SD-WAN Orchestrator permette di configurare le regole del firewall a livello di profilo e di Edge per consentire, rimuovere, rifiutare o ignorare il traffico in entrata e in uscita. Il firewall utilizza parametri come l'indirizzo IP/porta di origine, l'indirizzo IP/porta di destinazione, le applicazioni, le categorie di applicazioni e i tag DSCP per creare regole del firewall.

Per configurare una regola del firewall con un firewall stateful abilitato a livello del profilo, eseguire i passaggi descritti in questa procedura.

Procedura

  1. Da SD-WAN Orchestrator, passare a Configura (Configure) > Profili (Profiles) > Firewall.
  2. Abilitare Firewall stateful (Stateful Firewall) per il profilo selezionato.
  3. Nell'area Regole firewall (Firewall Rules), fare clic su Nuova regola (New Rule). Viene visualizzata la finestra di dialogo Configura regola (Configure Rule).
  4. Nella casella Nome regola (Rule Name), immettere un nome univoco per la regola.
  5. Nell'area Corrispondenza (Match), configurare le condizioni di corrispondenza per la regola:
    Impostazioni Descrizione
    Origine Consente di specificare l'origine dei pacchetti. Selezionare una delle opzioni seguenti:
    • Qualsiasi (Any): consente tutti gli indirizzi di origine per impostazione predefinita.
    • Gruppo di oggetti (Object Group): consente di selezionare una combinazione di gruppo di indirizzi e gruppo di porte.
    • Definisci (Define): consente di definire il traffico di origine impostando una VLAN, un indirizzo IP, un indirizzo MAC o una porta specifici. Per l'indirizzo IP, scegliere una delle tre opzioni seguenti:
      • Prefisso CIDR (CIDR prefix): scegliere questa opzione se si desidera che la rete venga definita come valore CIDR (ad esempio, 172.10.0.0 /16).
      • Subnet mask: scegliere questa opzione se si desidera che la rete venga definita in base a una subnet mask (ad esempio, 172.10.0.0 255.255.0.0).
      • Maschera con caratteri jolly (Wildcard mask): scegliere questa opzione se si desidera poter limitare l'applicazione di un criterio a un set di dispositivi in subnet IP diverse che condividono un valore di indirizzo IP dell'host corrispondente. La maschera con caratteri jolly corrisponde a un IP o a un set di indirizzi IP in base alla subnet mask invertita. Uno "0" all'interno del valore binario della maschera indica che il valore è fisso, mentre un "1" all'interno del valore binario della maschera indica che il valore è un carattere jolly (può essere 1 o 0). Ad esempio, con la maschera jolly 0.0.0.255 (equivalente binario = 00000000.00000000.00000000.11111111) con un indirizzo IP 172.0.0, i primi tre ottetti sono valori fissi mentre l'ultimo ottetto è un valore variabile.
    Destinazione (Destination) Consente di specificare la destinazione per i pacchetti. Selezionare una delle opzioni seguenti:
    • Qualsiasi (Any): consente tutti gli indirizzi di destinazione per impostazione predefinita.
    • Gruppo di oggetti (Object Group): consente di selezionare una combinazione di gruppo di indirizzi e gruppo di porte. Per ulteriori informazioni sul gruppo di oggetti, vedere Gruppi di oggetti.
    • Definisci (Define): consente di definire il traffico di destinazione impostando una VLAN, un indirizzo IP, un indirizzo MAC o una porta specifici. Per l'indirizzo IP, scegliere una delle tre opzioni seguenti: Prefisso CIDR (CIDR prefix), Subnet mask o Maschera con caratteri jolly (Wildcard mask).
    Applicazione (Application) Consente di specificare le applicazioni a cui applicare la regola del firewall. Selezionare una delle opzioni seguenti:
    • Qualsiasi (Any): applica la regola del firewall a qualsiasi applicazione per impostazione predefinita.
    • Definisci (Define): consente di selezionare un'applicazione specifica.
  6. Nell'area Azione (Action), configurare le azioni per la regola:
    Impostazioni Descrizione
    Firewall Selezionare una delle azioni seguenti che il firewall dovrà eseguire sui pacchetti quando verranno soddisfatte le condizioni della regola:
    • Consenti (Allow): consente i pacchetti di dati per impostazione predefinita.
    • Rimuovi (Drop): rimuove i pacchetti di dati in modalità invisibile all'utente senza inviare alcuna notifica all'origine.
    • Rifiuta (Reject): rimuove i pacchetti e lo notifica all'origine inviando un messaggio di rifiuto esplicito.
    • Ignora (Skip): ignora la regola durante le ricerche ed elabora la regola successiva. Questa regola verrà tuttavia utilizzata al momento della distribuzione di SD-WAN.
    Registra (Log) Selezionare questa casella di controllo se si desidera che venga creata una voce di registro al momento dell'attivazione della regola.
  7. Fare clic su OK.

risultati

Viene creata una regola del firewall per il profilo selezionato e viene visualizzata nell'area Regole firewall (Firewall Rules) della pagina Firewall profilo (Profile Firewall).