Bagaimana Melindungi Mesin Routing Junos - dummies

Meskipun semua antarmuka penting, antarmuka loopback (lo0) mungkin yang paling penting karena ini adalah tautan ke Mesin Routing, yang berjalan dan memonitor semua protokol routing Artikel ini menyediakan kerangka filter firewall yang melindungi Routing Engine. Anda bisa menggunakan contoh ini sebagai cetak biru untuk merancang filter yang sesuai untuk router Anda. Filter diterapkan pada antarmuka lo0 router.

Filter ini ditujukan untuk konfigurasi router untuk konfigurasi IPv4 yang umum:

• IPv4

• protokol routing BGP dan IS-IS

• RADIUS, SSH, dan akses Telnet

• SNMP NMS access

• NTP

Karena filter firewall dievaluasi secara berurutan, tempatkan item yang paling penting waktu - protokol routing - pertama. Terimalah lalu lintas dari rekan BGP Anda yang diketahui dan dari tetangga IS-IS yang dikenal dengan AS menggunakan perintah set berikut ini:

[edit firewall filter routing-engine] set term bgp-filter dari alamat-sumber peer-address1 set term bgp-filter dari alamat-sumber peer-address2 mengatur term bgp-filter dari protokol tcp mengatur term bgp-filter dari port bgp mengatur term bgp-filter kemudian menerima

Kemudian menerima lalu lintas DNS (untuk resolusi hostname):

[edit firewall-filter routing-engine] set term dns-filter dari source-address network-address set term dns-filter dari protokol [tcp udp] set term dns-filter dari domain port set term dns-filter kemudian terima

Selanjutnya, terima lalu lintas RADIUS, SSH, Telnet, dan SNMP NMS:

[edit firewall-filter routing-engine] setel radius-filter dari alamat-sumber radius-server-address1 setel radius-filter dari alamat-sumber radius-server-address2 menetapkan istilah radius-filter dari radius port-source setel radius-filter kemudian menerima set term ssh-telnet-filter dari alamat-sumber network-address1 set term ssh-telnet -filter dari alamat-sumber network-address2 setel ssh-telnet-filter dari protokol tcp set term ssh-telnet-filter dari port tujuan [ssh telnet] set term ssh-telnet-filter kemudian terima set filter snmp jangka panjang dari alamat sumber network-address1 setel filter snmp dari alamat-sumber network-address2 setel filter snmp dari protokol udp setel filter snmp dari tujuan -port snmp setel snmp-filter lalu terima

Lalu lintas terakhir untuk menerima berasal dari server waktu NTP dan protokol ICMP (yang mengirim pesan kesalahan IPv4):

[edit firewall-filter routing-engine] menetapkan istilah ntp-filter dari alamat-sumber server-address1 setel ntp-filter dari alamat-sumber server-address2 setel ntp-filter dari alamat-sumber 127.0. 0. 1 set term ntp-filter dari protokol udp set term ntp-filter dari port ntp set term ntp-filter kemudian terima set term icmp-filter dari protokol icmp set term icmp-filter dari icmp-type [echo -meminta echo-reply unreachable time-over source-quench] menetapkan term icmp-filter kemudian menerima

Bagian terakhir dari filter secara eksplisit membuang semua lalu lintas lainnya:

[edit firewall-filter routing-engine] set term membuang -sekarang kemudian hitung counter-filename set istilah membuang-sisanya-maka log set istilah membuang-sisanya-maka syslog menetapkan istilah membuang-sisanya-tolak

Anda perlu membuat file di mana untuk menempatkan pesan syslog:

[edit system] fred @ router # set syslog file filename firewall any

Dan terakhir, terapkan filter firewall ke antarmuka loopback router: > [edit interface] fred @ router # set lo0 unit 0 input inet filter keluarga routing-engine