Règles effectives et simulation de paquet

Les règles effectives d'une carte réseau sont toutes les règles qui s'y appliquent, issues de toutes les stratégies, dans l'ordre où le pare-feu les évalue, suivies de l'action par défaut de son profil. La simulation indique ce que le pare-feu fait d'un paquet que vous décrivez, sans en envoyer un. Vous avez besoin du privilège de lire le pare-feu sur la machine virtuelle.

Dans la console

1. Dans l'inventaire, sélectionnez la machine virtuelle et ouvrez l'onglet Pare-feu. Chaque carte réseau sur un réseau sur pont d'hôte a son propre encadré.

   (Agrandir)

   Fermer la vue agrandie
2. Lisez les informations en haut d'un encadré : le Réseau, l'Adresse MAC, l'Hôte et si la carte réseau a une Adresse publique. Le Mode est Désactivé, Surveillance ou Application forcée. Le Profil est accompagné de Profil défini par, et Actions par défaut indique ce qui se passe quand aucune règle ne correspond.
3. Lisez la Protection : Appliqué, Surveillé, Désactivé, ou Non protégé avec la raison entre parenthèses quand la carte ne peut pas être protégée par le pare-feu. Application sur l’hôte indique si l'hôte applique la dernière version des règles. Un changement de mode qui attend une confirmation affiche Retour en attente ; voir Déploiement sur les machines virtuelles existantes.
4. Lisez l'avertissement qui commence par Avertissement s'il est présent. Il signifie que la carte a une adresse publique et que le mode est Désactivé, que la carte est Non protégé, ou qu'elle utilise le profil open. Dans chaque cas, tous les ports de la carte sont joignables.
5. Lisez le tableau Règles effectives. Les lignes suivent l'ordre d'évaluation, et les colonnes sont Position, Catégorie, Politique, Numéro, Origine, Direction, Action, Sources, Destinations, Services, Avec état et Journal. La première règle qui correspond décide. La colonne Origine indique d'où vient la règle : Fournisseur, Locataire, Référence (la stratégie de référence du profil), Système (une règle que la plateforme maintient, comme le blocage du courrier sortant) ou Par défaut (l'action par défaut, affichée en dernier avec le numéro n/d).
6. Lisez les compteurs dans les trois dernières colonnes : Paquets, Octets et Dernière correspondance. Ils comptent les paquets qui ont atteint la règle sur l'hôte. Sélectionnez Recharger pour lire les dernières valeurs.

7. Pour voir ce que le pare-feu fait d'un paquet, sélectionnez Simuler.

   (Agrandir)

   Fermer la vue agrandie
8. Choisissez la Direction : Entrant, vers la carte ou Sortant, depuis la carte. Une machine virtuelle avec plusieurs cartes réseau demande aussi la Carte réseau.
9. Choisissez le Protocole et saisissez le Port. Pour ICMPv4 et ICMPv6, saisissez à la place le Type ICMP et le Code ICMP.
10. Saisissez l'Adresse de l’autre extrémité : l'adresse source d'un paquet entrant ou la destination d'un paquet sortant. Ne saisissez l'Adresse de la carte que si la carte a plusieurs adresses de la même famille. Choisissez l'État de la connexion : Nouvelle connexion ou Connexion établie.
11. Sélectionnez Simuler. Le résultat indique le verdict et ce qui l'a décidé : une règle avec son numéro, ou l'état de la connexion, le trafic système ou l'action par défaut. Il indique aussi la stratégie et la catégorie de cette règle, et le mode de la carte.

La même simulation se trouve sur la page Pare-feu, où vous choisissez vous-même la VM.

Résultat

Le tableau montre quelle règle ouvre ou ferme un port, et la simulation nomme la règle qui décide pour un paquet donné. Utilisez-les avant de modifier une règle, et après un changement de mode.

Automatisation

Avec la CLI

kyvernon firewall effective vm-7
kyvernon firewall effective vm-7 --nic 4000
kyvernon firewall simulate --vm vm-7 --in --proto tcp --port 443 --peer 203.0.113.10

Avec l'API

• GET /v1/vms/{id}/firewall renvoie chaque carte de la machine virtuelle avec ses règles effectives.
• GET /v1/vms/{id}/nics/{key}/firewall renvoie une carte.
• POST /v1/firewall/simulate avec {"vm": "vm-7", "direction": "in", "protocol": "tcp", "port": 443, "peer": "203.0.113.10"}. nic, local, state, icmpType et icmpCode sont facultatifs.

Voir aussi

• Ouvrir un port
• Statistiques et journaux
• Règles et stratégies
• Dépannage du pare-feu
• Référence du pare-feu