Mikrotik firewall je výkonný nástroj, který umožňuje omezit přístup do sítě různým protokolům a službám. Jedním z klíčových protokolů regulovaných firewallem je ICMP (Internet Control Message Protocol).
ICMP je součástí zásobníku protokolů TCP/IP a používá se k výměně informací o stavu sítě mezi hostiteli. Zahrnuje operace jako Echo dotazy (ping) a chybové zprávy. Charakteristickým rysem protokolu ICMP je jeho jednoduchost a transparentnost, díky čemuž je zranitelný vůči různým útokům.
Pro bezpečnost a stabilitu sítě MikroTik doporučuje nastavení pravidel brány firewall pro filtrování provozu ICMP. Pomocí pravidel brány firewall můžete omezit přístup k určitým typům zpráv ICMP nebo omezit jejich počet. Například je možné povolit pouze Echo dotazy (ping) a všechny ostatní typy zpráv ICMP blokovat.
Je důležité si uvědomit, že blokování zpráv ICMP může způsobit, že některé síťové služby a aplikace nemusí fungovat správně nebo nejsou k dispozici. Před nastavením pravidel brány firewall pro ICMP je třeba vyhodnotit potenciální důsledky a zkontrolovat jejich kompatibilitu s konkrétním síťovým prostředím.
Základní principy filtrování ICMP v firewallu MikroTik
Mezi hlavní zásady filtrování ICMP v firewallu MikroTik patří následující:
- Blokování nežádoucích zpráv ICMP: Mikrotik Firewall poskytuje možnost použití pravidel, která umožňují blokovat určité typy zpráv ICMP. To zahrnuje pravidla brány firewall pro blokování zpráv ICMP, jako jsou Echo Request a Time Exceeded, které mohou útočníci použít k provádění útoků.
- Rozlišení užitečných zpráv ICMP: některé typy zpráv ICMP jsou užitečné a nezbytné pro normální provoz sítě. Například zpráva Destination Unreachable ICMP se používá k přenosu informací o chybě doručení balíčku. Je důležité povolit takové užitečné zprávy ICMP v firewallu MikroTik, aby se předešlo problémům s doručováním paketů a s tím souvisejícímu snížení výkonu sítě.
- Blokování odpovědí ICMP na vysílání: odpovědi ICMP na požadavky na vysílání mohou útočníci použít k útoku na síť. Proto je důležité blokovat ICMP odpovědi na vysílání v firewallu MikroTik.
Filtrování zpráv ICMP v firewallu MikroTik pomůže zajistit bezpečnost sítě a zabránit útokům souvisejícím s používáním protokolu ICMP. To je zvláště důležité pro ochranu před útoky typu "Ping of Death" a "šmoulí útok", které aktivně používají ICMP zprávy. Aplikace příslušných pravidel filtrování ICMP v firewallu MikroTik zajistí efektivní ochranu sítě a zlepší její výkon.
Použití pravidel pro rozlišení ICMP paketů v firewallu MikroTik
Pravidla pro řešení ICMP paketů mohou být užitečná v různých případech. Mohou být například použity pro:
- Kontrola dostupnosti vzdálených hostitelů pomocí příkazu ping;
- Ladění sítě a detekce problémů souvisejících se směrováním a sdílením dat;
- Oprávnění nebo blokování určitých typů provozu ICMP v závislosti na požadavcích na zabezpečení sítě.
Pro konfiguraci pravidel brány firewall MikroTik je nutné povolit balíčky ICMP:
- Otevřít konzolu MikroTik a vstoupit do režimu úprav pravidel brány firewall;
- Vytvořit nové pravidlo pomocí příkazu / ip firewall filter add;
- Nastavit smysluplné parametry pro pravidla, jako je zdroj a přiřazení IP adres, protokol a typ ICMP paketů;
- Nastavit akci pro pravidlo, jako je allow (povolit) nebo drop (blokovat) ICMP pakety;
- Použít pravidlo pomocí příkazu / ip firewall filter enable.
Po aplikaci pravidel bude firewall MikroTik povolovat nebo blokovat ICMP pakety podle daných pravidel. To umožní monitorovat a spravovat sdílení provozu ICMP v síti, což může zvýšit bezpečnost a kvalitu sítě.
| Parametr | Popis |
|---|---|
| /ip firewall filter add | Vytvoří nové pravidlo brány firewall |
| /ip firewall filter enable | Obsahuje pravidlo brány firewall |
Nastavení pravidel pro blokování ICMP paketů v firewallu MikroTik
Balíčky ICMP se používají k přenosu chybových zpráv, kontrole dostupnosti uzlů sítě a dalších síťových operací. V některých případech však může být nutné blokovat ICMP pakety pro zlepšení zabezpečení sítě.
