Filer方向

Filter的方向包括进入和外出，在HiPER中分别用“In”和“Out”来表示，Filter方向用来指出是在数据包进入或离开HiPER时对其进行过滤。Filter的方向与数据流方向、及其应用端口（物理端口或虚端口）密切相关，它们的涵义如下：

进入（In）— 当数据包从指定端口进入HiPER时执行过滤。数据包来自与指定端口相连的网络，希望穿过HiPER到达另一端口并转发。当指定端口接收到数据包之后，将首先进行Filter策略的匹配检查，如果有匹配策略，且该策略定义的动作是转发，那么将对该数据包进行路由处理；否则将直接丢弃该数据包。

外出（Out）— 当数据包从指定端口离开HiPER时执行过滤。数据包来自与另一端口相连的网络，已经穿过HiPER到达指定端口，并希望从该端口转发。当指定端口接收到数据包之后，将进行Filter策略的匹配检查，并根据匹配策略定义的动作处理该数据包：转发或丢弃。

以下将通过两个实例来说明Filter方向与数据流方向、以及应用端口的关系，如图1、2所示。图1、2中，都是通过HiPER连接两个网络：网络A和网络B，其中，LAN口连接到网络A，WAN口连接到网络B。

图1：Filter方向示意图1

如图1所示，如果要求过滤从网络A发起经过HiPER转发到网络B的流量，那么，从HiPER的LAN口来看，是接收到数据包；而从WAN口来看，则是发送数据包。因此，当在LAN口启用Filter功能时，其方向需定义为In；当在WAN口启用Filter功能时，其方向需定义为Out。

 

图2：Filter方向示意图2

如图2所示，如果要求过滤从网络B发起经过HiPER转发到网络A的流量，那么，从HiPER的WAN口来看，是接收到数据包；而从LAN口来看，则是发送数据包。因此，当在WAN口启用Filter功能时，其方向需定义为In；当在LAN口启用Filter功能时，其方向需定义为Out。

由上可以看出，Filter方向为 In或Out，将导致在HiPER内部是先进行路由处理还是先进行Filter匹配检查。Filter方向为In时，HiPER将首先进行Filter策略的匹配检查，再进行路由处理。Filter方向为Out时，HiPER是先进行路由处理选择外出接口，再在该接口进行Filter策略的匹配检查。因此，一般情况下，为了提高HiPER的效率，避免对将被丢弃的数据包进行路由处理，建议将Filter应用于与数据包源端所在网络相连（靠近）的接口，此时Filter方向为In。

提示：

 一般情况下，由于HiPER会启用NAT功能，所有的局域网计算机将仅使用一个或几个公网地址连接到Internet，因此，通常都是过滤从企业内部局域网到Internet的流量。同时，由于一般都是LAN口接局域网，因此通常都是在LAN口启用Filter，其方向为In。