무상태 방화벽 필터 개요
패킷 흐름 제어
시스템을 전송할 수 있는 패킷에 영향을 주고 필요에 따라 패킷에 특수 조치를 적용하기 위해 상태 비저장 방화벽 필터를 구성할 수 있습니다. 상태 비저장 방화벽은 필터 용어라고 하는 하나 이상의 패킷 필터링 규칙 시퀀스를 지정합니다. 필터 용어는 일치 및 일치 패킷에 대해 수행할 작업을 결정하는 데 사용할 일치 조건을 지정합니다. 스테이트리스 방화벽 필터를 사용하면 레이어 3 및 레이어 4 헤더 필드의 평가를 기반으로 단편화된 패킷을 포함하여 특정 프로토콜 제품군의 모든 패킷을 조작할 수 있습니다. 일반적으로 프로토콜 제품군 기능으로 구성된 하나 이상의 인터페이스에 스테이트리스 방화벽 필터를 적용합니다. 스테이트리스 방화벽 필터를 수신 인터페이스, 송신 인터페이스 또는 둘 다에 적용할 수 있습니다.
데이터 패킷 흐름 제어
패킷이 소스에서 대상으로 전달될 때 디바이스를 전송하는 데이터 패킷의 흐름을 제어하기 위해 라우터나 스위치의 물리적 인터페이스의 입력 또는 출력에 스테이트리스 방화벽 필터를 적용할 수 있습니다.
인터페이스에서 송수신되는 트래픽에 대해 지정된 대역폭과 최대 버스트 크기를 적용하기 위해 폴리서를 구성할 수 있습니다. 폴리서는 특수한 유형의 상태 비저장 방화벽 필터이며 Junos OS CoS( Class-of-Service )의 주요 구성 요소입니다.
로컬 패킷 흐름 제어
물리적 인터페이스와 라우팅 엔진 간의 로컬 패킷 흐름을 제어하기 위해 루프백 인터페이스의 입력 또는 출력에 스테이트리스 방화벽 필터를 적용할 수 있습니다. 루프백 인터페이스(lo0)는 라우팅 엔진에 대한 인터페이스이며 데이터 패킷을 전달하지 않습니다.
Junos OS Evolved 로컬 패킷 플로우 제어
Junos OS Evolved에는 다음과 같은 두 가지 필터를 사용할 수 있습니다. 네트워크 제어 트래픽(루프백 트래픽)을 위한 필터와 트래픽 관리 (관리 인터페이스)를 위한 필터가 지원됩니다. 두 개의 필터를 사용하면 더 많은 유연성을 얻을 수 있습니다. 예를 들어, 네트워크 제어 트래픽보다 관리 인터페이스 트래픽에 대해 더 엄격한 필터를 구성할 수 있습니다.
Junos OS 및 Junos OS Evolved에서 네트워크 제어 트래픽 방화벽 필터 또는 루프백 방화벽 필터(Lo0/Lo6)는 동일하게 작동하며 차이가 없습니다. INET 또는 Lo0/Lo6 인터페이스의 INET6 방화벽 필터 계층에서 Lo0/Lo6 방화벽 필터를 구성합니다. Lo0 인터페이스에서 패킷 송신을 위한 필터링 기능을 제공하기 위해 방화벽 필터는 주니퍼의 Netfilter를 통해 소프트웨어 커널에서 구현됩니다. Netfilters는 리눅스 커널에 설치되며 여기에는 하드웨어가 관여하지 않습니다.
다음은 Lo0 방화벽 필터에 대한 샘플 구성입니다.
set firewall family inet filter finet interface-specific set firewall family inet filter finet term t1 from source-address 10.0.0.2/32 set firewall family inet filter finet term t1 from destination-address 10.0.0.1/32 set firewall family inet filter finet term t1 from protocol tcp set firewall family inet filter finet term t1 from source-port ssh set firewall family inet filter finet term t1 from destination-port ssh set firewall family inet filter finet term t1 then count c1 set firewall family inet filter finet term t1 then log set interfaces lo0 unit 0 family inet filter input finet
표 1, 표 2, 표 3, 은 표 4 (는) Junos OS Evolved의 Lo0/Lo6 방화벽 필터 제품군에 대해 지원되는 일치 조건 및 작업을 표시합니다.
|
방화벽 필터 일치 조건 |
Lo0 (영문) |
LO6 (영문) |
|---|---|---|
|
ip-destination-address |
예 |
예 |
|
ip-source-address |
예 |
예 |
|
대상 접두사 목록 |
예 |
예 |
|
소스 접두사 목록 |
예 |
예 |
|
목적지 포트 |
예 |
예 |
|
소스 포트 |
예 |
예 |
|
IP 프로토콜 |
예 |
예 |
|
첫 번째 조각 |
예 |
아니요 |
|
is-fragment |
예 |
아니요 |
|
tcp-플래그 |
예 |
예 |
|
증권 시세 표시기 |
예 |
아니요 |
|
증권 시세 표시기 |
예 |
아니요 |
|
방화벽 필터 일치 조건 |
Lo0 (영문) |
LO6 (영문) |
|---|---|---|
|
ip-destination-address |
아니요 |
예 |
|
ip-source-address |
아니요 |
예 |
|
대상 접두사 목록 |
아니요 |
예 |
|
소스 접두사 목록 |
아니요 |
예 |
|
목적지 포트 |
아니요 |
예 |
|
작업 |
Lo0 (영문) |
LO6 (영문) |
|---|---|---|
|
극대화합니다 |
예 |
예 |
|
버리다 |
예 |
예 |
|
폴리서 |
예 |
예 |
|
3색 폴리서 |
예 |
예 |
|
작업 |
Lo0 (영문) |
LO6 (영문) |
|---|---|---|
|
극대화합니다 |
예 |
예 |
|
버리다 |
예 |
예 |
|
폴리서 |
예 |
예 |
|
3색 폴리서 |
예 |
예 |
관리 필터링은 Linux 커널에서 제공하는 프레임워크인 netfilters를 기반으로 라우팅 엔진 필터를 사용합니다. 이 차이로 인해 특정 일치 항목 및 작업만 지원됩니다. 라우팅 엔진에는 Junos OS와 진화한 Junos OS 간의 몇 가지 주요 차이점에 대한 방화벽 필터가 나열되어 있습니다.
