Slik beskytter du Junos Routing Engine - dummies

Selv om alle grensesnitt er viktige, er loopback (lo0) grensesnittet kanskje det viktigste fordi det er lenken til rutemotoren som kjører og overvåker alle rutingsprotokollene. Denne artikkelen gir skjelettet til et brannmurfilter som beskytter rutemotoren. Du kan bruke dette eksemplet som en tegning for å designe det riktige filteret for ruteren. Filteret påføres ruterenes lo0-grensesnitt.

Dette filteret er beregnet for en vanlig IPv4-oppsett:

• IPv4

• BGP og IS-IS ruteprotokoller

• RADIUS, SSH og Telnet-tilgang

• SNMP NMS-tilgang

• NTP

Fordi brannmurfiltre vurderes i rekkefølge, plasserer du de mest tidskritiske elementene - ruteprotokollene - først. Godta trafikk fra dine kjente BGP-kolleger og fra de kjente IS-IS-naboene med AS ved hjelp av følgende sett kommandoer:

[rediger brannmurfilter routing-motor] settet bgp-filter fra kildeadresse peer-address1 sett term bgp-filter fra kildeadresse peer-adresse2 sett termen bgp-filter fra protokollen tcp sett termen bgp-filter fra port bgp sett termen bgp filter deretter godta

Så godta DNS trafikk (for hostname resolution):

[rediger brannmur filter routing engine] sett sikt dns-filter fra kildeadresse nettverksadresse sett sikt dns-filter fra protokoll [tcp udp] sett sikt dns-filter fra port domene sett sikt dns-filter og godta deretter

Neste, godta RADIUS, SSH, Telnet og SNMP NMS trafikk:

[rediger brannmurfilter-rutemotor] satt termiusradiusfilter fra kildeadresse radius-server-adresse1 satt termusradiusfilter fra kildeadresse radius-server-adresse2 Sett-termus-radiusfilter fra radiusfilter med kildesportradius Sett termosradiusfilter, og godta deretter SPS-Telnet-filter fra kildeadresse Nettverksadresse1 Sett term ssh-Telnet -filter fra kildeadresse nettverksadresse2 sett ssh-telnet-filter fra protokoll tcp settterm ssh-telnet-filter fra destinasjonsport [ssh telnet] satt term ssh-telnet-filter og aksepter deretter sett sikt-snmp-filter fra kildeadresse nettverksadresse1 sett sikt-snmp-filter fra kildeadresse nettverksadresse2 settet term snmp-filter fra protokoll utp sett term snmp-filter fra destinasjon -port snmp set term snmp-filter og godta deretter

Den siste trafikken for å godta, er fra NTP-tidsservere og ICMP-protokollen (som sender IPv4-feilmeldinger):

[rediger brannmurfilterdirigeringsmotor] ntp-filteret fra kildeadresse server-adresse1 sett term ntp-filter fra kildeadresse server-adresse2 sett term ntp-filter fra kildeadresse 127.0. 0. 1 sett term ntp-filter fra protokoll utp sett term ntp-filter fra port ntp sett term ntp filter deretter akseptert sett term term icmp-filter fra protokoll icmp sett term icmp-filter fra icmp-type [echo -request echo-reply unreachable time-oversatt kilde-quench] sett term icmp-filter og godta deretter

Den siste delen av filteret kaster ut eksplisitt all annen trafikk:

[rediger brannmurfilter routing-motor] -Resten så teller motfilnavn Sett termen kaste-resten så logg innsett termid kaste-resten så syslog Sett termen kaste-resten, avslå deretter

Du må opprette fil for å plassere syslog-meldingene:

[rediger system] fred @ router # sett syslog-filen filnavn brannmur noen

Og til slutt, bruk brannmurfiltret til rutens loopback-grensesnitt: > [rediger grensesnitt] fred @ router # sett lo0 enhet 0 familie inet filter inngang ruting motor