Документация: ПО Факел — разрабатываемая версия

Группы

Обзор

В межсетевом экране группа объединяет несколько сетевых объектов одного типа. К таким объектами относятся IP-адреса на протоколах IPv4 и IPv6, порты, MAC-адреса, домены, интерфейсы.

Правила применяются ко всей группе как к логически единому элементу. Достаточно объединить объекты в группу и задать одно правило, вместо того чтобы создавать правила по несколько раз для каждого объекта.

Команды NAT также принимают группы в качестве источника, назначения или интерфейса, но в текущей версии ПО Факел группы в правилах NAT не применяются (см. Ограничения).

Схема CLI содержит также динамические группы (dynamic-group), в которые адреса добавляются правилами (add-address-to-group), например для простукивания портов (port knocking). В текущей версии ПО Факел они не применяются (см. Ограничения).

Важно

В текущей версии ПО Факел в правилах межсетевого экрана применяются только группы адресов (address-group), сетей (network-group) и интерфейсов (interface-group) для IPv4. Группы IPv6, портов, MAC-адресов, доменов и динамические группы, а также добавление адресов в динамические группы (add-address-to-group) не применяются (см. Ограничения).

Пример настройки

Шаг

Команда

Описание

1

set firewall group network-group MANAGEMENT-NET description 'management network'

Создает группу IPv4-сетей, присваивает ей имя MANAGEMENT-NET и добавляет описание management network

2

set firewall group network-group MANAGEMENT-NET network 172.16.1.0/24

Добавляет в группу MANAGEMENT-NET IPv4-адреса с префиксом подсети 172.16.1.0/24

3

set firewall ipv4 forward filter rule 100 description 'Allow devices to management network'

Создает правило на потоке FORWARD с порядковым номером 100 и добавляет описание Allow devices to management network

4

set firewall ipv4 forward filter rule 100 action accept

Добавляет правило с порядковым номером 100 в цепочку правил и разрешает входящий трафик

5

set firewall ipv4 forward filter rule 100 source group network-group MANAGEMENT-NET

Добавляет правило с порядковым номером 100 в цепочку правил и указывает группу подсетей MANAGEMENT-NET в качестве источника

6

set firewall ipv4 forward filter rule 100 destination address 0.0.0.0/0

Добавляет правило с порядковым номером 100 в цепочку правил и разрешает трафик во все остальные сети. Трафик на потоке FORWARD из группы подсетей MANAGEMENT-NET будет маршрутизироваться во все остальные подсети

Пример использования техники простукивания портов

Предупреждение

В текущей версии ПО Факел динамические группы, добавление адресов в группы (add-address-to-group) и классификатор state не применяются в FVE (см. Ограничения). Пример показывает синтаксис команд. Если применить его к маршрутизатору, правило по умолчанию drop на потоке INPUT отбросит входящий трафик, в том числе подключения по SSH, которые не описаны правилами.

Шаг

Команда

Описание

1

set firewall group dynamic-group address-group PN_01

Создает динамическую группу IPv4-адресов и присваивает ей имя PN_01

set firewall group dynamic-group address-group PN_02

Создает динамическую группу IPv4-адресов и присваивает ей имя PN_02

2

set firewall ipv4 input filter default-action drop

Создает правило на потоке INPUT и по умолчанию отбрасывает входящий трафик

3

set firewall ipv4 input filter rule 5 action accept

Создает правило на потоке INPUT с порядковым номером 5 и разрешает входящий трафик

set firewall ipv4 input filter rule 5 state established

Добавляет правило с порядковым номером 5 в цепочку правил и разрешает трафик от установленных TCP-соединений

set firewall ipv4 input filter rule 5 state related

Добавляет правило с порядковым номером 5 в цепочку правил и разрешает трафик от производных TCP-соединений

4

set firewall ipv4 input filter rule 10 action drop

Создает правило с порядковым номером 10 на потоке INPUT и отбрасывает входящий трафик

set firewall ipv4 input filter rule 10 add-address-to-group source-address address-group PN_01

Добавляет правило с порядковым номером 10 в цепочку правил и добавляет в динамическую группу PN_01 IPv4-адрес источника

set firewall ipv4 input filter rule 10 add-address-to-group source-address timeout 2m

Добавляет правило с порядковым номером 10 в цепочку правил и устанавливает для IPv4-адреса в составе динамической группы время жизни в 2 минуты

set firewall ipv4 input filter rule 10 description 'Port_knock 01'

Добавляет правило с порядковым номером 10 в цепочку правил и добавляет описание Port_knock 01

set firewall ipv4 input filter rule 10 destination port 9990

Добавляет правило с порядковым номером 10 в цепочку правил и задает порт назначения 9990

set firewall ipv4 input filter rule 10 protocol tcp

Добавляет правило с порядковым номером 10 в цепочку правил и выбирает протокол TCP для передачи данных

