Ordre des règles

Une règle correcte peut n’avoir aucun effet si une règle précédente décide déjà de la connexion. Le pare-feu de Lumen s’arrête à la première correspondance.

Examine cette politique d’entraînement :

seclab machine demo-shop

Repère ces lignes :

firewall (first match wins, anything unmatched is blocked):
rule  action  port  from    note
1     allow   any   any
2     deny    22    office  never used: rule 1 decides first

La règle « autoriser tout » est en premier. La règle de refus de l’administration du bureau en dessous n’est jamais atteinte. Déplace la règle de refus existante avant celle-ci :

seclab firewall demo-shop move 2 1

Tu devrais voir :

Moved rule 2 on demo-shop to position 1. Rules are checked top down.

Relis l’ordre :

seclab machine demo-shop

Repère ces lignes :

firewall (first match wins, anything unmatched is blocked):
rule  action  port  from    note
1     deny    22    office
2     allow   any   any

Le refus s’applique maintenant au trafic du bureau vers le port 22. Les autres trafics peuvent passer à la règle suivante. Modifier l’ordre corrige cette politique sans ajouter une autre copie du même refus.