Exemple: Configuration d’un filtre de pare-feu sans état pour accepter le trafic provenant de sources fiables
Cet exemple montre comment créer un filtre de pare-feu sans état qui protège l’moteur de routage du trafic provenant de sources non fiables.
Conditions préalables
Aucune configuration particulière au-delà de l’initialisation de l’équipement n’est requise avant de configurer des filtres de pare-feu sans état.
Présentation
Dans cet exemple, vous créez un filtre de pare-feu sans état appelé Protect-RE qui rejette tout le trafic destiné à l’moteur de routage à l’exception des paquets de protocoles SSH et BGP de sources fiables spécifiées. Cet exemple comprend les termes de filtre de pare-feu suivants:
ssh-term— Accepte les paquets TCP avec une adresse source et un port de destination qui192.168.122.0/24spécifie SSH.bgp-term— Accepte les paquets TCP avec une adresse source et un port de destination qui10.2.1.0/24BGP.discard-rest-term—Pour tous les paquets non acceptés par ou , crée un journal de filtre de pare-feu et des enregistrements de journalisation système, puisssh-termbgp-termécarte tous les paquets.
Vous pouvez déplacer les termes dans le filtre de pare-feu à l’aide de la insert commande. Consultez l’insérer dans le Junos OS CLI User Guide.
Configuration
Procédure
CLI configuration rapide
Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les interruptions de ligne, modifiez tous les détails nécessaires pour correspondre à votre configuration réseau, puis copiez/collez les commandes dans le CLI au niveau de la [edit] hiérarchie.
set firewall family inet filter protect-RE term ssh-term from source-address 192.168.122.0/24 set firewall family inet filter protect-RE term ssh-term from protocol tcp set firewall family inet filter protect-RE term ssh-term from destination-port ssh set firewall family inet filter protect-RE term ssh-term then accept set firewall family inet filter protect-RE term bgp-term from source-address 10.2.1.0/24 set firewall family inet filter protect-RE term bgp-term from protocol tcp set firewall family inet filter protect-RE term bgp-term from destination-port bgp set firewall family inet filter protect-RE term bgp-term then accept set firewall family inet filter protect-RE term discard-rest-term then log set firewall family inet filter protect-RE term discard-rest-term then syslog set firewall family inet filter protect-RE term discard-rest-term then discard set interfaces lo0 unit 0 family inet filter input protect-RE
Procédure étape par étape
L’exemple suivant vous oblige à naviguer dans différents niveaux dans la hiérarchie de configuration. Pour obtenir des instructions sur la manière de le faire, Utilisation du CLI éditeur dans le mode configuration consultez le Junos OS CLI’utilisateur.
Pour configurer le filtre de pare-feu sans état:
Créez le filtre de pare-feu sans état.
[edit] user@host# edit firewall family inet filter protect-RE
Créez le premier terme filtre.
[edit firewall family inet filter protect-RE] user@host# edit term ssh-term
Définir les conditions de correspondance du protocole, du port de destination et de l’adresse source pour cette durée.
[edit firewall family inet filter protect-RE term ssh-term] user@host# set from protocol tcp destination-port ssh source-address 192.168.122.0/24
Définir les actions du terme.
[edit firewall family inet filter protect-RE term ssh-term] user@host# set then accept
Créez le deuxième terme filtre.
[edit firewall family inet filter protect-RE] user@host# edit term bgp-term
Définir les conditions de correspondance du protocole, du port de destination et de l’adresse source pour cette durée.
[edit firewall family inet filter protect-RE term bgp-term] user@host# set from protocol tcp destination-port bgp source-address 10.2.1.0/24
Définir l’action pour le terme.
[edit firewall family inet filter protect-RE term bgp-term] user@host# set then accept
Créez le troisième terme filtre.
[edit firewall family inet filter protect-RE] user@host# edit term discard-rest-term
Définir l’action pour le terme.
[edit firewall family inet filter protect-RE term discard-rest] user@host# set then log syslog discard
Appliquez le filtre à l’entrée de l moteur de routage interface.
[edit] user@host# set interfaces lo0 unit 0 family inet filter input protect-RE
Résultats
Confirmez votre configuration en entrant la commande et la commande show firewall depuis le mode de show interfaces lo0 configuration. Si la sortie n’affiche pas la configuration prévue, répétez les instructions de cet exemple pour corriger la configuration.
user@host# show firewall
family inet {
filter protect-RE {
term ssh-term {
from {
source-address {
192.168.122.0/24;
}
protocol tcp;
destination-port ssh;
}
then accept;
}
term bgp-term {
from {
source-address {
10.2.1.0/24;
}
protocol tcp;
destination-port bgp;
}
then accept;
}
term discard-rest-term {
then {
log;
syslog;
discard;
}
}
}
}
user@host# show interfaces lo0
unit 0 {
family inet {
filter {
input protect-RE;
}
address 127.0.0.1/32;
}
}
Si vous avez terminé la configuration de l’équipement, commit saisissez-le en mode de configuration.
