network fw-rule

network fw-rule komutu, bir arabirimden geçen trafiğe uygulanacak güvenlik duvarı kurallarını yönetir. Her kural bir aksiyon (izin, engelleme, NAT) ile kaynak, hedef ve port eşleştirmelerinden oluşur. Panel karşılığı ağ yapılandırmasındaki güvenlik duvarı ekranıdır.

Komut Özeti

TR7 WEB-CLI · network fw-rule

# komuttan sonra Tab

admin@TR7LBWAF01> network fw-rule

add delete list show update

 

admin@TR7LBWAF01> network fw-rule list v-device <cihaz> # hepsini listele

admin@TR7LBWAF01> network fw-rule show v-device <cihaz> <kimlik> # birini göster

admin@TR7LBWAF01> network fw-rule add v-device <cihaz> namespace <tablo> …

admin@TR7LBWAF01> network fw-rule update v-device <cihaz> id <kimlik> … # değiştir

admin@TR7LBWAF01> network fw-rule delete v-device <cihaz> <kimlik> # sil

admin@TR7LBWAF01>  

Zorunlu Alanlar

Sıra	Alan	Durum	Ne yapar	Arkasına ne yazılır
1	v-device	Zorunlu	Kuralın hangi sanal cihaza yazılacağını seçer	Sanal cihaz
2	namespace	Zorunlu	Kuralın hangi yönlendirme tablosunda geçerli olacağını seçer	network namespace kaydı
3	interface	Zorunlu	Kuralın hangi arabirimde uygulanacağını seçer	Arabirim kaydı ya da null (arabirimden bağımsız)
4	rule	Zorunlu	Kuralın ne yapacağını seçer	allow · deny · forward · notForward · snat · dnat
5	snatIp.type	Koşullu zorunlu	Yalnız rule snat; kaynak adres çevriminde kullanılacak adresin nereden alınacağını seçer	deviceIp cihazın adresi · manual elle yazılan adres
6	snatIp.deviceIp	Koşullu zorunlu	Yalnız rule snat ve snatIp.type deviceIp; çevrimde kullanılacak cihaz adresi	Cihaz adresi
5	dnatIp	Koşullu zorunlu	Yalnız rule dnat; paketin yönlendirileceği adres	IP adresi
6 · 7	srcIp.type	Zorunlu	Kaynak eşleştirmesinin biçimini seçer (snat ve dnat kurallarında NAT alanlarından sonra istenir)	$all tümü · null elle yazılan adres · country ülke · mac MAC adresi
7 · 8	dstIp.type	Zorunlu	Hedef eşleştirmesinin biçimini seçer	$all tümü · null elle yazılan adres · country ülke · deviceIp cihazın adresi

İlk dört alan ve iki eşleştirme türü her zaman öneksiz yazılır. NAT alanları yalnız kendi aksiyonlarında istenir: satırda -- ile başlayan bir alan varsa --snatIp.deviceIp ve --dnatIp biçiminde yazılırlar.

Kaynak Eşleştirme

Alan	Ne yapar	Arkasına ne yazılır
srcIp.type	Kaynağın nasıl eşleştirileceğini seçer	$all · elle yazılan adres · country · mac
--srcIp.manualContent	Elle yazılan kaynak adresi belirler	IP adresi; tür elle yazma olduğunda açılır
--srcIp.country	Kaynağın ülkesini belirler	Ülke değeri; srcIp.type country iken açılır
--srcIp.mac	Kaynağın MAC adresini belirler	MAC adresi; srcIp.type mac iken açılır
--srcIp.negate	Eşleşmeyi tersine çevirir: kural, belirtilenin dışındaki kaynaklara uygulanır	true · false (varsayılan false). srcIp.type $all seçildiğinde açılmaz

Hedef Eşleştirme

Alan	Ne yapar	Arkasına ne yazılır
dstIp.type	Hedefin nasıl eşleştirileceğini seçer	$all · elle yazılan adres · country · deviceIp
--dstIp.manualContent	Elle yazılan hedef adresi belirler	IP adresi
--dstIp.country	Hedefin ülkesini belirler	Ülke değeri; dstIp.type country iken açılır
--dstIp.deviceIp	Cihazın hangi adresinin hedef sayılacağını seçer	Cihaz adresi; dstIp.type deviceIp iken açılır
--dstIp.negate	Eşleşmeyi tersine çevirir	true · false (varsayılan false). dstIp.type $all seçildiğinde açılmaz

