Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Ejemplo: Configure un filtro para bloquear telnet y acceso SSH

Requisitos

Necesita dos dispositivos que se ejecuten Junos OS con un vínculo de red compartido. Ninguna configuración especial más allá de la inicialización básica del dispositivo (interfaz de administración, acceso remoto, cuentas de inicio de sesión de usuario, etc.) es necesario antes de configurar este ejemplo. Aunque no es un requisito estricto, se recomienda el acceso de la consola al dispositivo R2.

Nota:

Nuestro equipo de pruebas de contenido validó y actualizó este ejemplo.

Descripción general y topología

En este ejemplo, crea un filtro de firewall sin estado IPv4 que registra y rechaza paquetes Telnet o SSH enviados al motor de enrutamiento local, a menos que el paquete se origine en la subred 192.168.1.0/30 . El filtro se aplica a la interfaz de circuito cerrado para garantizar que solo se vea afectado el tráfico destinado al dispositivo local. El filtro se aplica en la dirección de entrada. No se utiliza un filtro de salida. Como resultado, se permite todo el tráfico generado localmente.

  • Para hacer coincidir paquetes que se originan en una subred o prefijo IP específico, utilice la source-address condición de coincidencia IPv4 aplicada en la dirección de entrada.

  • Para hacer coincidir paquetes destinados al puerto Telnet y los puertos SSH, utilice la protocol tcp condición de coincidencia combinada con una port telnet y port ssh condiciones de coincidencia IPv4 aplicadas en la dirección de entrada.

Topología de ejemplo

Figura 1 muestra la topología de prueba para este ejemplo. El filtro de firewall se aplica al dispositivo R2, lo que lo convierte en el dispositivo en prueba (DUT). Los dispositivos R1 y R2 comparten un vínculo al que se asigna una subred de 192.168.1.0/30. Ambos dispositivos tienen direcciones de circuito cerrado asignadas desde el prefijo 192.168.255.0/30 mediante una máscara de subred /32. Las rutas estáticas proporcionan accesibilidad entre direcciones de circuito cerrado porque un protocolo de puerta de enlace interior no está configurado en este ejemplo básico.

Figura 1: Topología de ejemploTopología de ejemplo

Configuración

En el ejemplo siguiente, debe navegar por varios niveles en la jerarquía de configuración. Para obtener información acerca de cómo navegar por la CLI, consulte Uso del editor de CLI en modo de configuración.

PRECAUCIÓN:

Por diseño, el filtro de ejemplo restringe el acceso Telnet y SSH a R2, a menos que se origine en la subred compartida en R1. Si utiliza SSH o Telnet para acceder directamente al dispositivo R2, perderá la conectividad cuando se aplique el filtro. Recomendamos que tenga acceso a la consola al configurar este ejemplo. Si es necesario, puede usar el dispositivo R1 como un host de salto para iniciar una sesión SSH en R2 después de aplicar el filtro. Como alternativa, considere la posibilidad de modificar el filtro de ejemplo para permitir también la subred IP asignada a la máquina que usa para acceder al dispositivo R2.

Realice las siguientes tareas para configurar este ejemplo:

Configuración rápida de CLI

Configuración rápida para el dispositivo R1

Para configurar rápidamente el dispositivo R1, edite los siguientes comandos según sea necesario y péguelos en la CLI en el [edit] nivel de jerarquía. Asegúrese de emitir un commiten modo de configuración para activar los cambios.

Configuración rápida para el dispositivo R2

Para configurar rápidamente el dispositivo R2, edite los siguientes comandos según sea necesario y péguelos en la CLI en el [edit] nivel de jerarquía. Asegúrese de emitir un commit en modo de configuración para activar los cambios.

