Przypisywanie adresów IP do MAC-adresów Aby skutecznie korzystać z reguł Firewalla, należy najpierw przypisać adresy IP do MACadresów kart sieciowych komputerów w sieci LAN. Załóżmy, że router posiada domyślny adres 192.168.1.1 (maska 255.255.255.0). Z Menu routera wybieramy kolejno LAN >> Bind IP to MAC. Następnie zaznaczamy pole Strict Bind (rysunek poniżej), co oznacza iż tylko adresy z listy po prawej stronie, będą miały wyjście na świat przez Internet. Adresy IP można dodawać poprzez przycisk Add (rysunek poniżej) wpisując uprzednio właściwy adres IP IP Address i skojarzony z nim adres fizyczny MAC address. Oczywiście adresy muszą mieścić się w podsieci routera, tj. 192.168.1.0 / 24. Obiekty używane w IP Filter/Firewall Aby następnie zająć się tworzeniem obiektów Object and Groups należy najpierw poznać ich definicje. IP Object/IP Group Można tworzyć grupy o dowolnej nazwie, zawierające wiele adresów IP, na przykład adresy wszystkich urządzeń w oddziale firmy, aby później używać ich w filtrach Firewalla. To pozwala stosować regułę Firewalla nie do jednego, lecz do wielu adresów jednocześnie, co redukuje liczbę wymaganych filtrów oraz zmniejsza poziom komplikacji Firewalla. 1
Service Type Object/Service Type Group Można tworzyć zestawy usług bazujących na protokołach i portach, aby następnie posługiwać się nazwami tych zestawów podczas tworzenia reguł Firewalla. Mogą być to pojedyncze obiekty, albo grupy zawierające po kilka takich obiektów. Content Security Management (CSM) Można tworzyć profile IM/P2P Blocking, aby następnie wykorzystać je w konfiguracji filtrów Firewalla. Dzięki temu można przypisać indywidualny profil CSM do określonej grupy (IP Object/IP Group) w zależności od polityki zabezpieczeń w naszej sieci. Przykład Posłużmy się przykładem. Przypuśćmy, że mamy 3 główne departamenty w firmie: 1) R&D departament (R&D dept.) 2) Sales departament (Sales dept.) 3) FAE departament (FAE dept.) Adresacja IP jest taka, jak na rysunku poniżej. Obowiązują w tej sieci następujące reguły: Administratorzy oraz szefowie departamentów (leaders) mają pełny dostęp do Internetu Członkowie departamentu R&D mogą tylko wysyłać i odbierać maile Departamenty Sales i FAE mają dostęp do stron http wewnętrznegoweb-serwera, wysyłania i odbierania maili, używania MSN-a i Skype-a, podczas gdy inne aplikacje są zablokowane (np. P2P) Serwer poczty oraz Web-Serwer odpowiadają tylko na portach usług 2
Definiujemy 8 obiektów (IP Objects) oraz 4 grupy (IP Groups): IP Object: 1. R&D dept: 192.168.1.11 ~ 192.168.1.49 (wszystkie adresy IP departamentu R&D) 2. Sales dept: 192.168.1.51 ~ 192.168.1.79 (wszystkie adresy IP departamentu Sales) 3. FAE dept: 192.168.1.81 ~ 192.168.1.99 (wszystkie adresy IP departamentu FAE) 4. Servers: 192.168.1.3 ~ 192.168.1.9 (adresy serwerów) 5. R&D leader: 192.168.1.10 (adres IP szefa departamentu R&D) 6. Sales leader: 192.168.1.50 (adres IP szefa departamentu Sales) 7. FAE leader: 192.168.1.80 (adres IP szefa departamentu FAE) 8. Administrator: 192.168.1.2 (adres IP Administratora) IP Group: 1. Admin Group: 4 obiekty IP (R&D leader, Sales leader, FAE leader and Administrator) 2. Marketing and Support Group: 2 obiekty IP (Sales dept, FAE dept) 3. R&D Group: 1 obiekt IP (R&D dept) 4. Server Group: 1 obiekt IP (Servers) Definiujemy 8 obiektów usług (Service Type Objects) oraz 3 obiekty grup zawierających te usługi (Service Type Groups): Service Type Object: 1. Web http: dostęp http dla pracowników; port źródłowy:1024~65535, port docelowy:80 2. Web https: dostęp https dla pracowników; port źródłowy:1024~65535, port docelowy: 443 3. Receive Mail: Odbieranie e-mail przez pracowników: port źródłowy: 1024~65535, port docelowy: 110 4. Send Mail: Wysyłanie e-mail przez pracowników: port źródłowy: 1024~65535, port docelowy: 25 5. Mail Server1: Serwer Poczty - wysyłanie e-mail: port źródłowy: 110, port docelowy: 1024~65535 6. Mail Server2: Serwer Poczty - odbieranie e-mail: port źródłowy: 25, port docelowy: 1024~65535 7. HTTP Server: udostępnianie stron http przez serwer; port źródłowy: 80, port docelowy: 1024~65535 8. HTTPS Server: udostępnianie stron https przez serwer port źródłowy: 443, port docelowy: 1024~65535 Service Type Group: 1. M&S permit: zawiera 4 Obiekty (1~4 ) grupa serwisowa skupiająca usługi dozwolone m.in. dla departamentów Sales i FAE 2. R&D permit: zawiera 2 Obiekty (3~ 4) - grupa serwisowa skupiająca usługi dozwolone dla departamentu R&D 3. Server permit: zawiera 4 Obiekty (5~8) grupa serwisowa skupiająca usługi dozwolone dla wewnętrznych serwerów Poczty i HTTP (Web-Serwera) Definiujemy 2 profile CMS: 1. R&D and Servers: profil ten blokuje wszystkie aplikacje P2P oraz komunikatory internetowe 2. M&S: profil ten pozwala korzystać jedynie z MSN-a oraz Skype-a, przy czym blokuje wszelkie inne komunikatory oraz aplikacje P2P. 3
