Volgorde binnen de categorie, laagste eerst. Providerbeleid in Omgeving en Applicatie gebruikt waarden onder 1.000.000, tenantbeleid 1.000.000 en hoger. Zonder waarde komt het beleid na het laatste
Stateful
stateful
true (standaard): antwoorden op toegestaan verkeer zijn toegestaan. false: antwoorden hebben een eigen regel nodig
Ingeschakeld
enabled
true of false
Toegepast op
appliedTo
Groepen. Leeg betekent elke netwerkadapter in de scope
Serviceonderdelen
protocol
Velden
Tekst in de console
tcp, udp, sctp
ports: poorten of bereiken zoals 443 of 8000-8100, van 1 tot 65535. Leeg betekent elke poort
TCP 443, UDP any port
icmp4, icmp6
icmpType, icmpCode. Een code vereist een type
ICMPv4 type 8
ip
number: het IP-protocolnummer, bijvoorbeeld 47 voor GRE
IP protocol 47
named
id: een service op naam, zoals SSH of HTTPS
De naam van de service
Acties
Actie
Console
Effect
allow
Toestaan
Het pakket gaat door. In een stateful beleid gaan de antwoorden ook door
drop
Weigeren (drop)
Het pakket wordt zonder antwoord verworpen
reject
Afwijzen (reject)
Het pakket wordt verworpen en de afzender krijgt een antwoord: een TCP-reset, of een ICMP-melding dat de bestemming onbereikbaar is voor andere protocollen
pass
Doorgeven
Beëindigt de evaluatie van de huidige categorie en gaat verder met de volgende. Niet toegestaan in de categorie Applicatie
De standaardacties van een profiel zijn allow, drop of reject.
Richtingen
Waarde
Console
Betekenis
in
Inkomend
Verkeer dat bij de netwerkadapter aankomt
out
Uitgaand
Verkeer dat de netwerkadapter verlaat
in-out
Beide
Beide. Een regel geldt bij de adapter van elk uiteinde
Categorieën
Volgorde
Categorie
Wie haar mag gebruiken
Gebruik
1
Nood
Provider
Als eerste geëvalueerd. Regels voor noodomzeiling
2
Infrastructuur
Provider
Platformregels, zoals de blokkade van uitgaande mail
3
Omgeving
Provider en tenants
Regels tussen zones en omgevingen
4
Applicatie
Provider en tenants
Regels van de applicaties, als laatste geëvalueerd
Binnen een categorie volgen beleidsregels hun volgnummer en regels hun positie. De eerste regel die past met allow, drop of reject beslist. Als geen enkele regel past, geldt de standaardactie van het profiel.
Herkomst van effectieve regels
Waarde
Console
Betekenis
provider
Provider
Een regel van een providerbeleid
tenant
Tenant
Een regel van een tenantbeleid
baseline
Basis
Een regel van het basisbeleid van het profiel
system
Systeem
Een regel die het platform onderhoudt
default
Standaard
De standaardactie van het profiel, met het nummer n.v.t.
Standaardprofielen
Profiel
Inkomend
Uitgaand
Basis
Door tenants te kiezen
public-default
drop
allow
allow TCP 22, ICMPv4-echo en ICMPv6-echo
Ja
private-default
allow
allow
Geen
Nee
closed
drop
allow
Geen
Ja
open
allow
allow
Geen
Nee
Een netwerkadapter met een adres uit een IP-pool start met public-default, en een adapter met een rangelease op een hostbridge-netwerk met private-default. De keuze voor tenants is de instelling Tenants mogen het kiezen van het profiel, en de waarden hierboven zijn die welke het platform levert. Zie Standaardprofielen.
Sjablonen
Elk sjabloon voegt inkomende allow-regels toe aan het eigen beleid van een virtuele machine.
Sjabloon
Regels
ssh-only
TCP 22 en ICMP-echo
web
TCP 22, 80 en 443 en ICMP-echo
mail-server
TCP 22, 25, 465, 587, 143, 993, 110 en 995 en ICMP-echo. Uitgaande poort 25 heeft een eigen schakelaar
Een providerbeheerder kan sjablonen van 1 tot 50 regels toevoegen. Hun regels zijn inkomende toestaan-regels met services en adressen, nooit groepen.