Consejo:

Considere la posibilidad de usar commit-confirmed cuando realice cambios que puedan afectar el acceso remoto al dispositivo. Activación de una configuración de Junos OS, pero que requiere confirmación

Configure el dispositivo R1

Procedimiento paso a paso

Siga estos pasos para configurar el dispositivo R1:

  1. Configure las interfaces:

  2. Configure el nombre de host y la ruta estática a la dirección de circuito cerrado del dispositivo R2. También configura el acceso Telnet y SSH:

Verifique y confirme la configuración en el dispositivo R1

Procedimiento paso a paso

Complete los siguientes pasos para verificar y confirmar la configuración del candidato en el dispositivo R1:

  1. Confirme la configuración de la interfaz con el comando de show interfaces modo de configuración. Si el resultado del comando no muestra la configuración deseada, repita las instrucciones de este ejemplo para corregir la configuración.

  2. Verifique la ruta estática utilizada para llegar a la dirección de circuito cerrado del dispositivo R2 y que el acceso SSH y Telnet estén habilitados. Utilice los comandos y show system services del show routing-options modo de configuración. Si el resultado del comando no muestra la configuración deseada, repita las instrucciones de este ejemplo para corregir la configuración.

  3. Cuando esté satisfecho con la configuración en el dispositivo R1, confirme la configuración del candidato.

Configure el dispositivo R2

Procedimiento paso a paso

Complete los pasos siguientes para configurar el dispositivo R2. Para empezar, defina el filtro de firewall sin estado que bloquea selectivamente el acceso Telnet y SSH:

  1. Colócate en la jerarquía edit firewall family inet filter de local_acl :

  2. Defina el término de filtro terminal_access. Este término permite Telnet y SSH desde los prefijos de origen especificados:

  3. Defina el término de filtro terminal_access_denied. Este término rechaza SSH y Telnet de todas las demás direcciones de origen. Este término está configurado para registrar coincidencias con el término y para generar una respuesta explícita de destino del Protocolo de mensajes de control de Internet (ICMP) de vuelta al origen del paquete. Consulte Acciones de registro de filtros de firewall para obtener más información sobre las opciones de registro de filtros.

    Consejo:

    Puede usar la acción para suprimir la discard generación de mensajes de error ICMP de nuevo al origen. Consulte Acciones de terminación de filtros de firewall para obtener más información.

  4. Defina el término de filtro término predeterminado. Este término acepta el resto del tráfico. Recuerde que Junos OS los filtros sin estado tienen un término de denegación implícito al final. El término predeterminado anula este comportamiento mediante la terminación del filtro con una acción de aceptación explícita. La terminación del filtro da como resultado que el filer acepte el resto del tráfico.

  5. Configure la interfaz de circuito cerrado y aplique el filtro en la dirección de entrada:

  6. Configure el nombre de host, la interfaz ge-0/0/0, la ruta estática a la dirección de circuito cerrado del dispositivo R1 y habilite el acceso remoto a través de SSH y Telnet:

Verifique y confirme la configuración en el dispositivo R2

Procedimiento paso a paso

Complete los siguientes pasos para verificar y confirmar la configuración del candidato en el dispositivo R2:

  1. Confirme la configuración del filtro de firewall sin estado con el comando de show firewall modo de configuración. Si el resultado del comando no muestra la configuración deseada, repita las instrucciones de este ejemplo para corregir la configuración.

  2. Confirme la configuración de la interfaz y filtre la aplicación con el comando de show interfaces modo de configuración. Si el resultado del comando no muestra la configuración deseada, repita las instrucciones de este ejemplo para corregir la configuración.

  3. Verifique la ruta estática utilizada para llegar a la dirección de circuito cerrado del dispositivo R1 y verifique que el acceso Telnet y SSH estén habilitados. Utilice los comandos y show system services del show routing-options modo de configuración. Si el resultado del comando no muestra la configuración deseada, repita las instrucciones de este ejemplo para corregir la configuración.

  4. Cuando esté satisfecho con la configuración en el dispositivo R2, confirme la configuración del candidato.

    Consejo:

    Considere la posibilidad de usar commit-confirmed cuando realice cambios que puedan afectar el acceso remoto al dispositivo.

Verifique el filtro de firewall sin estado

Confirme que el filtro de firewall para limitar el acceso Telnet y SSH funciona correctamente.

Verificar paquetes aceptados

Propósito

Compruebe que el filtro de firewall permite correctamente SSH y Telnet cuando el tráfico se origina en la subred 192.168.1.0/30 .

