Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Filtrado de URL

Descripción general del filtrado de URL

Puede usar el filtrado de URL para determinar qué contenido web no es accesible para los usuarios.

Los componentes de esta función incluyen lo siguiente:

  • Archivo de base de datos de filtros URL

  • Configuración de una o más plantillas (hasta ocho por perfil)

  • Complemento de filtro de URL (jservices-urlf)

  • Demonio de filtrado de URL (filtrado de URL)

El archivo de base de datos de filtro de URL se almacena en el motor de enrutamiento y contiene todas las URL no permitidos. Las plantillas configuradas definen qué tráfico supervisar, qué criterios coincidir y qué acciones tomar. Configure las plantillas y la ubicación del archivo de base de datos de filtro de URL en un perfil.

A partir de Junos OS versión 17.2R2 y 17.4R1, para servicios adaptables, puede deshabilitar el filtrado del tráfico HTTP que contiene una dirección IP integrada (por ejemplo, http:/10.1.1.1) que pertenece a un nombre de dominio no permitido en la base de datos de filtros url. A partir de Junos OS versión 19.3R2, esta misma funcionalidad se admite para los servicios de próxima generación en MX240, MX480 y MX960.

Para habilitar la función de filtrado de URL, debe configurar jservices-urlf como el package-name nivel de [edit chassis fpc slot-number pic pic-number adaptive-services service-package extension-provider] jerarquía. Una vez habilitado, jservices-urlf mantiene el perfil de filtrado de URL y recibe todo el tráfico que se va a filtrar, los criterios de filtrado y la acción que se va a realizar en el tráfico filtrado.

El demonio de filtrado de URL (filtrado de URL), que también reside en el motor de enrutamiento, resuelve el nombre de dominio de cada DIRECCIÓN URL en la base de datos de filtros de URL en una lista de direcciones IPv4 e IPv6. Luego, descarga la lista de direcciones IP a la PIC del servicio, que ejecuta jservices-urlf. A continuación, el filtrado de url interactúa con el proceso de firewall dinámico (dfwd) para instalar filtros en el motor de reenvío de paquetes para puntuar el tráfico seleccionado desde el motor de reenvío de paquetes a la PIC del servicio.

A medida que el nuevo tráfico HTTP y HTTPS llega al enrutador, se toma una decisión basada en la información del archivo de base de datos de filtro de URL. Las reglas de filtrado se comprueban y el enrutador acepta el tráfico y lo pasa o bloquea el tráfico. Si el tráfico está bloqueado, se realiza una de las siguientes acciones configuradas:

  • Se envía una redirección HTTP al usuario.

  • Se envía una página personalizada al usuario.

  • Se envía un código de estado HTTP al usuario.

  • Se envía un restablecimiento tcp.

Aceptar también es una opción. En este caso, el tráfico no se bloquea.

En la Figura 1 se muestra el filtrado de URL para sesiones HTTP.

Figura 1: Filtrado de url de flujo de paquetes para sesiones Packet Flow-URL Filtering for HTTP Sessions HTTP

En la Figura 2 se muestra el filtrado de URL para sesiones HTTPS.

Figura 2: Filtrado de URL de flujo de paquetes para sesiones Packet Flow-URL Filtering for HTTPS Sessions HTTPS

Para obtener más información sobre la función de filtrado de URL, consulte las siguientes secciones:

Archivo de base de datos de filtro url

El archivo de base de datos de filtro de URL contiene entradas de DIRECCIONES URL y direcciones IP. Cree el archivo de base de datos de filtros URL en el formato indicado en la tabla 1 y búsquelo en el motor de enrutamiento en el directorio /var/db/url-filterd .

Tabla 1: Formato de archivo de base de datos de filtros URL

Entrada

Descripción

Ejemplo

FQDN

Nombre de dominio completo.

www.badword.com/jjj/bad.jpg

URL

URL de cadena completa sin el protocolo de capa 7.

www.srch.com/*badword*/

www.srch.com

www.srch.com/xyz

www.srch.com/xyz*

Dirección IPv4

Solicitud HTTP en una dirección IPv4 específica.

10.1.1.199

Dirección IPv6

Solicitud HTTP en una dirección IPv6 específica.

1::1

Debe especificar una base de datos de filtro de URL personalizada en el perfil. Si es necesario, también puede asignar un archivo de base de datos de filtro de URL personalizado con cualquier plantilla, y esa base de datos tiene prioridad sobre la base de datos configurada en el nivel de perfil.

Si cambia el contenido del archivo de base de datos de filtro url, utilice el request services (url-filter | web-filter) update comando. Otros comandos para ayudar a mantener el archivo de base de datos de filtro de URL son los siguientes:

  • request services (url-filter | web-filter) delete

  • request services (url-filter | web-filter) force

  • request services (url-filter | web-filter) validate

Advertencias del perfil de filtro de URL

El perfil de filtro de URL consta de una a ocho plantillas. Cada plantilla consta de un conjunto de interfaces lógicas configuradas en las que se supervisa el tráfico para el filtrado de URL y uno o más términos.

Un término es un conjunto de criterios de coincidencia con acciones que se deben realizar si se cumplen los criterios de coincidencia. Debe configurar al menos un término para configurar el filtrado de URL. Cada término consta de una from instrucción y una then instrucción, donde la from instrucción define los prefijos IP de origen y los puertos de destino que se supervisan. La then instrucción especifica la acción que se va a realizar. Si omite la from instrucción, cualquier prefijo IP de origen y cualquier puerto de destino se consideran coincidentes. Sin embargo, solo puede omitir una from instrucción por plantilla o por perfil.

Configuración de ejemplo de varios términos sin instrucciones

Si omite más de una from instrucción por plantilla, recibirá el siguiente mensaje de error en commit:

Configuración del filtrado de URL

Para configurar la función de filtrado de URL, primero debe configurarla jservices-urlf como el package-name nivel de [edit chassis fpc slot-number pic pic-number adaptive-services service-package extension-provider] jerarquía. Para obtener más información sobre cómo configurar la extension-provider package package-name instrucción de configuración, consulte la instrucción package (Loading on PIC).

