Video: Linux Tutorial for Beginners: Introduction to Linux Operating System 2024
Um einen Junos-Firewall-Filter richtig zu gestalten, müssen Sie wissen, wie Junos die Filter verarbeitet. Es müssen zwei grundlegende Überlegungen beachtet werden, um sicherzustellen, dass sich Ihre Junos-Firewallfilter so verhalten, wie Sie es beabsichtigen:
-
Auf den meisten Geräten können Sie mehrere Firewallfilter in einer geordneten Kette anwenden. Wenn Sie den Grenzwert-ssh-telnet-Filter auf die Loopback-Schnittstelle des Routers anwenden, akzeptiert diese Schnittstelle SSH- und Telnet-Datenverkehr, aber nichts anderes. Wenn Sie also andere Protokolle wie SNMP, BGP, OSPF und IS-IS konfiguriert haben, um die Loopback-Adresse als Routeradresse zu verwenden, werden Pakete von diesen Protokollen blockiert und erreichen den Router nicht.
Sie können jedoch eine Reihe kleinerer Firewall-Filter schreiben und sie in einer Kette anwenden, wodurch Sie kleinere Teile von Firewall-Filtern mehrmals verwenden können, anstatt für jede Schnittstelle benutzerdefinierte Firewall-Filter zu schreiben.
Wenn Sie eine Kette von Firewall-Filtern konfigurieren, verhält sich das Junos-Betriebssystem so, als ob Sie gerade einen großen Firewall-Filter erstellt hätten, der sich aus den Begriffen der einzelnen Filter zusammensetzt. (Das bedeutet, wenn Sie diesen Grenzwert-ssh-Telnet-Filter zuerst in einer Kette setzen, wird der gesamte andere Verkehr ungeachtet der verbleibenden Firewall-Filter zurückgewiesen, da der zweite Begriff der Kette den gesamten Datenverkehr zurückweist.)
-
Junos OS wertet die Begriffe in einem Firewall-Filter (oder einer Kette von Firewall-Filtern) der Reihe nach aus, beginnend mit dem ersten. Der Router verarbeitet jedes Paket durch die Begriffe in einem Firewall-Filter, bis eine Übereinstimmung gefunden wird.
-
Wenn der Router eine Übereinstimmung findet, werden die durch die Klausel dieses Terms angegebenen Aktionen ausgeführt, was bedeutet, dass Sie sicherstellen müssen, dass der Datenverkehr an der richtigen Stelle akzeptiert oder abgelehnt wird, jedoch nicht früher.
Wenn Sie beispielsweise allen Telnet-Datenverkehr zulassen, aber allen anderen TCP-Datenverkehr verweigern möchten, müssen Sie den Begriff so festlegen, dass Telnet-Datenverkehr vor dem Begriff TCP-Datenverkehr verweigert wird. Wenn Sie sie in die umgekehrte Reihenfolge bringen, verweigert der Router den Telnet-Datenverkehr (da Telnet TCP verwendet) und erreicht den Begriff nie, um den Telnet-Datenverkehr zuzulassen.
Sie müssen sich jedoch keine Gedanken über die Optimierung Ihrer Firewall-Filter machen, da das Junos-Betriebssystem dies für Sie erledigt. Wenn Sie sich von der Software um Ihre Filterung kümmern, wird Ihnen die Arbeit erleichtert. Sie müssen nur darauf achten, dass die Filterlogik in der richtigen Reihenfolge ist, und der Router kümmert sich um die Optimierung für Sie.