5

set firewall ipv4 input filter rule 20 action drop

Создает правило с порядковым номером 20 на потоке INPUT и отбрасывает весь входящий трафик

set firewall ipv4 input filter rule 20 add-address-to-group source-address address-group PN_02

Добавляет правило с порядковым номером 20 в цепочку правил и добавляет в динамическую группу PN_02 IPv4-адрес источника

set firewall ipv4 input filter rule 20 add-address-to-group source-address timeout 3m

Добавляет правило с порядковым номером 20 в цепочку правил и устанавливает для IPv4-адреса в составе динамической группы время жизни в 3 минуты

set firewall ipv4 input filter rule 20 destination port 9991

Добавляет правило с порядковым номером 20 в цепочку правил и задает порт назначения 9991

set firewall ipv4 input filter rule 20 protocol tcp

Добавляет правило с порядковым номером 20 в цепочку правил и выбирает протокол TCP для передачи данных

set firewall ipv4 input filter rule 20 source group dynamic-address-group PN_01

Добавляет правило с порядковым номером 20 в цепочку правил и выбирает динамическую группу PN_01 в качестве источника

6

set firewall ipv4 input filter rule 30 action accept

Создает правило с порядковым номером 30 на потоке INPUT и разрешает входящий трафик

set firewall ipv4 input filter rule 30 description 'Open SSH for successful knock'

Добавляет правило с порядковым номером 30 в цепочку правил и добавляет описание Open SSH for successful knock

set firewall ipv4 input filter rule 30 destination port 22

Добавляет правило с порядковым номером 30 в цепочку правил и задает порт назначения 22

set firewall ipv4 input filter rule 30 protocol tcp

Добавляет правило с порядковым номером 30 в цепочку правил и выбирает протокол TCP для передачи данных

set firewall ipv4 input filter rule 30 source group dynamic-address-group PN_02

Добавляет правило с порядковым номером 30 в цепочку правил и выбирает динамическую группу PN_02 в качестве источника

Краткое содержание примера:

  • создаются две динамические группы;

  • по умолчанию запрещается входящий трафик;

  • трафик от установленных и производных TCP-соединений разрешается;

  • по замыслу примера при обращении устройства на порт 9990 его IPv4-адрес должен запоминаться на 2 минуты;

  • по замыслу примера при последующем обращении на порт 9991 IPv4-адрес устройства должен запоминаться и открывать доступ по SSH на 3 минуты.

Список команд


Режим «Конфигурирование»


firewall group address-group <text> address <address>

Описание:
Создает группу IPv4-адресов, присваивает ей имя и добавляет в нее IPv4-адреса или диапазон IPv4-адресов. В текущей версии ПО Факел диапазон адресов в группе не применяется: указывайте отдельные адреса (см. Ограничения).

Синтаксис:

  • set firewall group address-group <text> address <address>

  • delete firewall group address-group <text> address <address>

  • show firewall group address-group <text> address

Аргументы:

  • <text> — имя группы;

  • <address> — IPv4-адрес или диапазон IPv4-адресов. Формат: x.x.x.x или x.x.x.x — x.x.x.x.

Режим: «Конфигурирование».

firewall group address-group <text> description <text>

Описание:
Создает группу IPv4-адресов, присваивает ей имя и добавляет описание.

Синтаксис:

  • set firewall group address-group <text> description <text>

  • delete firewall group address-group <text> description <text>

  • show firewall group address-group <text> description

Аргументы:

  • <text> — имя группы;

  • <text> — описание группы.

Режим: «Конфигурирование».

firewall group ipv6-address-group <text> address <address>

Описание:
Создает группу IPv6-адресов, присваивает ей имя и добавляет в нее IPv6-адреса или диапазон IPv6-адресов. В текущей версии ПО Факел группы этого типа не применяются в правилах межсетевого экрана (см. Ограничения).

Синтаксис:

  • set firewall group ipv6-address-group <text> address <address>

  • delete firewall group ipv6-address-group <text> address <address>

  • show firewall group ipv6-address-group <text> address

Аргументы:

  • <text> — имя группы;

  • <address> — IPv6-адрес или диапазон IPv6-адресов.

Режим: «Конфигурирование».

firewall group ipv6-address-group <text> description <text>

Описание:
Создает группу IPv6-адресов, присваивает ей имя и добавляет описание.

Синтаксис:

  • set firewall group ipv6-address-group <text> description <text>

  • delete firewall group ipv6-address-group <text> description <text>

  • show firewall group ipv6-address-group <text> description

Аргументы:

  • <text> — имя группы;

  • <text> — описание группы.

Режим: «Конфигурирование».

firewall group network-group <text> network <CIDR>

Описание:
Создает группу IPv4-сетей, присваивает ей имя и добавляет в нее IPv4-адреса с префиксом подсети в формате CIDR.

Синтаксис:

  • set firewall group network-group <text> network <CIDR>

  • delete firewall group network-group <text> network <CIDR>

  • show firewall group network-group <text> network

Аргументы:

  • <text> — имя группы;

  • <CIDR> — диапазон из IPv4-адресов с префиксом подсети. Формат CIDR: x.x.x.x/x.