El filtrado de URL se configura en una PIC de servicio. Las interfaces con las que se trata son interfaces de servicios (que utilizan el ms prefijo) o interfaces de multiservicios agregados (AMS) (que utilizan el ams prefijo). Para obtener más información sobre las interfaces AMS, consulte la Guía del usuario de interfaces de servicios adaptables para dispositivos de enrutamiento a partir de descripción de interfaces de multiservicio agregadas.

Un perfil de filtrado de URL es una colección de plantillas. Cada plantilla se compone de un conjunto de criterios que define qué URL se desautoriza y cómo se notifica al destinatario.

Para configurar el perfil de URL:

  1. Asigne un nombre al perfil de URL.

    A partir de Junos OS versión 18.3R1, para servicios adaptables. configure el perfil en el [edit services web-filter] nivel jerárquico. Antes de la versión 18.3R1 de Junos OS, configure el perfil en el [edit services url-filter] nivel jerárquico. A partir de Junos OS versión 19.3R2, esta misma funcionalidad está disponible para Serices de próxima generación en MX240, MX480 y MX960.

  2. Especifique el nombre de la base de datos de filtros de URL que se va a usar.
  3. Configure una o más plantillas para el perfil.

    Para configurar cada plantilla:

    1. Asigne un nombre a la plantilla.
      Nota:

      A partir de Junos OS versión 18.3R1, configure la plantilla con la url-filter-template instrucción. Antes de la versión 18.3R1 de Junos OS, configure la plantilla con la template instrucción.

    2. Vaya a ese nuevo nivel de jerarquía de plantilla.
    3. Especifique el nombre de la base de datos de filtros de URL que se va a usar.
    4. Especifique la interfaz de circuito cerrado para la cual se elige la dirección IP de origen para enviar consultas DNS.
    5. Deshabilite el filtrado del tráfico HTTP que contiene una dirección IP incrustada (por ejemplo, http:/10.1.1.1) que pertenece a un nombre de dominio no permitido en la base de datos de filtros url.
    6. Configure el intervalo de tiempo de resolución de DNS en minutos.
    7. Configure el número de reintentos para una consulta DNS en caso de que la consulta falle o se agota el tiempo de espera.
    8. Especifique las direcciones IP (IPv4 o IPv6) de los servidores DNS a los que se envían las consultas DNS.
    9. Especifique las interfaces lógicas orientadas al cliente en las que está configurado el filtrado de URL.
    10. Especifique las interfaces lógicas orientadas al servidor en las que está configurado el filtrado de URL.
    11. Especifique la instancia de enrutamiento en la que está configurado el filtrado de URL.
    12. Especifique la instancia de enrutamiento en la que se puede acceder al servidor DNS.
  4. Configure la información del término.

    Los términos se utilizan en filtros para segmentar la política o filtrar en pares de coincidencia y acción pequeños.

    1. Nombre el término.
    2. Vaya al nuevo nivel de jerarquía de términos.
    3. Especifique los prefijos de dirección IP de origen para el tráfico que desea filtrar.
    4. Especifique los puertos de destino para el tráfico que desea filtrar.
    5. Configure una acción para realizar.

      La acción puede ser una de las siguientes:

      custom-page custom-page

      Enviar una cadena de página personalizada al usuario.

      http-status-code http-status-code

      Enviar un código de estado HTTP al usuario.

      redirect-url redirect-url

      Enviar una redirección HTTP al usuario.

      tcp-reset

      Enviar un restablecimiento tcp al usuario.

  5. Asocie el perfil de URL con un conjunto de servicios de salto siguiente.
    Nota:

    Para el filtrado de URL, debe configurar el conjunto de servicios como un conjunto de servicios de salto siguiente.

    Nota:

    La interfaz de servicio también puede ser del ams prefijo. Si utiliza ams interfaces en el [edit services service-set service-set-name] nivel de jerarquía para el filtro de URL, también debe configurar la load-balancing-options hash-keys instrucción en el [edit interfaces ams-interface-name unit number] nivel de jerarquía.

    Nota:

    A partir de Junos OS versión 18.3R1, configure el conjunto de servicios con la web-filter-profile instrucción. Antes de la versión 18.3R1 de Junos OS, configure el conjunto de servicios con la url-filter-profile instrucción.

Filtrado de solicitudes DNS para dominios de sitio web no permitidos

Descripción general del filtrado de solicitudes DNS

A partir de Junos OS versión 18.3R1, puede configurar el filtrado DNS para identificar las solicitudes DNS de dominios de sitio web no permitidos. A partir de Junos OS versión 19.3R2, puede configurar el filtrado DNS si está ejecutando servicios de última generación con la tarjeta de servicios MX-SPC3. Los servicios de próxima generación se admiten en enrutadores MX240, MX480 y MX960. En el caso de los tipos de solicitud DNS A, AAAA, MX, CNAME, TXT, SRV y ANY, configure la acción para que se realice para una solicitud DNS para un dominio no permitido. Puede:

  • Bloquee el acceso al sitio web mediante el envío de una respuesta DNS que contenga la dirección IP o el nombre de dominio completo (FQDN) de un servidor de sumidero DNS. Esto garantiza que cuando el cliente intente enviar tráfico al dominio no permitido, el tráfico vaya al servidor de sumidero (consulte la figura 3).

  • Registre la solicitud y permita el acceso.

A partir de Junos OS versión 21.1R1, también puede configurar las siguientes acciones para una solicitud DNS para un dominio no permitido:

  • Alerta
  • Aceptar
  • Soltar
  • Drop-no-log

Para otros tipos de solicitud DNS para un dominio no autorizado, la solicitud se registra y se permite el acceso.

Las acciones que realiza el servidor de sumidero no se controlan mediante la función de filtrado de solicitudes DNS; usted es responsable de configurar las acciones del servidor del sumidero. Por ejemplo, el servidor de sumidero podría enviar un mensaje al solicitante de que el dominio no es accesible e impedir el acceso al dominio no permitido.

