Référence du pare-feu

Tableaux du pare-feu distribué : champs des règles et des stratégies, actions, sens, catégories, profils, modèles, modes, états de protection et limites.

Cette page liste les valeurs du pare-feu distribué telles que la console et l'API les montrent. Les noms de l'API sont en police de code.

Champs d'une règle

Console	Champ de l'API	Valeurs
Nom	`name`	Texte. Les noms qui commencent par `sys:` sont réservés aux objets intégrés
Direction	`direction`	`in`, `out`, `in-out` (par défaut)
Action	`action`	`allow`, `drop`, `reject`, `pass`
Versions IP	`ipVersion`	`any` (par défaut), `v4`, `v6`
Sources	`sources`, `sourcesNegated`	Groupes, adresses ou préfixes. Vide signifie tout. Avec `sourcesNegated`, tout sauf la liste
Destinations	`destinations`, `destinationsNegated`	Comme les sources
Services	`services`	Entrées de service. Vide signifie tout trafic IP
Appliquée à	`appliedTo`	Groupes. Vide signifie les groupes de la stratégie
Journaliser les correspondances	`logged`	`true` ou `false`
Activée	`enabled`	`true` (par défaut) ou `false`
Numéro	`number`	Attribué par Kyvernon, un seul compteur pour tout le domaine. Les numéros à partir de `0xF0000000` appartiennent aux règles que la plateforme maintient

Champs d'une stratégie

Console	Champ de l'API	Valeurs
Nom	`name`	Texte, unique par portée
Description	`description`	Texte
Catégorie	`category`	`emergency`, `infrastructure`, `environment`, `application`
Séquence	`sequence`	Ordre dans la catégorie, du plus petit au plus grand. Les stratégies du fournisseur dans Environnement et Application utilisent des valeurs inférieures à 1 000 000, celles des locataires 1 000 000 et plus. Sans valeur, la stratégie vient après la dernière
Avec état	`stateful`	`true` (par défaut) : les réponses au trafic autorisé sont autorisées. `false` : les réponses ont besoin de leur propre règle
Activée	`enabled`	`true` ou `false`
Appliquée à	`appliedTo`	Groupes. Vide signifie toutes les cartes réseau de la portée

Entrées de service

`protocol`	Champs	Texte de la console
`tcp`, `udp`, `sctp`	`ports` : ports ou plages comme `443` ou `8000-8100`, de 1 à 65535. Vide signifie tout port	`TCP 443`, `UDP any port`
`icmp4`, `icmp6`	`icmpType`, `icmpCode`. Un code exige un type	`ICMPv4 type 8`
`ip`	`number` : le numéro de protocole IP, par exemple 47 pour GRE	`IP protocol 47`
`named`	`id` : un service par son nom, comme `SSH` ou `HTTPS`	Le nom du service

Actions

Action	Console	Effet
`allow`	Autoriser	Le paquet passe. Dans une stratégie avec état, les réponses passent aussi
`drop`	Abandonner	Le paquet est abandonné sans réponse
`reject`	Rejeter	Le paquet est abandonné et l'émetteur reçoit une réponse : une réinitialisation TCP, ou un message ICMP de destination inaccessible pour les autres protocoles
`pass`	Transmettre	Termine l'évaluation de la catégorie en cours et passe à la suivante. Interdit dans la catégorie Application

Les actions par défaut d'un profil sont allow, drop ou reject.

Sens

Valeur	Console	Signification
`in`	Entrant	Trafic qui arrive à la carte réseau
`out`	Sortant	Trafic qui quitte la carte réseau
`in-out`	Les deux	Les deux. Une règle s'applique à la carte de chaque extrémité

Catégories

Ordre	Catégorie	Qui peut l'utiliser	Usage
1	Urgence	Fournisseur	Évaluée en premier. Règles de contournement d'urgence
2	Infrastructure	Fournisseur	Règles de la plateforme, comme le blocage du courrier sortant
3	Environnement	Fournisseur et locataires	Règles entre zones et environnements
4	Application	Fournisseur et locataires	Règles des applications, évaluées en dernier

Dans une catégorie, les stratégies suivent leur séquence et les règles leur position. La première règle qui correspond avec allow, drop ou reject décide. Si aucune ne correspond, l'action par défaut du profil s'applique.

Origines des règles effectives

Valeur	Console	Signification
`provider`	Fournisseur	Une règle d'une stratégie du fournisseur
`tenant`	Locataire	Une règle d'une stratégie de locataire
`baseline`	Référence	Une règle de la stratégie de référence du profil
`system`	Système	Une règle que la plateforme maintient
`default`	Par défaut	L'action par défaut du profil, avec le numéro n/d

Profils par défaut

Profil	Entrant	Sortant	Référence	Choisi par les locataires
`public-default`	`drop`	`allow`	`allow` TCP 22, écho ICMPv4 et écho ICMPv6	Oui
`private-default`	`allow`	`allow`	Aucune	Non
`closed`	`drop`	`allow`	Aucune	Oui
`open`	`allow`	`allow`	Aucune	Non

Une carte réseau avec une adresse d'un pool d'adresses IP démarre avec public-default, et une carte avec un bail de plage sur un réseau sur pont d'hôte avec private-default. Le choix des locataires est le paramètre Les locataires peuvent le choisir du profil, et les valeurs ci-dessus sont celles que livre la plateforme. Voir Profils par défaut.

