SharedIT | 묻고 답하기(AMP)

주니퍼 스위치 설정에 대해서 고수님들께 문의 드립니다.


안녕하세요?

다름이 아니라, 주니퍼 스위치 ACL 설정을 문의하고자 합니다.

네트워크 최 전방에 주니퍼 스위치가 있으며,
그 스위치에서 공격자의 IP를 차단하고 있습니다.

차단하고자 하는 IP가 추가되어, 어떻게 IP를 추가해야 하는지 설정 문의 드립니다.

미리 답변에 감사드립니다. 

2개의 답변이 있습니다.

wansoo
  0 추천 | 약 5년 전
참고로 JunOS CLI 사용자 가이드는 아래 링크를 참고하시면 될 것 같고요.
https://www.juniper.net/documentation/en_US/junos/information-products/pathway-pages/junos-cli/junos-cli.pdf

GUI 사용자 가이드는 아래 링크를 참고하시면 도움될 것 같네요.
https://www.juniper.net/documentation/en_US/junos11.4/information-products/topic-collections/jweb-user-guide/jweb-user-guide.pdf
wansoo
  0 추천 | 약 5년 전
JunOS를 사용하고 있지 싶은데요.
실제 장비를 가지고 있지 않아서 실제 Test를 해 보진 못했는데...
매뉴얼을 검색하여 참고해서 방법을 적어 본다면...

GUI 모드 설정 방법도 있겠지만, CLI 접속으로 하는 방법을 적어 보겠습니다.

1. 먼저 telnet 또는 SSH 등으로 장비에 접속을 하시고요. root 계정 또는 권한이 있는 계정으로 접속해야 겠죠...
2. cli 명령 상태로 전환하기 위해 cli 명령을 실행하고요.        
3. 설정 모드로 진입하기 위해 configure 명령을 입력하고요.  ex) root@> configure    명령을 실행하면 root@#으로 프롬프트가 변경되어 설정 모드로 전환될 것 같고요.
4. 차단할 ip를 방화벽 필터 등록하고요.
 ex) set firewall family inet filter 필터명 term term명 from source-address ip
    필터명 및 term명은 규칙에 맞춰 적당히 적어 주면 될 것 같고요. 예를 들어 discard-ip-list를 필터명,  1을 term명으로 하고, 차단할 ip가 192.20.1.2 일 경우라고 가정할 경우,
  set firewall family inet filter discard-ip-list term 1 from 192.20.1.2   라고 명령을 주면 될 것 같고요.
5.  설정한 필터의 항목에 대한 처리할 액션에 대한 명령을 주고요. 여기서는 차단을 위해 discard시키면 되겠죠...
 ex) set firewall family inet filter 필터명 term term명 then discard   앞의 4에 대해 차단할 것이기 때문에
    set firewall family inet filter discard-ip-list term 1 then discard   라고 명령을 주면 될 것 같고요.
6.  설정한 필터를 적용하기 위해 commit 시켜 주면 될것 같네요.    ex) root@# commit 

앞에서도 말씀 드렸듯이 실제 실행해 본 것이 아니기 때문에 일부 내용에 오류가 있음을 고려해서 설명드린 내용을 참고해서 도움말 ( ? 또는 ? firewall 등의 형식 )을 참고하시면서 설정을 한다면 큰 어려움 없이 원하는 목적을 달성할 수 있을 거라 생각합니다.

 

wansoo | 약 5년 전

4. 의 set firewall family inet 에서 inet은 ipv4에 대한 설정을 위한 것이고 ipv6에 대한 설정을 위해서는 set firewall family inet6으로 변경하면 되겠고요~

wansoo | 약 5년 전

4.에서 set firewall family inet filter discard-ip-list term 1 from 192.20.1.2 라고 적은 명령에 source-address가 빠져 있어서, set firewall family inet filter discard-ip-list term 1 from source-address 192.20.1.2 로 정정해야되겠네요~ ^^;;

wansoo | 약 5년 전

이름에 "-"를 사용할 수 있는지 없는지를 모르겠네요... ㅎㅎ 만약 "discard-ip-list" 라고 적은 것에 오류가 있다면 "discard_ip_list"로 수정해서 사용해 보시고요~ ^^

davidkim | 약 5년 전

자세한 답변 고맙습니다. ^^ 하나만 더 여쭤볼께요~ 기존 IP리스트에 추가하고자 할 때는 set 대신 insert를 사용하면 되는건가요? 고맙습니다.

wansoo | 약 5년 전

set firewall family inet filter discard-ip-list term 1 from source-address 192.20.1.5 의 형식으로 같은 이름의 term에 ip를 추가 등록하면 되지 않을까 싶네요. 기존에 등록해둔 방화벽 필터는 show firewall 명령으로 확인해 볼 수 있을 것 같고요.

davidkim | 약 5년 전

거듭 감사합니다. ^^