VG3-Dataelektronikk Hamar Katedralskole Tor lav

Transkript

1 VG3-Dataelektronikk Hamar Katedralskole Tor lav

2 Innhold Innledning... 3 Elevøvelsen... 3 Juniper SSG 5 - Innføring... 4 Soner... 4 Virtual Router (VR)... 4 Mapped IP (MIP) -statisk NAT... 5 Virtual IP-adresse (VIP)... 6 Policy-regler... 6 Virtual private network (VPN)... 6 Juniper SSG 5 - Konfigurering... 7 Sett dato og klokkeslett Bridge group (bgroup)... 7 Konfigurering av MIP... 9 Konfigurering av VIP... 9 Adresseliste Policy Internett-tilgang Øvelse: LAN to LAN VPN Vedlegg Mer om MIP: Mer om VIP Resetting the Device to Factory Defaults Kilder: Egne notater:

3 Innledning Hensikten med dette Komme i gang heftet er at du skal bli kjent med Juniper SSG 5 via et webgrensesnitt, og kunne konfigurere brannmuren slik at den har kontroll på datatrafikken som flyter gjennom den. Målet er at etter endt øvelse skal du kunne konfigurere, sette i drift, foreta funksjonstesting, samt dokumentere øvelsen i form av en skriftlig rapport. Elevøvelsen De to figurene viser øvelsesoppgaven som skal løses gruppevis to og to. Helt konkret består øvelsen av følgende momenter: opprette sikkerhetssoner (Inside, Outside, DMZ, WLAN-gjestenett) binde ethernettporter til en bridge group (Bgroup) konfigurere ethernettgrensesnitt definere/opprette NAT-regler for aksesskontroll av trafikken inn og ut av brannmuren definere/opprette policyregler definere/opprette en VLAN-struktur konfigurere DHCP regulere båndbredden (trafikk-shaping) til for eksempel en Ftp-applikasjon Opprette site to site VPN-tunnel mellom to brannmurer lagre konfigurasjonsoppsettet utarbeide en skriftlig rapport En mer detaljert beskrivelse av oppgaven vil bli lagt ut på læringsplattformen. 3

4 Juniper SSG 5 - Innføring Soner Juniper SSG 5 støtter forskjellige type soner. Den mest vanlige er sikkerhetssone (security zone). Denne sonen brukes for å dele et nettverk i logiske segmenter, minimum to sikkerhetssoner (Trust-zone og Untrustzone). Trafikk kan kun passere fra en sikkerhetssone til en annen hvis policyregler tillater det. Juniper SSG 5 leveres med tre predefinerte sikkerhetssoner i bruk (totalt støtter SSG5 åtte soner). Sonene er: Trust-zone (LAN), Untrust -zone (internett) og Demilitarized-zone (DMZ). I de tre sonene må det knyttes til forskjellige nettverksinterface. De tre predefinerte sonene kan ikke slettes, men kan modifiseres. Andre aktuelle soner som kan opprettes er for eksempel sone for trådløst nettverk (WLAN-gjestesone). Virtual Router (VR) Spesifiserer hvilken VR som nettverksonen opererer i. Kan betraktes som separate fysiske routere som har sin egen routingtabell. Dette muliggjør routing mellom VR. Disse routerne kan benyttes fritt etter hvordan du ønsker å konfigurere nettverket. Vi benytter bare Trust-VR i denne oppgaven. Trust-VR og Untrust-VR kan ikke slettes, men kan modifiseres. Bildet viser hvilke soner som er opprettet, og hvilke Virtual Router (VR) de er innlemmet i. Virtual Router Trust-VR Trust zone Ethernet 1 Ethernet 2 IP IP Untrust zone Ethernet 3 IP 4

5 Virtual Router Virtual Router Zone Zone Interface Når du skal klargjøre Juniper SSG 5 for nettverkstrafikk er det forskjellige trinn du må utføre. Et interface må bindes/kobles til en sone i det du setter IP-adresse på interfacet. En sone inneholder dermed et interface, og en IP-adresse blir satt på interfacet. Figuren til venstre og figuren nederst på forrige side viser at IP-adresser er knyttet til hvert interface. Interface er innlemmet i soner, som igjen er innlemmet i en VR. Virtual Router Zone Interface IP Virtual Router Zone Interface IP Mapped IP (MIP) -statisk NAT MIP brukes når du har flere publicadresser, og du vil knytte hver av disse IPadressene til en spesifikk server. MIP sørger dermed for en til en adresseoversetting. Det betyr at en host får samme NAT-adresse hver gang inngående eller utgående trafikk går gjennom brannmuren. Se et eksempel på side 15. Når du definerer en MIP må du også huske på å definere en policy-regel (se side 8, 10). Eksempel: MIP: Mapped IP: Host IP: Nettmaske: Host VR: Trust-VR Policy: From Zone: To Zone: Source Address: Dest. Address: Service: Action: Untrust Trust Any MIP( ) HTTP Permit 5