Figura 3: Solicitud de DNS para un dominio DNS Request for Disallowed Domain no permitido

Ventajas

El filtrado de DNS redirige las solicitudes de DNS de dominios de sitio web no permitidos a servidores de sumidero, a la vez que impide que cualquier persona que opere el sistema vea la lista de dominios no permitidos. Esto se debe a que los nombres de dominio no permitidos están en un formato cifrado.

Archivo de base de datos de filtro de dominio no permitido

El filtrado de solicitudes DNS requiere un archivo .txt de base de datos de filtro de dominio no autorizado, el cual identifica cada nombre de dominio no autorizado, la acción para realizar una solicitud DNS para el dominio no autorizado y la dirección IP o el nombre de dominio completo (FQDN) de un servidor de sumidero DNS.

Perfil de filtro DNS

Configure un perfil de filtro DNS para especificar qué archivo de base de datos de filtro de dominio no permitido va a utilizar. También puede especificar las interfaces en las que se realiza el filtrado de solicitudes DNS, limitar el filtrado a solicitudes de servidores DNS específicos y limitar el filtrado a solicitudes de prefijos de dirección IP de origen específicos.

Cómo configurar el filtrado de solicitudes DNS

Para filtrar las solicitudes dns para dominios de sitio web no permitidos, realice lo siguiente:

Cómo configurar una base de datos de filtros de dominio

Cree uno o más archivos de base de datos de filtros de dominio que incluyan una entrada para cada dominio no permitido. Cada entrada especifica qué hacer con una solicitud DNS para un dominio de sitio web no permitido.

Para configurar un archivo de base de datos de filtro de dominio:

  1. Cree el nombre del archivo. El nombre del archivo de base de datos puede tener una longitud máxima de 64 caracteres y debe tener una extensión .txt .
  2. Agregue un encabezado de archivo con un formato como 20170314_01:domain,sinkhole_ip,v6_sinkhole,sinkhole_fqdn,id,action.
  3. Agregue una entrada en el archivo para cada dominio no permitido. Puede incluir un máximo de 10 000 entradas de dominio. Cada entrada del archivo de base de datos tiene los siguientes elementos:

    nombre de dominio hash,dirección de sumidero IPv4, dirección de sumidero IPv6, FQDN de sumidero, ID, acción

    Dónde:

    • hashed-domain-name es un valor hash del nombre de dominio no permitido (64 caracteres hexadecimales). El método hash y la clave hash que usa para generar el valor de dominio hash se necesitan cuando configure el filtrado DNS con la CLI de Junos OS.

    • IPv4 sinkhole address es la dirección del servidor de sumidero DNS para solicitudes DNS IPv4.

    • IPv6 sinkhole address es la dirección del servidor de sumidero DNS para solicitudes DNS IPv6.

    • sinkhole FQDN es el nombre de dominio completo del servidor de sumidero DNS.

    • ID es un número de 32 bits que asocia de forma exclusiva la entrada con el nombre de dominio hash.

    • action es la acción para aplicar a una solicitud DNS que coincide con el nombre de dominio no permitido. Si ingresa :

      • replace, el enrutador de la serie MX envía al cliente una respuesta DNS con la dirección IP o FQDN del servidor de sumidero DNS. Si escribe report, la solicitud DNS se registra y, a continuación, se envía al servidor DNS.
      • report, la solicitud DNS se registra y, luego, se envía al servidor DNS.
      • alert, la solicitud DNS se registra y la solicitud se envía al servidor DNS.
      • accept, la solicitud DNS se registra y la solicitud se envía al servidor DNS.
      • drop, la solicitud DNS se quita y la solicitud se registra. La solicitud DNS no se envía al servidor DNS.
      • drop-no-log, se quita la solicitud DNS y no se genera syslog. La solicitud DNS no se envía al servidor DNS.
  4. En la última línea del archivo, incluya el hash de archivo, que calcula mediante el mismo método de clave y hash que utilizó para generar los nombres de dominio hash.
  5. Guarde los archivos de base de datos en el motor de enrutamiento en el directorio /var/db/url-filterd .
  6. Valide el archivo de base de datos de filtro de dominio.
  7. Si realiza algún cambio en el archivo de base de datos, aplique los cambios.

Cómo configurar un perfil de filtro DNS

Un perfil de filtro DNS incluye configuraciones generales para filtrar solicitudes DNS para dominios de sitio web no permitidos, e incluye hasta 32 plantillas. La configuración de la plantilla se aplica a las solicitudes DNS en interfaces lógicas o instancias de enrutamiento de vínculo ascendente y descendente específicos, o a solicitudes DNS de prefijos de dirección IP de origen específicos, y anula la configuración correspondiente en el nivel del perfil DNS. Puede configurar hasta ocho perfiles de filtro DNS.

Para configurar un perfil de filtro DNS:

  1. Configure el nombre para un perfil de filtro DNS:

    El número máximo de perfiles es 8.

  2. Configure el intervalo para registrar estadísticas por cliente para el filtrado de DNS. El intervalo es de 0 a 60 minutos y el predeterminado es de 5 minutos.
  3. Configure la configuración general de filtrado dns para el perfil. Estos valores se utilizan si una solicitud DNS no coincide con una plantilla específica.
    1. Especifique el nombre de la base de datos de filtros de dominio que se usará al filtrar solicitudes DNS.
    2. (Opcional) Para limitar el filtrado dns a solicitudes DNS destinadas a servidores DNS específicos, especifique hasta tres direcciones IP (IPv4 o IPv6).
    3. Especifique el formato de la clave hash.
    4. Especifique la clave hash que utilizó para crear el nombre de dominio hash en el archivo de base de datos de filtros de dominio.
    5. Especifique el método hash que se usó para crear el nombre de dominio hash en el archivo de base de datos de filtros de dominio.

      El único método hash compatible es hmac-sha2-256.

