Cviceni7

cen´ı s´ıtˇ

e

I

OUTPUT

I

Je moˇ

zn´

e definovat vlastn´ı, napˇr. pro ICMP. Akce JUMP

Hardware poˇ

c´ıtaˇ

cov´

ych s´ıt´ı

Princip

Packet flow

Connection tracking

Chain

Address L.

NAT

LAB

Chain

LAN

10.1.1.0/24

Router

INTERNET

FORWARD

INPUT

OUTPUT

Hardware poˇ

c´ıtaˇ

cov´

ych s´ıt´ı

Princip

Packet flow

Connection tracking

Chain

Address L.

NAT

LAB

Action

I

Action n´

am ˇr´ık´

a, co firewall udˇ

el´

a s paketem, kter´

y splnil dan´

e

podm´ınky

I

Pakety jsou sekvenˇ

cnˇ

e porovn´

av´

any s podm´ınkami(matcher),

dokud se nenajde takov´

a, kterou spln´ı

I

Pot´

e se provede dan´

a akce

I ˇ

Razen´ı pravidel, prvn´ı − > posledn´ı

Hardware poˇ

c´ıtaˇ

cov´

ych s´ıt´ı

Princip

Packet flow

Connection tracking

Chain

Address L.

NAT

LAB

Z´

akladn´ı zabezpeˇ

cen´ı

I

Existuje nˇ

ekolik pˇr´ıstup˚

u jak navrhnout firewall

I

Vˇse co je v s´ıti je v poˇr´

adku, co jde z venˇ

c´ı se filtruje

I

Blokujeme vˇse, povol´ıme jen to, co chceme

I

Povol´ıme vˇse, blokujeme jen to, co je problematick´

e

Hardware poˇ

c´ıtaˇ

cov´

ych s´ıt´ı

Princip

Packet flow

Connection tracking

Chain

Address L.

NAT

LAB

Tipy

I

Safe mode

I

Dopˇredu si rozmyslet, co chci

I

Pˇrid´

avat pravidla postupnˇ

e

I

Ukonˇ

covat chain (accept - default, drop, catch-all)

I

Catch-all pravidla - zachyt´ı to, co projde firewallem, log, drop

Hardware poˇ

c´ıtaˇ

cov´

ych s´ıt´ı

Princip

Packet flow

Connection tracking

Chain

Address L.

NAT

LAB

Matchers

Hardware poˇ

c´ıtaˇ

cov´

ych s´ıt´ı

Princip

Packet flow

Connection tracking

Chain

Address L.

NAT

LAB

Matchers

Hardware poˇ

c´ıtaˇ

cov´

ych s´ıt´ı

Princip

Packet flow

Connection tracking

Chain

Address L.

NAT

LAB

Matchers

Hardware poˇ

c´ıtaˇ

cov´

ych s´ıt´ı

Princip

Packet flow

Connection tracking

Chain

Address L.

NAT

LAB

Matcher - Layer 7

I

Mikrotik umoˇ

zˇ

nuje v pravidlech vyuˇ

z´ıvat i ”7. vrstvu”

I

Pokud je tato volba vyuˇ

zita, prohled´

a se prvn´ıch 10 paket˚

u,

nebo 2KB

I

ICMP/TCP/UDP

I

Velk´

e n´

aroky na CPU a pamˇ

et’

I

Regul´

arn´ı v´

yrazy

Hardware poˇ

c´ıtaˇ

cov´

ych s´ıt´ı

Princip

Packet flow