6 Virtual IP-adresse (VIP) VIP er en en til mange NAT-funksjon. VIP tillater aksess til en til flere servere/hoster på innsiden av brannmuren via en Outside IP-adresse basert på portnummer. Det betyr at det kun med en public-adresse på Untrust-sonen kan en ved bruk av VIP, etablere tilgang til forskjellige servere. Når du definerer en VIP må du også huske på å definere en policy-regel. Se eksemplet nedenfor og på side 20. Eksempel: VIP: Interface Untrust VIP: Virtual IP Address Virtual Port: 80 Map to Service: HTTP(80) Map to IP: Virtual Port 25 Map to Service SMTP(25) Map to IP Service Auto- Detection Disabled Policy: From Zone: To Zone: Source Address: Dest. Address: Service: Action: Untrust Trust Any VIP::1 HTTP & SMTP Permit Policy-regler I en Juniper SSG 5 er policy en kjernekomponent for aksesskontroll av trafikken gjennom brannmuren. Brannmuren har en default policyregel som tillater hoster i Trust-zone og aksessere hvilken som helst ressurs i Untrust-zone. Hoster i denne sonen gis derimot ikke aksess til hoster på Trust-zone via default regel. Policy-regel kan også opprettes for å tillate datatrafikk mellom for eksempel en server i Trust zone og en server i Untrust-zone i bestemte tidsperioder (schedulering). Virtual private network (VPN) VPN er en sikker tunnel mellom to maskiner/nettverk. Trafikken gjennom en VPN-tunnel er kryptert. Det betyr at trafikken kun kan leses av de som er koblet til VPN-tunnelen. VPN oppgaven du skal jobbe med finner du på side 15. 6

7 Juniper SSG 5 - Konfigurering Sett dato og klokkeslett. Du kan velge om du vil synkronisere klokken med PC-klokken, eller du kan oppgi adressen til tidsserver på internett. Bridge group (bgroup) Det er anledning til å ha inntil fire bgroups på brannmuren. Velg hvilke interface som skal bindes til bgroup0. Juniper SSG5 er preconfigurert med bridge group (bgroup) interface. Disse er: bgroup0, bgroup1, bgroup2 og bgroup3. Default er interface ethernet0/2 -> ethernet0/6 gruppert sammen i bgroup0 som er bundet til nettsonen Trust zone. Alle interfacene i bgroup0 deler IP-adressen /24 (default adresse). Hver bgroup er i samme broadcastdomene og trafikken vil bli switchet mellom interface i samme bgroup. Du kan tildele en IP-adresse til hver bgroup interface. Du kan binde et bgroup-interface til hvilken som helst sikkerhetssone (for eksempel Trust, Untrust, DMZ). Bgroup0 er default knyttet til nettadressen /24. Interface Mode settes til NAT. Her skal du la interface ethernet 0/3 0/6 bindes til bgroup0. 7

8 Konfigurering av ethernett0/1 DMZ Velg Edit Konfigurer en statisk IP-adresse i /24 nettet. Tillat ping-trafikk. Konfigurering av ethernett0/0 (Outside) Network/Interfaces Velg ethernet0/0 Edit Konfigurer en statisk IP-adresse på interfacet ethernet0/0 på Untrust-zonen. Her kan du la interfacet bli en del av skolenettet /24. 8

9 Konfigurering av MIP Velg Network/Interfaces/Interface: ethernet0/0 / MIP/New Mapped IP: Public IP-adresse Host IP: Intern IP-adresse på server/host Host Virtual Router Name: Definer Virtual router (VR) som serveren/hosten er knyttet til. Konfigurering av VIP Definer feltene knyttet til HTTP-tilgang som figuren til venstre viser. Definer feltene slik som vist i bildet til venstre Her er VIP-informasjonen på plass. 9

10 Adresseliste Hoster (servere PCer osv) navngis etter en standard. For eksempel: ho_katta_websrv_ Der Ho_ forteller oss at dette er en /32 adresse, altså en host. Andre eksempler er: Net_Innside_ /24 Net_Outside_ /24 Net_DMZ_ /24 Net_Gjestenett_ /24 Eksempel på navnsetting av det interne nettverket. Velg DMZ Eksempel på navnsetting av DMZnettverket. 10

