Visizplatītākie meklējumi
mikrotikugunsmūrisVPNnetinstallmājas ap
3.4. nodaļa – Ugunsmūra filtrs
Struktūra: ķēdes un darbības
- Ķēde: ir noteikumu grupējums, kas balstīts uz tiem pašiem kritērijiem. Ir trīs noklusējuma ķēdes, kuru pamatā ir iepriekš noteikti kritēriji.
- ievade: satiksme, kas iet uz maršrutētāju
- uz priekšu: satiksme, kas iet caur maršrutētāju
- izeja: satiksme, kas nāk no maršrutētāja
- Piemēram, varat ieviest ķēdi, kas nodota:
- Pamatojoties uz kritērijiem: visa icmp trafika.
- Pamatojoties uz trafiku, kas nāk no Ethernet portiem, piemēram: Ether2 uz attālo LAN tīklu vai tilta tīklu.
- Lietotāji nosaka ķēdes, un tās tiek izveidotas atkarībā no parametriem, kurus var salīdzināt, un, ja vēlas, viņi var veikt "lēcienu", lai pēc atbilstības apstiprināšanas tiktu veikta pāreja uz citu ugunsmūra noteikumu, Tas ir definēts "lēciena mērķī"
- Darbība nosaka, ko filtrs vai kārtula darīs, ja paketes atbilst visiem filtrējamajiem nosacījumiem.
- Paketes tiek secīgi pārbaudītas pret esošajiem noteikumiem pašreizējā ugunsmūra ķēdē, līdz notiek atbilstība. (Ja jums ir #, tas nozīmē, ka tiks ievērots pasūtījums: pirmais, ja tie sakrīt, darbība tiek lietota, un pēc tam tā pāries uz nākamo, ja šī opcija ir iespējota, pretējā gadījumā analīze beigsies ar to.)
Ugunsmūra filtrēšana darbībā
Varat izmantot ugunsmūra drošības priekšrocības dažādos veidos, piemēram:
- Uzticieties mūsu LAN drošībai, jo tas, kas nāk no WAN, nav drošs.
- Mēs bloķējam visus un pieļaujam tikai to, par ko vienojamies.
- Mēs atļausim visu un bloķēsim tikai to, kas rada problēmas.
Pamatpadomi un triki
- Pirms ugunsmūra izmaiņu veikšanas pārejiet uz "drošo režīmu"
- Pēc konfigurāciju veikšanas un ugunsmūra noteikumu izmaiņu veikšanas ieteicams pārbaudīt trūkumus: ieteicamais rīks: ShieldsUP
- Pirms darba sākšanas ieteicams vienkāršā tekstā vai uz papīra uzrakstīt vienkāršu aprakstu par politikām, kuras vēlaties piemērot.
- Kad esat tos sapratis un piekrītat tiem, turpiniet pieteikties maršrutētājā.
- Kad esat apmierināts ar ievadītajiem pamatnoteikumiem, pakāpeniski pievienojiet tālāk norādītos noteikumus.
- Ja drošības zonā esat jauns, vēlams neievadīt noteikumus, kas norāda uz visām pusēm, pietiek ar pamatlietām, bet tas ir jādara labi.
- Ir ieteicams pārtraukt ķēdes ar visaptverošiem noteikumiem un redzēt, ko, iespējams, esat palaidis garām.
- Jums būs nepieciešami divi visaptveroši noteikumi, viens žurnāls un viens kritums visai nepieredzētai satiksmei. Abiem jābūt balstītiem uz tiem pašiem salīdzinātajiem parametriem, lai tie jums būtu noderīgi.
- Tiklīdz redzat, kas nodrošina visaptverošus noteikumus, varat pievienot jaunus noteikumus, pamatojoties uz ugunsmūra vēlamo darbību.
Filtrēšana pēc parametriem (filtra darbības)
Pirms izlemjat veikt darbības ar ugunsmūri, vispirms tas ir jāidentificē. Mums ir daudz parametru, pēc kuriem varam salīdzināt.