Modèles

Chaque modèle ajoute des règles allow entrantes à la stratégie propre d'une machine virtuelle.

Modèle	Règles
`ssh-only`	TCP 22 et écho ICMP
`web`	TCP 22, 80 et 443 et écho ICMP
`mail-server`	TCP 22, 25, 465, 587, 143, 993, 110 et 995 et écho ICMP. Le port 25 sortant a son propre commutateur

Un administrateur du fournisseur peut ajouter des modèles de 1 à 50 règles. Leurs règles sont des règles d'autorisation entrantes avec des services et des adresses, jamais des groupes.

Modes

Valeur	Console	Effet
`off`	Désactivé	Le trafic est commuté comme avant l'existence du pare-feu. Rien n'est filtré. Les cartes nouvelles et existantes démarrent ici, sauf si le paramètre Appliquer le pare-feu aux nouvelles cartes réseau est activé
`monitor`	Surveillance	Les règles s'exécutent, les paquets qui seraient abandonnés sont comptés et signalés, et tous les paquets sont transmis
`enforce`	Application forcée	Les paquets qu'aucune règle n'autorise sont abandonnés ou rejetés

États de protection

Valeur	Console	Signification
`enforced`	Appliqué	La carte est protégée en mode `enforce`
`monitor`	Surveillé	La carte est protégée en mode `monitor`
`off`	Désactivé	Le mode est `off`
`unprotected`	Non protégé	La carte ne peut pas être protégée par le pare-feu. La raison est `linux_or_quarantine_bridge` ou `port_security_off`

États d'application

État	Console	Signification
`realized`	Appliqué	L'hôte a appliqué la version que veut le plan de contrôle
`waiting`	En attente de l’hôte	L'hôte applique une version plus ancienne
`precondition`	Prérequis non remplis	L'hôte ne remplit pas une condition, comme `ct-zone-range`
`error`	Erreur	L'hôte n'a pas pu appliquer le plan et garde la version précédente

Paramètres

Console	Champ de l'API	Par défaut
Limite de flux par pont	`flowLimitPerBridge`	100 000
Connexions suivies par carte	`ctLimitPerPort`	65 536
Jours couverts par un rapport de surveillance	`monitorReportDays`	7
Débit de journalisation par hôte	`logRatePps`	100 paquets par seconde
Débit de rejet par pont	`rejectRatePps`	200 réponses par seconde
Appliquer le pare-feu aux nouvelles cartes réseau	`enforceNew`	Désactivé

Limites

Élément	Limite
Règles dans une stratégie	1 000
Groupes dans le domaine	10 000
Imbrication des groupes	5 niveaux
Adresses auxquelles un groupe se résout	4 096
Entrées d'un côté nié d'une règle	64
Délai de confirmation d'un mode	De 30 à 86 400 secondes dans l'API et la CLI. La console propose 1, 5, 10, 30 minutes, 1 heure et 4 heures
Durée d'un contournement	De 60 à 86 400 secondes dans l'API et la CLI, 1 800 par défaut. La console propose 5, 15, 30 minutes, 1, 4, 12 et 24 heures
Raison d'un contournement	De 1 à 500 caractères
Enregistrements conservés	Les 30 derniers jours, 50 000 au plus pour tous les hôtes
Enregistrements dans une réponse	500 par défaut, 5 000 au plus
Compteurs conservés	400 jours après le dernier passage
Entrées de surveillance conservées	90 jours après leur dernière observation, 16 sources d'échantillon pour chacune

Les quotas des locataires s'appliquent aux objets d'un locataire. Quand aucune valeur n'est définie, la valeur par défaut s'applique, et elle n'est pas illimitée.

Quota	Champ de l'API	Par défaut
Groupes	`fwGroups`	100
Stratégies	`fwPolicies`	50
Règles dans toutes les stratégies	`fwRules`	500
Membres de groupes, critères d'étiquettes compris	`fwGroupMembers`	1 000

Privilèges

Privilège	Autorise	Dans les rôles de locataire
`Kyvernon.Firewall.Read`	Lire les groupes, services, stratégies, règles, règles effectives, compteurs et l'application sur les hôtes	Oui
`Kyvernon.Firewall.ManageGroups`	Créer, modifier et supprimer des groupes et des services	Oui
`Kyvernon.Firewall.ManagePolicies`	Stratégies et règles dans Environnement et Application, ouverture de ports, modèles	Oui
`Kyvernon.Firewall.SetProfile`	Choisir un profil sélectionnable pour une carte réseau	Oui
`Kyvernon.Firewall.ManageProvider`	Stratégies dans Urgence et Infrastructure, groupes partagés, profils, paramètres, mode d'une carte réseau	Non
`Kyvernon.Firewall.ReadLogs`	Lire les enregistrements et les rapports de surveillance	Oui
`Kyvernon.Firewall.Bypass`	Activer et terminer un contournement d'urgence	Non

Le rôle d'administrateur de locataire détient les privilèges de lecture, de groupes, de stratégies, de profils et de journaux. Le rôle d'utilisateur de locataire peut lire. Voir Privilèges.