Cómo diseñar un filtro de firewall junos
Video: Junos Firewall Filter Configuration Part 1
Para diseñar un filtro de firewall Junos correctamente, es necesario saber cómo Junos procesa los filtros. Hay dos consideraciones básicas a tener en cuenta para asegurar que los filtros de firewall Junos comportan de la manera que desea:
Video: JUNOS Prep Series - Part 3 : JUNOS Routing Concepts
En la mayoría de los dispositivos, se pueden aplicar varios filtros de firewall en una cadena ordenada. Si se aplica el límite-ssh-telnet filtrar a la interfaz de bucle de retorno del router, esta interfaz acepta el tráfico SSH y Telnet, pero nada más. Así que si ha configurado otros protocolos, tales como SNMP, BGP, OSPF e IS-IS, para utilizar la dirección de bucle de retorno como la dirección del router, los paquetes de los protocolos se bloquean y no llegan al router.
Sin embargo, puede escribir una serie de filtros de cortafuegos más pequeños y aplicarlas en una cadena, lo que permite reutilizar piezas más pequeñas de firewall filtros varias veces en lugar de escribir filtros personalizados de firewall para cada interfaz.
Al configurar una cadena de filtros de cortafuegos, el sistema operativo Junos actúa como si usted acababa de crear un filtro de firewall grande, compuesto por los términos de cada filtro en orden. (Esto significa que si se pone este límite-ssh-telnet filtrar por primera vez en una cadena, se rechaza el resto del tráfico independientemente de los filtros de firewall restantes, debido a que el segundo término de la cadena rechaza todo el tráfico.)
Junos OS evalúa los términos en un filtro de firewall (o cadena de filtros de cortafuegos) en orden, comenzando con el primero. El router procesa cada paquete a través de los términos de un filtro de firewall en orden hasta que encuentre una coincidencia.
Cuando el router encuentra una coincidencia, se necesitan las acciones indicadas por el término de entonces cláusula, lo que significa que se debe asegurar que el tráfico será aceptada o rechazada en el lugar correcto, pero no antes.
Así, por ejemplo, si desea permitir que todo el tráfico de Telnet, pero niegan el resto del tráfico TCP, es necesario poner el término que permite el tráfico de Telnet antes del término negar el tráfico TCP. Si los pone en el orden inverso, el router negar el tráfico de Telnet (Telnet porque utiliza TCP) y nunca llegar al plazo para permitir el tráfico de Telnet.
No lo hace, sin embargo, tiene que preocuparse sobre cómo optimizar sus filtros de cortafuegos, debido a que el sistema operativo Junos lo hace por usted. Tener el software de cuidar de su filtrado hace que su trabajo fácil. Usted sólo se preocupe por asegurándose de que la lógica del filtro está en el orden correcto, y el router se encarga de la optimización por usted.