Kolejność reguł

Poprawna reguła może nie mieć żadnego efektu, jeśli wcześniejsza reguła już decyduje o połączeniu. Zapora sieciowa Lumen zatrzymuje się na pierwszym dopasowaniu.

Przyjrzyj się tej przykładowej polityce:

seclab machine demo-shop

Poszukaj tych wierszy:

firewall (first match wins, anything unmatched is blocked):
rule  action  port  from    note
1     allow   any   any
2     deny    22    office  never used: rule 1 decides first

Reguła zezwalająca na dowolny ruch jest pierwsza. Poniższa reguła odrzucająca połączenia z biura administracji nigdy nie zostaje osiągnięta. Przenieś istniejącą regułę odrzucającą przed nią:

seclab firewall demo-shop move 2 1

Powinien pojawić się komunikat:

Moved rule 2 on demo-shop to position 1. Rules are checked top down.

Sprawdź ponownie kolejność:

seclab machine demo-shop

Poszukaj tych wierszy:

firewall (first match wins, anything unmatched is blocked):
rule  action  port  from    note
1     deny    22    office
2     allow   any   any

Teraz reguła odrzucająca decyduje o ruchu z biura na port 22. Pozostały ruch może przejść do następnej reguły. Zmiana kolejności naprawia tę politykę bez dodawania kolejnej kopii tej samej reguły odrzucającej.