Telnet-toegang tot een Brocade B-serie om veiligheidsredenen te blokkeren, uit te schakelen of toegang tot HTTP/Webtools te weigeren.
Hier zijn de stappen die worden gebruikt om een beleid te maken met een regel om toegang door een IP te weigeren met behulp van HTTP-poort 80.
Opmerking: Omdat de standaardpolicy niet kan worden gewijzigd, moet u de filterset klonen die u wilt gebruiken. In dit voorbeeld gebruiken we de set 'default_ipv4':
- Meld u aan bij de switch met behulp van SSH of met behulp van seriële kabel.
- Maak een beleid door de bestaande default_ipv4 policy te kopiëren:
ipfilter --clone DenyWebtools -van default_ipv4
- Sla het nieuwe beleid op:
ipfilter --save DenyWebtools
- Controleer of het nieuwe beleid correct is. U zou het nieuwe beleid moeten zien:
ipfilter --show
- Voeg een regel toe aan het nieuwe beleid om HTTP-toegang te weigeren:
ipfilter --addrule DenyWebtools -rule 3 -sip any -dp 80 -prot tcp -act deny
Deze opdracht, die is onderverdeeld in subopdracht, doet het volgende:
- --addrule DenyWebtools: De opdracht voegt de regel toe aan de DenyWebtools ruleset.
- -regel 3: De opdracht voegt een regel toe aan het opgegeven indexnummer van de regel. Het regelnummer moet tussen 1 en het huidige maximumregelnummer plus één staan. U kunt ook een regel instellen voor een reeks poorten.
- -sip elke: De opdracht specificeert het bron-IP-adres. In dit voorbeeld is HTTP geblokkeerd voor alle IP-verbindingen met deze switch.
- -dp: De opdracht specificeert het poortnummer waarop we deze regel toepassen. In dit voorbeeld is de poort voor HTTP 80.
- -tutorials: De opdracht specificeert het protocoltype. In dit voorbeeld is het protocol TCP.
- -act deny: De opdracht specificeert de permit- of deny-actie die aan deze regel is gekoppeld.
- Zoek de permit-regel voor HTTP (80):
ipfilter --show DenyWentools
Uitvoer:
Naam: DenyWebtools, type: ipv4, status: gedefinieerd (gewijzigd)
Regelbron IP-protocol Dest Port Action1
, tcp 22 permit2
any tcp 23 permit3
any tcp 80 deny <<< New Rule4
any tcp 80 permit<<< Old Rule
5 elke tcp 443 permit6
elke udp 161 permit7
elke udp 123 permit8
elke tcp 600 - 1023 permit9
elke udp 600 - 1023-permit
- Verwijder de permit-regel voor HTTP. Dit is voor opschoning, omdat er nu twee HTTP-regels zijn, zoals hierboven wordt weergegeven:
ipfilter --delrule DenyWebtools -regel 4
- Sla het opnieuw op:
ipfilter --save DenyWebtools
- Controleer het beleid opnieuw om te controleren of het correct is:
ipfilter --show DenyWebtools
Uitvoer:
Naam: DenyWebtools, type: ipv4, status: gedefinieerd
Rule Source IP Protocol Dest Port Action1
any tcp 22 permit2
any tcp 23 permit3
any tcp 80 deny<<< New Rule4
any tcp 80 permit
5 elke tcp 443 permit6
elke udp 161 permit7
elke udp 123 permit8
elke tcp 600 - 1023 permit9
elke udp 600 - 1023-permit
- Activeer het nieuwe beleid:
ipfilter --activate DenyWebtools
- Controleer het beleid opnieuw om te controleren of het correct is, dat het beleid "DenyWebtools" actief is:
ipfilter --show
Uitvoer:
Naam: DenyWebtools, Type: ipv4, Status: active <<<<<<<<<<<<<<<<<< New Policy is "Active"
Rule Source IP Protocol Dest Port Action1
any tcp 22 permit2
any tcp 23 permit3
any tcp 80 deny
4 elke tcp 80 permit5
elke tcp 443 permit6
elke udp 161 permit7
elke udp 123 permit8
elke tcp 600 - 1023 permit9
elke udp 600 - 1023 permit
- Open Webtools met behulp van een ondersteunde browser en probeer toegang te krijgen tot de webtools-UI voor de switch met de HTTP uitgeschakeld die moet worden geweigerd.
- In de uitvoer van de switch "errdump" moet u zien dat de switch de toegang heeft afgewezen met behulp van HTTP.
errdump:
2021/10/06-11:19:28, [SEC-3039], 39764, FID 128, INFO, DS6510B_TT38, Gebeurtenis: Beveiligingsfout, Status: mislukt, Info: Ongeautoriseerde host met IP-adres xx.xx.xx.xx probeert verbinding te maken met TCP-poort 80.
Hier volgt een lijst met alle opdrachten die hierboven worden gebruikt in de volgorde van gebruik:
ipfilter --clone DenyWebtools -vanuit default_ipv4
ipfilter --save DenyWebtoolsipfilter
--showipfilter
--addrule DenyWebtools -rule 3 -sip any -dp 80 -prot tcp -act denyipfilter
--delrule DenyWebtools -rule 4ipfilter
--save DenyWebtoolsipfilter
--show DenyWebtoolsipfilter
--activate DenyWebtoolsipfilter
--showerrdump