Nesta página
Exemplo: Configuração de registro para um termo de filtro de firewall sem estado
Este exemplo mostra como configurar um filtro de firewall sem estado padrão para registrar cabeçalhos de pacotes.
Requisitos
Nenhuma configuração especial além da inicialização do dispositivo é necessária antes de configurar este exemplo.
Visão geral
Neste exemplo, você usa um filtro de firewall stateless que registra e conta pacotes ICMP que têm 192.168.207.222 como origem ou destino.
Configuração
O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter informações sobre como navegar na CLI, veja Use o editor de CLI no modo de configuração.
Para configurar este exemplo, execute as seguintes tarefas:
- Configuração rápida da CLI
- Configure o arquivo de mensagens Syslog para a instalação do firewall
- Configure o filtro de firewall stateless
- Aplique o filtro de firewall sem estado em uma interface lógica
- Confirme e confirme a configuração do seu candidato
Configuração rápida da CLI
Para configurar rapidamente este exemplo, copie os seguintes comandos de configuração em um arquivo de texto, remova qualquer quebra de linha e cole os comandos na CLI no nível de [edit] hierarquia.
set system syslog file ICMP_filter firewall info set system syslog file ICMP_filter archive no-world-readable set firewall family inet filter icmp_syslog term icmp_match from address 192.168.207.222/32 set firewall family inet filter icmp_syslog term icmp_match from protocol icmp set firewall family inet filter icmp_syslog term icmp_match then count packets set firewall family inet filter icmp_syslog term icmp_match then syslog set firewall family inet filter icmp_syslog term icmp_match then accept set firewall family inet filter icmp_syslog term default_term then accept set interfaces ge-0/0/1 unit 0 family inet address 10.1.2.3/30 set interfaces ge-0/0/1 unit 0 family inet filter input icmp_syslog
Configure o arquivo de mensagens Syslog para a instalação do firewall
Procedimento passo a passo
Para configurar um arquivo de mensagens de syslog para a firewall instalação:
Configure um arquivo de mensagens para todas as mensagens de syslog geradas para a firewall instalação.
user@host# set system syslog file ICMP_filter firewall info
Restrinja a permissão aos arquivos de syslog de instalação arquivados firewall para o usuário raiz e usuários que tenham a permissão de manutenção do Junos OS.
user@host# set system syslog file ICMP_filter archive no-world-readable
Configure o filtro de firewall stateless
Procedimento passo a passo
Para configurar o filtro icmp_syslog de firewall sem estado que registra e conta pacotes ICMP que têm 192.168.207.222 como origem ou destino:
Crie o filtro de firewall sem estado icmp_syslog.
[edit] user@host# edit firewall family inet filter icmp_syslog
Configure a correspondência no protocolo ICMP e em um endereço.
[edit firewall family inet filter icmp_syslog] user@host# set term icmp_match from address 192.168.207.222/32 user@host# set term icmp_match from protocol icmp
Conte, faça login e aceite pacotes correspondentes.
[edit firewall family inet filter icmp_syslog] user@host# set term icmp_match then count packets user@host# set term icmp_match then syslog user@host# set term icmp_match then accept
Aceite todos os outros pacotes.
[edit firewall family inet filter icmp_syslog] user@host# set term default_term then accept
Aplique o filtro de firewall sem estado em uma interface lógica
Procedimento passo a passo
Aplicar o filtro de firewall sem estado em uma interface lógica:
Configure a interface lógica à qual você aplicará o filtro de firewall sem estado.
[edit] user@host# edit interfaces ge-0/0/1 unit 0 family inet
Configure o endereço da interface para a interface lógica.
[edit interfaces ge-0/0/1 unit 0 family inet] user@host# set address 10.1.2.3/30
Aplique o filtro de firewall sem estado na interface lógica.
[edit interfaces ge-0/0/1 unit 0 family inet] user@host# set filter input icmp_syslog
Confirme e confirme a configuração do seu candidato
Procedimento passo a passo
Para confirmar e então confirmar a configuração do seu candidato:
Confirme a configuração do arquivo de mensagens de syslog para a firewall instalação inserindo o comando do
show systemmodo de configuração. Se a saída de comando não exibir a configuração pretendida, repita as instruções neste exemplo para corrigir a configuração.[edit] user@host# show system syslog { file ICMP_filter { firewall info; archive no-world-readable; } }Confirme a configuração do filtro de firewall sem estado entrando no comando do
show firewallmodo de configuração. Se a saída de comando não exibir a configuração pretendida, repita as instruções neste exemplo para corrigir a configuração.[edit] user@host# show firewall family inet { filter icmp_syslog { term icmp_match { from { address { 192.168.207.222/32; } protocol icmp; } then { count packets; log; accept; } } term default_term { then accept; } } }Confirme a configuração da interface entrando no comando do
show interfacesmodo de configuração. Se a saída de comando não exibir a configuração pretendida, repita as instruções neste exemplo para corrigir a configuração.[edit] user@host# show interfaces ge-0/0/1 { unit 0 { family inet { filter { input icmp_syslog; } address 10.1.2.3/30; } } }Se você terminar de configurar o dispositivo, confirme a configuração do seu candidato.
[edit] user@host# commit
Verificação
Para confirmar que a configuração está funcionando corretamente, insira o show log filter comando:
user@host> show log ICMP_filter Mar 20 08:03:11 hostname feb FW: ge-0/1/0.0 A icmp 192.168.207.222 192.168.207.223 0 0 (1 packets)
Este arquivo de saída contém os seguintes campos:
Date and Time— Data e hora em que o pacote foi recebido (não mostrado no padrão).
Filtrar a ação:
A— Aceite (ou no próximo termo)
D— Descarte
R— Rejeitar
Protocol— Nome ou número do protocolo do packet.
Source address— Endereço IP de origem no pacote.
Destination address— Endereço IP de destino no pacote.
Nota:Se o protocolo for ICMP, o tipo e o código do ICMP serão exibidos. Para todos os outros protocolos, as portas de origem e destino são exibidas.
Os dois últimos campos (ambos zero) são as portas TCP/UDP de origem e destino, respectivamente, e são mostrados apenas para pacotes TCP ou UDP. Esta mensagem de log indica que apenas um pacote para esta correspondência foi detectado em cerca de um intervalo de um segundo. Se os pacotes chegarem mais rápido, a função log do sistema comprime as informações para que menos saída seja gerada e exibe uma saída semelhante à seguinte:
user@host> show log filename Mar 20 08:18:45 hostname feb FW: ge-0/1/0.0 A icmp 192.168.207.222 192.168.207.223 0 0 (515 packets)