Modi
Waarde
Console
Effect
off
Uit
Verkeer wordt geschakeld zoals voordat de firewall bestond. Er wordt niets gefilterd. Nieuwe en bestaande adapters starten hier, tenzij de instelling Nieuwe netwerkadapters afdwingen aan staat
monitor
Monitor
De regels draaien, pakketten die geweigerd zouden worden, worden geteld en gemeld, en elk pakket wordt doorgelaten
enforce
Afdwingen
Pakketten die geen enkele regel toestaat, worden verworpen of geweigerd
Beschermingsstatussen
Waarde
Console
Betekenis
enforced
Afgedwongen
De adapter wordt beschermd in de modus enforce
monitor
Bewaakt
De adapter wordt beschermd in de modus monitor
off
Uit
De modus is off
unprotected
Onbeschermd
De adapter kan niet door de firewall beschermd worden. De reden is linux_or_quarantine_bridge of port_security_off
Realisatiestatussen
Status
Console
Betekenis
realized
Van kracht
De host heeft de versie toegepast die het control plane wil
waiting
Wacht op de host
De host past een oudere versie toe
precondition
Voorwaarde niet vervuld
De host voldoet niet aan een voorwaarde, zoals ct-zone-range
error
Fout
De host kon het plan niet toepassen en houdt de vorige versie
Instellingen
Console
API-veld
Standaard
Flowlimiet per bridge
flowLimitPerBridge
100.000
Gevolgde verbindingen per adapter
ctLimitPerPort
65.536
Dagen die een monitorrapport beslaat
monitorReportDays
7
Logsnelheid per host
logRatePps
100 pakketten per seconde
Afwijssnelheid per bridge
rejectRatePps
200 antwoorden per seconde
Nieuwe netwerkadapters afdwingen
enforceNew
Uit
Limieten
Onderdeel
Limiet
Regels in één beleid
1.000
Groepen in het domein
10.000
Nesting van groepen
5 niveaus
Adressen waartoe één groep wordt omgezet
4.096
Onderdelen aan een genegeerde kant van een regel
64
Bevestigingstimer van een modus
30 tot 86.400 seconden in de API en de CLI. De console biedt 1, 5, 10, 30 minuten, 1 uur en 4 uur
Duur van een omzeiling
60 tot 86.400 seconden in de API en de CLI, standaard 1.800. De console biedt 5, 15, 30 minuten, 1, 4, 12 en 24 uur
Reden van een omzeiling
1 tot 500 tekens
Bewaarde logrecords
De laatste 30 dagen, ten hoogste 50.000 voor alle hosts
Logrecords in één antwoord
Standaard 500, ten hoogste 5.000
Bewaarde tellers
400 dagen na de laatste treffer
Bewaarde monitorvermeldingen
90 dagen nadat ze voor het laatst zijn gezien, 16 voorbeeldbronnen per vermelding
Tenantquota gelden voor de objecten van één tenant. Als geen waarde is ingesteld, geldt de standaardwaarde, en die is niet onbeperkt.
Quotum
API-veld
Standaard
Groepen
fwGroups
100
Beleidsregels
fwPolicies
50
Regels in alle beleidsregels
fwRules
500
Groepsleden, inclusief tagcriteria
fwGroupMembers
1.000
Bevoegdheden
Bevoegdheid
Staat toe
In tenantrollen
Kyvernon.Firewall.Read
Groepen, services, beleid, regels, effectieve regels, tellers en realisatie lezen
Ja
Kyvernon.Firewall.ManageGroups
Groepen en services aanmaken, wijzigen en verwijderen
Ja
Kyvernon.Firewall.ManagePolicies
Beleid en regels in Omgeving en Applicatie, poorten openen, sjablonen
Ja
Kyvernon.Firewall.SetProfile
Een selecteerbaar profiel kiezen voor een adapter
Ja
Kyvernon.Firewall.ManageProvider
Beleid in Nood en Infrastructuur, gedeelde groepen, profielen, instellingen, de modus van een adapter
Nee
Kyvernon.Firewall.ReadLogs
Logrecords en monitorrapporten lezen
Ja
Kyvernon.Firewall.Bypass
Een noodomzeiling inschakelen en beëindigen
Nee
De rol tenantbeheerder heeft de bevoegdheden voor lezen, groepen, beleid, profielen en logs. De rol tenantgebruiker kan lezen. Zie Bevoegdheden.