Режим: «Конфигурирование».

firewall group network-group <text> description <text>

Описание:
Создает группу IPv4-сетей, присваивает ей имя и добавляет описание.

Синтаксис:

  • set firewall group network-group <text> description <text>

  • delete firewall group network-group <text> description <text>

  • show firewall group network-group <text> description

Аргументы:

  • <text> — имя группы;

  • <text> — описание группы.

Режим: «Конфигурирование».

firewall group ipv6-network-group <text> network <CIDR>

Описание:
Создает группу IPv6-сетей, присваивает ей имя и добавляет в нее IPv6-адреса с префиксом подсети в формате CIDR. В текущей версии ПО Факел группы этого типа не применяются в правилах межсетевого экрана (см. Ограничения).

Синтаксис:

  • set firewall group ipv6-network-group <text> network <CIDR>

  • delete firewall group ipv6-network-group <text> network <CIDR>

  • show firewall group ipv6-network-group <text> network

Аргументы:

  • <text> — имя группы;

  • <CIDR> — диапазон из IPv6-адресов с префиксом подсети. Формат CIDR: x.x.x.x/x.

Режим: «Конфигурирование».

firewall group ipv6-network-group <text> description <text>

Описание:
Создает группу IPv6-сетей, присваивает ей имя и добавляет описание.

Синтаксис:

  • set firewall group ipv6-network-group <text> description <text>

  • delete firewall group ipv6-network-group <text> description <text>

  • show firewall group ipv6-network-group <text> description

Аргументы:

  • <text> — имя группы;

  • <text> — описание группы.

Режим: «Конфигурирование».

firewall group interface-group <text> interface <text>

Описание:
Создает группу интерфейсов, присваивает ей имя и добавляет в нее выбранный интерфейс.

Синтаксис:

  • set firewall group interface-group <text> interface <text>

  • delete firewall group interface-group <text> interface <text>

  • show firewall group interface-group <text> interface

Аргументы:

  • <text> — имя группы;

  • <text> — имя интерфейса, который будет включен в состав группы.

Режим: «Конфигурирование».

firewall group interface-group <text> description <text>

Описание:
Создает группу интерфейсов, присваивает ей имя и добавляет описание.

Синтаксис:

  • set firewall group interface-group <text> description <text>

  • delete firewall group interface-group <text> description <text>

  • show firewall group interface-group <text> description

Аргументы:

  • <text> — имя группы;

  • <text> — описание группы.

Режим: «Конфигурирование».

firewall group port-group <text> port [<portname> | <portnumber> | <startport-endport>]

Описание:
Создает группу портов, присваивает ей имя и добавляет в нее порт или диапазон портов. В текущей версии ПО Факел группы этого типа не применяются в правилах межсетевого экрана (см. Ограничения).

Синтаксис:

  • set firewall group port-group <text> port [<portname> | <portnumber> | <startport-endport>]

  • delete firewall group port-group <text> port [<portname> | <portnumber> | <startport-endport>]

  • show firewall group port-group <text> port

Аргументы:

  • <text> — имя группы;

  • <portname> — имя порта, указанное в директории /etc/services;

  • <portnumber> — номер порта;

  • <startpoint-endpoint> — диапазон номеров портов. Формат: x.x.x.x — x.x.x.x.

Режим: «Конфигурирование».

firewall group port-group <text> description <text>

Описание:
Создает группу портов, присваивает ей имя и добавляет описание.

Синтаксис:

  • set firewall group port-group <text> description <text>

  • delete firewall group port-group <text> description <text>

  • show firewall group port-group <text> description

Аргументы:

  • <text> — имя группы;

  • <text> — описание группы.

Режим: «Конфигурирование».

firewall group mac-group <text> mac-address <mac-address>

Описание:
Создает группу MAC-адресов, присваивает ей имя и добавляет в нее MAC-адрес. В текущей версии ПО Факел группы этого типа не применяются в правилах межсетевого экрана (см. Ограничения).

Синтаксис:

  • set firewall group mac-group <text> mac-address <mac-address>

  • delete firewall group mac-group <text> mac-address <mac-address>

  • show firewall group mac-group <text> mac-address

Аргументы: * <text> — имя группы; * <mac-address> — MAC-адрес.

Режим: «Конфигурирование».

firewall group mac-group <text> description <text>

Описание:
Создает группу MAC-адресов, присваивает ей имя и добавляет описание.

Синтаксис:

  • set firewall group mac-group <text> description <text>

  • delete firewall group mac-group <text> description <text>

  • show firewall group mac-group <text> description

Аргументы:

  • <text> — имя группы;

  • <text> — описание группы.

Режим: «Конфигурирование».

firewall group domain-group <text> address <domain>

Описание:
Создает группу доменов, присваивает ей имя и добавляет в нее доменное имя. В текущей версии ПО Факел группы этого типа не применяются в правилах межсетевого экрана (см. Ограничения).

