Cara Merancang Penapis Junos Firewall - dummies

Untuk merancang penapisan firewall Junos dengan betul, anda perlu tahu bagaimana Junos memproses penapis. Terdapat dua pertimbangan asas untuk diingat untuk memastikan penapis firewall Junos anda bertindak seperti yang anda berniat:

• Pada kebanyakan peranti, anda boleh menggunakan beberapa penapis firewall dalam rantai yang dipesan. Sekiranya anda menggunakan penapis had-ssh-telnet ke antara muka loopback router, antara muka ini menerima lalu lintas SSH dan Telnet tetapi tidak ada yang lain. Oleh itu, jika anda telah mengkonfigurasi protokol lain, seperti SNMP, BGP, OSPF, dan IS-IS, untuk menggunakan alamat loopback sebagai alamat router, paket dari protokol tersebut disekat dan tidak mencapai penghala.

  Walau bagaimanapun, anda boleh menulis beberapa penapis firewall yang lebih kecil dan menggunakannya dalam rantaian, yang membolehkan anda menggunakan sekeping kecil penapis firewall lebih kecil daripada menulis penapis firewall khusus untuk setiap antara muka.

  Apabila anda mengkonfigurasi rangkaian penapis firewall, OS Junos bertindak seolah-olah anda baru saja membuat satu penapis firewall yang besar, yang terdiri daripada syarat setiap penapis dalam rangka. (Ini bermakna jika anda meletakkan penapis ssh-telnet ini terlebih dahulu dalam rantaian, semua lalu lintas yang lain akan ditolak tanpa mengira penapis firewall yang masih ada, kerana istilah kedua rantai menolak semua lalu lintas.)

• Junos OS menilai terma dalam penapis firewall (atau rangkaian penapis firewall), bermula dengan yang pertama. Router memproses setiap paket melalui istilah dalam penapis firewall agar ia dapat mencari perlawanan.

• Apabila penghala menjumpai perlawanan, ia mengambil tindakan yang ditunjukkan oleh klausa itu kemudian, yang bermakna anda mesti memastikan lalu lintas akan diterima atau ditolak di tempat yang betul, tetapi tidak lama lagi.

  Jadi, sebagai contoh, jika anda mahu membenarkan semua lalu lintas Telnet, tetapi menafikan semua trafik TCP yang lain, anda perlu meletakkan istilah yang membenarkan lalu lintas Telnet sebelum istilah menafikan trafik TCP. Sekiranya anda memasukkannya ke dalam pesanan terbalik, penghala akan menafikan trafik Telnet (kerana Telnet menggunakan TCP) dan tidak pernah mencapai istilah untuk membenarkan trafik Telnet.

  Namun, anda tidak perlu bimbang untuk mengoptimumkan penapis firewall anda, kerana OS Junos melakukannya untuk anda. Memiliki perisian menjaga penapisan membuat tugas anda mudah. Anda hanya bimbang tentang memastikan logik penapis berada dalam urutan yang betul, dan penghala menjaga mengoptimumkannya untuk anda.