volgorde firewall regels

[André PE1PQX]

Even een vraag voor mijn eigen duidelijkheid:

De firewall regels is op volgorde van invullen als ik de knowledge base goed begrijp.
Dan is het toch te adviseren om eerst alles te blokkeren (poorten, IP-adressen en applicaties) om verbolgens per poort, toepassing en/of IP-adres/IP-range het één en ander toe te staan?

Dus "block all first, allow some next"?

[Briolet]

Tja, als het op volgorde is en je begint met alles dichtzetten…

[Babylonia]

M.b.t. een volgorde heb ik wel eens eerder ooit een voorbeeld gegeven met rode kersen en groene appels 
https://www.synology-forum.nl/overige-software/firewall-correct-instellen/msg155887/#msg155887

[André PE1PQX]

Is me inmiddels duidelijk; eerst enkelen toelaten en als laatste alles verbieden.
Bedankt!

[Briolet]

De firewall stopt met controleren van volgende regels als hij een treffer heeft. Zo voorkomt hij conflicterende regels.

[Babylonia]

Dat lijkt me een beetje te kort door de bocht.
Er zou best een firewall regel bij kunnen zijn die praktisch gezien "geen functie heeft" (overbodig is) met een voorgaande regel, maar de daarop volgende regels kunnen evengoed wel weer functioneel zijn. Die worden toch echt alsnog meegenomen als geldende Firewall regels.

[Ben(V)]

Weet niet of ik bergrijp wat je bedoelt, maar de stelling van Briolet is echt juist.
Als iets aan een firewall regel voldoet stopt het evalueren meteen en worden de volgende regels niet meer geëvalueerd

Dus als je een regel hebt die iets blocked zal de volgende regel die iets tegenstrijdigs doet echt niet van toepassing worden.
Dus als je als eerste regel iets van "block all" zet kom je nergens meer bij wat er ook op de volgende regels staat.

[Babylonia]

Het is inderdaad duidelijk dat je niet begrijpt wat ik bedoel, en ook de stelling van Briolet daarmee te kort door de bocht is.

2e voorbeeld iets verder in de eerdere verwijzing die ik gaf.
https://www.synology-forum.nl/overige-software/firewall-correct-instellen/msg155887/#msg155887

"Nu een boodschappenlijstje waarbij die volgorde WEL belangrijk is in de uitvoering wat er werkelijk gebeurt,
waarbij ik stel dat je het lijstje van boven naar beneden moet uitvoeren.
- Koop geen fruit uit Spanje
- Rode kersen uit Spanje
- Groene appels uit Nederland

Je snapt dat de tweede regel in conflict is met de eerste regel. Je komt alleen met groene appels thuis."

De 3e regel wordt evenwel gewoon uitgevoerd.
Het is niet zo dat met dat voorbeeld de regels "stoppen" bij de 2e regel.
Nu is dit een zeer plastisch voorbeeld met een boodschappenlijstje in een winkel.
Maar de functionaliteiten van de Firewall in een NAS werken precies zo, en zijn ermee te vergelijken.

Het is dus zeker wel belangrijk hoe de regels zijn opgesteld en goed te doordenken hoe je de volgorde vastlegt.
Het een kan afhangen van het ander, maar het is niet vanzelfsprekend dat het lezen van de regels na een conflict "stopt".

[Ben(V)]

Blijkbaar snap je de regels toch niet zo goed.
Je geeft een voorbeeld van drie verschillende items en zegt dat ze allemaal geevalueerd worden, wat uiteraard het geval is.

Wat Briolet en ik zeggen is dat als je in de eerste regel zegt "koop geen Fruit" dan alle overige regels er niet meer toe doen.
Als eronder staat "koop appels uit Nederland", dan krijg je echt geen appels.

[Babylonia]

Wat Briolet en ik zeggen is dat als je in de eerste regel zegt "koop geen Fruit" dan alle overige regels er niet meer toe doen.
Als eronder staat "koop appels uit Nederland", dan krijg je echt geen appels.

