Linux 内核具有 iptables 和 ip6tables，用于设置、维护和检查 IPv4 和 IPv6 数据包过滤规则表。iptables 和 ip6tables 包含许多预定义的表。每个表都包含预定义的链，也可以包含用户定义的链。这些链包含规则集，而每个规则指定了数据包的匹配条件。预定义表包括 raw、mhole、filter 和 NAT。预定义链包括 INPUT、OUTPUT、FORWARD、PREROUTING 和 POSTROUTING。

Cisco Secure Workload 代理对包含允许或丢弃数据包的规则的过滤表进行编程。过滤器表由预定义链 INPUT、OUTPUT 和 FORWARD 组成。除此以外，代理还会添加自定义 TA 链，以便对来自控制器的策略进行分类和管理。这些 TA 链包含从策略派生的 Cisco Secure Workload 规则以及代理生成的规则。当代理收到与平台无关的规则时，它会将其解析并转换为 iptable、ip6table 或 ipset 规则，并将这些规则插入 TA 在过滤表中定义的链中。在对防火墙进行编程后，代理会监控防火墙是否有任何规则或策略偏差，如有，则会重新对防火墙进行编程。它会跟踪防火墙中编程的策略，并定期向控制器报告其统计信息。

以下是一个描述这种行为的示例：

独立于平台的网络策略消息中的典型策略包括：

source set id: “test-set-1”
destination set id: “test-set-2”
source ports: 20-30
destination ports: 40-50
ip protocol: TCP
action: ALLOW
. . .
set_id: “test-set-1”
     ip_addr: 1.2.0.0
     prefix_length: 16
     address_family: IPv4
set_id: “test-set-2”
     ip_addr: 3.4.0.0
     prefix_length: 16
     address_family: IPv4

代理会处理该策略和其他信息，并将其转换为特定平台的 ipset 和 iptables 规则：

ipset rule:
Name: ta_f7b05c30ffa338fc063081060bf3
Type: hash:net
Header: family inet hashsize 1024 maxelem 65536
Size in memory: 16784
References: 1
Members:
1.2.0.0/16
Name: ta_1b97bc50b3374829e11a3e020859
Type: hash:net
Header: family inet hashsize 1024 maxelem 65536
Size in memory: 16784
References: 1
Members:
3.4.0.0/16
iptables rule:
TA_INPUT -p tcp -m set --match-set ta_f7b05c30ffa338fc063081060bf3 src -m set --match-
˓→set ta_1b97bc50b3374829e11a3e020859 dst -m multiport --sports 20:30 -m multiport --
˓→dports 40:50 -j ACCEPT

Windows 上的本地组件（高级安全 Windows 防火墙）根据以下类型的设置来调节网络流量：

• 监管入站网络流量的规则。

• 监管出站网络流量的规则。

• 根据网络流量源和目标的身份验证状态来覆盖规则。

• 适用于 IPsec 流量和 Windows 服务的规则。

使用入站和出站防火墙规则对 Cisco Secure Workload 网络策略进行编程。

在 Windows 平台上，Cisco Secure Workload 网络策略按如下方式执行：

1. Cisco Secure Workload 网络策略中独立于平台的防火墙规则将转换为 Windows 防火墙规则。

2. 规则将在 Windows 防火墙中编程。

3. Windows 防火墙执行规则。

4. 系统将监控 Windows 防火墙及其规则集。如果检测到更改，系统会报告偏差，并在 Windows 防火墙中重置 Cisco Secure Workload Network 策略。

Windows 防火墙会根据主机连接的网络对规则进行分组。这些规则组被称为配置文件，共有三个此类配置文件：

• 域配置文件

• 专用配置文件

• 公共配置文件

Cisco Secure Workload 规则会被编程到所有配置文件中，但只会持续监控活动配置文件中的规则。

Windows 防火墙中的规则集未根据优先级进行排序。当多个规则与数据包匹配时，最严格的规则将生效，这意味着 DENY 规则优先于 ALLOW 规则。有关详细信息，请参阅 Microsoft TechNet 上的文章。

