Exemple : Configuration d’un filtre de pare-feu sans état pour accepter le trafic provenant de sources fiables
Cet exemple montre comment créer un filtre de pare-feu sans état qui protège le moteur de routage du trafic provenant de sources non fiables.
Conditions préalables
Aucune configuration particulière au-delà de l’initialisation de l’équipement n’est requise avant de configurer les filtres de pare-feu sans état.
Présentation
Dans cet exemple, vous créez un filtre de pare-feu sans état appelé protect-RE qui rejette tout le trafic destiné au moteur de routage, à l’exception des paquets de protocole SSH et BGP provenant de sources de confiance spécifiées. Cet exemple comprend les termes de filtre de pare-feu suivants :
ssh-term— Accepte les paquets TCP avec une adresse source et un port de192.168.122.0/24destination qui spécifie SSH.bgp-term— Accepte les paquets TCP avec une adresse source et un port de10.2.1.0/24destination qui spécifie BGP.discard-rest-term— Pour tous les paquets qui ne sont pas acceptés parssh-termoubgp-term, crée un journal des filtres de pare-feu et des enregistrements de journalisation système, puis rejette tous les paquets.
Vous pouvez déplacer des termes dans le filtre de pare-feu à l’aide de la insert commande. Reportez-vous à l’insérer dans le Guide de l’utilisateur de l’interface de ligne de commande Junos OS.
Configuration
Procédure
Configuration rapide CLI
Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez tous les sauts de ligne, modifiez tous les détails nécessaires pour correspondre à la configuration de votre réseau, puis copiez et collez les commandes dans l’interface de ligne de commande au niveau de la [edit] hiérarchie.
set firewall family inet filter protect-RE term ssh-term from source-address 192.168.122.0/24 set firewall family inet filter protect-RE term ssh-term from protocol tcp set firewall family inet filter protect-RE term ssh-term from destination-port ssh set firewall family inet filter protect-RE term ssh-term then accept set firewall family inet filter protect-RE term bgp-term from source-address 10.2.1.0/24 set firewall family inet filter protect-RE term bgp-term from protocol tcp set firewall family inet filter protect-RE term bgp-term from destination-port bgp set firewall family inet filter protect-RE term bgp-term then accept set firewall family inet filter protect-RE term discard-rest-term then log set firewall family inet filter protect-RE term discard-rest-term then syslog set firewall family inet filter protect-RE term discard-rest-term then discard set interfaces lo0 unit 0 family inet filter input protect-RE
Procédure étape par étape
L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour obtenir des instructions sur cette méthode, consultez Utiliser l’éditeur CLI en mode configuration le Junos OS CLI User Guide.
Pour configurer le filtre de pare-feu sans état :
Créez le filtre de pare-feu sans état.
[edit] user@host# edit firewall family inet filter protect-RE
Créez le premier terme de filtre.
[edit firewall family inet filter protect-RE] user@host# edit term ssh-term
Définissez les conditions de correspondance entre le protocole, le port de destination et l’adresse source pour le terme.
[edit firewall family inet filter protect-RE term ssh-term] user@host# set from protocol tcp destination-port ssh source-address 192.168.122.0/24
Définissez les actions pour le terme.
[edit firewall family inet filter protect-RE term ssh-term] user@host# set then accept
Créez le deuxième terme de filtre.
[edit firewall family inet filter protect-RE] user@host# edit term bgp-term
Définissez les conditions de correspondance entre le protocole, le port de destination et l’adresse source pour le terme.
[edit firewall family inet filter protect-RE term bgp-term] user@host# set from protocol tcp destination-port bgp source-address 10.2.1.0/24
Définir l’action pour le terme.
[edit firewall family inet filter protect-RE term bgp-term] user@host# set then accept
Créez le troisième terme de filtre.
[edit firewall family inet filter protect-RE] user@host# edit term discard-rest-term
Définir l’action pour le terme.
[edit firewall family inet filter protect-RE term discard-rest] user@host# set then log syslog discard
Appliquez le filtre au côté d’entrée de l’interface du moteur de routage.
[edit] user@host# set interfaces lo0 unit 0 family inet filter input protect-RE
Résultats
Confirmez votre configuration en entrant la show firewall commande et la commande depuis le show interfaces lo0 mode de configuration. Si la sortie n’affiche pas la configuration prévue, répétez les instructions de cet exemple pour corriger la configuration.
user@host# show firewall
family inet {
filter protect-RE {
term ssh-term {
from {
source-address {
192.168.122.0/24;
}
protocol tcp;
destination-port ssh;
}
then accept;
}
term bgp-term {
from {
source-address {
10.2.1.0/24;
}
protocol tcp;
destination-port bgp;
}
then accept;
}
term discard-rest-term {
then {
log;
syslog;
discard;
}
}
}
}
user@host# show interfaces lo0
unit 0 {
family inet {
filter {
input protect-RE;
}
address 127.0.0.1/32;
}
}
Si vous avez terminé la configuration de l’unité, entrez commit dans le mode de configuration.