Maar als eronder zou staan "koop groente uit Israël",  wordt dat alsnog uitgevoerd. (Dat is namelijk geen fruit).
Het hangt dus heel sterk af wat je in de regels vastlegt.  Er is geen algemene "stop" dat regels niet meer worden gelezen na een eerste conflict.

Het kan best zijn dat opvolgende regels geen geldig resultaat meer opleveren, omdat de regel ervoor dat reeds heeft afgeblokt.
Dat volgt echter uit de vergelijking van die regels. Niet dat de Firewall er verder mee "stopt" na het lezen van een conflict.
Regels worden gewoon in volgorde tot aan de laatste regel uitgevoerd "geldend aan de voorwaarden van die regels".

[Briolet]

Maar als eronder zou staan "koop groente uit Israël",  wordt dat alsnog uitgevoerd. (Dat is namelijk geen fruit).

Je hebt het blijkbaar toch niet gesnapt. Als het geen fruit was dan gaf de eerdere regel "Koop geen fruit" ook geen treffer en gaat de evaluatie verder en komt bij deze regel aan.

Er zit ook geen logica in om verder te evalueren als je een treffer hebt. Het enige wat nog kan gebeuren is dat je een conflict krijgt. En wat dan? Je kunt dan beter direct stoppen met evalueren.

Hetzelfde geldt bij het evalueren van een IF statement bestaande uit meerdere OR gekoppelde statements. Als er één geldig is, doet de erna komende rest er niet meer toe. Dus zelfs als er een 'gedeeld door 0" in de tweede check staat, zal het programma niet crashen, zolang de eerste geldig blijft.

[André PE1PQX]

Simplistisch uitgelgd als ik het goed begrijp uit voorgaand relaas:

1. Koop geen fruit!
2. Koop alleen appels uit Israël Dit mag niet, conflict met regel 1 omdat appels = fruit
3. Koop geen groente uit Rusland
4. Koop spinazie uit Spanje Dit mag wel, omdat de spinazie niet uit Rusland maar uit Spanje komt en het is geen fruit!
5. de rest mag niet!

[Briolet]

Nee, 2 geeft geen conflict omdat evaluatie al bij 1 stopt als het fruit betreft. En als het geen fruit is, is het alleen een zinloze toevoeging.

[André PE1PQX]

Ik vraag me dat af, omdat appels = fruit, maar fruit is nog geen appel (kan ook bananen of peren of.... zijn)
Volgens jouw bewering zouden regeltjes 2 en verder ook geen nut hebben als het om groente EN fruit zou gaan.

Ik denk dat conflicterende regels wel worden geevalueerd, maar niet uitgevoerd worden wegens dat conflict.
Vervolgens door naar de volgende regel...?

[Babylonia]

Ik denk dat conflicterende regels wel worden geevalueerd, maar niet uitgevoerd worden wegens dat conflict.

Het wordt met het voorbeeld met 2 regels gewoon uitgevoerd binnen de regels op volgorde van die vergelijking wat praktisch gezien in dat geval niets oplevert. (Kun je die tweede regel dan inderdaad gewoon weglaten, want het levert voor dat stukje niets op).
Dus je voorbeeld.

1. Koop geen fruit!
2. Koop alleen appels uit Israël Dit mag niet, conflict met regel 1 omdat appels = fruit

Dat mag je best zo scrhijven.  Het levert voor regel 2. alleen niets op.  (Kun je dan net zo goed weglaten).

Vervolgens door naar de volgende regel...?

Precies.
Dus de Firewall bewerkingen zijn met het voorgaande niet gestopt, maar gaan gewoon verder met de regels die volgen t/m de laatst regel.

In je voorbeeld gaat het dus gewoon verder met...

3. Koop geen groente uit Rusland
4. Koop spinazie uit Spanje Dit mag wel, omdat de spinazie niet uit Rusland maar uit Spanje komt en het is geen fruit!
5. de rest mag niet!

Ondanks dat de eerdere regel 2. er mogelijk nog gewoon bijstaat.