1. ALLOW 1.2.3.30 tcp port 80
2. ALLOW 1.2.3.40 udp port 53
3. BLOCK 1.2.3.0/24 ip
4. ALLOW 1.2.0.0/16 ip
5. Catch-all: DROP ingress, ALLOW egress

当流向主机 1.2.3.30 TCP 端口 80 的数据包到达防火墙时，它会匹配所有规则，但其中最严格的规则 3 将被执行，数据包将被丢弃。这种行为违背了按顺序评估规则、执行规则 1 以及允许数据包的预期。

由于上述 Windows 防火墙的设计，这种行为差异在 Windows 平台上是意料之中的。在具有不同规则操作的重叠规则的混合列表策略中，可以观察到这种行为。

例如，

1. ALLOW 1.2.3.30 tcp
2. BLOCK 1.2.3.0/24 tcp

Windows 高级防火墙被视为有状态的防火墙，即对于某些协议（例如 TCP），防火墙维护内部状态跟踪，以检测到达防火墙的新数据包是否属于已知连接。属于已知连接的数据包无需检查防火墙规则即可被允许。状态防火墙支持双向通信，而无需在 INBOUND 和 OUTBOUND 表中建立规则。

例如，请考虑适用于 Web 服务器的以下规则：Accept all TCP connections to port 443

这样做的目的是接受端口 443 上到服务器的所有 TCP 连接，并允许服务器与客户端进行通信。在这种情况下，INBOUND 表中只会插入一条规则，从而允许端口 443 上的 TCP 连接。无需在 OUTBOUND 表中插入任何规则。在 OUTBOUND 表中插入规则由 Windows 高级防火墙隐式执行。

Note	状态跟踪只适用于建立和维护显式连接的协议。对于其他协议，必须对 INBOUND 和 OUTBOUND 规则进行编程，以启用双向通信。

启用执行后，当协议为 TCP 时，给定的具体规则将被编程为有状态（代理会根据情景决定将该规则插入 INBOUND 表还是 OUTBOUND 表）。对于其他协议（包括 ANY），会同时编程 INBOUND 和 OUTBOUND 规则。

Windows 过滤平台 (WFP) 是 Microsoft 提供的一组 API，用于配置过滤器以处理网络流量。网络流量处理过滤器使用内核级 API 和用户级 API 进行配置。WFP 过滤器可在各个层进行配置：网络层、传输层、应用层执行 (ALE)。Cisco Secure Workload WFP 过滤器在 ALE 层配置，类似于 Windows 防火墙规则。每个层都有多个子层，按权重从高到低排序。在每个子层中，过滤器按权重从高到低排序。网络数据包会遍历所有子层。在每个子层，网络数据包都会根据权重从高到低穿过匹配过滤器，并返回相应的操作：允许或阻止。通过所有子层后，数据包将根据“阻止”操作优先于“允许”操作的规则进行处理。

