Gerador de ACL e regra de firewall IPv4
Monte uma regra explícita usando any, um host IPv4 ou uma rede IPv4 em CIDR. Regras TCP e UDP também podem corresponder a uma porta de destino ou a um intervalo inclusivo.
Uma regra de ACL combina condições de correspondência e uma ação
Uma ACL IPv4 ou regra de filtro de firewall normalmente avalia campos como protocolo, endereço de origem, endereço de destino e, para TCP ou UDP, portas da camada de transporte. Quando um pacote corresponde à regra, a ação configurada é executada. O modelo exato de processamento ainda depende da plataforma, do recurso, da chain ou da interface em que a regra é utilizada.
A ordem das regras pode mudar completamente o resultado
Filtros de pacotes são sensíveis à ordem. Uma regra ampla posicionada antes de outra específica pode tornar a regra posterior inalcançável na prática. ACLs Cisco e chains de filtro do RouterOS são avaliadas conforme a ordem das regras, portanto a configuração gerada deve ser inserida na posição planejada e não simplesmente colada no final de uma política existente.
ACLs estendidas Cisco usam wildcard para redes IPv4
Em uma ACL IPv4 estendida Cisco, um host pode ser escrito com a palavra-chave host, any representa qualquer endereço e uma rede IPv4 é representada pelo endereço da rede seguido da wildcard. Por exemplo, 192.0.2.0/24 torna-se 192.0.2.0 0.0.0.255. Portas TCP e UDP de destino podem usar operadores como eq e range.
No RouterOS, a chain indica onde o pacote está sendo filtrado
A tabela filter do RouterOS possui as chains internas input, forward e output. Input trata tráfego destinado ao próprio roteador, forward trata tráfego que atravessa o roteador e output trata tráfego originado pelo roteador. Escolher a chain errada pode produzir uma regra sintaticamente válida que não protege o caminho de tráfego pretendido.
ACLs avançadas Huawei podem combinar protocolo, endereços e portas
ACLs avançadas do Huawei VRP são projetadas para corresponder a características de pacotes IPv4, incluindo endereços de origem e destino, protocolo IP e portas TCP ou UDP. Famílias de produtos Huawei e releases do VRP podem diferir na forma como a ACL é vinculada a uma interface ou consumida por uma política de tráfego, por isso este gerador separa deliberadamente a criação da regra do contexto de aplicação.
O gerador normaliza CIDR antes de produzir a sintaxe do fabricante
Se você informar uma rede como 192.0.2.37/24, ela é normalizada para 192.0.2.0/24 antes da geração. A saída Cisco e Huawei passa a usar a wildcard correspondente 0.0.0.255, enquanto o RouterOS mantém a notação CIDR. Isso evita reproduzir bits de host digitados por engano como se fossem o limite correto da rede.
Não presuma o mesmo comportamento para pacotes sem correspondência em todas as plataformas
ACLs IPv4 Cisco possuem deny implícito ao final: tráfego que chega ao fim sem corresponder a uma entrada permit é negado. Chains de filtro do RouterOS se comportam de forma diferente: conforme a documentação MikroTik, se um pacote chega ao fim da chain sem corresponder a uma regra, ele é aceito. Tratar esses modelos como equivalentes pode causar indisponibilidade ou uma falha de segurança não intencional.
Gere primeiro, revise a política depois e aplique por último
Antes de aplicar uma ACL remotamente, confira o caminho de gerenciamento, a ordem das regras existentes, a direção do roteamento e o método de rollback. Uma regra deny correta aplicada na interface, chain ou direção errada pode interromper imediatamente o acesso administrativo ou tráfego de produção. O comando gerado é, portanto, auxílio de configuração e não uma instrução de implantação automática.