11 Policy Til venstre er det en default policyregel som tillater alle hoster på Trust-sonen å trafikkere hvilken som helst host på Untrust-sonen. Her skal det lages en ny policyregel fra Trust-sonen til DMZ-sonen. I feltet Source Address/Adress Book Entry skal adressen hentes fra listen du nettopp har opprettet. Det samme skal du gjøre i feltet Destination Address/Address Book Entry. Velg ping i feltet Service. Her skal du lage en policy mellom Trustsonen og Untrust-sonen I feltet Source Address/Address Book Entry velger du nettet på innsiden av brannmuren. I feltet Destination Address/Address Book Entry skal du velge Any. Velg Advanced. 11

12 Merk av for Source Translation Her er policyreglen på plass. Her skal du lage en policy mellom Untrustsonen og DMZ-sonen basert på MIPadressen som du har opprettet. I feltet Destination Address/Address Book Entry skal du velge MIP-adressen. Under Source Address/Address Book Entry skal du velge Any Under Service velger du Multiple. 12

13 Velg deretter de to protokollene som vist til venstre Ny policyregel basert på VIP-adressen skal opprettes mellom Untrust-sonen og DMZsonen Under Source Address/Address Book Entry skal du velge Any I feltet Destination Address/Address Book Entry velger du VIP-adressen som du har opprettet. Under Service velger du Multiple. Under Service velger du Multiple. Velg deretter de to protokollene som vist til venstre 13

14 Til venstre ser du to policyregler (MIP/VIP) knyttet til aksesskontroll av trafikken mellom Untrust-sonen og DMZ-sonen Internett-tilgang Når du skal konfigurere brannmuren slik at den får kontakt med internett, må det gjøres via skolerouteren vår. Velg Routing/Destination Definer feltene som vist i figuren til venstre. Routing-oversikt 14

15 Øvelse: LAN to LAN VPN Konfigurere en policybasert LAN til LAN VPN Oppgaven du skal løse tar utgangspunkt i skissen til venstre. Tabellen viser ip-adresser og annen info som er brukt i dette eksempelet. NB!! Når du skal gjennomføre øvelsen skal du bruke to av ip-adressene som du har fått tildelt i nettet. Du skal etablere LAN to LAN oppkobling over et WAN-nett der to definerte nettverk blir knyttet sammen gjennom en VPNtunnel mellom to Juniper SSG5 brannmurer. Vi benytter netscreen som forhåndsdefinert sikkerhetsnøkkel. Site A B Untrust ip - FW (eth0/0) (eth0/0) Trust ip / /24 Phase 1 Proposal Pre-g2-3des-sha Pre-g2-3des-sha Phase 2 Proposal G2-esp-3des-sha G2-esp-3des-sha Site A Oppretting av tunnel-interface: 1. Velg Network->Interface->List 2. Velg Tunnel-IF ->New 1. Tunnel Interface Name: tunnel.1 2. Zone (VR): Untrust (trust-vr) 3. Velg Unnumbered ->Interface ethernet0/0 (trust-vr) 4. Velg OK 1. Velg VPN-> AutoKey Advanced -> Gateway 2. Navn på gateway (Site B GW) 3. Oppgi Remote Gateway-adresse 4. Velg Advanced 15

16 netscreen 1. Preshared Key: netscreen (Pre-shared keys på brannmur A og brannmur B må være identiske) 2. Sette Interfaceadressen mot WANnettet (outgoing interface0/0) 3. Sikkerhetsnivå -> Custom 4. I dette eksempelet velger vi nøkkelen pre-g2-3des-sha 5. Hake av for Main under Mode 6. Return -> OK 1. Velg VPNs ->AutoKey IKE -> New 2. Sett VPN navn (Site B GW) 3. Under Remote Gateway velger du Predefined ->Site B GW 4. Velg Advanced 1. Velg sikkerhetsnivå som vist til venstre 2. Tunnel Interface. Velg tunnel1 3. Hake av for VPN Monitor, Optimized, Rekey 4. Return 1. Velg Proxy ID 2. Sett Lokal ip (eks /24) 3. Sett Remote ip ( /24) 4. Service: Any 5. Avslutt med OK 16

