예: 라우팅 엔진 보호를 위한 DHCP 방화벽 필터 구성
다음 예에서는 적절한 DHCP 패킷이 MX 시리즈 라우터의 라우팅 엔진에 도달할 수 있도록 방화벽 필터를 구성하는 방법을 보여줍니다.
요구 사항
이 컨피그레이션 예는 DHCP 로컬 서버 및 DHCP 릴레이 에이전트 서비스가 레거시 dhcpd 프로세스 또는 fud(UDP 포워딩) 프로세스가 아닌 jdhcpd 프로세스에 의해 제공되는 라우터에만 적용됩니다. MX 시리즈 라우터, M120 라우터 및 M320 라우터는 jdhcpd를 사용합니다. DHCP 릴레이의 경우, 이는 구성이 [edit forwarding-options helpers bootp] 계층 수준이 아닌 [edit forwarding-options dhcp-relay] 계층 수준에서만 요구된다는 것을 의미합니다.
이 기능을 구성하기 위해 디바이스 초기화 이외의 특별한 구성은 필요하지 않습니다.
개요
적절한 DHCP 패킷만 허용하여 라우팅 엔진을 보호하는 필터와 같이 라우팅 엔진에서 DHCP 패킷에 대해 일부 작업을 수행하는 방화벽 필터는 포트 67(bootps)과 포트 68(bootpc)이 모두 소스 및 대상 포트로 구성되어야 합니다.
라인 카드에 수신된 DHCP 패킷은 라우팅 엔진으로 포워딩되기 전에 소스 및 대상 주소가 포트 68로 설정된 새로운 UDP 헤더와 함께 jdhcpd에 의해 캡슐화됩니다. DHCP 릴레이 및 DHCP 프록시의 경우 라우터에서 DHCP 서버로 전송된 패킷의 소스 및 대상 UDP 포트는 모두 67로 설정됩니다. DHCP 서버는 동일한 포트를 사용하여 응답합니다. 그러나 라인 카드가 이러한 DHCP 응답 패킷을 수신하면 패킷이 라우팅 엔진에 전달되기 전에 두 포트 번호가 67에서 68로 변경됩니다. 따라서 필터는 클라이언트에서 서버로 릴레이되는 패킷에 대한 포트 67을, 서버에서 클라이언트로 릴레이되는 패킷에 대한 포트 68을 허용해야 합니다.
이 예에서는 두 개의 필터 용어와 를 구성합니다.dhcp-client-acceptdhcp-server-accept 에 대한 일치 조건은 브로드캐스트 패킷의 소스 주소와 대상 주소, DHCP 패킷에 사용되는 UDP 프로토콜, bootpc(68) 소스 포트를 지정합니다.dhcp-client-accept 이러한 조건과 일치하는 패킷은 카운트되고 수락됩니다. 이 용어는 부트 ps(67) 대상 포트에 대한 일치 조건을 지정할 필요가 없습니다. 아래에 구성된 대로 이 용어는 패킷 전달 엔진으로 전달되는 실제 패킷(포트 68)과 DHCP 데몬에 도달하는 캡슐화된 패킷(jdhcpd에 의해 68로 변환된 포트 67)을 모두 처리할 수 있습니다.
에 대한 일치 조건은 DHCP 패킷에 사용되는 UDP 프로토콜을 지정하고 소스 포트와 대상 포트 모두에 대해 포트 67과 68을 지정합니다.dhcp-server-accept 이러한 조건과 일치하는 패킷은 카운트되고 수락됩니다.
이 예는 가능한 모든 구성 선택 사항을 보여주지 않으며 필터가 구성에 어떻게 적용되는지도 보여주지 않습니다. 이 예제는 필터의 정적 애플리케이션과 동적 프로파일이 있는 동적 애플리케이션 모두에 적용됩니다.
구성
절차
CLI 빠른 구성
샘플 라우팅 엔진 DHCP 필터를 신속하게 구성하기 위해 다음 명령을 복사하여 텍스트 파일에 붙여넣고 줄 바꿈을 제거한 다음 명령을 복사하여 CLI에 붙여넣습니다.
