فایروال, میکروتیک

معرفی بخش های فایروال (دیواره آتش) میکروتیک

معرفی بخش های فایروال (دیواره آتش) میکروتیک

در مقاله قبلی داتیس نتورک فایروال میکروتیک را به صورت مفصل بررسی کردیم و در این مقاله قصد داریم بخش های مختلف Firewall میکروتیک را معرفی کنیم . برای دسترسی به دیواره آتش میکروتیک، با استفاده از وینباکس (نرم افزار مدیریتی میکروتیک) به دستگاه وصل شده، سپس مطابق شکل 1 از منوی اصلی ابتدا IP سپس Firewall را انتخاب کنید.

معرفی بخش های فایروال (دیواره آتش) میکروتیک

پنجره Firewall مطابق با شکل 2 باز خواهد شد.

معرفی بخش های فایروال (دیواره آتش) میکروتیک

بخش های اصلی دیواره آتش میکروتیک به قرار زیر است:

  • Layer ٧ Protocol
  • Address Lists
  • Connections
  • Service Ports
  • Mangle
  • NAT
  • Filter Rules
  • Layer7-Protocols

Layer٧Protocols یک روش جستجوی الگو در جریان داده UDP ,ICMP و TCP می باشد. تطبیق دهنده لایه هفتم، 10 بسته اولیه یا 2KB اولیه جریان ارتباطی را جمع آوری کرده و بدنبال الگوی مشخص شده در داده جمع آوری شده می گردد. تطبیق دهنده اگر الگو در داده جمع آوری شده پیدا نشد بررسی بیشتری انجام نخواهد داد. حافظه اختصاص داده شده به این امر خالی شده و پروتکل بعنوان ناشناخته در نظر گرفته می شود. باید به این نکته توجه داشته باشید که مصرف حافظه با افزایش تعداد ارتباطات بطور قابل توجهی بیشتر خواهد شد.

تطبیق دهنده لایه هفتم به دو طرف ارتباط (ورودی و خروجی) برای بررسی بسته ها نیاز دارد، بدین منظور باید قانون های لایه هفتم را در زنجیره Forward قرار دهید. اگر قانون در زنجیره Prerouting جدول INPUT قرار گرفت، باید مشابه همین قانون را در زنجیره Postrouting جدول Output ایجاد کنید، در غیر اینصورت داده جمع آوری شده ممکن است در تبطیق دادن الگو نتیجه اشتباهی در بر داشته باشد.

Address Lists

Address Lists یکی از ویژگی های خوب و کاربردی میکروتیک می باشد، با استفاده از لیست آدرس می توان بصورت دستی و خودکار لیستی از آدرس ها تهیه کرد تا هنگام استفاده نوشتن قوانین از آنها بهره جست.

معرفی بخش های فایروال (دیواره آتش) میکروتیک

مزیت لیست آدرس در کمتر شدن و ساده تر شدن قوانین می باشد. بدین صورت که اگر بخواهید برای چندین کاربر دسترسی مشترکی را محدود یا باز کنید، در حالت عادی باید به ازای هر کاربر یک قانون ایجاد کنید ولی در این حالت کافیست، یک لیست آدرس ایجاد، آدرس کاربران را به آن اضافه کرده و در قانون ها بجای آدرس مبدا یا مقصد از لیست آدرس مبدا یا مقصد که متعلق به گزینه های پیشرفته می باشد، استفاده کنید.
با استفاده از لیست آدرس خودکار می توان، آدرس ها را بصورت خودکار به لیست اضافه کرد، برای این منظور کافیست در تب Action قانون، گزینه Add dst to address list برای ارسال مقصد بسته ها و Add src to address list برای ارسال مبدا بسته ها به لیست آدرسی که در زیر آن مشخص می شود، استفاده کرد.

می توانید ابتدا یک قانون برای ایجاد لیست آدرس خودکار ایجاد کرده و سپس عملیات مورد نظر را بر روی لیست آدرس انجام دهید.

لیست آدرس در آنالیز شبکه هم قابل استفاده است، برای مثال تهیه لیستی شامل تمامی کاربرانی که از سرویس SSH استفاده می کنند یا سرورهایی که آنها به آن متصل می شوند را با لیست آدرس خودکار می توان بدست آورد.

Connections

از طریق تب Connections می توانید لیست کلیه ارتباط هایی که با میکروتیک برقرار شده است را بر اساس آدرس مبدا و مقصد، نوع پروتکل و مدت زمان فعال بودن ارتباط مشاهده کنید.

معرفی بخش های فایروال (دیواره آتش) میکروتیک

Service Ports

سرویس هایی وجود دارند که در صورت فعال شدن NAT بدلیل احتیاج به ارتباط واقعی پایاپای بدرستی کار نخواهند کرد، برای حل این مشکل میکروتیک از خاصیت NAT Traversal برای چند سرویس خاص استفاده می کند.

معرفی بخش های فایروال (دیواره آتش) میکروتیک

Filter , NAT, Mangle

در پنجره Firewall، سه جدول اصلی که قبلا مفاهیم آنها مورد بررسی قرار گرفت وجود دارند. در این پنجره می توان لیست قانون هایی که قبلا نوشته شده اند را در تب های مختلف مشاهده و ویرایش کرد.

معرفی بخش های فایروال (دیواره آتش) میکروتیک

برای اضافه کردن قانون جدید بر روی علامت “+” کلیک کنید تا پنجره New Manage Rule باز شود. گزینه ها در سه دسته عمومی، پیشرفته و اضافی تقسیم بندی شده اند.