    6. Configure el intervalo para registrar estadísticas para solicitudes DNS y para acciones de sumidero realizadas para cada dirección IP del cliente. El intervalo es de 1 a 60 minutos y el predeterminado es de 5 minutos.
    7. Configure el tiempo de vida mientras envía la respuesta DNS después de tomar la acción de sumidero DNS. El intervalo es de 0 a 86 400 segundos y el predeterminado es de 1800.
    8. Configure el nivel de subdominios que se buscan para una coincidencia. El rango es del 0 al 10. Un valor de 0 indica que no se buscan subdominios.

      Por ejemplo, si establece el wildcarding-level en 4 y el archivo de base de datos incluye una entrada para example.com, se realizan las siguientes comparaciones para una solicitud DNS que llega con el 198.51.100.0.example.com de dominio:

      • 198.51.100.0.example.com: sin coincidencias

      • 51.100.0.example.com: no hay coincidencia para un nivel inferior

      • 100.0.example.com: no hay coincidencia para dos niveles abajo

      • 0.example.com: no hay coincidencia para tres niveles abajo

      • example.com: partido para cuatro niveles abajo

  4. Configure una plantilla. Puede configurar un máximo de 8 plantillas en un perfil. Cada plantilla identifica la configuración de filtro para las solicitudes DNS en interfaces lógicas o instancias de enrutamiento específicas de enlace ascendente y descendente, o para solicitudes DNS de prefijos de dirección IP de origen específicos.
    1. Configure el nombre de la plantilla.
    2. (Opcional) Especifique las interfaces lógicas orientadas al cliente (enlace ascendente) a las que se aplica el filtrado DNS.
    3. (Opcional) Especifique las interfaces lógicas orientadas al servidor (enlace descendente) a las que se aplica el filtrado DNS.
    4. (Opcional) Especifique la instancia de enrutamiento para la interfaz lógica orientada al cliente a la que se aplica el filtrado DNS.
    5. (Opcional) Especifique la instancia de enrutamiento para la interfaz lógica orientada al servidor a la que se aplica el filtrado DNS.
      Nota:

      Si configura las interfaces de cliente y servidor o las instancias de enrutamiento de cliente y servidor, se instalan filtros implícitos en las interfaces o instancias de enrutamiento para dirigir el tráfico DNS a la PIC de servicios para el filtrado de DNS. Si no configura las interfaces de cliente y servidor ni las instancias de enrutamiento, debe proporcionar una forma de dirigir el tráfico DNS a la PIC de servicios (por ejemplo, a través de rutas).

    6. Especifique el nombre de la base de datos de filtros de dominio que se usará al filtrar solicitudes DNS.
    7. (Opcional) Para limitar el filtrado dns a solicitudes DNS destinadas a servidores DNS específicos, especifique hasta tres direcciones IP (IPv4 o IPv6).
    8. Especifique el método hash que se usó para crear el nombre de dominio hash en el archivo de base de datos de filtros de dominio.

      El único método hash compatible es hmac-sha2-256.

    9. Especifique la clave hash que se usó para crear el nombre de dominio hash en el archivo de base de datos de filtros de dominio.
    10. Configure el intervalo para registrar estadísticas para solicitudes DNS y para acciones de sumidero realizadas para cada dirección IP del cliente. El intervalo es de 1 a 60 minutos y el predeterminado es de 5 minutos.
    11. Configure el tiempo de vida mientras envía la respuesta DNS después de tomar la acción de sumidero DNS. El intervalo es de 0 a 86 400 segundos y el predeterminado es de 1800.
    12. Configure el nivel de subdominios que se buscan para una coincidencia. El rango es del 0 al 10. Un valor de 0 indica que no se buscan subdominios.

      Por ejemplo, si establece el wildcarding-level en 4 y el archivo de base de datos incluye una entrada para example.com, se realizan las siguientes comparaciones para una solicitud DNS que llega con el 198.51.100.0.example.com de dominio:

      • 198.51.100.0.example.com: sin coincidencia

      • 51.100.0.example.com: no hay coincidencia para un nivel inferior

      • 100.0.example.com: no hay coincidencia para dos niveles abajo

      • 0.example.com: no hay coincidencia para tres niveles abajo

      • example.com: partido para cuatro niveles abajo

    13. (Opcional) Especifique el código de error de respuesta para los tipos de consulta SRV y TXT.

      (Opcional) Especifique el código de error de respuesta para los tipos de consulta SRV y TXT.

    14. Configure un término para la plantilla. Puede configurar un máximo de 64 términos en una plantilla.
    15. (Opcional) Especifique los prefijos de dirección IP de origen de las solicitudes DNS que desea filtrar. Puede configurar un máximo de 64 prefijos en un término.
    16. Especifique que la acción de sumidero identificada en la base de datos de filtros de dominio se realiza en solicitudes DNS no permitidos.

Cómo configurar un conjunto de servicios para el filtrado de DNS

Asocie el perfil de filtro DNS con un conjunto de servicios de salto siguiente y habilite el registro para el filtrado dns. La interfaz de servicio puede ser una interfaz ms o vms- servicios de última generación con tarjeta de servicios MX-SPC3), o puede ser una interfaz de multiservicios agregados (AMS).

Compatibilidad con varios operadores para el filtrado de DNS

Visión general

A partir de Junos OS versión 21.1R1, puede configurar fuentes de dominio personalizadas por cliente o subgrupo IP. Puedes:

  • Configure nombres de dominio y acciones para varios inquilinos, de modo que las fuentes de dominio se puedan administrar por inquilino.
  • Configure la administración jerárquica de fuentes de dominio por perfil, por dns-filtro-plantilla o por dns-filtro-término.
  • Fuentes de dominio exentas en el nivel de IP, subred o CIDR.

Para implementar la compatibilidad con mutiltenant para el filtrado de DNS, se deshabilita la creación del archivo de base de datos de filtro de dominio en el nivel de plantilla o perfil. No es necesario especificar un archivo en el nivel de plantilla o perfil. A partir de Junos OS 21.1R1, de forma predeterminada, está disponible un archivo global con un nombre fijo, nsf_multi_tenant_dn_custom_file.txt (formato de texto sin formato) o dnsf_multi_tenant_dn_custom_file_hashed.txt (archivo cifrado).

