Check Point Order of Operations

Após alguma pesquisa a Check Point não é muito clara neste tema nas plataformas mais recentes. Este “Order of Operations” aplica-se ao FireWall-1 , e eventualmente ás novas plataformas.

Ligações estabelecidas são permitidas desde que estejam listados nas tabelas de estado e são aceites NATED conforme necessário. Para novas conexões, o FireWall-1 segue esta ordem de operações:

• Inbound anti-spoof check (verifies that the source IP is included in the interface’s Topology setting)
• Inbound check against the rulebase (includes properties)
• NAT, if appropriate properties are enabled (see Chapter 10)
• Outbound check against the rulebase (includes properties)
• NAT, if appropriate properties are not enabled (see Chapter 10)

A base de regra é aplicada nas direções especificadas nas regras pelo “Install On field“. Na maior parte dos casos, isso significa que ambos entram e saem da gateway. No entanto, se uma regra especifica Src (saída) ou Dst (entrada), a regra aplica-se apenas nessa direção. Uma vez que um pacote coincide com uma regra, ele executa a ação listada no “Action field“,  não processando mais nenhuma regra. Para conexões autenticadas não passando por Security Servers, as regras e propriedades são processadas na seguinte ordem:

• Rulebase properties listed as First are processed. Matches are accepted and not logged.
• Rules 1 through n+1 (assuming n rules) are processed and logged according to their individual settings.
• Rulebase properties listed as Before Last are then processed. Matches are accepted and not logged.
• Rule n is processed and logged according to its setting.
• Rulebase properties listed as Last are then processed. Matches are accepted and not logged.
• The Implicit Drop rule is matched (no logging occurs).

Referências:

Check Point Firewall