بررسی گزینه های دیواره آتش ( فایروال ) میکروتیک - نسخه قابل چاپ +- Parsi Coders (http://parsicoders.com) +-- انجمن: Network & Internet section (http://parsicoders.com/forumdisplay.php?fid=138) +--- انجمن: Mikrotik (http://parsicoders.com/forumdisplay.php?fid=91) +--- موضوع: بررسی گزینه های دیواره آتش ( فایروال ) میکروتیک (/showthread.php?tid=1060)

بررسی گزینه های دیواره آتش ( فایروال ) میکروتیک - amir - 10-16-2011 در این گام برای آشنایی بیشتر با امکانات قابل استفاده , به بررسی گزینه های موجود در دیواره آتش میکروتیک خواهیم پرداخت. برای دسترسی به دیواره آتش میکروتیک، با استفاده از وینباکس ( نرم افزار مدیریتی میکروتیک ) به دستگاه وصل شده ، سپس مطابق شکل 1 از منوی اصلی ابتدا IP سپس Firewall را انتخاب کنید. بخش های اصلی دیواره آتش میکروتیک به قرار زیر است : Layer 7 Protocol Address Lists Connections Service Ports Mangle NAT ....... Rules Layer7-Protocols Layer7Protocols یک روش جستجوی الگو در جریان داده UDP ,ICMP و TCP می باشد. تطبیق دهنده لایه هفتم، 10 بسته اولیه یا 2KB اولیه جریان ارتباطی را جمع آوری کرده و بدنبال الگوی مشخص شده در داده جمع آوری شده می گردد.تطبیق دهنده اگر الگو در داده جمع آوری شده پیدا نشد بررسی بیشتری انجام نخواهد داد.حافظه اختصاص داده شده به این امر خالی شده و پروتکل بعنوان ناشناخته در نظر گرفته می شود.باید به این نکته توجه داشته باشید که مصرف حافظه با افزایش تعداد ارتباطات بطور قابل توجهی بیشتر خواهد شد. تطبیق دهنده لایه هفتم به دو طرف ارتباط ( ورودی و خروجی ) برای بررسی بسته ها نیاز دارد،بدین منظور باید قانون های لایه هفتم را در زنجیره Forward قرار دهید.اگر قانون در زنجیره Prerouting جدول INPUT قرار گرفت ، باید مشابه همین قانون را در زنجیره Postrouting جدول Output ایجاد کنید،در غیر اینصورت داده جمع آوری شده ممکن است در تبطیق دادن الگو نیتجه نتیجه اشتباهی در بر داشته باشد. Address Lists Address Lists یکی از ویژگی های خوب و کاربردی میکروتیک می باشد ،با استفاده از لیست آدرس می توان بصورت دستی و خودکار لیستی از آدرس ها تهیه کرد تا هنگام استفاده نوشتن قوانین از آنها بهره جست. مزیت لیست آدرس در کمتر شدن و ساده تر شدن قوانین می باشد.بدین صورت که اگر بخواهید برای چندین کاربر دسترسی مشترکی را محدود یا باز کنید، در حالت عادی باید به ازای هر کاربر یک قانون ایجاد کنید ولی در این حالت کافیست ، یک لیست آدرس ایجاد ، آدرس کاربران را به آن اضافه کرده و در قانون ها بجای آدرس مبدا یا مقصد از لیست آدرس مبدا یا مقصد که متعلق به گزینه های پیشرفته می باشد ، استفاده کنید. با استفاده از لیست آدرس خودکار می توان ، آدرس ها را بصورت خودکار به لیست اضافه کرد ، برای این منظور کافیست در تب Action قانون، گزینه Add dst to address list برای ارسال مقصد بسته ها و Add src to address list برای ارسال مبدا بسته ها به لیست آدرسی که در زیر آن مشخص می شود ، استفاده کرد. می توانید ابتدا یک قانون برای ایجاد لیست آدرس خودکار ایجاد کرده و سپس عملیات مورد نظر را بر روی لیست آدرس انجام دهید.. لیست آدرس در آنالیز شبکه هم قابل استفاده است ، برای مثال تهیه لیستی شامل تمامی کاربرانی که از سرویس SSH استفاده می کنند یا سرورهایی که آنها به آن متصل می شوند را با لیست آدرس خودکار می توان بدست آورد. Connections از طریق تب Connections می توانید لیست کلیه ارتباط هایی که با میکروتیک برقرار شده است را بر اساس آدرس مبدا و مقصد ، نوع پروتکل و مدت زمان فعال بودن ارتباط مشاهده کنید. Service Ports سرویس هایی وجود دارند که در صورت فعال شدن نت بدلیل احتیاج به ارتباط