Firewall Filtering on Juniper

Akibat ikut training juniper di IDN jadi ketagihan maenan junos ini, sebelum training hanya sekedar tau2 konfig dasar aja, tapi setelahnya jadi pengen belajar lebih dalam mengenai junos/olive ini.

saya mau coba ceritakan materi berat nih :D, biasanya ketika masuk materi ini peserta udah mulai suntuk dan gagal fokus >.< yup, firewall make logika banget, kalahkan sama cinta, cinta aja ga make logika, hahaha. logika kadang jg ga mau jalan atau otak ane ga nyambung.. kalo anak programming mungkin mahir banget deh untuk masalah if .... then .... else...... ini.

Firewall digunakan untuk melindungi router dari serangan luar internet,WAN, atau jaringan lokal sendiri, bahayakan kalo jaringan kita kena Ddos yang bikin server down.
kalo udah down paling tinggal tunggu di komplen user terus di omelin sama atasan >.<

nah di router firewall ini tidak melakukan implementasi fungsi firewall secara penuh (Appliance), beda lagi kalo kita make seri firewallnya, jadi lebih kearah memfilter ip paket berdasarkan konten, service2 kaya telnet, routing, snmp dll, terus filter jaringan yang keluar (outbound) dan masuk (inbound), bisa juga pembatasan rate limit utk menghindari ddos.

biar makin ngerti coba kita buat study case permasalahannya ya

konfigurasi ip address dulu setiap interfacesnya

set logical-systems R1 interfaces em0 unit 1 vlan-id 12
set logical-systems R1 interfaces em0 unit 1 family inet address 12.12.12.1/30
set logical-systems R1 interfaces lo0 unit 0 family inet address 1.1.1.1/32
set logical-systems R1 protocols ospf area 0.0.0.0 interface all

set logical-systems R2 interfaces em0 unit 2 vlan-id 23
set logical-systems R2 interfaces em0 unit 2 family inet address 23.23.23.1/30
set logical-systems R2 interfaces em1 unit 1 vlan-id 12
set logical-systems R2 interfaces em1 unit 1 family inet address 12.12.12.2/30
set logical-systems R2 interfaces lo0 unit 2 family inet address 2.2.2.2/32
set logical-systems R2 protocols ospf area 0.0.0.0 interface all

set logical-systems R3 interfaces em1 unit 2 vlan-id 23
set logical-systems R3 interfaces em1 unit 2 family inet address 23.23.23.2/30
set logical-systems R3 interfaces lo0 unit 3 family inet address 3.3.3.3/32

 owh iya fitur juniper adalah bisa di buatnya logicar router atau system bro, jadi seperti router di dalam router, bisa routing ataupun management sendiri.

lanjut bikin routingannya ya, bikin routing dynamic aja dulu nah ane pake OSPF standar, untuk pembahasan routing nanti ane buat artikel yang berbeda

konfigurasi routing protocol

 set logical-systems R1 protocols ospf area 0.0.0.0 interface all
set logical-systems R2 protocols ospf area 0.0.0.0 interface all
set logical-systems R3 protocols ospf area 0.0.0.0 interface all

nah dalam tahap ini pastikan router R1 bisa ngeping ke router lainnya, begitupun sebaliknya

root# run ping 1.1.1.1 logical-system R3
PING 1.1.1.1 (1.1.1.1): 56 data bytes
64 bytes from 1.1.1.1: icmp_seq=0 ttl=63 time=1.022 ms
64 bytes from 1.1.1.1: icmp_seq=1 ttl=63 time=1.169 ms
64 bytes from 1.1.1.1: icmp_seq=2 ttl=63 time=1.093 ms
^C
--- 1.1.1.1 ping statistics ---
3 packets transmitted, 3 packets received, 0% packet loss
round-trip min/avg/max/stddev = 1.022/1.095/1.169/0.060 ms

 nah jika sudah berhasil routing dengan baik, kemudian kita lakukan konfigurasi firewall filter yang dinamai "block packet". karena simulasi ini berjalan dengan olive, maka konfigurasi firewall di lakukan di luar logical-router.
ane juga masih kurang paham kenapa firewall tidak bisa berjalan di simuasi(vmware) pada dalam logical-router :v perlu di tanya ke master barly ini. hahahah

set firewall filter block_packet term icmp from destination-address 2.2.2.2/32
set firewall filter block_packet term icmp from protocol icmp
set firewall filter block_packet term icmp then reject
set firewall filter block_packet term default then accept

konfigurasi diatas sudah mewakili soal diatas tadi, yaitu :