Cada entrada del archivo de base de datos tiene los siguientes elementos:

nombre de dominio hash, dirección de sumidero IPv4, dirección de sumidero IPv6, FQDN de sumidero, ID, acción, nombre de fuente.

El hash de archivo se calcula y anexa a la lista de entradas de nombre de dominio del archivo. El hash de archivo se calcula mediante una clave global y un método ,que se valida con el hash de archivo calculado mediante la clave hash configurada en la [edit services web-filter] jerarquía. La validación del archivo solo se realiza correctamente si el hash de archivo calculado coincide con el hash de archivo presente en el archivo.

Cada entrada del archivo nsf_multi_tenant_dn_custom_file.txt consta de un campo adicional llamado nombre de fuente. Este nombre de fuente se utiliza como indicador para agrupar conjunto de nombres de dominio y asignarlos a un inquilino (perfil, plantilla, término o dirección IP).

Cuando los paquetes DNS se reciben de una dirección IP SRC determinada, se recupera el nombre de fuente correspondiente y se realiza la búsqueda en los nombres de dominio asignados con el nombre de fuente asociado con el término. Si el nombre de fuente no se aprovisiona para esa dirección IP, vuelve al nombre de fuente configurado en el nivel de la plantilla y la búsqueda se realiza con los nombres de dominio asignados con el nombre de fuente asociado a la plantilla. Si el nombre de fuente no está configurado en la plantilla, la búsqueda se realiza con los nombres de dominio asignados al nombre de fuente asociado con el perfil.

Configuración de compatibilidad con varios inquilinos para el filtrado de DNS

  1. Configure el filtro web.
  2. Habilite la compatibilidad con varios inquilinos
  3. Configure la clave hash de archivo global y el método hash.
    Nota:

    Cuando multi-tenant-hashse configura, indica que el archivo de fuente dns global consta de solo fuentes cifradas. Cuando multi-tenant-hash no está configurado, indica que el archivo de fuente dns global tiene fuentes en formato de texto sin formato.

  4. Configure el nombre para un perfil de filtro DNS y asigne la fuente de dominio al nivel del perfil. El indicador de nombre de fuente configurado en el nivel del perfil se aplica a todas las plantillas y términos bajo el perfil que no tienen configurado el indicador de nombre de fuente.
  5. Configure la configuración general de filtrado dns para el perfil. Estos valores se utilizan si una solicitud DNS no coincide con una plantilla específica.
    1. (Opcional) Para limitar el filtrado dns a solicitudes DNS destinadas a servidores DNS específicos, especifique hasta tres direcciones IP (IPv4 o IPv6).
    2. Configure el intervalo para registrar estadísticas para solicitudes DNS y para acciones de sumidero realizadas para cada dirección IP del cliente. El intervalo es de 1 a 60 minutos y el predeterminado es de 5 minutos.
    3. Configure el tiempo de vida (TTL) para enviar la respuesta dns después de tomar la acción de sumidero DNS. El intervalo es de 0 a 86 400 segundos y el predeterminado es de 1800.
    4. Configure el nivel de subdominios que se buscan para una coincidencia. El rango es del 0 al 10. Un valor de 0 indica que no se buscan subdominios.
    5. (Opcional) Especifique el código de error de respuesta para el tipo de consulta TXT.
  6. Configure una plantilla. Puede configurar un máximo de 8 plantillas en un perfil. Cada plantilla identifica la configuración de filtro para las solicitudes DNS en interfaces lógicas o instancias de enrutamiento específicas de enlace ascendente y descendente, o para solicitudes DNS de prefijos de dirección IP de origen específicos.
    1. Configure el nombre de la plantilla.
    2. Configure el nombre de la fuente. Con el formato de multitenencia, ya no puede agregar un nombre de archivo en el perfil o la plantilla. El nombre de fuente especificado en perfil tiene menor prioridad en comparación con el configurado bajo la plantilla.
    3. (Opcional) Especifique las interfaces lógicas orientadas al cliente (enlace ascendente) a las que se aplica el filtrado DNS.
    4. (Opcional) Especifique las interfaces lógicas orientadas al servidor (enlace descendente) a las que se aplica el filtrado DNS.
    5. (Opcional) Especifique la instancia de enrutamiento para la interfaz lógica orientada al cliente a la que se aplica el filtrado DNS.
    6. (Opcional) Especifique la instancia de enrutamiento para la interfaz lógica orientada al servidor a la que se aplica el filtrado DNS.
      Nota:

      Si configura las interfaces de cliente y servidor o las instancias de enrutamiento de cliente y servidor, se instalan filtros implícitos en las interfaces o instancias de enrutamiento para dirigir el tráfico DNS a la PIC de servicios para el filtrado de DNS. Si no configura las interfaces de cliente y servidor ni las instancias de enrutamiento, debe proporcionar una forma de dirigir el tráfico DNS a la PIC de servicios (por ejemplo, a través de rutas).

    7. Configure el intervalo para registrar estadísticas para solicitudes DNS y para acciones de sumidero realizadas para cada dirección IP del cliente. El intervalo es de 1 a 60 minutos y el predeterminado es de 5 minutos.
    8. Configure el tiempo de vida mientras envía la respuesta DNS después de tomar la acción de sumidero DNS. El intervalo es de 0 a 86 400 segundos y el predeterminado es de 1800.
    9. Configure el nivel de subdominios que se buscan para una coincidencia. El rango es del 0 al 10. Un valor de 0 indica que no se buscan subdominios.
    10. Configure un término para la plantilla. Puede configurar un máximo de 64 términos en una plantilla.
    11. Configure el nombre de la fuente. El nombre de fuente configurado en el término tiene mayor prioridad que el configurado bajo la plantilla. Sin embargo, si el dominio de sumidero coincide con el único dominio mencionado en el nombre de fuente bajo plantilla, se implementa la acción especificada para esa entrada.
    12. (Opcional) Especifique los prefijos de dirección IP de origen de las solicitudes DNS que desea filtrar. Puede configurar un máximo de 64 prefijos en un término.
    13. Configure que la acción de sumidero identificada en la base de datos de filtros de dominio se realice en solicitudes DNS no permitidos.
  7. Asocie el perfil de filtro DNS con un conjunto de servicios de salto siguiente y habilite el registro para el filtrado dns. La interfaz de servicio puede ser una interfaz de varios servicios (ms) o virtual multiservicio (vms) (servicios de última generación con tarjeta de servicios MX-SPC3), o puede ser una interfaz de multiservicios agregados (AMS).
  8. Si está ejecutando servicios de última generación en la tarjeta de servicios MX-SPC3, configure la interfaz vms para obtener la información de FPC y PIC en el syslog.

