pf – семейство команд для настройки правил фильтрации трафика

ngfw> pf inspect-rule description <text>>

Задать описание правила неклассифицированных сессий. Пробелы не поддерживаются.

ngfw> pf inspect-rule author <text>>

Задать имя автора правила неклассифицированных сессий. Пробелы не поддерживаются.

ngfw> pf inspect-rule profile <security-profile-name>

Задать профиль безопасности неклассифицированных сессий.

ngfw> show pf inspect-rule

Показать правило фильтрации неклассифицированных сессий. Команда выводит данные в формате JSON.

Пример вывода:

ngfw> show pf inspect-rule
{
  "ngfw-packet-filter:rules": {
    "inspect-rule": {
      "profile": "00000000-0000-4000-0000-000000000001",
      "session-logging": {
        "start": true,
        "end": false
      },
      "enable": true,
      "id": "00000000-0000-4000-0000-000000000002",
      "name": "inspect-rule",
      "action": "enforce"
    }
  }
}

ngfw> [no] pf inspect-rule (log-start|log-end)

Включить (или выключить, если no) журналирование начала/конца неклассифицированных сессий.

no pf rule <name>

Удалить правило с именем <name>.

pf rule <name>

Перейти в подменю настройки правила с именем <name>.

ngfw> pf rule=['name']> action (permit|deny|enforce|reset-both)

Задать действие для правила фильтрации.

ngfw> pf rule=['name']> description <text>

Задать описание правила. Пробелы не поддерживаются.

ngfw> pf rule=['name']> [no] enable

Включить (или выключить, если no) правило.

ngfw> pf rule=['name']> [no] service <service-name>

Добавить в правило (или удалить из правила, если no) сервис с именем <service-name>. Сервис должен существовать.

ngfw> pf rule=['name']> src-ip

Перейти в подменю настройки адресов источника.

ngfw> pf rule=['name']> src-ip> [no] host <ipv4-address>

Добавить (или удалить, если no) адрес хоста.

ngfw> pf rule=['name']> src-ip> [no] object <object-name>

Добавить в правило (или удалить из правила, если no) сетевой объект с именем <object-name>. Объект должен существовать.

ngfw> pf rule=['name']> src-ip> [no] range <ip-range>

Добавить в правило (или удалить из правила, если no) диапазон IP-адресов. Диапазон представляет собой два IP-адреса, разделённых символом - (т.е. <ip-range> – это <ipv4-address>-<ipv4-address>). В диапазоне левый адрес должен быть не больше правого.

Пример: ngfw> pf rule=['name']> src-ip> range 10.10.10.5-10.10.10.10

ngfw> pf rule=['name']> src-ip> [no] subnet <ipv4-prefix>

Добавить (или удалить, если no) подсеть.

ngfw> pf rule=['name']> dst-ip

Перейти в подменю настройки адресов назначения. Команды dst-ip работают аналогично src-ip.

ngfw> pf rule=['name']> move <other-name>

Переместить данное правило в списке выше другого правила с именем <other-name>.

ngfw> pf rule=['name']> rename <name>

Задать для данного правила новое имя <name>.

ngfw> pf rule=['name']> profile <security-profile-name>

Задать профиль безопасности. Работает только при action = enforce.

ngfw> [no] pf rule=['name']> (log-start|log-end)

Включить (или выключить, если no) журналирование начала/конца сессии.

ngfw> pf rule=['name']> [no] src-zone <zone-name>

Добавить (или удалить, если no) входящую зону с именем <zone-name>.

ngfw> pf rule=['name']> [no] dst-zone <zone-name>

Добавить (или удалить, если no) исходящую зону с именем <zone-name>.

ngfw> pf rule=['name']> [no] src-user <user-name>

Добавить (или удалить, если no) входящего пользователя с именем <user-name>.

ngfw> pf rule=['name']> [no] src-group <group-name>

Добавить (или удалить, если no) входящую группу с именем <group-name>.

ngfw> pf rule=['name']> recurring-schedule <name>

Добавить повторяющееся расписание с именем <name> как расписание для правила.

ngfw> pf rule=['name']> one-time-schedule <name>

Добавить разовое расписание с именем <name> как расписание для правила.