[edit] user@host# commit
Vérification
Pour vérifier que la configuration fonctionne correctement, effectuez les tâches suivantes :
- Affichage des configurations de filtres de pare-feu sans état
- Vérification d’un filtre de pare-feu services, protocoles et sources fiables
- Affichage des journaux de filtre de pare-feu sans état
Affichage des configurations de filtres de pare-feu sans état
But
Vérifiez la configuration du filtre de pare-feu.
Action
Dans le mode configuration, saisissez la show firewall commande et la show interfaces lo0 commande.
Sens
Vérifiez que la sortie affiche la configuration prévue du filtre de pare-feu. En outre, vérifiez que les conditions sont répertoriées dans l’ordre dans lequel vous souhaitez que les paquets soient testés. Vous pouvez déplacer des termes dans un filtre de pare-feu à l’aide de la insert commande CLI.
Vérification d’un filtre de pare-feu services, protocoles et sources fiables
But
Vérifiez que les actions des termes de filtre de pare-feu sont prises.
Action
Envoyez des paquets à l’unité qui correspondent aux conditions. En outre, vérifiez que les actions de filtre ne sont pas prises pour les paquets qui ne correspondent pas.
Utilisez la
ssh host-namecommande d’un hôte à l’adresse IP associée pour vérifier que192.168.122.0/24vous pouvez vous connecter à l’équipement en utilisant uniquement SSH à partir d’un hôte avec ce préfixe d’adresse.Utilisez la
show route summarycommande pour vérifier que la table de routage sur l’unité ne contient pas d’entrées avec un protocole autre queDirect,Local,BGPouStatic.
Exemple de sortie
nom de commande
% ssh 192.168.249.71 %ssh host user@host's password: --- JUNOS 6.4-20040518.0 (JSERIES) #0: 2004-05-18 09:27:50 UTC user@host>
nom de commande
user@host> show route summary
Router ID: 192.168.249.71
inet.0: 34 destinations, 34 routes (33 active, 0 holddown, 1 hidden)
Direct: 10 routes, 9 active
Local: 9 routes, 9 active
BGP: 10 routes, 10 active
Static: 5 routes, 5 active
...
Sens
Vérifiez les informations suivantes :
Vous pouvez vous connecter à l’équipement avec SSH.
La
show route summarycommande n’affiche aucun protocole autre queDirect,Local,BGPouStatic.
Affichage des journaux de filtre de pare-feu sans état
But
Vérifiez que les paquets sont enregistrés. Si vous avez inclus l’action logsyslog dans un terme, vérifiez que les paquets correspondant à ce terme sont enregistrés dans le journal du pare-feu ou dans votre installation de journalisation système.
Action
Dans le mode opérationnel, saisissez la show firewall log commande.
Exemple de sortie
nom de commande
user@host> show firewall log Log : Time Filter Action Interface Protocol Src Addr Dest Addr 15:11:02 pfe D ge-0/0/0.0 TCP 172.17.28.19 192.168.70.71 15:11:01 pfe D ge-0/0/0.0 TCP 172.17.28.19 192.168.70.71 15:11:01 pfe D ge-0/0/0.0 TCP 172.17.28.19 192.168.70.71 15:11:01 pfe D ge-0/0/0.0 TCP 172.17.28.19 192.168.70.71 ...
Sens
Chaque enregistrement de la sortie contient des informations sur le paquet enregistré. Vérifiez les informations suivantes :
Sous
Time, l’heure du jour où le paquet a été filtré est affiché.Le
Filterrésultat est toujourspfe.Sous
Action, l’action configurée du terme correspond à l’action effectuée sur le paquet :A(accepter),D(rejeter),R(rejeter).Sous
Interface, l’interface entrante (entrante) sur laquelle le paquet est arrivé est appropriée au filtre.Sous
Protocol, le protocole dans l’en-tête IP du paquet est approprié au filtre.Sous
Src Addr, l’adresse source dans l’en-tête IP du paquet est appropriée au filtre.Sous
Dest Addr, l’adresse de destination dans l’en-tête IP du paquet est appropriée au filtre.