واقعی پایاپای بدرستی کار نخواهند کرد،برای حل این مشکل میکروتیک از خاصیت NAT Traversal برای چند سرویس خاص استفاده می کند. ....... , NAT, Mangle در پنجره Firewall ، سه جدول اصلی که قبلا مفاهیم آنها مورد بررسی قرار گرفت وجود دارند. در این پنجره می توان لیست قانون هایی که قبلا نوشته شده اند را در تب های مختلف مشاهده و ویرایش کرد. برای اضافه کردن قانون جدید بر روی علامت “+” کلیک کنید تا پنجره New Manage Rule باز شود. گزینه ها در سه دسته عمومی ، پیشرفته و اضافی تقسیم بندی شده اند. این گزینه ها در هر سه جدول NAT , Mangle و ....... یکسان می باشند و فقط در جدول نت P2P وجود ندارد. نیاز به یادآوری است که دانستن ساختار بسته ها ، یکی از ملزومات تنظیم دیواره آتش می باشد.اکثر گزینه های موجود با دانش نسبت به این ساختار، کاربردی و قابل استفاده خواهند بود. در دسته عمومی ، گزینه ها شامل نوع زنجیره ، آدرس مبدا و مقصد ، نوع پروتکل ، درگاه مبدا و مقصد ، اینترفیس ورودی یا خروجی ، بسته و ارتباطات قبلا نشانه گذاری شده و وضعیت ارتباط می باشد. گزینه های دسته پیشرفته در بر گیرنده ، لیست آدرس مبدا یا مقصد ، پروتکل لایه هفتم ، محتوای خاص در آدرس ، آدرس سخت افزاری ، TOS ، TTL و ... می باشد. دسته اضافی شامل گزینه هایی همچون تنظیم زمان برای فعال شدن قانون بر اساس ساعت و روزهای هفته ، نوع آدرس از قبیل Broadcast , Unicast , Multicast و Local ، محدود کردن تعداد ارتباطات و ... می باشد. باید توجه داشت که هر قانون فقط یک عمل در آن واحد قادر است انجام دهد.پس برای عملیات های متفاوت باید قوانین مجزا ایجاد کنید. عملیات های مشترک بین همه جدول ها عبارت اند از : Accept : قبول کردن بسته ، بسته در قانون های بعدی بررسی نمی شود. Add dst to address list : اضافه کردن آدرس مقصد به لیست آدرس مشخص شده Add src to address list : اضافه کردن آدرس مبدا به لیست آدرس مشخص شده Jump : پرش به زنجیره مشخص شده Log : فرستادن پیغامی حاوی قانون تطبیق داده شده با فرمت خاص به سیستم ثبت وقایع Passthrough : در نظر نگرفتن قانون و رفتن به قانون بعدی (کاربرد، بیشتر برای آمارگیری ) Return : برگردان کنترل به زنجیره در جایی که پرش صورت گرفته عملیات های غیرمشترک جدول فیلتر متشکل شده از : Drop : رها کردن بسته بدون ارسال پیغام Reject : رها کردن بسته همراه با ارسال یک پیغام ICMP Reject Tarpit : ضبط و نگهداری ارتباطات TCP ( کاربرد در کم کردن اثر حملات DOS ) عملیات های غیرمشترک جدول نت بقرار زیر است : Src-NAT : ترجمه آدرس مبدا بسته به آدرس مشخص شده Dst-NAT : ترجمه آدرس مقصد بسته به آدرس مشخص شده MASQUERADE : ترجمه آدرس مبدا بسته به آدرس عمومی موجود در سیستم Redirect : جایگزین کردن درگاه مقصد بسته با درگاه مشخص شده Same Netmap عملیات های غیرمشترک جدول منگل عبارت اند از : Change DSCP ( TOS ) : تغییر مقدار فیلد TOS بسته Change TTL : تغییر مقدار فیلد TTL بسته Change MSS : تغییر مقدار فیلد Maximum Segment Size بسته Clear DF : پاک کردن بیت Don’t Fragment (کاربرد در تانل IPSEC ) Mark Connection : نشانه گذاری ارتباط Mark Packet : نشانه گذاری بسته ( کاربرد در کنترل پهنای باند ) Mark Routing : نشانه گذازی مسیر ( کاربرد در عملیات مسیریابی پیشرفته ) Set Priority : تغییر مقدار فیلد اولویت در لینک هایی که مقدار اولویت را ارسال می کنند. Strip IPv4 Options تب Statistics نیز آماری از میزان ترافیک و تعداد بسته هایی که این قانون شامل حال آنها می شود را بصورت عددی و گراف در اختیار ما قرار می هد.از طریق این تب می توان درستی قانون نوشته شده را مورد بررسی قرار داد. نگارنده : رضا بهروزی منبع: [1] http://wiki.mikrotik.com/wiki