VLAN en Política de Firewall

Transcripción

1 VLAN en Política de Firewall VLAN en Política Firewall (VLAN in Firewall Policy) es una nueva característica introducida desde la versión para la serie VigorPro. Con esta característica, cuando la función LAN VLAN está habilitada, las reglas de firewall comprobarán si los paquetes se reciben desde VLAN especificada. Dado que la función VLAN respaldada en la serie VigorPro y VLAN basada en puerto respaldada con la serie 2xxx Vigor, el VLAN en Política Firewall puede lograr la función de que los tráficos específicos se limiten a los puertos de interruptores específicos. Esta característica es muy útil en el entorno DHCP para la cual el origen de las direcciones IP difícilmente pueda ser utilizado para definir una política de firewall. Tomemos el ejemplo siguiente para explicación: 1

2 Supongamos que hay dos áreas en su oficina: Área de Empleados (Employee Area) y el área de Huéspedes (Guest Area). Las computadoras en el Área de Empleados pueden acceder a Internet y VPN. Están conectados al interruptor 1 el cual está conectado al puerto 1 de LAN en el router. Los huéspedes pueden acceder a Internet, pero no de la VPN. Ellos se limitan a conectar el interruptor 2 que se conecta al puerto 4 de LAN en el router. Estas dos áreas están aisladas. Los huéspedes y los empleados no están autorizados a acceder entre sí. Por lo tanto, VLAN está habilitado y configurado de la siguiente manera: Todos los anfitriones obtienen sus direcciones IP a través del servidor DHCP. Sin la función VLAN en Política Firewall (VLAN in Firewall Policy), hay que definir el origen de las direcciones IP con la condición de que coincida. Si todas las direcciones IP son dinámicas, es imposible crear reglas de firewall, porque no hay forma de distinguir entre los empleados y los huéspedes. Por lo tanto, usted tiene que abrir LAN>> Enlazar IP a MAC (LAN>> Bind IP to MAC) para asignar direcciones IP estáticas a los empleados a través de DHCP, el cuál es administrativamente pesado. Con la función de VLAN en Política Firewall, sólo tiene que definir las reglas de firewall de la siguiente manera: 2

3 Cualquier tráfico que no coincida con la regla 3 y la regla 4 coincidirá con la regla 2 "bloquear todo" y será bloqueado. Mantenga la IP de origen, IP de destino y la opción VLAN con la configuración predeterminada que implica "cualquier tráfico". La acción es "Bloquear Si No Hay Coincidencia Adicional"( Block If No Further Match ), lo que indica que el paquete será dado de baja por esta regla sólo si este paquete no coincide con ninguna otra regla. Abajo se muestra la regla de filtrado 2 - bloquear todo. 3

4 En la regla de pase de empleados, la opción se establece con VLAN 0.IP de origen y la IP de destino se establece con el valor por defecto, Cualquier (Any). La acción se establece con Pasar Inmediatamente (Pass Immediately) lo que implica que cualquier tráfico recibido desde el puerto LAN 1 o el puerto LAN 2 pasará inmediatamente si coincide con esta regla. Tenga en cuenta que puerto LAN 1 y el puerto LAN 2 se agrupan en VLAN 0. Si un paquete llega al router desde el puerto LAN 3 ó el puerto LAN 4, no coincide con esta regla porque el puerto LAN 3 y el puerto LAN 4 pertenecen a VLAN 1. A continuación se muestra la regla de filtrado 2 pasar empleado. En la regla de pasar huéspedes, la opción de VLAN se establece con VLAN 1. IP de origen es el conjunto con el valor de por defecto, Cualquiera (Any). La IP de destino se establece con! ( / ) / indica la red remota VPN. Tenga en cuenta que la Selección Inversa está habilitada para esta red VPN, lo que indica que la dirección de destino es cualquier dirección IP fuera del rango de ~ Dicha configuración implica que todo el tráfico recibido desde el puerto LAN 3 o LAN 4 hacia Internet (VPN no incluido) se pasará inmediatamente si coincide con esta regla. 4

5 Si un paquete (destino es la red VPN) llega al router de LAN 3 o 4 puerto LAN, no está de acuerdo con esta regla. Dado que esta es la última regla, el paquete se determina para que coincida con la regla 2 "bloquear todo", y será dado de baja. 5