Firewall 規則
Firewall 規則
Firewall 規則會檢查個別封包中的控制資訊，並根據規則條件允許或封鎖封包。趨勢科技提供一組適用於常見情境的預設規則；若預設集合中沒有符合需求的規則，您也可以建立自訂規則。Firewall 規則會建立為 Common Object，因此可依需求重複用於不同策略。
規則屬性
建立 Firewall 規則時，可設定下列屬性來比對流量。
動作
| 動作 | 說明 |
|---|---|
| Deny | 明確封鎖符合規則條件的流量。Deny 不會改變其他未符合條件流量的預設處理方式。 |
| Allow | 明確允許符合規則條件的流量，並隱含拒絕同一方向的其他流量。若電腦上沒有任何 Allow 規則生效，除非流量遭 Deny 規則明確封鎖，否則會允許通過。建立第一條 Allow 規則後，未符合該方向任何 Allow 規則的流量都會遭到封鎖。ICMPv6 除外，除非有 Deny 規則明確封鎖，否則仍會允許通過。 |
| Bypass | 讓符合條件的流量略過 Firewall、Stateful 設定及 Intrusion Prevention 分析。此動作適用於不需要或不希望過濾的可信任流量，或需要大量頻寬的媒體通訊協定。Bypass 規則可設定 Priority 0 至 4，應成對建立傳入與傳出規則；這類規則不會記錄事件。 |
| Log Only | 只記錄流量，不採取其他動作。只有在封包後續未遭 Deny 規則或排除此流量的 Allow 規則攔截時，Log Only 規則才會產生事件。若封包遭後續規則攔截，事件會由該規則產生。 |
| Force Allow | 強制允許原本可能遭 Deny 規則封鎖的部分流量，但該流量仍會接受 Intrusion Prevention 分析。此動作適合確保必要的網路服務能與執行 Deep Security Agent 的電腦通訊；啟用 ICMP 或 UDP Stateful 設定時，也必須以 Force Allow 允許未經請求的 ICMP 或 UDP 流量。 |
Deep Security Manager 會在執行 Deep Security Agent 的電腦上，自動建立一條 Priority 4 的內部 Bypass 規則，開放 Deep Security Agent 用來接收 heartbeat 的 TCP 通訊埠。這條規則不會顯示在 Firewall 規則清單中。預設規則接受來自任何 IP 位址與 MAC 位址的流量；若要強化這個接聽通訊埠的安全性，可以建立來源限制更嚴格的替代 Bypass 規則。
Priority
使用 Force Allow、Deny 或 Bypass 動作時，可以設定 0（最低）至 4（最高）的 Priority。高 Priority 規則會先於低 Priority 規則處理。例如，封鎖傳入連接埠 80、Priority 3 的 Deny 規則，會在同樣針對該流量、Priority 2 的 Force Allow 規則之前丟棄封包。
Firewall 規則會從 Priority 4 至 Priority 0 依序處理。同一 Priority 內再依下列動作順序處理：
- Bypass
- Log Only
- Force Allow
- Deny
- Allow
每個封包只會套用一項規則動作。Log Only 只能使用 Priority 4，Allow 只能使用 Priority 0；因此這兩種動作不會同時出現在其他 Priority。
如需規則動作與處理順序的完整說明，請參閱Firewall 規則動作與 Priority。
Packet Direction
Firewall 會雙向檢查流量：從網路傳送至 Deep Security Agent 主機的流量為傳入流量，從主機傳送至網路的流量為傳出流量。
每一條 Firewall 規則只適用於單一方向，因此特定流量類型的規則通常需要成對建立。
Frame Type
乙太網路以訊框為資料傳輸單位，可用的通訊協定則指定訊框所承載的資料類型。請從清單中選取 Frame Type；使用 Not 可指定要比對所選訊框類型，或比對所選類型以外的訊框。
Protocol
選取 IP Frame Type 後，便可在 Protocol 中指定規則要比對的傳輸通訊協定。使用核取方塊可指定要比對所選通訊協定，或比對該通訊協定以外的流量。您可以從下拉式清單選取常見通訊協定，也可以選取 Other，再輸入 0 至 255 的十進位通訊協定編號。
在 Linux 上，Deep Security Agent 只會檢查 IP 或 ARP Frame Type 的封包，其他訊框類型會獲准通過。
封包來源與目的地
Firewall 規則可指定 IP 位址、MAC 位址或連接埠，以判斷流量的來源與目的地。
Specific Flags
選取 TCP、ICMP、ICMPV6 或 TCP+UDP 通訊協定後，可以指定規則要比對的旗標。若規則不適用於所有旗標，可選取下列旗標：
- URG（緊急）
- ACK（確認）
- PSH（推送）
- RST（重設）
- SYN（同步）
- FIN（結束）
示範：建立 Firewall 規則
以下影片示範如何建立 Firewall 規則。