• 避免 Windows 防火墙配置依赖关系。

• 克服 GPO 限制。

• 确保轻松迁移和策略恢复。

• 允许您控制策略排序。

• 避免 Windows 防火墙的严格阻止优先策略顺序。

• 减少策略更新时的 CPU 开销。

• 创建高效的 1:1 策略规则过滤器。

• 确保更快的单步更新。

当执行配置为使用 WFP 时，Cisco Secure Workload 过滤器会覆盖 Windows 防火墙规则。

在 WFP 模式下，代理配置以下 WFP 对象：

• 提供者具有 GUID 和名称，用于过滤器管理，不会影响数据包过滤

• 子层具有 GUID、名称和权重。Cisco Secure Workload 子层配置的权重高于 Windows 高级防火墙子层。

• 过滤器具有名称、GUID、ID、权重、层 ID、子层密钥、操作 (PERMIT/BLOCK) 和条件。为 Golder 规则、自身规则和策略规则配置 WFP 过滤器。代理还会配置端口扫描防护过滤器。Cisco Secure Workload 过滤器配置了 FWPM_FILTER_FLAG_CLEAR_ACTION_RIGHT 标志。此标志可确保 Cisco Secure Workload 过滤器不会被 Microsoft 防火墙规则覆盖。对于每个 Cisco Secure Workload 网络策略规则，系统会根据方向（入站或出站）和协议来配置一个或多个 WFP 过滤器。

  Note	向主机发送端口扫描探测包时，对应流量的状态会在“策略分析”页面显示为 PERMITTED:REJECTED。请注意，该规则适用于 3.10.2.11 及更早的所有代理版本。

对于 TCP 入站策略，

id: 14 , TCP Allow 10.195.210.184 Dir=In localport=3389

配置的 WFP 过滤器如下：

Filter Name:                  Cisco Secure Workload Rule 14
------------------------------------------------------
EffectiveWeight:                       18446744073709551589
LayerKey:                              FWPM_LAYER_ALE_AUTH_LISTEN_V4
Action:                                Permit
Local Port:                            3389
Filter Name:                           Cisco Secure Workload Rule 14
------------------------------------------------------
EffectiveWeight:                       18446744073709551589
LayerKey:                              FWPM_LAYER_ALE_AUTH_RECV_ACCEPT_V4
Action:                                Permit
RemoteIP:                              10.195.210.184-10.195.210.184

Cisco Secure Workload 代理分别为入站和出站捕获全部策略配置 Cisco Secure Workload 默认入站和 Cisco Secure Workload 默认出站过滤器。

• 代理不监控 WAF 规则或 WAF 配置文件。

• 代理不监控防火墙状态。

• 代理不需要启用防火墙状态。

• 代理不与 GPO 策略冲突。

WFP 模式下的代理执行支持混合列表或灰名单策略。

请考虑“执行代理”部分中的混合列表（允许和拒绝）策略示例：

1. ALLOW 1.2.3.30 tcp port 80-            wt1000
2. BLOCK 1.2.3.0/24 ip-                   wt998
3. ALLOW 1.2.0.0/16 ip-                   wt997
4. Catch-all: DROP ingress, ALLOW egress - wt996

当发向主机 1.2.3.30 tcp 端口 80 的数据包到达防火墙时，它会匹配过滤器 1 并被允许。但由于过滤器 2，流向主机 1.2.3.10 的数据包会被阻止。过滤器 3 允许发往主机 1.2.2.10 的数据包。

Cisco Secure Workload WFP 过滤器在 ALE 层进行配置。网络流量会针对套接字 connect()、listen() 和 accept() 操作进行过滤。建立连接后，与 L4 连接相关的网络数据包不会被过滤。

您可以使用 c:\program files\tetration\tetenf.exe 来查看已配置的 Cisco Secure Workload WFP 过滤器。支持的选项：

• 使用管理权限运行 cmd.exe。

• 运行 c:\program files\tetration\tetenf.exe -l -f <-verbose> <-output=outfile.txt>。

或

• 使用管理权限运行 cmd.exe。

• 运行 netsh wfp show filters。

• 查看 filters.xml 文件以获取已配置的 Cisco Secure Workload 过滤器。

您可以使用 c:\program files\tetration\tetenf.exe 来删除已配置的 Cisco Secure Workload WFP 过滤器。为避免意外删除过滤器，当您运行 delete 命令时，请以 <yyyymm> 格式指定令牌，其中 yyyy 是当前年份，mm 是当前月份的数字形式。例如，如果今天的日期是 2021/01/21，则令牌为 -token=202101

支持的选项包括：

• 使用管理权限运行 cmd.exe。

• 要删除所有已配置的 Cisco Secure Workload 过滤器，请运行 c:\program files\tetration\tetenf.exe -d -f -all - token=<yyyymm>

