Política por defecto y orden

5 tareas · 38 min · Principiante

Una regla escrita no es una regla que funciona. Lo que decide el resultado es el orden en que se recorren las reglas, lo que pasa cuando ninguna decide y el hecho de que varias cadenas pueden colgar del mismo gancho. Sigues con la pasarela de Ferretería Industrial El Samán, en la exportación del 7 de octubre de 2027: las cadenas con su política, las reglas de tres de ellas con sus aciertos de 90 días y dos casos abiertos. Es una exportación de ejemplo: se lee y se razona, y no se cambia nada en ningún equipo.

0 de 5 · 0%

Objetivo de la sala

Toda cadena base tiene una política: el veredicto que se aplica al paquete que llega al final de sus reglas sin que ninguna lo haya decidido. Se declara con policy accept o policy drop. Si no se declara, rige accept.

De ahí sale la diferencia entre dos filosofías de cortafuegos: la que lista lo permitido y descarta el resto (política drop) y la que lista lo prohibido y deja pasar el resto (política accept). La primera exige más trabajo y se equivoca hacia el lado seguro.

Responde para continuar

En una cadena base sin política declarada, ¿qué pasa con el paquete que ninguna regla decide?

Se descarta, porque lo que nadie permitió queda prohibido Queda retenido hasta que otra cadena base del mismo gancho lo reclame Se acepta, porque esa es la política por defecto de la cadena

Ver pista de ayuda

Cuando no se declara nada, rige el valor por defecto de nftables.

Pueden colgar varias cadenas base del mismo gancho. Se evalúan por prioridad, de menor a mayor número. Hay una asimetría que causa muchos errores de lectura: un accept en una cadena no impide que las demás cadenas del mismo gancho vean el paquete, mientras que un drop es definitivo y no se evalúa nada más.

Por eso una regla de aceptar con muchos aciertos no demuestra que el tráfico llegue a su destino: puede aceptarlo una cadena y descartarlo la siguiente.

Responde para continuar

Una cadena de prioridad -10 en input acepta un paquete. La de prioridad 0, del mismo gancho, tiene política drop y ninguna de sus reglas lo acepta. ¿Qué ocurre?

Se evalúa dos veces y se acepta si alguna de las dos lo permite Pasa, porque un accept es definitivo en cualquier cadena del gancho Se descarta en la segunda cadena: el accept de la primera no basta

Ver pista de ayuda

Recuerda cuál de los dos veredictos, accept o drop, termina el recorrido por completo.

Consulta casos, cadenas y reglas. Las visitas no resuelven nombres. Hay una regla de aceptar con muchos aciertos que parece cubrirlo, pero está en una cadena y el paquete sigue hacia otra del mismo gancho. Compara qué acepta cada cadena de entrada.

Responde para continuar

¿Qué regla de aceptar parece permitir la resolución de nombres de las visitas pero no la abre de verdad? Escribe su id.

Dentro de una cadena gana la primera regla que decide. Una regla que viene después de otra que ya cubre todo su tráfico no se evalúa jamás, aunque diga lo contrario. Los aciertos en cero son la primera señal, no la prueba: hay que mirar el orden y comparar las condiciones.

Responde para continuar

¿Qué regla de descartar de la cadena de reenvío nunca se aplica porque una regla anterior ya acepta todo su tráfico? Escribe su id.

Un paquete nuevo de la red de oficinas (of0) sale hacia Internet (ext0) por TCP al puerto 443. Recórrelo por la cadena de reenvío de arriba abajo; una regla coincide solo si cumple todas sus condiciones. Cuenta las reglas que se evalúan, incluida la que lo acepta; el estado de conexión del paquete es nuevo.

Responde para continuar

¿Cuántas reglas evalúa ese paquete en la cadena de reenvío, contando la que lo acepta? Escribe solo el número.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Lo que ninguna regla decide

2 Dos cadenas en el mismo gancho

3 La regla que acepta y no abre Lab

4 La regla que nunca se evalúa Lab

5 Cuántas reglas se evalúan Lab

Whoami-Labs Pro utiliza cookies