این گزینه ها در هر سه جدول NAT ,Mangle و Filter یکسان می باشند و فقط در جدول NAT P2P وجود ندارد. این گزینه ها را در شکل های 7، 8، 9 می توانید مشاهده کنید.

معرفی بخش های فایروال (دیواره آتش) میکروتیک

نیاز به یادآوری است که دانستن ساختار بسته ها، یکی از ملزومات تنظیم دیواره آتش می باشد. اکثر گزینه های موجود با دانش نسبت به این ساختار، کاربردی و قابل استفاده خواهند بود.

در دسته عمومی، گزینه ها شامل نوع زنجیره، آدرس مبدا و مقصد، نوع پروتکل، درگاه مبدا و مقصد، اینترفیس ورودی یا خروجی، بسته و ارتباطات قبلا نشانه گذاری شده و وضعیت ارتباط می باشد.

گزینه های دسته پیشرفته در بر گیرنده، لیست آدرس مبدا یا مقصد پروتکل لایه هفتم، محتوای خاص در آدرس، آدرس سخت افزاریTOS ، TTL و… می باشد.

معرفی بخش های فایروال (دیواره آتش) میکروتیک

دسته اضافی شامل گزینه هایی همچون تنظیم زمان برای فعال شدن قانون بر اساس ساعت و روزهای هفته، نوع آدرس از قبیل Broadcast Unicast , Multicast و Local ، محدود کردن تعداد ارتباطات و… می باشد.

معرفی بخش های فایروال (دیواره آتش) میکروتیک

عملیات های قابل انجام توسط منگل در تب Action شکل 10 لیست شده اند. باید توجه داشت که هر قانون فقط یک عمل در آن واحد قادر است انجام دهد. پس برای عملیات های متفاوت باید قوانین مجزا ایجاد کنید.

معرفی بخش های فایروال (دیواره آتش) میکروتیک

عملیات های قابل انجام توسط جدول NAT در شکل زیر آورده شده است.

معرفی بخش های فایروال (دیواره آتش) میکروتیک

و در آخر لیست عملیات های جدول Firewall در ادامه قابل مشاهده است.

معرفی بخش های فایروال (دیواره آتش) میکروتیک

عملیات های مشترک بین همه جدول ها عبارت اند از:

Accept: قبول کردن بسته، بسته در قانون های بعدی بررسی نمی شود.

Add dst to address list: اضافه کردن آدرس مقصد به لیست آدرس مشخص شده

Add src to address list: اضافه کردن آدرس مبدا به لیست آدرس مشخص شده

Jump: پرش به زنجیره مشخص شده

Log: فرستادن پیغامی حاوی قانون تطبیق داده شده با فرمت خاص به سیستم ثبت وقایع

Passthrough: در نظر نگرفتن قانون و رفتن به قانون بعدی (کاربرد، بیشتر برای آمارگیری)

Return: برگردان کنترل به زنجیره در جایی که پرش صورت گرفته

عملیات های غیرمشترک جدول Firewall متشکل شده از:

Drop: رها کردن بسته بدون ارسال پیغام

Reject: رها کردن بسته همراه با ارسال یک پیغام ICMP Reject

Tarpit: ضبط و نگهداری ارتباطات TCP (کاربرد در کم کردن اثر حملات DOS)

عملیات های غیرمشترک جدول NAT به قرار زیر است:

Src-NAT: ترجمه آدرس مبدا بسته به آدرس مشخص شده

Dst-NAT: ترجمه آدرس مقصد بسته به آدرس مشخص شده

MASQUERADE: ترجمه آدرس مبدا بسته به آدرس عمومی موجود در سیستم

Redirect: جایگزین کردن درگاه مقصد بسته با درگاه مشخص شده

Same

Netmap

عملیات های غیرمشترک جدول منگل عبارت اند از:

Change DSCP – TOS: تغییر مقدار فیلد TOS بسته

Change TTL: تغییر مقدار فیلد TTL بسته

Change MSS: تغییر مقدار فیلد Maximum Segment Size بسته

Clear DF: پاک کردن بیت Don’t Fragment (کاربرد در تانل IPSEC)

Mark Connection: نشانه گذاری ارتباط

Mark Packet: نشانه گذاری بسته (کاربرد در کنترل پهنای باند)

Mark Routing: نشانه گذازی مسیر (کاربرد در عملیات مسیریابی پیشرفته)

Set Priority: تغییر مقدار فیلد اولویت در لینک هایی که مقدار اولویت را ارسال می کنند.

Strip IPv4 Options

 

تب Statistics نیز آماری از میزان ترافیک و تعداد بسته هایی که این قانون شامل حال آنها می شود را بصورت عددی و گراف در اختیار ما قرار می دهد. از طریق این تب می توان درستی قانون نوشته شده را مورد بررسی قرار داد. شکل 13 گویای این موضوع می باشد.

معرفی بخش های فایروال (دیواره آتش) میکروتیک

1 نظر در “معرفی بخش های فایروال (دیواره آتش) میکروتیک

  1. mamehdi گفت:

    با سلام و تشکر از آموزش شما من در منگل برای تجمیع بهنای باند دو اینترنت روی نوشتم و در nat
    dsn nat برای دسترسی به سرور از بیرون نوشتم و همچنین برای جلوگیری از پورت اسکن در فیلتر و raw رول نوشتم
    dst nat قبل از منگل کار میکرد ولی بعد از منگل کندی اتصال به سرور از بیرون دارم آیا کار خاصی باید انجام بدم با تشکر

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *