Grundkurs Routing im Internet mit Übungen

Transkript

1 Grundkurs Routing im Internet mit Übungen Falko Dressler, Ursula Hilgers Regionales Rechenzentrum der FAU 1

2 Tag 4 Router & Firewalls IP-Verbindungen Aufbau von IP Paketen TCP, UDP, ICMP Access-Listen Standard Access Lists Extended Access Lists 2

3 Firewalls Unterscheidung stateful - Verbindungen werden erkannt, gespeichert und evtl. sogar zusätzliche Regeln erzeugt Bsp: ftp, Datenkanal wird in der Rückrichtung aufgebaut; H.323, reiner Signalisierungskanal, Daten werden auf anderen Kanälen übertragen stateless - jedes Paket wird für sich geprüft, wie wenn es das erste Paket einer Verbindung wäre 3

4 Firewallregeln Layer-3 Firewall Untersuchung des IP Headers Layer-4 Firewall Untersuchung von TCP/UDP/ICMP Headern Layer-7 Firewall (Application-Firewall) Untersuchung der Protokolle, Virenfilter in WWW- oder -Übertragungen 4

5 Access Control Lists Firewall in Routern via ACLs Layer-3 und Layer-4 Firewall stateless Architekturabhängig in Software, d.h. Abarbeitung durch Hauptprozessor in Hardware, d.h. Abarbeitung in ASICs auf dedizierter Hardware z.b. direkt auf dem Interface 5

6 IPv4 Aufbau des IPv4-Headers VERS HLEN Service Type Total Length Identification FGS Fragment Offset Time To Live Protocol Header Checksum Source IP Address Destination IP Address IP Options (so vorhanden) Padding Data 6

7 TCP Aufbau eines TCP-Paketes HLEN Source Port Destination Port Sequence Number Acknowledge Number Reserved Code Bits Window Checksum Urgent Pointer Options Padding Data 7

8 TCP (II) Receive SYN + ACK segment Rechner 1 Rechner 2 Send SYN seq=x Verbindungsaufbau Receive SYN segment Send SYN seq=y, ACK x+1 Send ACK y+1 Send Packet x+1 Receive ACK x+2 Send FIN seq=x Receive ACK segment Receive FIN + ACK segment Send ACK y +1 Datenübertragung Verbindungsabbau 8 Receive ACK segment Receive Packet x+1 Send ACK x+2 Receive FIN segment Send ACK x +1 Inform Application Send FIN ACK x +1 Receive ACK segment

9 UDP Aufbau eines UDP-Paketes Source Port Length Destination Port Checksum 9

10 Access Listen Allgemein immer first match, d.h. die erste Regel, die zutrifft, gilt auch Reihenfolge! letzte Regel ist immer verbiete alles (muß nicht explizit hingeschrieben werden!) Standard ACLs nur IP nur Zielsystem / Zielnetz Extended ACLs IP / ICMP / UDP / TCP Zielsystem / Quellsystem / 10

11 Standard ACL Bsp: ip access-list standard <nr> permit <destination> deny <destination> <nr> = (ab IOS 11.3 auch ein Name) <destination> = any host <ip> <ip> <mask> 11

12 Standard ACL (II) Bsp: ip access-list standard 42 permit host deny permit any 12

13 Extended ACL Bsp: ip access-list extended <nr> permit <protocol> <rule> deny <protocol> <rule> <nr> = (ab IOS 11.3 auch ein Name) <protocol> = ip icmp tcp udp IP: <rule> = <source> <destination> ICMP: <rule> = <source> <destination> <icmp type> TCP UDP: <rule> = <source> [<port>] <destination> [<port>] [flags] <source destination> = any host <ip> <ip> <mask> 13

14 Extended ACL (II) Bsp: ip access-list extended 142 permit icmp any any echo-request permit icmp any any echo-reply deny icmp any any permit tcp any host eq telnet deny ip any permit ip any any 14

15 Anwendung der ACLs Firewall pro Interface interface <interface> ip access-group <acl> <in out> Bsp interface ethernet 0 ip access-group 42 in 15

16 weitere Kommandos show ip access-lists <acl> 16

17 Debugging Logging in ACLs per Schlüsselwort <log> hinter einer Regel Bsp: permit ip any any log debug ip packet <acl> Achtung: wenn nicht auf <acl> eingeschränkt, wird sehr viel Output erzeugt! Bsp: 1. ACL definieren ip access-list standard 42 permit host debug ip packet 42 17