[edit] user@host# commit
Vérification
Pour vérifier que la configuration fonctionne correctement, exécutez les tâches suivantes:
- Affichage des configurations de filtres de pare-feu sans état
- Vérification d’un filtre de pare-feu services, protocoles et sources de confiance
- Affichage des journaux de filtres de pare-feu sans état
Affichage des configurations de filtres de pare-feu sans état
But
Vérifier la configuration du filtre de pare-feu.
Action
À partir du mode de configuration, show firewall saisissez la commande et la show interfaces lo0 commande.
Sens
Vérifiez que la sortie affiche la configuration prévue du filtre de pare-feu. Vérifiez également que les termes sont répertoriés dans l’ordre dans lequel vous souhaitez tester les paquets. Vous pouvez déplacer les termes dans un filtre de pare-feu à l’aide insert CLI commande.
Vérification d’un filtre de pare-feu services, protocoles et sources de confiance
But
Vérifiez que les conditions du filtre de pare-feu sont prises.
Action
Envoyez des paquets à l’équipement qui correspondent aux conditions. Vérifiez également que les actions de filtre ne sont pas prises pour les paquets qui ne correspondent pas.
Utilisez la commande d’un hôte à l’adresse IP qui correspond pour vérifier que vous pouvez vous connecter à l’équipement en utilisant uniquement le protocole SSH à partir d’un hôte utilisant ce
ssh host-name192.168.122.0/24préfixe d’adresse.Utilisez la commande pour vérifier que la table de routage de l’équipement ne contient aucune entrée avec un autre
show route summaryprotocole que , ouDirectLocalBGPStatic.
Exemple de sortie
nom de commande
% ssh 192.168.249.71 %ssh host user@host's password: --- JUNOS 6.4-20040518.0 (JSERIES) #0: 2004-05-18 09:27:50 UTC user@host>
nom de commande
user@host> show route summary
Router ID: 192.168.249.71
inet.0: 34 destinations, 34 routes (33 active, 0 holddown, 1 hidden)
Direct: 10 routes, 9 active
Local: 9 routes, 9 active
BGP: 10 routes, 10 active
Static: 5 routes, 5 active
...
Sens
Vérifier les informations suivantes:
Avec SSH, vous pouvez vous connecter à l’équipement.
La
show route summarycommande n’affiche pas un autre protocole queDirect, ouLocalBGPStatic.
Affichage des journaux de filtres de pare-feu sans état
But
Vérifiez que les paquets sont enregistrés. Si vous avez inclus l’action ou l’action dans un terme, vérifiez que les paquets correspondant au terme sont enregistrés dans le journal du pare-feu ou dans votre installation de logsyslog journalisation système.
Action
À partir du mode opérationnel, saisissez la show firewall log commande.
Exemple de sortie
nom de commande
user@host> show firewall log Log : Time Filter Action Interface Protocol Src Addr Dest Addr 15:11:02 pfe D ge-0/0/0.0 TCP 172.17.28.19 192.168.70.71 15:11:01 pfe D ge-0/0/0.0 TCP 172.17.28.19 192.168.70.71 15:11:01 pfe D ge-0/0/0.0 TCP 172.17.28.19 192.168.70.71 15:11:01 pfe D ge-0/0/0.0 TCP 172.17.28.19 192.168.70.71 ...
Sens
Chaque enregistrement contient des informations sur le paquet enregistré. Vérifier les informations suivantes:
Dans
Timele cas ci-dessous, le moment de la journée où le paquet a été filtré est affiché.La
Filtersortie est toujours .pfeEn vertu de , l’action configurée du terme correspond à l’action prise sur le
Actionpaquet:A(accepter),D(rejeter),R(rejeter).Sous
Interface, l’interface entrante (entrante) sur laquelle le paquet est arrivé est appropriée pour le filtre.Sous
Protocol, le protocole de l’en-tête IP du paquet est approprié pour le filtre.Sous
Src Addr, l’adresse source dans l’en-tête IP du paquet est appropriée pour le filtre.Dest AddrL’adresse de destination dans l’en-tête IP du paquet est appropriée pour le filtre.