Синтаксис:

  • set firewall group domain-group <text> address <domain>

  • delete firewall group domain-group <text> address <domain>

  • show firewall group domain-group <text> address

Аргументы:

  • <text> — имя группы;

  • <domain> — доменное имя, которое будет добавлено в группу.

Режим: «Конфигурирование».

firewall group domain-group <text> description <text>

Описание:
Создает группу доменов, присваивает ей имя и добавляет описание.

Синтаксис:

  • set firewall group domain-group <text> description <text>

  • delete firewall group domain-group <text> description <text>

  • show firewall group domain-group <text> description

Аргументы:

  • <text> — имя группы;

  • <text> — описание группы.

Режим: «Конфигурирование».

firewall group dynamic-group address-group <text>

Описание:
Создает динамическую группу IPv4-адресов и присваивает ей имя. В текущей версии ПО Факел группы этого типа не применяются в правилах межсетевого экрана (см. Ограничения).

Синтаксис:

  • set firewall group dynamic-group address-group <text>

  • delete firewall group dynamic-group address-group <text>

  • show firewall group dynamic-group address-group

Аргументы:

  • <text> — имя группы.

Режим: «Конфигурирование».

firewall group dynamic-group address-group <text> description <text>

Описание:
Создает динамическую группу IPv4-адресов, присваивает ей имя и добавляет описание.

Синтаксис:

  • set firewall group dynamic-group address-group <text> description <text>

  • delete firewall group dynamic-group address-group <text> description <text>

  • show firewall group dynamic-group address-group <text> description

Аргументы:

  • <text> — имя группы;

  • <text> — описание группы.

Режим: «Конфигурирование».

firewall group dynamic-group ipv6-address-group <text>

Описание:
Создает динамическую группу IPv6-адресов и присваивает ей имя. В текущей версии ПО Факел группы этого типа не применяются в правилах межсетевого экрана (см. Ограничения).

Синтаксис:

  • set firewall group dynamic-group ipv6-address-group <text>

  • delete firewall group dynamic-group ipv6-address-group <text>

  • show firewall group dynamic-group ipv6-address-group

Аргументы:

  • <text> — имя группы.

Режим: «Конфигурирование».

firewall group dynamic-group ipv6-address-group <text> description <text>

Описание:
Создает динамическую группу IPv6-адресов, присваивает ей имя и добавляет описание.

Синтаксис:

  • set firewall group dynamic-group ipv6-address-group <text> description <text>

  • delete firewall group dynamic-group ipv6-address-group <text> description <text>

  • show firewall group dynamic-group ipv6-address-group <text> description

Аргументы:

  • <text> — имя группы;

  • <text> — описание группы.

Режим: «Конфигурирование».

firewall ipv4 forward filter rule <1-999999> add-address-to-group source-address address-group <text>

Описание:
Задает добавление IPv4-адреса источника в динамическую группу при срабатывании правила с указанным номером на потоке FORWARD. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv4 forward filter rule <1-999999> add-address-to-group source-address address-group <text>

  • delete firewall ipv4 forward filter rule <1-999999> add-address-to-group source-address address-group <text>

  • show firewall ipv4 forward filter rule <1-999999> add-address-to-group source-address address-group

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <text> — имя динамической группы.

Режим: «Конфигурирование».

firewall ipv4 input filter rule <1-999999> add-address-to-group source-address address-group <text>

Описание:
Задает добавление IPv4-адреса источника в динамическую группу при срабатывании правила с указанным номером на потоке INPUT. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv4 input filter rule <1-999999> add-address-to-group source-address address-group <text>

  • delete firewall ipv4 input filter rule <1-999999> add-address-to-group source-address address-group <text>

  • show firewall ipv4 input filter rule <1-999999> add-address-to-group source-address address-group

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <text> — имя динамической группы.

Режим: «Конфигурирование».

firewall ipv4 output filter rule <1-999999> add-address-to-group source-address address-group <text>

Описание:
Задает добавление IPv4-адреса источника в динамическую группу при срабатывании правила с указанным номером на потоке OUTPUT. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv4 output filter rule <1-999999> add-address-to-group source-address address-group <text>

  • delete firewall ipv4 output filter rule <1-999999> add-address-to-group source-address address-group <text>

  • show firewall ipv4 output filter rule <1-999999> add-address-to-group source-address address-group

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <text> — имя динамической группы.

Режим: «Конфигурирование».

firewall ipv4 name <name> rule <1-999999> add-address-to-group source-address address-group <text>

Описание:
Параметр предназначен для автоматического добавления IPv4-адреса источника в динамическую группу, когда срабатывает правило из набора правил. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv4 name <name> rule <1-999999> add-address-to-group source-address address-group <text>

  • delete firewall ipv4 name <name> rule <1-999999> add-address-to-group source-address address-group <text>

  • show firewall ipv4 name <name> rule <1-999999> add-address-to-group source-address address-group

Аргументы:

  • <name> — имя набора правил;

  • <1-999999> — порядковый номер правила;

  • <text> — имя динамической группы.

