Для создания правил используется опция

(или ) программы . После этой опции задается один или несколько критериев, затем указывается опция (или ), за которой следует действие , или . Вызов , предназначенный для создания действия, выглядит следующим образом:

Сокращенно та же команда может быть записана так:

Вместо

при вызове могут быть указаны следующие опции.

• 

, или . Эта опция удаляет правило из существующей цепочки.

• 

, или . С помощью данной опции вы можете включить правило в середину цепочки. При этом необходимо задать номер правила. Если номер не указан, включит правило в начало цепочки (при использовании опции правило помещается в конец цепочки).

• 

, или . Эта опция дает возможность заменить правило. Задавая данную опцию, следует указать номер заменяемого правила.

• 

, или . Данная опция отображает все правила в цепочке.

Для утилиты

предусмотрены также другие опции. Информацию о них вы можете получить на страницах справочной системы, посвященных . В следующем разделе рассматривается формирование критериев выбора, передаваемых . В одной команде можно задать несколько критериев, например, вы можете ограничить доступ по номеру порта и по IP-адресу.

На заметку

Ядро системы читает правила в цепочке по порядку и применяет первое из них, которому соответствует пакет. Если вы хотите задать исключение из какого-либо правила (например, запретить доступ к порту Telnet для всех узлов, кроме машин, принадлежащих локальной сети), вы должны поместить исключение перед основным правилом. Политика по умолчанию по сути представляет собой правило, находящееся в самом конце цепочки. Ему удовлетворяют все пакеты, которые не соответствуют ни одному другому правилу в цепочке.

При выполнении фильтрации пакетов могут анализироваться порты источника и назначения. Например, брандмауэр, находящийся на компьютере, на котором выполняется почтовый сервер, можно настроить для передачи пакетов, в которых указан порт назначения 25. Для этого используется опция

(). Аналогичных результатов можно добиться, используя опцию (), в качестве значения которой указывается тип протокола (, , или ). Опция () выполняет подобные действия, но задает порт источника. Команды, определяющие правила фильтрации на основе номеров портов, выглядят следующим образом:

Эти команды обеспечивают прием пакетов, направленных серверу, который ожидает поступление запросов через порт 25, и передачу пакетов, возвращаемых сервером в ответ на запрос (в них указан порт источника 25). В результате, даже если политика по умолчанию отвергает пакеты, сервер сможет получить почту от внешних серверов. Заметьте, если в качестве политики по умолчанию указано действие

или вы должны включить в цепочку правило, разрешающее принимать пакеты, направленные серверу, а в цепочку — правило, разрешающее передавать пакеты, сгенерированные данным сервером. Для этого при определении правила для цепочки задается опция , а при определении правила для цепочки — опция . Если вы забудете создать одно из правил, то сервер сможет получать запросы, но не сможет генерировать ответы на них, либо, наоборот, через брандмауэр будут пропускаться только данные, сгенерированные сервером, а информация, направленная серверу, будет отвергаться. Для брандмауэра, совмещенного с маршрутизатором, надо также включить в цепочку правила, созданные с использованием опций и , в противном случае данные через брандмауэр передаваться не будут. Вы можете использовать в качестве условий номера портов в сочетании с IP-адресами. Это позволит не только ограничить обмен определенным типом протокола, но и разрешить его лишь для отдельных компьютеров. Так, например, вы сможете создать правила, согласно которым взаимодействовать с внешними узлами по протоколу SMTP будет иметь право только почтовый сервер.

Если вы используете политику по умолчанию

или , вам необходимо разрешить клиентским программам взаимодействовать с внешними серверами. Для этого выполните следующие действия.

• Разрешите доступ к серверным портам внешних компьютеров. Соответствующее правило, включаемое в цепочку

, должно создаваться с указанием опции , а при создании правила, помещаемого в цепочку , должна использоваться опция . Для брандмауэра, совмещенного с маршрутизатором, необходимо также включить в цепочку правила, созданные с помощью опций и . Возможно, что наряду с номерами портов вам потребуется задать IP-адреса ваших компьютеров. Таким способом вам следует разрешить обращение вовне по каждому из протоколов, которые используются клиентами, выполняемыми в вашей сети.

• Разрешите доступ к непривилегированным портам компьютеров вашей сети. Номера непривилегированных портов лежат в диапазоне 1024-65535. В опциях

и указываются границы диапазона, разделенные двоеточием, например . Для принимаемых пакетов вы можете указать также опцию . Правилам, в которых указана опция , соответствуют только пакеты, содержащие запросы на установление соединений, а символ означает отрицание, т.е. заданному правилу будут удовлетворять только пакеты, которые были переданы серверами в ответ на запросы клиентов.