HTTP/Webtools 액세스를 차단, 비활성화 또는 거부하려면 보안상의 이유로 Brocade B-series에 Telnet 액세스합니다.
다음은 HTTP 포트 80을 사용하는 모든 IP의 액세스를 거부하는 규칙을 포함하는 정책을 생성하는 데 사용되는 단계입니다.
참고: 기본 정책은 변경할 수 없으므로 사용하려는 필터 집합을 클론해야 합니다. 이 예에서는 "default_ipv4" 세트를 사용하고 있습니다.
- SSH 또는 직렬 케이블을 사용하여 스위치에 로그인합니다.
- 기존 default_ipv4 정책을 복사하여 정책을 생성합니다.
ipfilter --clone DenyWebtools -from default_ipv4
- 새 정책을 저장합니다.
ipfilter --save DenyWebtools
- 새 정책이 올바른지 확인합니다. 새 정책이 표시됩니다.
ipfilter --show
- HTTP 액세스를 거부하는 규칙을 새 정책에 추가합니다.
ipfilter --addrule DenyWebtools -rule 3 -sip any -dp 80 -prot tcp -act deny
하위 명령으로 분류되는 이 명령은 다음 작업을 수행합니다.
- --addrule DenyWebtools: 이 명령은 규칙을 DenyWebtools ruleset에 추가합니다.
- -rule 3: 이 명령은 지정된 규칙 인덱스 번호에 규칙을 추가합니다. 규칙 번호는 1에서 현재 최대 규칙 수에 1을 더한 값 사이이어야 합니다. 포트 범위에 대한 규칙을 설정할 수도 있습니다.
- -sip any: 이 명령은 소스 IP 주소를 지정합니다. 이 예에서는 이 스위치에 연결하는 모든 IP에 HTTP가 차단되어 있습니다.
- -dp: 이 명령은 이 규칙을 적용할 포트 번호를 지정합니다. 이 예에서 HTTP의 포트는 80입니다.
- -proto: 이 명령은 프로토콜 유형을 지정합니다. 이 예제에서 프로토콜은 TCP입니다.
- -act deny: 이 명령은 이 규칙과 연결된 작업을 허용 또는 거부를 지정합니다.
- HTTP(80)에 대한 허용 규칙 찾기:
ipfilter --show DenyWentools
출력:
Name: DenyWebtools, Type: ipv4, State: defined (modified)
Rule Source IP Protocol Dest Port Action
1 any tcp 22 permit
2 any tcp 23 permit
3 any tcp 80 deny
4 any tcp 80 permit
5 any tcp 443 permit
6 any udp 161 permit
7 any udp 123 permit
8 any tcp 600 - 1023 permit
9 any udp 600 - 1023 permit
- HTTP 허용 규칙을 제거합니다. 위에 표시된 것처럼 이제 두 개의 HTTP 규칙이 있으므로 정리 작업을 위한 것입니다.
ipfilter --delrule DenyWebtools -rule 4
- 다시 저장합니다.
ipfilter --save DenyWebtools
- 정책을 다시 확인하여 올바른지 확인합니다.
ipfilter --show DenyWebtools
출력:
Name: DenyWebtools, Type: ipv4, State: defined
Rule Source IP Protocol Dest Port Action
1 any tcp 22 permit
2 any tcp 23 permit
3 any tcp 80 deny <<< New Rule
4 any tcp 80 permit
5 any tcp 443 permit
6 any udp 161 permit
7 any udp 123 permit
8 any tcp 600 - 1023 permit
9 any udp 600 - 1023 permit
- 새 정책을 활성화합니다.
ipfilter --activate DenyWebtools
- 정책이 올바른지 다시 확인하고 "DenyWebtools" 정책이 활성 상태인지 확인합니다.
ipfilter --show
출력:
Name: DenyWebtools, Type: ipv4, State: active <<<<<<<<<<<<<<<<<< New Policy is "Active"
Rule Source IP Protocol Dest Port Action
1 any tcp 22 permit
2 any tcp 23 permit
3 any tcp 80 deny
4 any tcp 80 permit
5 any tcp 443 permit
6 any udp 161 permit
7 any udp 123 permit
8 any tcp 600 - 1023 permit
9 any udp 600 - 1023 permit
- 지원되는 브라우저를 사용하여 Webtools를 열고 HTTP가 비활성화되어 있는 스위치의 Webtools UI에 액세스해 봅니다. 이 UI는 거부되어야 합니다.
- 스위치 "errdump" 출력에서 스위치가 HTTP를 사용한 액세스를 거부했다는 것을 볼 수 있습니다.
errdump:
2021/10/06-11:19:28, [SEC-3039], 39764, FID 128, INFO, DS6510B_TT38, Event:Security Violation , Status: failed, Info: Unauthorized host with IP address xx.xx.xx.xx tries to establish connection using TCP port 80.
다음은 위에서 사용된 모든 명령을 사용 순서대로 나열한 것입니다.
ipfilter --clone DenyWebtools -from default_ipv4
ipfilter --save DenyWebtools
ipfilter --show
ipfilter --addrule DenyWebtools -rule 3 -sip any -dp 80 -prot tcp -act deny
ipfilter --delrule DenyWebtools -rule 4
ipfilter --save DenyWebtools
ipfilter --show DenyWebtools
ipfilter --activate DenyWebtools
ipfilter --show
errdump