Режим: «Конфигурирование».

firewall ipv6 forward filter rule <1-999999> add-address-to-group source-address address-group <text>

Описание:
Задает добавление IPv6-адреса источника в динамическую группу при срабатывании правила с указанным номером на потоке FORWARD. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv6 forward filter rule <1-999999> add-address-to-group source-address address-group <text>

  • delete firewall ipv6 forward filter rule <1-999999> add-address-to-group source-address address-group <text>

  • show firewall ipv6 forward filter rule <1-999999> add-address-to-group source-address address-group

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <text> — имя динамической группы.

Режим: «Конфигурирование».

firewall ipv6 input filter rule <1-999999> add-address-to-group source-address address-group <text>

Описание:
Задает добавление IPv6-адреса источника в динамическую группу при срабатывании правила с указанным номером на потоке INPUT. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv6 input filter rule <1-999999> add-address-to-group source-address address-group <text>

  • delete firewall ipv6 input filter rule <1-999999> add-address-to-group source-address address-group <text>

  • show firewall ipv6 input filter rule <1-999999> add-address-to-group source-address address-group

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <text> — имя динамической группы.

Режим: «Конфигурирование».

firewall ipv6 output filter rule <1-999999> add-address-to-group source-address address-group <text>

Описание:
Задает добавление IPv6-адреса источника в динамическую группу при срабатывании правила с указанным номером на потоке OUTPUT. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv6 output filter rule <1-999999> add-address-to-group source-address address-group <text>

  • delete firewall ipv6 output filter rule <1-999999> add-address-to-group source-address address-group <text>

  • show firewall ipv6 output filter rule <1-999999> add-address-to-group source-address address-group

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <text> — имя динамической группы.

Режим: «Конфигурирование».

firewall ipv6 name <name> rule <1-999999> add-address-to-group source-address address-group <text>

Описание:
Параметр предназначен для автоматического добавления IPv6-адреса источника в динамическую группу, когда срабатывает правило из набора правил. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv6 name <name> rule <1-999999> add-address-to-group source-address address-group <text>

  • delete firewall ipv6 name <name> rule <1-999999> add-address-to-group source-address address-group <text>

  • show firewall ipv6 name <name> rule <1-999999> add-address-to-group source-address address-group

Аргументы:

  • <name> — имя набора правил;

  • <1-999999> — порядковый номер правила;

  • <text> — имя динамической группы.

Режим: «Конфигурирование».

firewall ipv4 forward filter rule <1-999999> add-address-to-group destination-address address-group <text>

Описание:
Задает добавление IPv4-адреса назначения в динамическую группу при срабатывании правила с указанным номером на потоке FORWARD. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv4 forward filter rule <1-999999> add-address-to-group destination-address address-group <text>

  • delete firewall ipv4 forward filter rule <1-999999> add-address-to-group destination-address address-group <text>

  • show firewall ipv4 forward filter rule <1-999999> add-address-to-group destination-address address-group

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <text> — имя динамической группы.

Режим: «Конфигурирование».

firewall ipv4 input filter rule <1-999999> add-address-to-group destination-address address-group <text>

Описание:
Задает добавление IPv4-адреса назначения в динамическую группу при срабатывании правила с указанным номером на потоке INPUT. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv4 input filter rule <1-999999> add-address-to-group destination-address address-group <text>

  • delete firewall ipv4 input filter rule <1-999999> add-address-to-group destination-address address-group <text>

  • show firewall ipv4 input filter rule <1-999999> add-address-to-group destination-address address-group

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <text> — имя динамической группы.

Режим: «Конфигурирование».

firewall ipv4 output filter rule <1-999999> add-address-to-group destination-address address-group <text>

Описание:
Задает добавление IPv4-адреса назначения в динамическую группу при срабатывании правила с указанным номером на потоке OUTPUT. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv4 output filter rule <1-999999> add-address-to-group destination-address address-group <text>

  • delete firewall ipv4 output filter rule <1-999999> add-address-to-group destination-address address-group <text>

  • show firewall ipv4 output filter rule <1-999999> add-address-to-group destination-address address-group

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <text> — имя динамической группы.

Режим: «Конфигурирование».

firewall ipv4 name <name> rule <1-999999> add-address-to-group destination-address address-group <text>

Описание:
Параметр предназначен для автоматического добавления IPv4-адреса назначения в динамическую группу, когда срабатывает правило из набора правил. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv4 name <name> rule <1-999999> add-address-to-group destination-address address-group <text>

  • delete firewall ipv4 name <name> rule <1-999999> add-address-to-group destination-address address-group <text>

  • show firewall ipv4 name <name> rule <1-999999> add-address-to-group destination-address address-group

Аргументы:

  • <name> — имя набора правил;

  • <1-999999> — порядковый номер правила;

  • <text> — имя динамической группы.

