HTTP/Webtools erişimini engellemek, devre dışı bırakmak veya reddetmek için güvenlik amacıyla Brocade B serisine Telnet erişimi.
80 numaralı HTTP bağlantı noktasını kullanarak herhangi bir IP'nin erişimini reddetme kuralına sahip bir politika oluşturmak üzere kullanılan adımlar aşağıda verilmiştir.
Not: Varsayılan politika değiştirilemediğinden kullanmak istediğiniz filtre kümesini klonlamanız gerekir. Bu örnekte, "default_ipv4" kümesini kullanıyoruz:
- SSH oturumu veya seri kablo kullanarak anahtarda oturum açın.
- Mevcut default_ipv4 politikasını kopyalayarak bir politika oluşturun:
ipfilter --clone DenyWebtools -from default_ipv4
- Yeni politikayı kaydedin:
ipfilter --save DenyWebtools
- Yeni politikanın doğruluğunu onaylayın. Yeni politika görüntülenir:
ipfilter --show
- HTTP erişimini reddetmek için yeni politikaya bir kural ekleyin:
ipfilter --addrule DenyWebtools -rule 3 -sip any -dp 80 -prot tcp -act deny
Alt komutlara ayrılan bu komut aşağıdakileri yapar:
- --addrule DenyWebtools: Komut, kuralı DenyWebtools kural kümesine ekler.
- -rule 3: Komut, belirtilen kural dizin numarasına bir kural ekler. Kural numarası, 1 ile mevcut maksimum kural numarasının bir üstü arasında olmalıdır. Çeşitli bağlantı noktaları için bir kural belirleyebilirsiniz.
- -sip any: Komut, kaynak IP adresini belirtir. Bu örnekte, söz konusu anahtara bağlanan herhangi bir IP'de HTTP engellenmiştir.
- -dp: Komut, bu kuralı uyguladığımız bağlantı noktası numarasını belirtir. Bu örnekte, HTTP bağlantı noktası numarası 80'dir.
- -proto: Komut, protokol türünü belirtir. Bu örnekte protokol, TCP'dir.
- -act deny: Komut, bu kuralla ilişkili izin verme veya reddetme eylemini belirtir.
- HTTP (80) için izin kuralını bulun:
ipfilter --show DenyWentools
Çıktı:
Name: DenyWebtools, Type: ipv4, State: defined (modified)
Rule Source IP Protocol Dest Port Action
1 any tcp 22 permit
2 any tcp 23 permit
3 any tcp 80 deny <<< Yeni Kural
4 any tcp 80 permit <<< Eski Kural
5 any tcp 443 permit
6 any udp 161 permit
7 any udp 123 permit
8 any tcp 600 - 1023 permit
9 any udp 600 - 1023 permit
- HTTP için izin kuralını kaldırın. Yukarıda gösterildiği üzere, artık iki HTTP kuralı olduğundan bu, temizleme amacıyla yapılır:
ipfilter --delrule DenyWebtools -rule 4
- Yeniden kaydedin:
ipfilter --save DenyWebtools
- Doğru olduğunu onaylamak için politikayı tekrar kontrol edin:
ipfilter --show DenyWebtools
Çıktı:
Name: DenyWebtools, Type: ipv4, State: defined
Rule Source IP Protocol Dest Port Action
1 any tcp 22 permit
2 any tcp 23 permit
3 any tcp 80 deny <<< Yeni Kural
4 any tcp 80 permit
5 any tcp 443 permit
6 any udp 161 permit
7 any udp 123 permit
8 any tcp 600 - 1023 permit
9 any udp 600 - 1023 permit
- Yeni politikayı etkinleştirin:
ipfilter --activate DenyWebtools
- "DenyWebtools" politikasının etkin ve doğru olduğunu onaylamak için politikayı tekrar kontrol edin:
ipfilter --show
Çıktı:
Name: DenyWebtools, Type: ipv4, State: active <<<<<<<<<<<<<<<<<< New Policy is "Active"
Rule Source IP Protocol Dest Port Action
1 any tcp 22 permit
2 any tcp 23 permit
3 any tcp 80 deny
4 any tcp 80 permit
5 any tcp 443 permit
6 any udp 161 permit
7 any udp 123 permit
8 any tcp 600 - 1023 permit
9 any udp 600 - 1023 permit
- Desteklenen bir tarayıcı kullanarak Webtools'u açın ve reddedilmesi gereken HTTP'nin devre dışı bırakıldığı anahtar için Webtools kullanıcı arayüzüne erişmeyi deneyin.
- Anahtarın "errdump" çıktısında, anahtarın HTTP aracılığıyla erişimi reddettiğini görürsünüz.
errdump:
2021/10/06-11:19:28, [SEC-3039], 39764, FID 128, INFO, DS6510B_TT38, Event:Security Violation , Status: failed, Info: Unauthorized host with IP address xx.xx.xx.xx tries to establish connection using TCP port 80.
Yukarıda kullanılan tüm komutların kullanım sırasına göre listesi aşağıda verilmiştir:
ipfilter --clone DenyWebtools -from default_ipv4
ipfilter --save DenyWebtools
ipfilter --show
ipfilter --addrule DenyWebtools -rule 3 -sip any -dp 80 -prot tcp -act deny
ipfilter --delrule DenyWebtools -rule 4
ipfilter --save DenyWebtools
ipfilter --show DenyWebtools
ipfilter --activate DenyWebtools
ipfilter --show
errdump