•برای هر سیاست امنیتی:
–بسته های مجاز را بر حسب فیلدهای بسته مشخص کنید.
–عبارات مورد نظر را بر حسب syntax دیواره ی آتش بیان کنید.
•قوانین عمومی برای اولویت های کمتر
–هر بسته ای که با هیچ یک از سیاستهای مجاز همخوانی ندارد را دور بیاندازید.
–یعنی همه ی بسته ها مشکوک هستند مگر این که خلاف آن ثابت شود.
توپولوژی شبکه
اگر به میزبانهای Net2 اجازه ی دسترسی دهیم، میزبانهای شبکه ی Net3 می توانند از جعل آدرس استفاده کنند.
جعل آدرس
•تشخیص جعل آدرس غیرممکن است مگر این که از فیلتر آدرسهای منبع و ثبت وقایع استفاده کنیم.
•به میزبانهای خارج از کنترل مدیر شبکه نباید اعتماد کنیم.
تعداد قوانین مورد نیاز؟
•اگر میزبانها فقط از فیلترهای خروجی پشتیبانی کنند به دو مجموعه نیاز داریم.
–یکی از مجموعه ها در مقابل تسخیر دروازه ها از شبکه حفاظت می کند.
–مجموعه ی دوم دسترسی به دروازه را محدود می کنند و مانع جعل آدرس می شوند.
•یک فیلتر ورودی روی یک پورت می تواند کاملاً معادل یک فیلتر خروجی روی یک پورت دیگر باشد.
•اگر به شبکه ای اعتماد داشته باشید، می توانید از فیلترهای ورودی استفاده نکنید.
–به جای آن می توانید روی خروجی روتر فیلتر بگذارید.