Режим: «Конфигурирование».

firewall ipv6 forward filter rule <1-999999> add-address-to-group destination-address address-group <text>

Описание:
Задает добавление IPv6-адреса назначения в динамическую группу при срабатывании правила с указанным номером на потоке FORWARD. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv6 forward filter rule <1-999999> add-address-to-group destination-address address-group <text>

  • delete firewall ipv6 forward filter rule <1-999999> add-address-to-group destination-address address-group <text>

  • show firewall ipv6 forward filter rule <1-999999> add-address-to-group destination-address address-group

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <text> — имя динамической группы.

Режим: «Конфигурирование».

firewall ipv6 input filter rule <1-999999> add-address-to-group destination-address address-group <text>

Описание:
Задает добавление IPv6-адреса назначения в динамическую группу при срабатывании правила с указанным номером на потоке INPUT. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv6 input filter rule <1-999999> add-address-to-group destination-address address-group <text>

  • delete firewall ipv6 input filter rule <1-999999> add-address-to-group destination-address address-group <text>

  • show firewall ipv6 input filter rule <1-999999> add-address-to-group destination-address address-group

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <text> — имя динамической группы.

Режим: «Конфигурирование».

firewall ipv6 output filter rule <1-999999> add-address-to-group destination-address address-group <text>

Описание:
Задает добавление IPv6-адреса назначения в динамическую группу при срабатывании правила с указанным номером на потоке OUTPUT. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv6 output filter rule <1-999999> add-address-to-group destination-address address-group <text>

  • delete firewall ipv6 output filter rule <1-999999> add-address-to-group destination-address address-group <text>

  • show firewall ipv6 output filter rule <1-999999> add-address-to-group destination-address address-group

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <text> — имя динамической группы.

Режим: «Конфигурирование».

firewall ipv6 name <name> rule <1-999999> add-address-to-group destination-address address-group <text>

Описание:
Параметр предназначен для автоматического добавления IPv6-адреса назначения в динамическую группу, когда срабатывает правило из набора правил. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv6 name <name> rule <1-999999> add-address-to-group destination-address address-group <text>

  • delete firewall ipv6 name <name> rule <1-999999> add-address-to-group destination-address address-group <text>

  • show firewall ipv6 name <name> rule <1-999999> add-address-to-group destination-address address-group

Аргументы:

  • <name> — имя набора правил;

  • <1-999999> — порядковый номер правила;

  • <text> — имя динамической группы.

Режим: «Конфигурирование».

firewall ipv4 forward filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

Описание:
Задает время жизни IPv4-адреса назначения в составе динамической группы, если на потоке FORWARD сработает правило с указанным номером. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv4 forward filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

  • delete firewall ipv4 forward filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

  • show firewall ipv4 forward filter rule <1-999999> add-address-to-group destination-address timeout

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <timeout> — интервал, после которого IPv4-адрес будет удален из динамической группы.

Формат:
<число>s — секунды;
<число>m — минуты;
<число>h — часы;
<число>d — дни.

Режим: «Конфигурирование».

firewall ipv4 input filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

Описание:
Задает время жизни IPv4-адреса назначения в составе динамической группы, если на потоке INPUT сработает правило с указанным номером. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv4 input filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

  • delete firewall ipv4 input filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

  • show firewall ipv4 input filter rule <1-999999> add-address-to-group destination-address timeout

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <timeout> — интервал, после которого IPv4-адрес будет удален из динамической группы.

Формат:
<число>s — секунды;
<число>m — минуты;
<число>h — часы;
<число>d — дни.

Режим: «Конфигурирование».

firewall ipv4 output filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

Описание:
Задает время жизни IPv4-адреса назначения в составе динамической группы, если на потоке OUTPUT сработает правило с указанным номером. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv4 output filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

  • delete firewall ipv4 output filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

  • show firewall ipv4 output filter rule <1-999999> add-address-to-group destination-address timeout

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <timeout> — интервал, после которого IPv4-адрес будет удален из динамической группы.

Формат:
<число>s — секунды;
<число>m — минуты;
<число>h — часы;
<число>d — дни.

Режим: «Конфигурирование».

firewall ipv4 forward filter rule <1-999999> add-address-to-group source-address timeout <timeout>

Описание:
Задает время жизни IPv4-адреса источника в составе динамической группы, если на потоке FORWARD сработает правило с указанным номером. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv4 forward filter rule <1-999999> add-address-to-group source-address timeout <timeout>

  • delete firewall ipv4 forward filter rule <1-999999> add-address-to-group source-address timeout <timeout>

  • show firewall ipv4 forward filter rule <1-999999> add-address-to-group source-address timeout

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <timeout> — интервал, после которого IPv4-адрес будет удален из динамической группы.

Формат:
<число>s — секунды;
<число>m — минуты;
<число>h — часы;
<число>d — дни.