ngfw> pf rule=['name']> schedule-group <name>

Добавить группу расписаний с именем <name> как расписание для правила.

ngfw> pf rule=['name']> no schedule

Удалить расписание у правила.

ngfw> pf recurring-schedule <name>

Перейти в подменю настройки повторяющегося расписания с именем <name>.

ngfw> no pf recurring-schedule <name>

Удалить повторяющееся расписание с именем <name>.

ngfw> pf recurring-schedule=['name']> [no] description <description>

Добавить (или удалить, если no) описание для данного повторяющегося расписания.

ngfw> pf recurring-schedule=['name']> rename <name>

Задать для данного повторяющегося расписание новое имя <name>.

ngfw> show pf recurring-schedule <name>

Показать конфигурацию повторяющегося расписания с именем <name>. Команда выводит данные в формате JSON.

Пример вывода:

ngfw> show pf recurring-schedule xd
{
  "ngfw-rule-schedule:rule-schedules": {
    "recurring-schedule": [
      {
        "id": "7e4652e3-3bf7-41b8-9fbd-fe028fe5ff1a",
        "name": "xd",
        "recurring-schedule": {
          "day-schedule": [
            {
              "day": "Monday",
              "start-day-time": "12:00",
              "end-day-time": "17:00"
            }
          ]
        }
      }
    ]
  }
}

ngfw> pf recurring-schedule=['name']> [no] week-day <day>

Добавить (или удалить, если no) день недели, когда данное расписание активно.

Добавить, что расписание активно по понедельникам: ngfw> pf recurring-schedule=['name']> week-day Monday

Добавить, что расписание активно по понедельникам с 12:00 до 14:00 (время в локальном часовом поясе): ngfw> pf recurring-schedule=['name']> week-day Monday,12:00,14:00

ngfw> pf one-time-schedule <name>

Перейти в подменю настройки разового расписания с именем <name>.

ngfw> no pf one-time-schedule <name>

Удалить разовое расписание с именем <name>.

ngfw> pf one-time-schedule=['name']> [no] description <description>

Добавить (или удалить, если no) описание для данного разового расписания.

ngfw> pf one-time-schedule=['name']> rename <name>

Задать для данного разового расписания новое имя <name>.

ngfw> show pf one-time-schedule <name>

Показать конфигурацию разового расписания с именем <name>. Команда выводит данные в формате JSON.

Пример вывода:

ngfw> show pf one-time-schedule xd
{
  "ngfw-rule-schedule:rule-schedules": {
    "one-time-schedule": [
      {
        "id": "0aa9071b-0204-4a18-86a7-c45128cf02b7",
        "name": "xd",
        "one-time-schedule": {
          "start-date": "2024-01-01T00:00",
          "end-date": "2025-01-01T00:00",
          "expiration-notification-start": 7
        }
      }
    ]
  }
}

ngfw> pf one-time-schedule=['name']> [no] one-time-schedule <lifetime>

Добавить (или удалить, если no) временной промежуток, когда данное расписание активно.

Добавить, что расписание активно с 7:00 2024-10-01 по 00:00 2024-11-01 (время в локальном часовом поясе): ngfw> pf one-time-schedule=['name']> one-time-schedule 2024-10-01T07:00,2024-11-01T00:00

ngfw> pf one-time-schedule=['name']> [no] expiration-notification-start <days>

Изменить количество дней до истечения времени жизни расписания для начала отправки уведомлений об истечения времени жизни расписания (По умолчанию 7 дней, no expiration-notification-start возвращает это значение).

Пример: ngfw> pf one-time-schedule=['name']> expiration-notification-start 3

ngfw> pf schedule-group <name>

Перейти в подменю настройки группы расписаний с именем <name>.

ngfw> no pf schedule-group <name>

Удалить группу расписаний с именем <name>.

ngfw> pf schedule-group=['name']> [no] description <description>

Добавить (или удалить, если no) описание для данной группы расписаний.

ngfw> pf schedule-group=['name']> rename <name>

Задать для данной группы расписаний новое имя <name>.

ngfw> show pf schedule-group <name>

Показать конфигурацию группы расписаний с именем <name>. Команда выводит данные в формате JSON.