Ejemplo: Configurar compatibilidad con varios operadores para el filtrado de DNS

Configuración

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red y, luego, copie y pegue los comandos en la CLI en el nivel de jerarquía [editar].

Integración de la nube ATP de Juniper y el filtrado web en enrutadores serie MX

Visión general

Juniper Advanced Threat Prevention (Juniper ATP Cloud) está integrado con enrutadores serie MX para proteger a todos los hosts de su red contra amenazas de seguridad en evolución mediante el uso de software de detección de amenazas basado en la nube con un sistema de firewall de última generación.

En este tema, se ofrece una descripción general de la nube ATP de Juniper, el agente de cumplimiento de políticas, la inteligencia de seguridad, el filtrado web y sus beneficios cuando se integran en enrutadores serie MX (MX240, MX480 y MX960).

Ventajas

  • Simplifica el despliegue y mejora las capacidades contra amenazas cuando se integra con los enrutadores MX.

  • Ofrece protección contra amenazas de "día cero" mediante una combinación de herramientas para ofrecer una cobertura sólida contra amenazas sofisticadas y evasivas.

  • Verifica el tráfico entrante y saliente con mejoras de políticas que permiten a los usuarios detener el malware, poner en cuarentena los sistemas infectados, evitar la exfiltración de datos e interrumpir el movimiento lateral.

  • Admite alta disponibilidad para ofrecer un servicio ininterrumpido.

  • Ofrece escalabilidad para manejar cargas crecientes que requieren más recursos de computación, mayor ancho de banda de red para recibir más envíos de clientes y un gran almacenamiento para malware.

  • Ofrece inspección profunda, informes procesables y bloqueo de malware en línea.

Descripción del agente de cumplimiento de políticas y la nube ATP de Juniper

Juniper Networks Security Director incluye una función llamada Agente de cumplimiento de políticas (PE) que le permite aprender de las condiciones de las amenazas, automatizar la creación de políticas y desplegar dinámicamente el cumplimiento en los dispositivos de Juniper en la red.

En la Figura 4 se muestra el flujo de tráfico entre el PE, la nube ATP de Juniper y el enrutador MX, que funciona como firewall.

  • El Agente de cumplimiento de políticas (PE) aprende de las condiciones de amenazas, automatiza la creación de políticas y despliega el cumplimiento en los dispositivos de Juniper en la red.

  • Juniper Advanced Threat Prevention (Juniper ATP Cloud) protege todos los hosts de su red mediante el uso de software de detección de amenazas basado en la nube con un sistema de firewall de última generación.

  • El enrutador MX obtiene las fuentes de inteligencia de amenazas del Agente de cumplimiento de políticas (PE) e implementa esas políticas para poner en cuarentena a hosts comprometidos. Consta de los siguientes componentes importantes:

    • Proceso de inteligencia de seguridad

    • Proceso de filtrado web

    • Proceso de firewall

Figura 4: Arquitectura System Architecture del sistema

Para entender la funcionalidad de la arquitectura del sistema, tenga en cuenta el siguiente ejemplo: si un usuario descarga un archivo de Internet y ese archivo pasa a través de un firewall MX, el archivo se puede enviar a la nube de ATP Cloud de Juniper para la inspección de malware (dependiendo de su configuración). Si se determina que el archivo es malware, PE identifica la dirección IP y la dirección MAC del host que descargó el archivo. Según una política definida por el usuario, ese host se puede poner en una VLAN de cuarentena o bloquear el acceso a Internet.

Los enrutadores serie MX (MX240, MX480 y MX960) se pueden integrar con juniper ATP Cloud para evitar que los hosts comprometidos (botnets) se comuniquen con servidores de comando y control:

  • A partir de Junos OS versión 18.4R1 con los servicios adaptables como capacidad de seguridad en línea

  • A partir de Junos OS versión 19.3R2 con los servicios de última generación como capacidad de seguridad en línea

Inteligencia de seguridad (SecIntel) - Descripción general

El proceso de inteligencia de seguridad (IPFD) es responsable de descargar las fuentes de inteligencia de seguridad y analizar desde el conector de alimentación o el servidor de alimentación en la nube de ATP Cloud. El proceso IPFD en las plataformas MX captura las fuentes de comando y control IPv4/IPv6 del agente de cumplimiento de políticas. Las fuentes de C&C son esencialmente una lista de servidores que son servidores de comando y control conocidos para botnets. La lista también incluye servidores que son fuentes conocidas para descargas de malware. La información así obtenida se guarda en un archivo (urlf_si_cc_db.txt) creado en el directorio /var/db/url-filterd .

El formato de archivo de los IP no permitidos enviados por IPFD al proceso de filtrado web es el siguiente:

IPv4 address | IPv6 address, threat-level.

El threat-level es un entero que va del 1 al 10 para indicar el nivel de amenaza de los archivos analizados para el malware y para los hosts infectados. Aquí, 1 representa el nivel de amenaza más bajo y 10 representa el nivel más alto de amenazas.

Por ejemplo: 178.10.19.20, 4

Aquí, 178.10.19.20 indica el IP no permitido y 4 indica el threat-level.

La base de datos de fuentes de C&C se sincroniza en el motor de enrutamiento de respaldo. A continuación, IPFD comparte la información al proceso de filtrado web (filtrado url). El proceso de filtrado web lee el contenido del archivo y configura los filtros en consecuencia.