Режим: «Конфигурирование».

firewall ipv4 input filter rule <1-999999> add-address-to-group source-address timeout <timeout>

Описание:
Задает время жизни IPv4-адреса источника в составе динамической группы, если на потоке INPUT сработает правило с указанным номером. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv4 input filter rule <1-999999> add-address-to-group source-address timeout <timeout>

  • delete firewall ipv4 input filter rule <1-999999> add-address-to-group source-address timeout <timeout>

  • show firewall ipv4 input filter rule <1-999999> add-address-to-group source-address timeout

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <timeout> — интервал, после которого IPv4-адрес будет удален из динамической группы.

Формат:
<число>s — секунды;
<число>m — минуты;
<число>h — часы;
<число>d — дни.

Режим: «Конфигурирование».

firewall ipv4 output filter rule <1-999999> add-address-to-group source-address timeout <timeout>

Описание:
Задает время жизни IPv4-адреса источника в составе динамической группы, если на потоке OUTPUT сработает правило с указанным номером. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv4 output filter rule <1-999999> add-address-to-group source-address timeout <timeout>

  • delete firewall ipv4 output filter rule <1-999999> add-address-to-group source-address timeout <timeout>

  • show firewall ipv4 output filter rule <1-999999> add-address-to-group source-address timeout

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <timeout> — интервал, после которого IPv4-адрес будет удален из динамической группы.

Формат:
<число>s — секунды;
<число>m — минуты;
<число>h — часы;
<число>d — дни.

Режим: «Конфигурирование».

firewall ipv4 name <name> rule <1-999999> add-address-to-group destination-address timeout <timeout>

Описание:
Определяет время жизни IPv4-адреса назначения в составе динамической группы, когда срабатывает правило из набора правил. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv4 name <name> rule <1-999999> add-address-to-group destination-address timeout <timeout>

  • delete firewall ipv4 name <name> rule <1-999999> add-address-to-group destination-address timeout <timeout>

  • show firewall ipv4 name <name> rule <1-999999> add-address-to-group destination-address timeout

Аргументы:

  • <name> — имя набора правил;

  • <1-999999> — порядковый номер правила;

  • <timeout> — интервал, после которого IPv4-адрес удаляется из динамической группы.

Формат:
<число>s — секунды;
<число>m — минуты;
<число>h — часы;
<число>d — дни.

Режим: «Конфигурирование».

firewall ipv4 name <name> rule <1-999999> add-address-to-group source-address timeout <timeout>

Описание:
Определяет время жизни IPv4-адреса источника в составе динамической группы, когда срабатывает правило из набора правил. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv4 name <name> rule <1-999999> add-address-to-group source-address timeout <timeout>

  • delete firewall ipv4 name <name> rule <1-999999> add-address-to-group source-address timeout <timeout>

  • show firewall ipv4 name <name> rule <1-999999> add-address-to-group source-address timeout

Аргументы:

  • <name> — имя набора правил;

  • <1-999999> — порядковый номер правила;

  • <timeout> — интервал, после которого IPv4-адрес удаляется из динамической группы.

Формат:
<число>s — секунды;
<число>m — минуты;
<число>h — часы;
<число>d — дни.

Режим: «Конфигурирование».

firewall ipv6 forward filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

Описание:
Задает время жизни IPv6-адреса назначения в составе динамической группы, если на потоке FORWARD сработает правило с указанным номером. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv6 forward filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

  • delete firewall ipv6 forward filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

  • show firewall ipv6 forward filter rule <1-999999> add-address-to-group destination-address timeout

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <timeout> — интервал, после которого IPv6-адрес будет удален из динамической группы.

Формат:
<число>s — секунды;
<число>m — минуты;
<число>h — часы;
<число>d — дни.

Режим: «Конфигурирование».

firewall ipv6 input filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

Описание:
Задает время жизни IPv6-адреса назначения в составе динамической группы, если на потоке INPUT сработает правило с указанным номером. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv6 input filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

  • delete firewall ipv6 input filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

  • show firewall ipv6 input filter rule <1-999999> add-address-to-group destination-address timeout

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <timeout> — интервал, после которого IPv6-адрес будет удален из динамической группы.

Формат:
<число>s — секунды;
<число>m — минуты;
<число>h — часы;
<число>d — дни.

Режим: «Конфигурирование».

firewall ipv6 output filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

Описание:
Задает время жизни IPv6-адреса назначения в составе динамической группы, если на потоке OUTPUT сработает правило с указанным номером. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv6 output filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

  • delete firewall ipv6 output filter rule <1-999999> add-address-to-group destination-address timeout <timeout>

  • show firewall ipv6 output filter rule <1-999999> add-address-to-group destination-address timeout

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <timeout> — интервал, после которого IPv6-адрес будет удален из динамической группы.

Формат:
<число>s — секунды;
<число>m — минуты;
<число>h — часы;
<число>d — дни.