Acción

  1. Desactive el registro de firewall en su enrutador o conmutador.

  2. Desde un host en una dirección IP dentro de la subred 192.168.1.0/30 , use un ssh 192.168.255.2 comando para comprobar que puede iniciar sesión en el dispositivo mediante SSH desde una dirección de origen permitida. Este paquete se debe aceptar, pero la información del encabezado del paquete para este paquete no se debe registrar en el búfer de registro del filtro de firewall en el motor de reenvío de paquetes. Se le pedirá que guarde la clave de host SSH si este es el primer inicio de sesión SSH como usuario entre estos dispositivos.

    Nota:

    De forma predeterminada, el dispositivo R1 originará el tráfico SSH desde la interfaz de salida utilizada para llegar al destino. Como resultado, este tráfico se origina en la dirección 192.168.1.1 asignada a la interfaz ge-0/0/0 del dispositivo R1.

  3. Cierre sesión de la CLI en el dispositivo R2 para cerrar la sesión SSH.

  4. Desde un host en una dirección IP dentro de la subred 192.168.1.0/30 , utilice el telnet 192.168.255.2 comando para comprobar que puede iniciar sesión en su enrutador o conmutador mediante Telnet desde una dirección de origen permitida. Este paquete se debe aceptar, pero la información del encabezado del paquete para este paquete no se debe registrar en el búfer de registro del filtro de firewall en el motor de reenvío de paquetes.

  5. Salga de la CLI para cerrar la sesión telnet al dispositivo R2.

  6. Utilice el show firewall log comando para comprobar que el búfer de registro de firewall en el motor de reenvío de paquetes (PFE) del dispositivo R2 no contiene ninguna entrada con una dirección de origen en la subred 192.168.1.0/30 .

Verificar paquetes registrados y rechazados

Propósito

Compruebe que el filtro de firewall rechaza correctamente el tráfico SSH y Telnet que no se origina en la subred 192.168.1.0/30 .

Acción

  1. Desactive el registro de firewall en su enrutador o conmutador.

  2. Genere tráfico SSH procedente de la dirección de circuito cerrado del dispositivo R1. La dirección de origen de este tráfico está fuera de la subred 192.168.1.0/30 permitida. Utilice el ssh 192.168.255.2 source 192.168.255.1 comando para comprobar que no puede iniciar sesión en el dispositivo mediante SSH desde esta dirección de origen. Este paquete se debe rechazar y la información del encabezado del paquete debe registrarse en el búfer de registro del filtro de firewall.

    El resultado muestra que se rechaza la conexión SSH. Este resultado confirma que el filtro genera un mensaje de error ICMP y que bloquea correctamente el tráfico SSH cuando se envía desde una dirección de origen no permitido.

  3. Genere tráfico Telnet procedente de la dirección de circuito cerrado del dispositivo R1. La dirección de origen de este tráfico está fuera de la subred 192.168.1.0/30 permitida. Utilice el telnet 192.168.255.2 source 192.168.255.1 comando para comprobar que no puede iniciar sesión en el dispositivo mediante Telnet desde esta dirección de origen. Este paquete se debe rechazar y la información del encabezado del paquete para este paquete se debe registrar en el búfer de registro del filtro de firewall en el PFE.

    El resultado muestra que se rechaza la conexión Telnet. Este resultado confirma que el filtro genera un mensaje de error ICMP y que bloquea correctamente el tráfico telnet cuando se envía desde una dirección de origen no permitido.

  4. Utilice el show firewall log comando para comprobar que el búfer de registro de firewall en el dispositivo R2 contiene entradas que muestran que se rechazaron los paquetes con una dirección de origen 192.168.255.1.

    El resultado confirma que el tráfico de la dirección de origen 192.168.255.1 coincide con el término terminal_access_denied del filtro. La Action columna muestra un R para indicar que se rechazaron estos paquetes. También se enumeran la interfaz, el protocolo de transporte y las direcciones de origen y destino. Estos resultados confirman que el filtro de firewall funciona correctamente para este ejemplo.