• 要删除所有已配置的 Cisco Secure Workload WFP 对象，请运行 c:\program files\tetration\tetenf.exe -d -all -token=<yyyymm>

• 要按名称删除 Cisco Secure Workload WFP 过滤器，请运行 c:\program files\tetration\tetenf.exe -d -name=<WFP filter name> -token=<yyyymm>

• 将“执行模式”(Enforcement Mode) 设置为 WFP 时，代理配置文件中的保留规则 (Preserve Rules) 设置将不起作用。

• Windows 2008 R2 不支持基于 Windows 操作系统的过滤策略。

• 可以使用单个用户名来配置网络策略，而 MS 防火墙 UI 支持多个用户。

• 在使用基于 Windows 操作系统的策略时，使用者/提供者范围或过滤器应仅包含 Windows 代理。否则，非 Windows 操作系统（Linux、AIX）会跳过策略并在“执行状态”(Enforcement Status) 中报告同步错误。

• 避免创建过滤条件宽松的 Windows 操作系统过滤器。此类条件可能会打开不需要的网络端口。

• 如果操作系统过滤器是为使用者配置的，那么策略只适用于使用者，同样，如果是为提供者配置的，那么策略只适用于提供者。

• 由于对网络流的进程上下文、用户上下文或服务上下文了解有限或一无所知，如果策略采用基于 Windows 操作系统的过滤器，策略分析就会出现偏差。

如果使用基于 Windows 操作系统的过滤属性，则以下主题将为您提供验证和故障排除信息。

思科 TAC 可以根据需要使用这些信息来对此类策略进行故障排除。

从 Cisco Secure Workload 3.10 版本开始，软件代理安装包括思科 IPFilter 应用，以便为 AIX 平台提供防火墙服务。

它作为内核扩展模块 /usr/lib/drivers/ipf 进行加载。它包括用于编程 ipfilter 规则的 ipf、ippool、ipfstat、ipmon、ipfs 和 ipnat 实用程序，每个规则指定数据包的匹配条件。有关详细信息，请参阅 AIX 手册中的 IPFilter 页面。

启用执行时，代理使用 IPFilter 对包含允许或丢弃 IPv4 数据包的规则的 IPv4 过滤表进行编程。代理会将这些规则分组，以使用控制器来对策略进行分类和管理。这些规则包括从策略派生的 Cisco Secure Workload 规则和代理生成的规则。

当代理收到独立于平台的规则时，它会解析这些规则并将其转换为 ipfilter 或 ippool 规则，并将这些规则插入过滤器表中。对防火墙进行编程后，执行代理会监控防火墙是否存在任何规则或策略偏差，如果是，则重新编程防火墙。代理会跟踪防火墙中编程的策略，并定期向控制器报告其状态。

独立于平台的网络策略消息中的典型策略包括：

      source set id: "test-set-1"
      destination set id: "test-set-2"
      source ports: 20-30
      destination ports: 40-50
      ip protocol: TCP
      action: ALLOW
      ...
      set_id: "test-set-1"
         ip_addr: 1.2.0.0
         prefix_length: 16
         address_family: IPv4
      set_id: "test-set-2"
         ip_addr: 5.6.0.0
         prefix_length: 16
         address_family: IPv4

代理会与其他信息一起处理策略，并将其转换为特定于平台的 ippool 和 ipfilter 规则：

    table role = ipf type = tree number = 51400
    { 1.2.0.0/16; };

    table role = ipf type = tree number = 75966
    { 5.6.0.0/16; };

pass in quick proto tcp from pool/51400 port 20:30 to pool/75966 port 40:50 flags S/SA group TA_INPUT
pass out quick proto tcp from pool/75966 port 40:50 to pool/51400 port 20:30 flags A/A group TA_OUTPUT

不支持 IPv6 执行。