EN ESTA PÁGINA
Ejemplo: Configurar un filtro de firewall sin estado para aceptar tráfico de fuentes de confianza
En este ejemplo, se muestra cómo crear un filtro de firewall sin estado que proteja el motor de enrutamiento del tráfico que se origina en fuentes que no son de confianza.
Requisitos
No se requiere ninguna configuración especial más allá de la inicialización del dispositivo antes de configurar filtros de firewall sin estado.
Descripción general
En este ejemplo, se crea un filtro de firewall sin estado llamado protect-RE que descarta todo el tráfico destinado al motor de enrutamiento, excepto los paquetes de protocolo SSH y BGP de fuentes de confianza especificadas. En este ejemplo, se incluyen los siguientes términos de filtro de firewall:
ssh-term: acepta paquetes TCP con una dirección de origen y un puerto de192.168.122.0/24destino que especifica SSH.bgp-term— Acepta paquetes TCP con una dirección de origen y un puerto de10.2.1.0/24destino que especifica BGP.discard-rest-term— Para todos los paquetes que no son aceptados porssh-termobgp-term, crea un registro de filtro de firewall y registros de registro del sistema, luego descarta todos los paquetes.
Puede mover términos dentro del filtro de firewall mediante el insert comando. Consulte insertar en la Guía del usuario de la CLI de Junos OS.
Configuración
Procedimiento
Configuración rápida de CLI
Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red y, luego, copie y pegue los comandos en la CLI en el [edit] nivel de jerarquía.
set firewall family inet filter protect-RE term ssh-term from source-address 192.168.122.0/24 set firewall family inet filter protect-RE term ssh-term from protocol tcp set firewall family inet filter protect-RE term ssh-term from destination-port ssh set firewall family inet filter protect-RE term ssh-term then accept set firewall family inet filter protect-RE term bgp-term from source-address 10.2.1.0/24 set firewall family inet filter protect-RE term bgp-term from protocol tcp set firewall family inet filter protect-RE term bgp-term from destination-port bgp set firewall family inet filter protect-RE term bgp-term then accept set firewall family inet filter protect-RE term discard-rest-term then log set firewall family inet filter protect-RE term discard-rest-term then syslog set firewall family inet filter protect-RE term discard-rest-term then discard set interfaces lo0 unit 0 family inet filter input protect-RE
Procedimiento paso a paso
El siguiente ejemplo requiere que navegue por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Usar el Editor de CLI en modo de configuración la Guía del usuario de la CLI de Junos OS.
Para configurar el filtro de firewall sin estado:
Cree el filtro de firewall sin estado.
[edit] user@host# edit firewall family inet filter protect-RE
Cree el primer término de filtro.
[edit firewall family inet filter protect-RE] user@host# edit term ssh-term
Defina las condiciones de coincidencia de protocolo, puerto de destino y dirección de origen para el término.
[edit firewall family inet filter protect-RE term ssh-term] user@host# set from protocol tcp destination-port ssh source-address 192.168.122.0/24
Defina las acciones para el término.
[edit firewall family inet filter protect-RE term ssh-term] user@host# set then accept
Cree el segundo término de filtro.
[edit firewall family inet filter protect-RE] user@host# edit term bgp-term
Defina las condiciones de coincidencia de protocolo, puerto de destino y dirección de origen para el término.
[edit firewall family inet filter protect-RE term bgp-term] user@host# set from protocol tcp destination-port bgp source-address 10.2.1.0/24
Defina la acción para el término.
[edit firewall family inet filter protect-RE term bgp-term] user@host# set then accept
Cree el tercer término de filtro.
[edit firewall family inet filter protect-RE] user@host# edit term discard-rest-term
Defina la acción para el término.
[edit firewall family inet filter protect-RE term discard-rest] user@host# set then log syslog discard
Aplique el filtro al lado de entrada de la interfaz del motor de enrutamiento.