Configuración de inteligencia de seguridad para descargar la fuente de CC del agente de cumplimiento de políticas

Para descargar el comando y el control de fuentes IPv4/IPv6 de Juniper ATP Cloud/Policy Enforcer, incluya la security-intelligence instrucción en la [edit services] jerarquía como se muestra en el siguiente ejemplo:

Filtrado web (filtrado de URL): descripción general

El proceso de filtrado web lee el contenido del archivo obtenido del IPFD y configura los filtros en el motor de reenvío de paquetes en consecuencia. El proceso de filtrado web aplica el comando y las fuentes de control programando los filtros en el motor de reenvío de paquetes para bloquear los paquetes destinados a las direcciones IP bloqueadas y para generar registros para notificar el incidente.

En la Figura 5 se muestra la forma en que el IPFD obtiene la fuente de C&C y, luego, se procesa mediante el proceso de filtrado web.

Figura 5: Filtrado Web Filtering web

El perfil de filtro web puede tener más de una plantilla. Cada plantilla consta de un conjunto de interfaces lógicas configuradas para el filtrado web y uno o más términos. Un término es un conjunto de criterios de coincidencia con acciones que se deben realizar si se cumplen los criterios de coincidencia. Para configurar el perfil de filtro web para que use fuentes C&C recuperadas dinámicamente, puede configurar el security-intelligence-policy comando en el [edit services web-filter profile profile-name nivel de jerarquía. No es necesario configurar un término para perfiles security-intelligence-policy de filtro web basados.

Puede configurar las siguientes acciones de nivel de amenaza para el perfil de filtro web en el edit web-filter profile profile-name security-intelligence-policy threat-level threat-level threat-action nivel jerárquico:

  • drop

  • drop-and-log

  • log

Solo puede configurar uno threat-action para cada threat level. Si el threat-action no está configurado para un determinado threat level, el valor predeterminado threat-action es accept.

Configuración del perfil de filtro web para el muestreo

A partir de la versión 19.3R1 de Junos OS, el proceso de filtrado web (filtrado de URL) admite el muestreo en línea de paquetes como una acción a nivel de amenaza. Los paquetes se pierden, se registran y se prueban según la acción de amenaza que configure. Para escenarios escalados, se prefiere el muestreo de paquetes sobre la opción de registro. Junto con las acciones existentes a nivel de amenazas, puede configurar las siguientes acciones de nivel de amenaza en el perfil de filtro web en el edit web-filter profile profile-name security-intelligence-policy threat-level threat-level threat-action nivel jerárquico:

  • drop-and-sample

  • drop-log-and-sample

  • log-and-sample

  • sample

La supervisión de flujo en línea muestra los paquetes y envía los registros de flujo en formato IPFIX a un recolector de flujo. Puede derivar el nivel de amenaza para los paquetes muestreados recibidos en el recopilador externo haciendo coincidir la IP recibida de los paquetes muestreados con la entrada IP correspondiente en /var/db/url-filterd/urlf_si_cc_db.txt. Puede configurar el muestreo con cualquiera de los siguientes métodos:

  • Asocie una instancia de muestreo con la FPC en la que la interfaz de medios está presente en el [edit chassis] nivel jerárquico. Si está configurando el muestreo de flujos IPv4, flujos IPv6 o flujos VPLS, puede configurar el tamaño de la tabla hash de flujo para cada familia.

  • Configure las propiedades de la plantilla para la supervisión de flujo en línea en el [edit services flow-monitoring nivel jerárquico.

  • Configure una instancia de muestreo y asocie la dirección IP del servidor de flujo, el número de puerto, la velocidad de exportación de flujo y especifique los recolectores en el [edit forwarding-options nivel de jerarquía.

Asocie una instancia de muestreo con la FPC

Para asociar la instancia definida con una FPC, MPC o DPC determinada, se incluye la sampling-instance instrucción en el [edit chassis fpc number] nivel de jerarquía, como se muestra en el ejemplo siguiente:

Configure una instancia de muestreo y asocie la plantilla con la instancia de muestreo.

Para configurar las propiedades de plantilla para la supervisión de flujo en línea, incluya las siguientes instrucciones en el edit services flow-monitoring nivel jerárquico como se muestra en el ejemplo siguiente:

Configure la instancia de ejemplo y asocie la dirección IP del servidor de flujo y otros parámetros.

Para configurar una instancia de muestreo y asociar la dirección IP del servidor de flujo y otros parámetros. incluya las siguientes instrucciones en la [edit forwarding-options] jerarquía, como se muestra en el ejemplo siguiente:

Ejemplo: Configurar el perfil de filtro web para definir diferentes niveles de amenazas

Filtrado geoIP

Visión general

Las fuentes geoIP son esencialmente una lista de direcciones IP para asignaciones de código de país. A partir de Junos OS 21.4R1, puede configurar ubicaciones geográficas basadas en IP en enrutadores de la serie MX para obtener las fuentes geoIP del agente de cumplimiento de políticas. Al implementar las fuentes de GeoIP, puede habilitar la red para evitar que los dispositivos se comuniquen con direcciones IP que pertenecen a países específicos.

Puede configurar el proceso de inteligencia de seguridad (IPFD) en enrutadores de la serie MX para obtener las fuentes geoIP del agente de cumplimiento de políticas. De forma similar a las fuentes de IP o IPv6 de C&C existentes, IPFD descarga las fuentes geoIP del agente de cumplimiento de políticas. IPFD traduce la fuente en el formato de archivo que procesa el proceso de filtrado web (filtrado de URL) posteriormente.

A partir de Junos OS 22.1R1, puede configurar el proceso de inteligencia de seguridad (IPFD) en enrutadores de la serie MX para obtener las fuentes GeoIP de ATP Cloud de Juniper. De manera similar a las fuentes de IP o IPv6 de C&C existentes, IPFD descarga las fuentes geoIP de la nube ATP de Juniper.

Cómo configurar el filtrado geoIP en enrutadores serie MX

La información obtenida por el IPFD se guarda en un archivo (urlf_si_geoip_db.txt) creado en la ubicación /var/db/url-filterd .

