Paket wird nicht weitergeleitet. An die
Quelladresse wird die Fehlermeldung „Destination not reach-
able“ gesendet.
Jedes Paket durchläuft die Regeln von der ersten bis zur letzten, bis es
auf die erste anwendbare Regel trifft und entsprechend der Aktion die-
ser Regel behandelt wird. Heißt die anzuwendende Aktion „Verwerfen“
oder „Zurückweisen“, ist das Filtern für dieses Paket beendet.
Wurde keine passende Regel für ein Paket gefunden und heißt die
Standard-Aktion „Durchlassen“, wird das Paket der nächsten zuständi-
gen Filterinstanz übergeben.
Beachten Sie also beim Erstellen eines Filters die folgenden beiden
wichtigen Aspekte:
l Ein Filterprofil behandelt immer alle Pakete (Regeln für bestimmte
Pakete und die Standard-Aktion für alle anderen).
l Die Reihenfolge der Regeln ist wichtig! Es muss unbedingt sicher-
gestellt sein, dass eine Regel für ein Paket, die vorne im Profil
steht, nicht allgemeiner gehalten ist als eine Regel, die weiter hin-
ten steht. Die Regel, die weiter hinten steht, würde sonst nie an-
gewendet werden.
Als Grundprinzip bei der Anordnung der Regeln innerhalb eines Filter-
profils gilt: Minderheiten zuerst regeln.
Ein einfaches Beispiel: Sie wollen, dass nur Standort A Zugriff auf den
Rechner B im LAN hat. Dazu formulieren Sie im globalen Input-Filter die
beiden folgenden Regeln:
1. A darf auf den Rechner B zugreifen. Die Regel lautet also: Pakete
mit allen Diensten, die von dem IP-Bereich A kommen und an die
IP-Adresse von Rechner B adressiert sind, durchlassen.
ntmpri.book Seite 63 Dienstag, 13. Juni 2000 1:20 13