Пример вывода:

ngfw> show pf schedule-group xd
{
  "ngfw-rule-schedule:rule-schedules": {
    "schedule-group": [
      {
        "id": "76073e36-6248-40fa-aba2-50f11d22e26e",
        "name": "xd",
        "recurring-schedule-id": "ba98ca17-fac7-4da6-9a5b-5fb4eef939f5",
        "one-time-schedule-id": "edd1bc22-4c8a-4fb5-af95-03eae3390ca4"
      }
    ]
  }
}

ngfw> pf schedule-group=['name']> [no] recurring-schedule-name <name>

Добавить (или удалить, если no) группу расписаний из расписания с именем <name> как повторяющееся расписание для текущего объекта расписания.

Пример: ngfw> pf schedule-group=['name']> recurring-schedule-name name2

ngfw> pf schedule-group=['name']> [no] one-time-schedule-name <lifetime>

Добавить (или удалить, если no) разовое расписание из расписания с именем <name> как разовое расписание для текущего объекта расписания.

Пример: ngfw> pf schedule-group=['name']> one-time-schedule-name name2

ngfw> show pf rule <name>

Показать конфигурацию правила фильтрации с именем <name>. Команда выводит данные в формате JSON.

ngfw> show pf rules

Показать список всех правил фильтрации. Команда выводит данные в формате JSON.

Пример вывода:

{
  "ngfw-packet-filter:rules": {
    "rule": [
      {
        "id": "00000000-0000-4000-0000-000000000001",
        "name": "default",
        "action": "deny",
        "enable": true,
        "session-logging": {
          "end": false
        }
      }
    ]
  }
}

ngfw> show pf schedules

Показать список всех объектов расписаний для правил фильтрации. Команда выводит данные в формате JSON.

Пример вывода:

ngfw> show pf schedules
{
  "ngfw-rule-schedule:rule-schedules": {
    "recurring-schedule": [
      {
        "id": "7e4652e3-3bf7-41b8-9fbd-fe028fe5ff1a",
        "name": "xd",
        "recurring-schedule": {
          "day-schedule": [
            {
              "day": "Monday",
              "start-day-time": "12:00",
              "end-day-time": "17:00"
            }
          ]
        }
      }
    ],
    "one-time-schedule": [
      {
        "id": "0aa9071b-0204-4a18-86a7-c45128cf02b7",
        "name": "xd",
        "one-time-schedule": {
          "start-date": "2024-01-01T00:00",
          "end-date": "2025-01-01T00:00",
          "expiration-notification-start": 7
        }
      }
    ],
    "schedule-group": [
      {
        "id": "76073e36-6248-40fa-aba2-50f11d22e26e",
        "name": "xd",
        "recurring-schedule-id": "7e4652e3-3bf7-41b8-9fbd-fe028fe5ff1a",
        "one-time-schedule-id": "0aa9071b-0204-4a18-86a7-c45128cf02b7"
      }
    ]
  }
}

ngfw> show pf rules-statistic

Показать статистику по всем правилам.

Пример вывода:

{
  "ngfw-packet-filter:rules-statistic": {
    "rule-statistic": [
      {
        "id": "b3501f40-dd2a-4ae4-b903-85707564504f",
        "name": "rule10",
        "hit-count": "91",
        "first-hit-time": "2024-10-30T12:12:52+00:00",
        "last-hit-time": "2024-10-30T12:13:36+00:00"
      },
      {
        "id": "8b2a4710-7108-4962-b54c-3fed63bfdebc",
        "name": "rule20",
        "hit-count": "0"
      },
      {
        "id": "00000000-0000-4000-0000-000000000001",
        "name": "default",
        "hit-count": "6",
        "first-hit-time": "2024-10-30T12:11:47+00:00",
        "last-hit-time": "2024-10-30T12:12:09+00:00"
      }
    ]
  }
}

clear pf rules-statistic (all|<rule name>)

Сбросить количество срабатываний всех правил фильтрации или конкретного правила с именем <rule name>.

| Prev | Home | Next |