Chcete-li nastavit pravidla pro blokování ICMP balíčků v bráně firewall MikroTik, postupujte podle následujících kroků:
- Otevřete webové rozhraní firewallu MikroTik zadáním IP adresy webového rozhraní do adresního řádku prohlížeče a přihlaste se.
- Z nabídky vlevo vyberte kartu "IP "a přejděte do části"Firewall".
- Kliknutím na tlačítko" Filter Rules " otevřete seznam pravidel filtrování.
- Kliknutím na tlačítko" Add New " vytvoříte nové pravidlo filtrování.
- V poli "Chain" vyberte řetězec, na který bude pravidlo platit. Například " input "pro příchozí pakety nebo" forward " pro přesměrování paketů.
- V poli " Protocol "vyberte" icmp " pro filtrování paketů ICMP.
- V poli " Akce "vyberte" drop " pro blokování balíčků ICMP.
- V případě potřeby nakonfigurujte další nastavení pravidla a pro uložení klikněte na tlačítko "OK".
- Opakujte kroky 4-8 pro každý typ ICMP paketů, které je třeba zablokovat.
Po nastavení pravidel pro blokování ICMP paketů v Mikrotik firewall budou všechny příchozí nebo přesměrované ICMP pakety uzamčeny a vyřazeny, což zvýší bezpečnost sítě.
Typy ICMP paketů a jejich blokování v firewallu MikroTik
Některé typy ICMP paketů však mohou útočníci použít k provádění útoků na síť nebo ke skenování zranitelností. Pro ochranu sítě před takovými útoky poskytuje firewall MikroTik možnost blokovat určité typy ICMP paketů.
Zde jsou některé z nejběžnějších typů ICMP paketů:
- ICMP Echo Request (Typ 8) -také známý jako ping dotaz se používá ke kontrole dostupnosti vzdáleného uzlu. Nastavení pravidla blokování tohoto typu ICMP paketů pomůže zabránit nežádoucím pokusům o ping v síti.
- ICMP Echo Reply (typ 0) - to je odpověď na požadavek ICMP Echo. Pokud nechcete povolit pingové dotazy z externí sítě, můžete tento typ ICMP paketů zablokovat v bráně firewall.
- ICMP Destination Unreachable (typ 3) - takové pakety jsou odesílány, když není možné doručit IP paket do cíle. Blokování tohoto typu ICMP paketů může chránit síť před některými typy útoků, jako je ICMP flood.
- ICMP time Exceeded (Typ 11) - takové pakety jsou odeslány, když vyprší životnost (TTL) IP paketu. Blokování tohoto typu ICMP paketů může pomoci předcházet útokům založeným na přetečení životnosti paketů IP.
- ICMP Redirect (typ 5) - takové pakety jsou odesílány routerem, aby informoval hostitele o možnosti použití jiné trasy. Blokování tohoto typu ICMP paketů může pomoci zabránit pokusům o přesměrování provozu v síti.
Před zablokováním jakýchkoli typů ICMP paketů se doporučuje pečlivě prozkoumat jejich funkčnost a ujistit se, že zámek neovlivní potřebné síťové operace a funkčnost.
Příklady nastavení pravidel pro ICMP v bráně firewall MikroTik
Níže jsou uvedeny příklady nastavení pravidel pro ICMP v bráně firewall MikroTik:
-
Zablokujte všechny ICMP balíčky:
/ip firewall filter add chain=input protocol=icmp action=drop/ip firewall filter add chain=input protocol=icmp icmp-options=8:0 action=accept/ip firewall filter add chain=input protocol=icmp icmp-options=8:0 dst-address=192.168.0.1,192.168.0.2 action=drop/ip firewall filter add chain=input protocol=icmp icmp-options=8:0 limit=10/1s action=accept/ip firewall filter add chain=forward in-interface=ether1 out-interface=ether2 protocol=icmp action=acceptUvedené příklady nastavení pravidel pro ICMP v firewallu MikroTik vám pomohou řídit a spravovat provoz ICMP ve vaší síti a zajistit bezpečnost a výkon.