ビデオ: Using Juniper for the First Time | JunOS CLI 2024
SSHとTelnetは、ユーザーがルータにアクセスする2つの一般的な方法です。両方とも、ルータに設定されたアカウントまたはRADIUSサーバなどの集中認証サーバに設定されたアカウントを使用して、パスワード認証が必要です。パスワードがあっても、Telnetセッションは本質的に安全ではなく、パスワードを推測するブルートフォースの試みによってSSHを攻撃することができます。
SSHとTelnetのアクセスを制限するには、ファイアウォールフィルタを作成します。このフィルタは、特定のインターフェイスのトラフィックを規制し、何を許可し、何を破棄するかを決定します。フィルタの作成は、2つの部分からなるプロセスです。
<！ - 1 - >-
フィルタリングの詳細を定義します。
-
ルータインタフェースにフィルタを適用します。
ルータへのアクセスを制御したい場合は、ルータがすべてのインタフェースを介して接続できるように、通常はすべてのインタフェースにこれらの制限を適用する必要があります。しかし、簡単にするために、Junos OSでは、ループバック（lo0）インタフェースにファイアウォールフィルタを適用することができます。
<！ - 2 - >lo0インタフェースに適用されるファイアウォールフィルタは、パケットが到着したインタフェースに関係なく、ルータの制御プレーンを宛先とするすべてのトラフィックに影響します。したがって、ルータへのSSHおよびTelnetアクセスを制限するには、lo0インターフェイスにフィルタを適用します。
以下のプロセスに示すフィルタは、limit-ssh-telnet 、 と呼ばれ、2つの部分または項を持ちます。 Junos OSは2つの用語を順番に評価します。第1項に一致するトラフィックは直ちに処理され、失敗したトラフィックは第2項によって評価されます。プロセスの仕組みは次のとおりです。
<！ - 3 - >-
最初のterm、limit-ssh-telnetは、192/168/0/1/24サブネットワーク上のデバイスからのみSSHとTelnetアクセス試行を探します。
パケットは、IPヘッダが192. 168. 0. 1/24プレフィックスの宛先アドレスを含む場合にのみ、この用語と一致し、IPヘッダはパケットがTCPパケットであることを示し、TCPパケットヘッダはトラフィックがSSHまたはTelnet宛先ポートに向かう。
fred @ router#set filter limit-ssh-telnet term access-termを送信元アドレス192から設定します。 168. 0. 1/24 [編集ファイアウォール] fred @ router#set filter limit-ssh-telnetプロトコルからのaccess-term tcp [editファイアウォール] fred @ router#set filter-ssh-telnet term [999] block-all-elseと呼ばれる第2項は、基準を満たさないすべてのトラフィックをブロックしますステップ1で。
このステップは基本拒否コマンドで実行できます。この用語には一致する基準はありません。したがって、デフォルトでは、最初の用語に失敗したすべてのトラフィックに適用されます。
-
[editファイアウォール] fred @ router#set filter-ssh-telnet
ルータへのアクセス失敗を追跡して、協調攻撃が進行中かどうかを判断する必要があります。 block-all-else項は、失敗したアクセス試行回数をカウントします。次の例の最初のコマンドは、不正アクセスと呼ばれるカウンタでこれらの試行を追跡し、パケットを記録し、情報をsyslogプロセスに送信します。
[ファイアウォールの編集] fred @ router#set filter limit-ssh-telnet termブロック - すべて - その他の用語カウント不正アクセス[ファイアウォールの編集] fred @ファイアウォールの編集fred @ router#set filter limit-ssh-telnet term block-all-else用語カウントsyslog
フィルタの作成は、プロセスの半分です。後者は、ルータのループバックインターフェイスlo0に適用されます。
[edit interfaces] fred @ router#set lo0 unit 0ファミリのinetフィルタ入力制限-ssh-telnet
入力フィルタとしてフィルタを適用します。つまり、Junos OSは制御プレーンを宛先とするすべての着信トラフィックにフィルタを適用します。