• R3 bisa ping loopback R1, tetapi tidak bisa ping ke loopback R2
• R1 bisa ping loopback R3, tetapi tidak bisa ping ke loopback R2

jadi ngebaca firewallnya apabila ada packet ping menuju address 2.2.2.2 maka akan dikenakan aturan reject. selain packet icmp akan di accept.

ehya ada dua macam kemungkinan dalam junos firewall filtering yaitu: match dan action
match yaitu mengijinkan untuk melakukan kondisi seperti apa yang akan di proses oleh firewall.
coba saja ketik syntac berikut
 set firewall filter block_packet term icmp from ? *terus tanda tanya
maka akan keluar match kondisi apa yg kita inginkan,seperti :

• source address
• destination address
• tcp or udp port
• protocol
• icmp packet type
• ip option
• tcp flags
• incoming/outgoing interface

sedangkan kondisi action  adalah perlakuan yang ingin diterapkan apabila router menerima paket yang sesuai dengan ketentuan match.
 set firewall filter block_packet term icmp then ? *terus tanda tanya
 
 action yang dapat di terapkan :

• accept (menerima paket)
• reject (menolak paket tapi menampilkan replay icmp)
• discard ( menolak paket tapi tidak menampilkan apapun)
• take no action

lanjuttt.....



setelah konfigurasi diatas, untuk memfungsikan fiter tersebut maka firewall di tanam pada interface "input" yang terdekat dengan tujuan yaitu router R2.

protocol filtering - implementasi firewall di interface

set logical-systems R2 interfaces lo0 unit 2 family inet filter input block_packet

Verifikasi Protocol filtering - Ping to loopback R2

###ping dari R3###

[edit]
root# run ping 2.2.2.2 logical-system R3
PING 2.2.2.2 (2.2.2.2): 56 data bytes
36 bytes from 2.2.2.2: Communication prohibited by filter
Vr HL TOS  Len   ID Flg  off TTL Pro  cks      Src      Dst
 4  5  00 0054 327a   0 0000  40  01 1613 23.23.23.2  2.2.2.2

36 bytes from 2.2.2.2: Communication prohibited by filter
Vr HL TOS  Len   ID Flg  off TTL Pro  cks      Src      Dst
 4  5  00 0054 327c   0 0000  40  01 1611 23.23.23.2  2.2.2.2

^C
--- 2.2.2.2 ping statistics ---
2 packets transmitted, 0 packets received, 100% packet loss

###ping dari R1###

[edit]
root# run ping 2.2.2.2 logical-system R1
PING 2.2.2.2 (2.2.2.2): 56 data bytes
36 bytes from 2.2.2.2: Communication prohibited by filter
Vr HL TOS  Len   ID Flg  off TTL Pro  cks      Src      Dst
 4  5  00 0054 329a   0 0000  40  01 2bff 12.12.12.1  2.2.2.2

36 bytes from 2.2.2.2: Communication prohibited by filter
Vr HL TOS  Len   ID Flg  off TTL Pro  cks      Src      Dst
 4  5  00 0054 329d   0 0000  40  01 2bfc 12.12.12.1  2.2.2.2

^C
--- 2.2.2.2 ping statistics ---
2 packets transmitted, 0 packets received, 100% packet loss

jika sudah begini berarti tandanya sudah sukses kita membuat filtering bro gan. hehehe
nah sekarang coba pake topologi yang sama cuma di ganti kondisi match dan actionnya

terus ada yang nanya perbedaan routing policy sama firewall filtering apa?
terus bedanya firewall fitering sama security apa?
nah makin panjangkan bahasannya >.< nanti akan ane share di mari,
waduuhhh jadi makin banyak PR kan :p

thanks mas bro barly dan IDN.