CBQ: Class-Based Queuing Class-Based Tree Root 100 Mbps TCP 60 Mbps UDP 40 Mbps ICMP 0Mbps HTTP 30 Mbps FTP 30 Mbps

Sentido As regras se aplicam de forma diferente de acordo com o sentido do pacote. Existe uma árvore diferente para cada sentido em cada porta do roteador. CBQ.1 Inbound: root-input-tree Outbound: root-output-tree ROTEADOR CBQ.2 Inbound: root-input-tree Outbound: root-output-tree

Comandos config cbq.1 traffic-class.tcpin protocols tcp parent root-input-tree [ bandwidth-allocation bounded false maxbandwidth priority 1] config cbq.1 traffic-class.root-input-tree row-status active

Comandos Regra para subrede: –config cbq.1 traffic-class.bancada1 src-ip-addresses parent root-input-tree Regra de bloqueio: –config cbq.2 traffic-class.udp protocols udp parent root-input-tree bandwidth-allocation 0 bounded true. Regra default: (não precisa criar...) –config cbq.1 traffic-class.other-default parent root-input-tree bandwidth-allocation 0 bounded true

Verificação e Alteração show cbq.1 traffic-filters summary delete cbq.1 traffic-filter.bancada1

Opções de Filtro Endereços IP: –src-ip-addresses ip_inicio-ip_fim –dest-ip-addresses ip_inicio-ip_fim Portas: –src-ports porta_inicio-porta_fim –dst-port porta_inicio-porta_fim

Opções de Filtro applications sigla –http, ftp, smtp, etc. –traffic-class.http-out applications http –traffic-class.http-return aplications httpEstablished protocols sigla ou número –traffic-class.TCP-out protocols TCP –traffic-class.TCPUDP protocols 6-17

Applicações Statefull allTcp, allTcpEstablished allUdp, allUdpEstablished allIcmp, allIcmpEstablished ftp, ftpEstablished http, httpEstablished telnet, telnetEstablished

Exemplo Criar uma entrada root ativa: –config cbq.1 traffic-class.root-input-tree row-status active Para permitir o tráfego: –config cbq.1.traffic-class.smtp-out parent root-input-tree applications smtp –config cbq.2.traffic-class.smtp-return parent root-input-tree applications smtpEstablished

Operadores operator and operator or –config cbq.1 traffic-class.httpserver src-ip- addresses protocols tcp operator and

Exemplo config cbq.3 traffic-class.respostaHTTP –src-ports 80 parent root-input-tree (** ERRADO **) config cbq.3 traffic-class.respostaHTTP –src-ports 80 applications allTcpEstablished –parent root-input-tree roteadorBancada 1Bancada 2 cbq.3 clienteServidor HTTP resposta

Cenário SW1 R1 SW2 R2 SW3 R3 SW4 R4 rede interna 1 ( /24) dmz 1 ( /24) dmz 2 ( /24) rede interna 2 ( /24) internet

Indentifique as Interfaces na sua rede SW1 R1 SW2 R2 rede interna IP: Mascara: dmz IP: Mascara Internet cbq. root-input-tree cbq. root-input-tree cbq. root-input-tree cbq. root-input-tree

Considere que os seguintes serviços estão disponíveis na DMZ SMTP: TCP 25 e IP: POP3: TCP 110 e IP: HTTP: TCP 80 e IP: DNS: UDP 53 e IP: FTP: TCP 21 e IP:

Pacotes rede Interna-DMZ 1.HTTPreq: config cbq. 2.POP3req: config cbq. 3.SMTPreq: config cbq. 4.DNSreq: config cbq. 5.FTPreq: config cbq.

Pacotes DMZ-Rede Interna 1.HTTPresp: config cbq. 2.POP3resp: config cbq. 3.SMTPresp: config cbq. 4.DNSresp: config cbq. 5.FTPresp: config cbq.

Pacotes DMZ-Internet (requisições) 1.HTTPRIreq: config cbq. 2.FTPRIreq: config cbq. 3.SMTPDMZreq: config cbq. 4.DNSDMZreq: config cbq.

Pacotes DMZ-Internet (respostas) 1.HTTPDMZresp: config cbq. 2.FTPDMZresp: config cbq. 3.SMTPDMZresp: config cbq. 4.DNSDMZresp: config cbq.

Pacotes Internet-DMZ (requisições) 1.HTTPREreq: config cbq. 2.FTPREreq: config cbq. 3.SMTPREreq: config cbq. 4.DNSREreq: config cbq.

Pacotes Internet-DMZ (respostas) 1.HTTPREresp: config cbq. 2.FTPREresp: config cbq. 3.SMTPREresp: config cbq. 4.DNSREresp: config cbq.

Testes Para simular os servidores na bancada DMZ: –jview mserver porta –Exemplo: jview mserver 21 Para simular os clientes nas bancadas internas: –jview cliente IPServidor PortaServidor –Exemplo: jview cliente Para simular ataques por spoofing de porta: –jview cliente IPServidor PortaServidor PortaCliente –Exemplo: jview cliente

Verificações 1.Os clientes da rede interna conseguem acessar aos servidores na DMZ local? 2.Os clientes da rede interna conseguem acessar aos servidores na DMZ remota? 3.Outras portas de serviços não autorizados estão bloqueadas? Exemplo: ICMP, telnet, etc. Simule este teste criando um servidor telnet na DMZ. 4.Suas regras estão protegidas contra spoofing de porta?