Режим: «Конфигурирование».

firewall ipv6 forward filter rule <1-999999> add-address-to-group source-address timeout <timeout>

Описание:
Задает время жизни IPv6-адреса источника в составе динамической группы, если на потоке FORWARD сработает правило с указанным номером. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv6 forward filter rule <1-999999> add-address-to-group source-address timeout <timeout>

  • delete firewall ipv6 forward filter rule <1-999999> add-address-to-group source-address timeout <timeout>

  • show firewall ipv6 forward filter rule <1-999999> add-address-to-group source-address timeout

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <timeout> — интервал, после которого IPv6-адрес будет удален из динамической группы.

Формат:
<число>s — секунды;
<число>m — минуты;
<число>h — часы;
<число>d — дни.

Режим: «Конфигурирование».

firewall ipv6 input filter rule <1-999999> add-address-to-group source-address timeout <timeout>

Описание:
Задает время жизни IPv6-адреса источника в составе динамической группы, если на потоке INPUT сработает правило с указанным номером. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv6 input filter rule <1-999999> add-address-to-group source-address timeout <timeout>

  • delete firewall ipv6 input filter rule <1-999999> add-address-to-group source-address timeout <timeout>

  • show firewall ipv6 input filter rule <1-999999> add-address-to-group source-address timeout

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <timeout> — интервал, после которого IPv6-адрес будет удален из динамической группы.

Формат:
<число>s — секунды;
<число>m — минуты;
<число>h — часы;
<число>d — дни.

Режим: «Конфигурирование».

firewall ipv6 output filter rule <1-999999> add-address-to-group source-address timeout <timeout>

Описание:
Задает время жизни IPv6-адреса источника в составе динамической группы, если на потоке OUTPUT сработает правило с указанным номером. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv6 output filter rule <1-999999> add-address-to-group source-address timeout <timeout>

  • delete firewall ipv6 output filter rule <1-999999> add-address-to-group source-address timeout <timeout>

  • show firewall ipv6 output filter rule <1-999999> add-address-to-group source-address timeout

Аргументы:

  • <1-999999> — порядковый номер правила;

  • <timeout> — интервал, после которого IPv6-адрес будет удален из динамической группы.

Формат:
<число>s — секунды;
<число>m — минуты;
<число>h — часы;
<число>d — дни.

Режим: «Конфигурирование».

firewall ipv6 name <name> rule <1-999999> add-address-to-group destination-address timeout <timeout>

Описание:
Определяет время жизни IPv6-адреса назначения в составе динамической группы, когда срабатывает правило из набора правил. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv6 name <name> rule <1-999999> add-address-to-group destination-address timeout <timeout>

  • delete firewall ipv6 name <name> rule <1-999999> add-address-to-group destination-address timeout <timeout>

  • show firewall ipv6 name <name> rule <1-999999> add-address-to-group destination-address timeout

Аргументы:

  • <name> — имя набора правил;

  • <1-999999> — порядковый номер правила;

  • <timeout> — интервал, после которого IPv6-адрес удаляется из динамической группы.

Формат:
<число>s — секунды;
<число>m — минуты;
<число>h — часы;
<число>d — дни.

Режим: «Конфигурирование».

firewall ipv6 name <name> rule <1-999999> add-address-to-group source-address timeout <timeout>

Описание:
Определяет время жизни IPv6-адреса источника в составе динамической группы, когда срабатывает правило из набора правил. В текущей версии ПО Факел параметр не применяется в FVE (см. Ограничения).

Синтаксис:

  • set firewall ipv6 name <name> rule <1-999999> add-address-to-group source-address timeout <timeout>

  • delete firewall ipv6 name <name> rule <1-999999> add-address-to-group source-address timeout <timeout>

  • show firewall ipv6 name <name> rule <1-999999> add-address-to-group source-address timeout

Аргументы:

  • <name> — имя набора правил;

  • <1-999999> — порядковый номер правила;

  • <timeout> — интервал, после которого IPv6-адрес удаляется из динамической группы.

Формат:
<число>s — секунды;
<число>m — минуты;
<число>h — часы;
<число>d — дни.

Режим: «Конфигурирование».

Режим «Администрирование»


firewall group

Описание:
Отображает сводную информацию о всех группах на межсетевом экране.

Синтаксис:

  • show firewall group

Режим: «Администрирование».

Уровень привилегий: «Администратор».

firewall group <text>

Описание:
Отображает сводную информацию о конкретной группе на межсетевом экране.

Синтаксис:

  • show firewall group <text>

Аргументы:

  • <text> — имя группы на межсетевом экране.

Режим: «Администрирование».

Уровень привилегий: «Администратор».

firewall group detail

Описание:
Отображает детальную информацию о всех группах на межсетевом экране.

Синтаксис:

  • show firewall group detail

Режим: «Администрирование».

Уровень привилегий: «Администратор».

firewall group <text> detail

Описание:
Отображает детальную информацию о конкретной группе на межсетевом экране.

Синтаксис:

  • show firewall group <text> detail

Аргументы:

  • <text> — имя группы на межсетевом экране.

Режим: «Администрирование».

Уровень привилегий: «Администратор».