El formato del archivo enviado por IPFD al proceso de filtrado web es el siguiente:

IPv4 address|IPv6 address,Prefix,threat-level,VRF-name,Gen-num. Gen-num siempre es 0. VRF-name se refiere a un código de país.

Por ejemplo, 178.10.19.22,12,255,US,0

IPFD y el proceso de filtrado web mantienen una conexión pconn para comunicar la creación o actualización de archivos que contienen fuentes GeoIP. El proceso de filtrado web aplica las fuentes geoIP programando los filtros en el PFE para bloquear los paquetes destinados a los países bloqueados. Las API proporcionadas por liburlf se utilizan para validar y analizar los archivos.

El proceso de filtrado web lee el archivo que contiene la lista de direcciones IP y los filtros PFE se programan con las direcciones IP de destino enumeradas en la fuente y la acción configurada para el país asociado.

  • Filtros globales: los países se configuran bajo regla global dentro de un perfil. Todas las direcciones IP de los países específicos de esa regla global se programan en un solo filtro y se aplican a todas las plantillas del perfil. Puede configurar un perfil para capturar dinámicamente la fuente geoIP mediante la geo-ip rule match country country-name configuración en la [edit services web-filter profile profile-name security-intelligence-policy] jerarquía .

  • Filtro de grupo: los grupos de países se configuran bajo una plantilla. Todas las direcciones IP asociadas con los países de un grupo se programan en un filtro de grupo aplicado a las plantillas en las que está configurado ese grupo. Group es una lista de países definidos en un archivo JSON que se analiza mediante liburlf.

    Para configurar un filtro de grupo, debe configurar un archivo JSON en la ubicación /var/db/url-filterd , donde el archivo group.json contiene las asignaciones de grupo.

    El formato del archivo JSON es el siguiente:

    [

    {

    "group_name" : "group1",

    "country" : ["ZA","YE"]

    },

    {

    "group_name" : "group2",

    "country" : ["YT"]

    }

    ]

    Para obtener fuentes geoIP dinámicamente, puede configurar un filtro global mediante un solo perfil o configurar varios filtros de grupo mediante plantillas. No admite ambas configuraciones juntos.

    Los grupos creados en el archivo JSON se hacen referencia en la cláusula de coincidencia GeoIP definida en la [edit services web-filter profile profile-name url-filter-template template-name security-intelligence-policy geo-ip rule match group group-name] jerarquía.

Lista global de permitidos y lista de bloqueo global

Puede elegir personalizar la fuente ip agregando su propia lista de permitidos y listas de bloqueo. Esto puede ser útil para administrar fuentes de inteligencia personalizadas para su centro de operaciones de seguridad o como medida temporal para falsos positivos. A partir de junos OS versión 21.4R1, puede permitir o bloquear ciertas direcciones IP según la configuración a través de una CLI o un archivo. Puede configurar una lista independiente para allowlist y una lista independiente para listas de bloqueo, o incluir las direcciones IP en un archivo e incluir el nombre de archivo en la configuración de la CLI.

Puede crear una IP-address-list en la [edit services web-filter] jerarquía. Aquí, IP-address-list contiene la lista de direcciones IP que se deben permitir o bloquear. También puede crear un archivo que contenga las direcciones IP que se deben permitir o bloquear en la ubicación filtrada /var/db/url . Las direcciones IP configuradas como parte de la lista de direcciones IP o de archivo se programan como parte del filtro global, que se adjunta a todas las plantillas.

Puede definir una lista de permitidos global mediante la white-list (IP-address-list | file-name) configuración en la edit services web-filter profile profile-name security-intelligence-policy jerarquía. Puede definir una lista de bloqueo global mediante la configuración de la black-list (IP-address-list | file-name) jerarquía edit services web-filter profile profile-name security-intelligence-policy . Aquí, el IP-address-list, hace referencia al nombre de la lista de direcciones IP especificada en la [edit services web-filter] jerarquía. El file-name se refiere al nombre del archivo que contiene la lista de direcciones IP que se deben permitir o bloquear. El archivo debe estar en la ubicación /var/db/url-filterd y debe tener el mismo nombre que en la configuración.

El formato del archivo global allowlist es el siguiente:

Security Intelligence Policy Enforcement Version 2.0

El formato del archivo de lista de bloqueo global es el siguiente:

Security Intelligence Policy Enforcement Version 2.0

El proceso de filtrado web analiza la lista de direcciones IP de listas de permitidos globales o globales y programa los términos de filtro implícitos con las direcciones IP configuradas para permitir o bloquear los paquetes.

Tabla de historial de versiones
Lanzamiento
Descripción
19.3R2
A partir de Junos OS versión 19.3R2, esta misma funcionalidad se admite para los servicios de próxima generación en MX240, MX480 y MX960.
19.3R2
A partir de Junos OS versión 19.3R2, esta misma funcionalidad está disponible para Serices de próxima generación en MX240, MX480 y MX960.
19.3R2
A partir de Junos OS versión 19.3R2, puede configurar el filtrado DNS si está ejecutando servicios de última generación con la tarjeta de servicios MX-SPC3. Los servicios de próxima generación se admiten en enrutadores MX240, MX480 y MX960.
19.3R2
A partir de Junos OS versión 19.3R2 con los servicios de última generación como capacidad de seguridad en línea
19.3R1
A partir de Junos OS versión 19.3R1, el proceso de filtrado web (filtrado de URL) admite el muestreo en línea de paquetes como una acción a nivel de amenaza
18.4R1
A partir de Junos OS versión 18.4R1 con los servicios adaptables como capacidad de seguridad en línea
18.3R1
A partir de Junos OS versión 18.3R1, para servicios adaptables. configure el perfil en el [edit services web-filter] nivel jerárquico. Antes de la versión 18.3R1 de Junos OS, configure el perfil en el [edit services url-filter] nivel jerárquico.
17.2R2
A partir de Junos OS versión 17.2R2 y 17.4R1, para servicios adaptables, puede deshabilitar el filtrado del tráfico HTTP que contiene una dirección IP integrada (por ejemplo, http:/10.1.1.1) que pertenece a un nombre de dominio no permitido en la base de datos de filtros url.