17 De to neste skjermbildene viser hvordan du setter policyregler mellom sonene Trust og Untrust. 1. Velg Policy -> Policies 2. Velg fra Trust til Untrust -> New 3. Navngi policyen 4. Velg kildeadresse ( /24) 5. Velg måladresse ( /24) 6. Service settes til Any 7. Action settes til Permit (Tunnel VPN skal være None fordi det vi setter opp er en route-basert konfigurasjon) 8. Hake av for Position at Top 9. Velg OK 1. Velg fra Untrust til Trust -> New 2. Navngi policyen 3. Velg kildeadresse ( /24) 4. Velg måladresse ( /24) 5. Service settes til Any 6. Action settes til Permit (også her skal Tunnel VPN være None) 7. Hake av for Position at Top 8. Velg OK Opprett statisk route for nettverket (Site B) som er målet gjennom VPN 1. Network -> Routing -> Destination 2. Velg New 3. Oppgi nettadresse og nettmaske som vist til venstre 4. Velg Gateway 5. Interface: tunnel.1 6. Velg OK 17

18 Site B Oppretting av tunnel-interface: 1. Velg Network->Interface->List 2. Velg Tunnel-IF ->New 4. Interface Name: tunnel.1 5. Zone: Untrust (trust-vr) 6. Velg Unnumbered ->Interface ethernet0/0 (trust-vr) 7. Velg OK Velg VPN->AutoKey Advanced -> Gateway 1. Navngi gateway (Site A GW) 2. Oppgi Remote Gateway-adresse (Bruk en av dine egne adresser) 3. Velg Advanced netscreen 1. Forhåndsdefinert key: netscreen 2. Sette Interfaceadressen mot WANnettet (outgoing interface0/0) 3. Sikkerhetsnivå -> Custom 4. Velg nøkkel som vist til venstre 5. Hake av for Main under Mode 6. Return -> OK Site A GW 1. Velg VPNs ->AutoKey IKE 2. Velg New -> VPN navn (Site A GW) 3. Under Remote Gateway velger du Predefined ->Site A GW 4. Velg Advanced 1. Sikkerhetsnivå -> Custom 2. sikkerhetsnøkkel: g2-esp-3des-sha 3. Tunnel Interface. Velg tunnel1 4. Hake av VPN Monitor, Optimized, Rekey 5. Return 18

19 Site A GW Velg Proxy ID 1. Sett Lokal ip ( /24) 2. Sett Remote ip ( /24) 3. Service: Any 4. Avslutt med OK De to neste skjermbildene viser hvordan du setter policyregler mellom sonene Trust og Untrust. 1. Velg Policy -> Policies 2. Velg fra Trust til Untrust -> New 3. Navngi policyen 4. Velg kildeadresse ( /24) 5. Velg måladresse ( /24) 6. Service settes til Any 7. Action settes til Permit (Tunnel VPN skal være None fordi det vi setter opp er en route-basert konfigurasjon) 8. Hake av Position at Top Velg OK 1. Velg fra Untrust til Trust -> New 2. Navngi policyen 3. Velg kildeadresse ( /24) 4. Velg måladresse ( /24) 5. Service settes til Any 6. Action settes til Permit (også her skal Tunnel VPN være None) 7. Hake av Position at Top ->OK Opprett statisk route for nettverket (Site A) som er målet gjennom VPN 1. Network -> Routing -> Destination 2. Velg New 3. Oppgi nettadresse og nettmaske som vist til venstre 4. Velg Gateway 5. Interface: tunnel.1 6. Velg OK 19

20 Vedlegg Mer om MIP: You want to allow a DMZ server inside the firewall full access to the Internet, and any outside host access to a web server inside the firewall on the Trust zone Users on Internet will use the Server Public IP address to access the internal server MIP is the most used NAT element in ScreenOS, more so than any other method. That s because a MIP is straight forward to configure and easy to understand. A MIP is a one-to-one, bidirectional, static network address translation. It does not matter if the external host or the local host initiated the connection. The external host s public IP address is mapped to a private IP address (or the other way around) and the ports remain the same (see Table). Table. Bidirectional NAT translation Private or local portion Public or global portion src-ip dst-ip src-port dst-port x-src-ip x-dst-ip x-src-port x-dst-port Any Any Any Original Original Original Any Any Any Original Original Original MIPs are usually used for destination address translation. A MIP is always configured on the ingress interface. Here, for instance, e0/0 is an Untrust interface and is a public IP address is translated to The MIP itself is referenced in the policy, with Untrust being the source zone because the MIP was installed on an interface in the Untrust zone. The destination zone specified in the policy does not matter because a MIP always lives in the Global zone. The best practice is to use the zone behind which the private IP of the server lives, if possible. Example: Configuring a MIP to access a single device on the private network: Consider the following setup: Internal host IP is Public interface (e0/0) IP is Another public IP: is available for use MIP: Click on Interfaces/Select the e0/0/click on MIP Enter the following: Mapped IP: Host IP: Netmask: Host Virtual Router Name: trust-vr Policy: Policy/Policies (From Untrust To Trust) Source: Any Destination: MIP( ) Service: Any Action: permit 20