Mając już gotowy plan, należy powyższe definicje obiektów, grup oraz profili CMS wprowadzić do routera. 1. Tworzenie obiektów IP (IP Object) Z menu głównego routera należy wybrać kolejno Objects and Groups >> IP Object i utworzyć 8 obiektów IP. Dla przykładu pokazano utworzenie dwóch obiektów. 1. Poniżej zilustrowano utworzenie obiektu "R&D". Operację zaczynamy od kliknięcia w cyfrę 1 (Index 1). Obiekty "Sales dept", "FAE dept" oraz "Servers" tworzymy w ten sam sposób. 2. Poniżej zilustrowano utworzenie obiektu "R&D leader". Operację zaczynamy od kliknięcia w cyfrę 1 (Index 1).Obiekty "Sales leader", "FAE leader" oraz "Administrator" tworzymy w ten sam sposób. 4
2. Tworzenie grup obiektów IP (IP Group) Z menu głównego routera należy wybrać kolejno Objects and Groups >> IP Group i utworzyć 4 grupy zawierające obiekty IP. 1. Poniżej zilustrowano utworzenie grupy IP "Admin Group". Operację zaczynamy od kliknięcia w cyfrę 1 (Index 1). Po wpisaniu nazwy Admin Group i wybraniu interfejsu LAN, przyciskiem (pokazanym na rysunku niebieską strzałką) dodajemy z listy po lewej pożądane obiekty do naszej grupy. 5
2. Wciskamy OK, aby zapisać zmiany. 3. Odnosząc się do poprzednich kroków 1 i 2, tworzymy tak samo pozostałe 3 grupy IP. - Marketing and Support Group: która zawiera 2 obiekty (Sales dept, FAE dept) - R&D Group: która zawiera 1 obiekt (R&D dept) - Server Group: która zawiera 1 obiekt (Servers). 3. Tworzenie obiektów usług Z menu głównego routera należy wybrać kolejno Objects and Groups >> Service Type Object i utworzyć 6 obiektów. 1. Poniżej zilustrowano utworzenie obiektu "Web http". Operację zaczynamy od kliknięcia w cyfrę 1 (Index 1). 6
2. Po wpisaniu nazwy Web http oraz wyborze protokołu TCP ustawiamy zakres portów źródłowych (Source Port) oraz docelowych (Destination Port). Wciskamy OK aby zapisać zmiany. Pozostałych 7 obiektów usług tworzymy bardzo podobnie. 4. Tworzenie grup obiektów serwisowych Z menu głównego routera należy wybrać kolejno Objects and Groups >> Service Type Group i utworzyć 3 grupy. 7
1. Poniżej zilustrowano utworzenie grupy " M&S permit ". Operację zaczynamy od kliknięcia w cyfrę 1 (Index 1). Z listy "Available Service Type Objects" wybieramy obiekty serwisowe, które chcemy umieścić w grupie " M&S permit " poprzez przeniesienie je na listę "Selected Service Type Objects" za pomocą specjalnego przycisku >>. 2. W taki sam sposób tworzymy pozostałe dwie grupy obiektów serwisowych: R&D permit: zawiera 2 obiekty (3 and 4) Server permit: zawiera 4 obiekty (5, 6, 7 and 8) 5. Tworzenie profili CSM (Content Security Management) Z menu głównego routera wybieramy kolejno Objects and Groups >> CSM Profile i tworzymy 2 profile CSM. 8
1. Profil "M&S" blokuje wszystkie aplikacje z wyjątkiem MSN-a oraz Skype-a. 9
2. Profil "R&D and Servers" blokuje wszystkie aplikacje bez wyjątków. 6. Ustawianie reguł / filtrów IP w Firewallu Z Menu routera wybieramy kolejno: Firewall >> Filter Setup i wciskamy 2 (rysunek poniżej), otwierając tym samym zakładkę Default Data Filter. 10
Tworzymy kilka reguł (rysunek poniżej), w których wykorzystamy wcześniej utworzone obiekty, grupy oraz filtry CSM. Aby utworzyć pierwszą regułę block all, klikamy pole 2 (rysunek poniżej) w kolumnie Filter Rule 11
1. Reguła "block all". Blokujemy domyślnie cały wychodzący ruch, wypuszczając na zewnątrz wyjątki, które pojawią się w następnych regułach. 2. Reguła "pass Admin". Wypuszcza na zewnątrz cały ruch z grupy "Admin Group". Po wciśnięciu przycisku Edit (zaznaczony na rysunku poniżej), będziemy mogli wybrać zdefiniowaną wcześniej grupę, tj. 1-Admin Group. 12
3. Reguła "pass M&S". Przepuszcza ruch web & mail i pozwala na używanie programów MSN & Skype dla grupy "Market & Sales Group". 4. Reguła "pass R&D". Przepuszcza ruch mail dla grupy "R&D Group". 13
5. Reguła "pass Servers". Przepuszcza ruch web & mail dla grupy "Server Group". Przypuśćmy, że zatrudniamy nowego pracownika w departamencie Sales Dept. Jego adres IP to 192.168.1.100. Wystarczy teraz utworzyć nowy obiekt IP i dodać go do grupy IP "Market & Support". Zapobiega to modyfikacji Firewalla i dodawaniu nowych reguł, które nieobacznie mogą zaszkodzić bezpieczeństwu sieci. Wszelkie operacje wykonujemy teraz na obiektach, grupach oraz profilach CSM. 14