Port ve Protokol

Alan	Ne yapar	Arkasına ne yazılır
--protocol	Kuralın hangi protokole uygulanacağını seçer	Protokol değeri; Tab listeler
--dstPort.type	Hedef portun nasıl eşleştirileceğini seçer	$all tümü · elle yazılan port. Yalnız --protocol tcp seçildiğinde açılır
--dstPort.manualContent	Elle yazılan hedef portu belirler	Port numarası. Yalnız --protocol tcp seçildiğinde açılır
--dstPort.negate	Port eşleşmesini tersine çevirir	true · false (varsayılan false). dstPort.type $all seçildiğinde açılmaz. Yalnız --protocol tcp seçildiğinde açılır

NAT ve Öteki Alanlar

Alan	Ne yapar	Arkasına ne yazılır
--dnatIp	Hedef adres çevriminde paketin yönlendirileceği adresi belirler	IP adresi; rule dnat seçildiğinde zorunludur (bkz. Zorunlu Alanlar)
--snatIp.deviceIp	Kaynak adres çevriminde kullanılacak cihaz adresini seçer	Cihaz adresi; rule snat ve snatIp.type deviceIp iken zorunludur (bkz. Zorunlu Alanlar)
--snatIp.manualContent	Kaynak adres çevriminde elle yazılan adresi belirler	IP adresi
--status	Kuralın etkin olup olmadığını belirler	true (varsayılan) · false
--desc	Kurala açıklama yazar	Serbest metin

Tersine çevirme "bunun dışındakiler" demektir

--srcIp.negate true yazıldığında kural, belirtilen kaynağa uymayan trafiğe uygulanır. Üç eşleştirme alanının da kendi tersine çevirme anahtarı vardır ve hiçbiri $all seçildiğinde açılmaz — tümünü kapsayan bir eşleşmenin tersi boş küme olurdu.

Örnekler

TR7 WEB-CLI · A) Belirli bir ağa izin

admin@TR7LBWAF01> network fw-rule add v-device Host namespace DEFAULT interface <arabirim> \

rule allow srcIp.type null dstIp.type $all \

--srcIp.manualContent 10.0.1.0 --protocol tcp --dstPort.type null --dstPort.manualContent 443 \

--desc "yonetim erisimi"

admin@TR7LBWAF01>  

TR7 WEB-CLI · B) Ülke dışındaki kaynaklara kural

# negate ile "bu ülke dışındaki her yer"

admin@TR7LBWAF01> network fw-rule add v-device Host namespace DEFAULT interface <arabirim> \

rule deny srcIp.type country dstIp.type $all \

--srcIp.country <ülke> --srcIp.negate true

admin@TR7LBWAF01>  

TR7 WEB-CLI · C) Hedef adres çevrimi ve kuralı kapatma

admin@TR7LBWAF01> network fw-rule add v-device Host namespace DEFAULT interface <arabirim> \

rule dnat srcIp.type $all dstIp.type deviceIp \

--dstIp.deviceIp <adres> --dnatIp 10.0.10.21

 

admin@TR7LBWAF01> network fw-rule update v-device Host id <kimlik> --status false

admin@TR7LBWAF01> network fw-rule delete v-device Host <kimlik>

admin@TR7LBWAF01>  

Bilinmesi Gerekenler

• Zorunlu alanlar öneksiz ve sırayla yazılır. Sanal cihaz, yönlendirme tablosu, arabirim, aksiyon ve iki eşleştirme türü her zaman öneksizdir; CLI bunlar tamamlanmadan -- ile başlayan bir alanı kabul etmez.
• NAT alanları aksiyona bağlıdır. snatIp.type yalnız rule snat, dnatIp yalnız rule dnat seçildiğinde istenir; öteki aksiyonlarda yazılmaz.
• Arabirim null olabilir. Kural belirli bir arabirime bağlanmadan, yönlendirme tablosunun tamamında geçerli olacaksa arabirim alanına null yazılır.
• Tersine çevirme $all ile birlikte kullanılamaz. Üç negate alanı da ilgili tür $all seçildiğinde tamamlama listesinde çıkmaz.
• Kuralı kapatmak silmez. --status false kuralı yapılandırmada bırakır, yalnız uygulanmasını durdurur.
• DNAT adresi yalnız DNAT aksiyonunda istenir. --dnatIp başka aksiyonlarda açılmaz.