21 How Do I Configure a 1-to-1 Mapping (MIP) of a Public Address to a Private Address in the WebUI? SOLUTION: To configure a 1-to-1 mapping of a public address to a private address using the WebUI, perform the following steps: For this example, we are configuring a MIP for a web server. Open the WebUI. For more information on accessing the WebUI, go to Accessing Your NetScreen Using the WebUI. From the ScreenOS options menu, click Network, and then click Interfaces. From the ethernet3 interface, click Edit. Click to select MIP. 21

22 Click New. From Interface (MIP), from Mapped IP, enter the public IP address of the web server. From Netmask, enter the netmask. For the Netmask, if you are specifying a single host, enter If you are specifying a network, enter the appropriate network subnet mask. From Host IP Address, enter the private IP address of the web server. From the Host Virtual Router Name drop-down menu, click to select trust-vr. Click OK. Additional MIP information: Do not set the netmask equal to the subnet mask for the Untrust interface IP address. The NetScreen will answer for all addresses in the subnet. Example: If the Untrust IP address is / and gateway is in the example above, these addresses are included in the netmask and the MIP will break normal traffic. Make sure the combination of the MIP address and netmask does not include the Untrust interface IP address or the default gateway address or any other device's address that is on that subnet. For example, if the Untrust IP address is / , the gateway is , and the MIP is netmask ; then the configuration is acceptable. 22

23 From the ScreenOS options menu, click Policies. In the From drop-down menu, click to select Untrust. From the To drop-down menu, click to select Trust. Click New. In Source Address, click to select Address Book. From the Address Book drop-down menu, click to select Any. From Destination Address, click to select Address Book. From the Address Book drop-down menu, click to select Global:MIP ( ). 23

24 From the Service drop-down menu, click to select HTTP. From the Action drop-down menu, click to select Permit. Click OK 24

25 Mer om VIP Configuring your NetScreen or SSG for use with an FTP Server. Example used is performed with a VIP. SOLUTION: When configuring the Juniper firewall for use with an FTP server, you can use a Virtual IP (VIP) or a Manage IP (MIP) if the server has an internal, private IP address. For more information on VIPs and MIPs, go to When to Use a Virtual IP and When to Use a Mapped IP. Also, you will need to have the Trust and Untrust Zones previously configured to an interface. For more information on how to bind an interface to a zone, go to Binding an Interface to a Zone. For this example, we are configuring a VIP address for an FTP server. This article is based on the NetScreen-5GT/5XT/5XP devices using Trust and Untrust as interfaces. NetScreen-25/50/204/208 and SSG-5/20/140/320/350/520/550 devices often use Ethernet interfaces. To configure your Juniper firewall for use with a FTP server using a VIP, perform the following steps: Open the WebUI. For more information on accessing the WebUI, go to Accessing Your NetScreen, SSG, or ISG Firewall Using the WebUI From the ScreenOS options menu, click Network, and then click Interfaces. 25

26 From the untrust interface, click Edit. Click VIP. From Virtual IP Address, enter the IP address of the FTP server. For this example, we have entered Click Add. Click New VIP Service. 26

27 From the Virtual IP drop-down menu, select the Virtual IP address. From Virtual Port, enter the port number. From the Map to Service drop-down menu, select the service. From Map to IP, enter the internal IP address of the FTP server. For this example, we used a Virtual IP of , a Virtual Port of 21, a Map to Service of FTP (21), and a Map to IP of Also, in this example the FTP server will have the following IP settings: IP address Subnet mask Default gateway Click OK. The Virtual IP will listen to the Virtual Port. If you have a Virtual Port 21, and a policy with service ANY, all traffic going through port 21 will be passed. From the ScreenOS options menu, click Policies. 27

28 In the From drop-down menu, click to select Untrust. From the To drop-down menu, click to select Trust. Click New. In Source Address, click to select Address Book. From the Address Book drop-down menu, click to select Any. From Destination Address, click to select Address Book. From the Address Book drop-down menu, click to select Global:VIP( ). In later releases (ScreenOS and above), the address book entry may appear as VIP( ). From the Service drop-down menu, click to select FTP. From the Action drop-down menu, click to select Permit. 28

29 The FTP service is now configured. Resetting the Device to Factory Defaults 29

30 Establishing a Console Connection Kilder: Configurering Juniper Netscreen & SSG Firewalls, Syngress Publishing (2007) Kb.juniper.net InnIT, Hamar ( egetprodusert materiale. 30

31 Egne notater: 31