Kad ir veikta sakritība ar visiem noteikuma parametriem un tie sakrīt, tiks veikta darbība. MikroTik ugunsmūrim ir šādas 10 darbības:
- pieņemt: Pieņemiet iepakojumu. Pakete vairs netiks nodota nākamajam ugunsmūra kārtulam.
- add-dst-to-address-list: galamērķa adrese, pēc saskaņošanas pakete pāriet uz nākamo noteikumu.
- add-src-to-address-list: avota adrese. Pēc saskaņošanas pakete pāriet uz nākamo noteikumu.
- piliens: pakete tiek izmesta. Pēc saskaņošanas pakete pāriet uz nākamo noteikumu.
- lēkt: lēcienu definē lietotājs, un to izmanto, lai pārietu uz noteiktu noteikumu, ko nosaka lēciena mērķis. Pēc saskaņošanas pakete pāriet uz nākamo kārtulu, kas definēts jump-target.
- log: pievieno žurnāliem ziņojumu ar šādu informāciju: iekšējais interfeiss, ārējais interfeiss, src-mac, protokols, src-ip:port->dst-ip:ports un paketes garums. Pēc saskaņošanas pakete pāriet uz nākamo noteikumu.
- iet cauri- Ja šī opcija ir atzīmēta, tiks iespējota opcija ignorēt atņemšanas noteikumu un pāriet uz nākamo (ļoti noderīga tīkla statistikai).
- noraidīt- Atmet icmp paketes un nosūta lietotāja definētu ziņojumu, pakete netiek nodota nākamajam noteikumam.
- atgriešanās- Atkal iziet kontroli pār filtru, kur radās iepriekšējais filtrs. Pēc saskaņošanas pakete pāriet uz nākamo kārtulu (tikai tad, ja iepriekšējais noteikums neizraisa paketes izmešanu un nepārtrauc atbilstību).
- tarpit- Uztver un saglabā TCP paketes (reprodukcijas ar SYN/ACK ienākošajām TCP SYN paketēm). Pēc saskaņošanas pakete pāriet uz nākamo noteikumu.
Maršrutētāja aizsardzība (ievade)
- El ķēde=ievade analizē visu maršrutētājā ienākošo trafiku.
- Piemērojot noteikumu chain=ievade, tiek kontrolēta informācijas ievade maršrutētājā
MikroTik sniedz šādus ieteikumus ievadei
Pieņemot, ka ether1 interfeiss ir savienots ar nedrošu WAN.
- Pieņemt trafiku no icmp-echo-reply (ja vēlaties iegūt ping repliku internetā, tas ir noderīgi, kad mēs pārvaldām serverus)
- Atmest visu icmp-echo-request datplūsmu (ja nevēlamies, lai cita ierīce nosūtītu mums ping. Tādējādi mēs izvairāmies no uzbrukumiem, piemēram, smurfu uzbrukumiem vai citiem)
- Pieņemiet visu izveidoto un saistīto ienākošo trafiku.
- Atmest visu nederīgo trafiku.
- Reģistrējiet visu pārējo satiksmi
- Atmest visu pārējo satiksmi.
Visu klientu aizsardzība (uz priekšu)
Forward satiksme ir satiksme, kas iet caur maršrutētāju.
MikroTik sniedz šādus ieteikumus Forward
Pieņemot, ka ether1 interfeiss ir savienots ar nedrošu WAN.
- Pieņemiet visu izveidoto un saistīto trafiku.
- Atmest visu nederīgo trafiku.
- Reģistrēt visu pārējo trafiku (lai pārbaudītu, vai nav bloķētas kādas svarīgas paketes)
- Atmest visu pārējo satiksmi.
- Dalies ar šo rakstu
Facebook
Twitter
LinkedIn
WhatsApp
Telegram
Citi šīs kategorijas dokumenti
Pamācības pieejamas MikroLABs
Nav atrasts neviens kurss!