관리 인터페이스에 필터를 명시적으로 추가해야 합니다. Junos OS Evolved의 경우, lo0 필터는 Junos OS의 경우와 마찬가지로 관리 트래픽에 더 이상 적용되지 않습니다.
관리 인터페이스 필터에서 구성하려면 관리 인터페이스의 제품군 INET 또는 INET6 방화벽 필터 계층에서 필터를 구성해야 합니다. 다음은 방화벽 필터를 구성하기 위한 샘플 구성으로, 관리 인터페이스 중 하나입니다.
set firewall family inet filter f1 interface-specific set firewall family inet filter f1 term t1 from protocol tcp set firewall family inet filter f1 term t1 then count c1 set firewall family inet filter f1 term t1 then accept set firewall family inet filter f1 term t2 from protocol icmp set firewall family inet filter f1 term t2 then count c3 set firewall family inet filter f1 term dft then count dft_cnt set firewall family inet filter f1 term dft then accept set interfaces re0:mgmt-0 unit 0 family inet filter input f1
표 5, 및 표 6은 표 7 (는) 관리 인터페이스에서 지원되는 방화벽 필터 일치 조건 및 작업을 표시합니다.
|
방화벽 필터 일치 조건 |
지원됨 |
|---|---|
|
address |
예 |
|
대상 주소 |
예 |
|
목적지 포트 |
예 |
|
대상 포트 제외 |
예 |
|
대상 접두사 목록 |
예 |
|
icmp 코드 |
예 |
|
icmp 코드 제외 |
예 |
|
ICMP형 |
예 |
|
icmp 유형 제외 |
예 |
|
다음 헤더 |
예 |
|
다음 헤더 제외 |
예 |
|
패킷 길이 |
예 |
|
패킷 길이 제외 |
예 |
|
페이로드 프로토콜 |
예 |
|
페이로드 프로토콜 제외 |
예 |
|
항구 |
예 |
|
포트 제외 |
예 |
|
접두사 목록 |
예 |
|
소스 주소 |
예 |
|
소스 포트 |
예 |
|
소스 포트 제외 |
예 |
|
소스 접두사 목록 |
예 |
|
tcp 설정 |
예 |
|
tcp-플래그 |
예 |
|
tcp-이니셜 |
예 |
|
트래픽 클래스 |
예 |
|
트래픽 클래스 제외 |
예 |
|
방화벽 필터 일치 조건 |
지원됨 |
|---|---|
|
증권 시세 표시기 |
예 |
|
dscp 제외 |
예 |
|
우선 순위 |
예 |
|
precedence-except (우선순위 제외) |
예 |
|
프로토콜 |
예 |
|
프로토콜 제외 |
예 |
|
증권 시세 표시기 |
예 |
|
ttl 제외 |
예 |
|
방화벽 필터 동작 |
IPv4 |
IPv6 |
|---|---|---|
|
수락 |
예 |
예 |
|
극대화합니다 |
예 |
예 |
|
포워딩 클래스 |
예 |
예 |
|
손실 우선 순위 |
예 |
예 |
|
폴리서 |
예 |
예 |
|
거부 |
예 |
예 |
|
syslog |
예 |
예 |
스테이트리스 및 스테이트풀 방화벽 필터
액세스 제어 목록(ACL)이라고도 하는 상태 비저장 방화벽 필터는 트래픽을 상태 저장으로 검사하지 않습니다. 대신 패킷 내용을 정적으로 평가하고 네트워크 연결 상태를 추적하지 않습니다. 반면, 상태 저장 방화벽 필터는 다른 응용 프로그램 및 데이터 흐름의 과거 통신에서 파생된 연결 상태 정보를 사용하여 동적 제어 결정을 내립니다.
라우팅 정책, 방화벽 필터 및 트래픽 폴리서 사용자 가이드에서는 상태 비저장 방화벽 필터에 대해 설명합니다.
상태 비저장 방화벽 필터의 목적
상태 비저장 방화벽 필터의 기본 목적은 패킷 필터링을 사용하여 보안을 강화하는 것입니다. 패킷 필터링을 사용하면 들어오거나 나가는 패킷의 구성 요소를 검사한 다음 지정한 기준과 일치하는 패킷에 대해 지정한 작업을 수행할 수 있습니다. 스테이트리스 방화벽 필터의 일반적인 용도는 악의적이거나 신뢰할 수 없는 패킷으로부터 라우팅 엔진 프로세스 및 리소스를 보호하는 것입니다.