[edit] user@host# set interfaces lo0 unit 0 family inet filter input protect-RE
Resultados
Confirme su configuración ingresando el show firewall comando y el comando desde el show interfaces lo0 modo de configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones en este ejemplo para corregir la configuración.
user@host# show firewall
family inet {
filter protect-RE {
term ssh-term {
from {
source-address {
192.168.122.0/24;
}
protocol tcp;
destination-port ssh;
}
then accept;
}
term bgp-term {
from {
source-address {
10.2.1.0/24;
}
protocol tcp;
destination-port bgp;
}
then accept;
}
term discard-rest-term {
then {
log;
syslog;
discard;
}
}
}
}
user@host# show interfaces lo0
unit 0 {
family inet {
filter {
input protect-RE;
}
address 127.0.0.1/32;
}
}
Si ha terminado de configurar el dispositivo, ingrese commit desde el modo de configuración.
[edit] user@host# commit
Verificación
Para confirmar que la configuración funciona correctamente, realice estas tareas:
- Visualización de configuraciones de filtro de firewall sin estado
- Verificar un filtro de firewall de servicios, protocolos y fuentes de confianza
- Mostrar registros de filtros de firewall sin estado
Visualización de configuraciones de filtro de firewall sin estado
Propósito
Compruebe la configuración del filtro de firewall.
Acción
Desde el modo de configuración, escriba el show firewall comando y el show interfaces lo0 comando.
Significado
Compruebe que el resultado muestra la configuración prevista del filtro de firewall. Además, compruebe que los términos se enumeran en el orden en el que desea que se prueben los paquetes. Puede mover términos dentro de un filtro de firewall mediante el comando cli insert .
Verificar un filtro de firewall de servicios, protocolos y fuentes de confianza
Propósito
Verifique que se realicen las acciones de los términos del filtro de firewall.
Acción
Envíe paquetes al dispositivo que coincidan con los términos. Además, compruebe que se not realizan las acciones de filtro para paquetes que no coincidan.
Utilice el
ssh host-namecomando desde un host en una dirección IP que coincida192.168.122.0/24para comprobar que puede iniciar sesión en el dispositivo usando solo SSH desde un host con este prefijo de dirección.Utilice el
show route summarycomando para comprobar que la tabla de enrutamiento del dispositivo no contiene ninguna entrada con un protocolo distinto deDirect,Local,BGPoStatic.
Salida de muestra
nombre de comando
% ssh 192.168.249.71 %ssh host user@host's password: --- JUNOS 6.4-20040518.0 (JSERIES) #0: 2004-05-18 09:27:50 UTC user@host>
nombre de comando
user@host> show route summary
Router ID: 192.168.249.71
inet.0: 34 destinations, 34 routes (33 active, 0 holddown, 1 hidden)
Direct: 10 routes, 9 active
Local: 9 routes, 9 active
BGP: 10 routes, 10 active
Static: 5 routes, 5 active
...
Significado
Compruebe la siguiente información:
Puede iniciar sesión correctamente en el dispositivo mediante SSH.
El
show route summarycomando no muestra un protocolo que no seaDirect,Local,BGP, oStatic.
Mostrar registros de filtros de firewall sin estado
Propósito
Compruebe que los paquetes se están registrando. Si incluyó la log o syslog acción en un término, verifique que los paquetes que coincidan con el término se registren en el registro del firewall o en la instalación de registro del sistema.
Acción
Desde el modo operativo, ingrese el show firewall log comando.
Salida de muestra
nombre de comando
user@host> show firewall log Log : Time Filter Action Interface Protocol Src Addr Dest Addr 15:11:02 pfe D ge-0/0/0.0 TCP 172.17.28.19 192.168.70.71 15:11:01 pfe D ge-0/0/0.0 TCP 172.17.28.19 192.168.70.71 15:11:01 pfe D ge-0/0/0.0 TCP 172.17.28.19 192.168.70.71 15:11:01 pfe D ge-0/0/0.0 TCP 172.17.28.19 192.168.70.71 ...
Significado
Cada registro de la salida contiene información sobre el paquete registrado. Compruebe la siguiente información:
En
Time, se muestra la hora del día en que se filtre el paquete.El
Filterresultado siemprepfees .En
Action, la acción configurada del término coincide con la acción realizada en el paquete—A(aceptar),D(descartar),R(rechazar).En
Interface, la interfaz de entrada (entrada) a la que llegó el paquete es adecuada para el filtro.En
Protocol, el protocolo en el encabezado IP del paquete es apropiado para el filtro.En
Src Addr, la dirección de origen en el encabezado IP del paquete es adecuada para el filtro.En
Dest Addr, la dirección de destino en el encabezado IP del paquete es adecuada para el filtro.