W klasycznym ujęciu zapory sieciowej (packet filtering lub stateful inspection) decyzja o przepuszczeniu albo zablokowaniu ruchu opiera się na informacjach z warstwy 3 i 4 modelu OSI. Oznacza to analizę pól nagłówka IP (adres IP źródłowy i docelowy) oraz nagłówków TCP/UDP (port źródłowy i docelowy), a często także protokołu i stanu połączenia.
Adres fizyczny nadawcy jest informacją warstwy 2 (np. w sieci Ethernet). Taka informacja ma znaczenie głównie w obrębie jednego segmentu sieci lokalnej, ponieważ na kolejnych odcinkach trasy (po przejściu przez urządzenia routujące) ramka warstwy 2 jest tworzona na nowo, a adresy warstwy 2 dotyczą lokalnego łącza, a nie całej drogi end-to-end. Z tego powodu nie jest to podstawowy, stabilny identyfikator nadawcy dla filtracji pakietów między podsieciami.
Dlaczego pozostałe odpowiedzi są błędne?
- Adres IP nadawcy – to podstawowe kryterium reguł zapory (źródło ruchu).
- Adres IP odbiorcy – równie często używany (cel ruchu, serwer/usługa).
- Port odbiorcy i port nadawcy – porty TCP/UDP identyfikują usługi i sesje; zapory bardzo często filtrują właśnie po portach (np. 80/443) oraz po porcie źródłowym w ramach polityk lub śledzenia stanu.
W nauce do egzaminu warto zapamiętać prostą zasadę: IP i porty służą do reguł zapory, a adresy warstwy 2 dotyczą lokalnej transmisji w LAN. To pomaga szybko przyporządkować, które pola nagłówków są typowo analizowane przy filtrowaniu ruchu.