[edit] edit firewall family inet filter RE-protect edit term dhcp-client-accept set from source-address 0.0.0.0/32 set from destination-address 255.255.255.255/32 set from protocol udp set from source-port 68 set then count dhcp-client-accept set then accept up edit term dhcp-server-accept set from protocol udp set from source-port 67 set from source-port 68 set from destination-port 67 set from destination-port 68 set then count dhcp-server-accept set then accept top
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 자세한 내용은 구성 모드에서 CLI 편집기 사용을 참조하십시오.
라우팅 엔진을 보호하기 위해 DHCP 방화벽 필터를 구성하는 방법:
방화벽 필터를 생성하거나 지정합니다.
[edit firewall] user@host# edit family inet filter RE-protect
클라이언트에 대한 필터 용어를 생성합니다.
[edit firewall family inet filter RE-protect] user@host# edit term dhcp-client-accept
DHCP 패킷에 대한 일치 조건을 지정합니다.
[edit firewall family inet filter RE-protect term dhcp-client-accept] user@host# set from source-address 0.0.0.0/32 user@host# set from destination-address 255.255.255.255/32 user@host# set from protocol udp user@host# set from source-port 68 user@host# set from destination-port 67
일치하는 패킷에 대해 수행할 작업을 지정합니다.
[edit firewall family inet filter RE-protect term dhcp-client-accept] user@host# set then count dhcp-client-accept user@host# set then accept
서버에 대한 필터 용어를 만듭니다.
[edit firewall family inet filter RE-protect] user@host# edit term dhcp-server-accept
DHCP 패킷에 대한 일치 조건을 지정합니다.
[edit firewall family inet filter RE-protect term dhcp-server-accept] user@host# set from protocol udp user@host# set from source-port [67 68] user@host# set from destination-port [67 68]
일치하는 패킷에 대해 수행할 작업을 지정합니다.
[edit firewall family inet filter RE-protect term dhcp-server-accept] user@host# set then count dhcp-client-accept user@host# set then accept
결과
구성 모드에서 show firewall 명령을 입력하여 구성을 확인합니다. 출력이 의도된 구성을 표시하지 않으면, 이 예의 구성 지침을 반복하여 수정합니다.
[edit]
user@host# show firewall
family inet {
filter RE-protect {
term dhcp-client-accept {
from {
source-address {
0.0.0.0/32;
}
destination-address {
255.255.255.255/32;
}
protocol udp;
source-port 68;
destination-port 67;
}
then {
count dhcp-client-accept;
accept;
}
}
term dhcp-server-accept {
from {
protocol udp;
source-port [ 67 68 ];
destination-port [ 67 68 ];
}
then {
count dhcp-server-accept;
accept;
}
}
}
}
디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
검증
라우팅 엔진 DHCP 보호 필터가 DHCP 패킷을 제대로 전달하는지 확인하려면 다음 작업을 수행합니다.
DHCP 필터 작동 확인
목적
DHCP 트래픽이 라우팅 엔진으로 전달됨에 따라 두 카운터가 모두 증가하는지 확인합니다.
작업
운영 모드에서 show firewall family inet filter RE-protect 명령을 입력합니다.
user@host> show firewall family inet filter RE-protect Filter: RE-protect Counters: Name Bytes Packets dhcp-client-accept 328 1 dhcp-server-accept 574 1 user@host> show firewall family inet filter RE-protect Filter: RE-protect Counters: Name Bytes Packets dhcp-client-accept 660 2 dhcp-server-accept 1152 2
의미
출력에는 구성된 카운터 dhcp-client-accept 및 dhcp-server-accept가 모두 나열됩니다. 명령을 두 번 이상 실행하면 바이트 및 패킷 필드가 모두 트래픽이 수락되고 계산되고 있음을 표시하는 것을 볼 수 있습니다.