Da in der Frage nicht angegeben ist, welche Syntax für ACLs erwartet werden soll (dh Sie haben keine Referenz, um sie zu validieren), können Sie davon ausgehen, dass die Syntax nur vor Ort erstellt wurde und alle Tippfehler möglicherweise zufällig sind (möglicherweise nach mehreren Runden des Druckens, Retypens, Fotokopierens und / oder OCR ').
Wenn Sie einen Webserver sichern, der öffentliche Websites hostet, möchten Sie natürlich Kunden von überall (dh von jeder Quelle) akzeptieren. Und umgekehrt: Wenn sich hinter dieser Firewall einige Clients befinden, möchten diese normalerweise auf das gesamte Internet (dh auf ein beliebiges Ziel) zugreifen. In beiden Fällen ist mindestens eine Seite "ANY" unvermeidlich.
TCP-Verbindungen verfügen im Allgemeinen über einen bekannten Port auf der Seite des Servers, jedoch über einen temporären Port (zufällig und mit hoher Nummerierung) auf der Seite des Clients. Dies ermöglicht die Unterscheidung zwischen mehreren Verbindungen von demselben Client zu demselben Dienst auf demselben Server.
Dies bedeutet, dass Sie praktisch nie 1 zu sehen Port 80 sowohl auf den „Sport“ und „dport“ zugleich. Daher können Sie diese ACLs als falsch überspringen.
Wie bereits erwähnt, befindet sich der bekannte Port (80 für HTTP) auf der Seite des Servers. Der Server empfängt Pakete mit DPORT: 80 und sendet Pakete mit SPORT: 80.
Das bedeutet, dass ACLs mit DPORT: 80 über SRCIP verfügen müssen, das mit Clients (Browsern) und / oder DSTIP übereinstimmt, die mit den Webservern übereinstimmen. Umgekehrt gilt für SPORT: 80.
Wie erwähnt, fließen Pakete in zwei Richtungen. Da die Firewall zustandslos ist, benötigt sie zwei ACLs, eine für jede Richtung.
1 Es sollte klargestellt werden, dass identische Quell- und Zielports pro Protokoll zulässig sind. Dies ist jedoch bei der allgemeinen TCP-Verwendung äußerst selten. (Es gibt Ausnahmen, z. B. verwendet BGP 179 bis 179.)