Bài viết này sẽ hướng dẫn các bước cấu hình trên firewall juniper SRX 320 chặn người dùng truy cập web facebook bằng App Firewall.

1.Sơ đồ mạng

Như sơ đồ, thiết bị tường lửa Juniper SRX320 sẽ được kết nối internet ở port ge-0/0/0 với IP tĩnh là 192.168.1.100/24 và trỏ về gateway là địa chỉ của nhà mạng 192.168.1.1/24.

Phía bên trong của juniper SRX 320 là lớp mạng nội bộ với IP 192.168.10.1/24 được đặt cho port ge-0/0/1. Trên ge-0/0/1 được cấu hình DHCP server để cấp phát IP cho các thiết bị truy cập đến nó.

Cuối cùng là 1 thiết bị Laptop được kết nối với ge-0/0/1 thông qua cáp mạng và nhận được IP 192.168.10.2 được cấp từ DHCP server trên ge-0/0/1.

2. Các bước cấu hình.

• Cấu hình Rule App Firewall
• Cấu hình chọn Application Signatures
• Cấu hình Firewall Policy Rule

3. Hướng dẫn cấu hình.

Bước 1: Cấu hình Rule App Firewall

Đi đến Security tab > AppSecure > App Firewall. Click icon “+” để tiến hành tạo Rule App Firewall.

Trong cửa sổ Add Rule Set:

+ Rule Set Name: Điền tên rule bạn muốn

+ Default Rule: chọn permit

Tiếp theo click icon “+” trong mục Rule.

Bước 2: Cấu hình Appliaction Signature.

Trong cửa sổ Add Rule:

+ Rule name: Điền tên rule bạn muốn

+ Rule Action: chọn Deny

+ Mục Aplication signatures: Bạn sẽ chọn các dấu hiệu nhận dạng ứng dụng bạn muốn chặn, như trong bài viết này là facebook. Bạn có thể dùng công cụ Search để tìm kiếm nhanh hơn.

Sau khi chọn xong bạn click icon ” > ” để chuyển sang bảng Matched.

Đối với App-signature group: Mỗi một App-group sẽ bao gồm nhiều app-signature nhỏ bên trong.

Sau cùng click Ok.

Bước 3: Cấu hình Firewall Policy Rule.

Đi đến Security tab > Firewall Policy > Rule. Click icon ” + ” để thêm rule.

Trong cửa sổ Create Rule:

+ Rule Name: Điền tên rule bạn muốn. Bạn cũng có thể mô tả thêm rule tại mục “Rule Description”. Click Next.

Phần Soucre và Destination sẽ xác định traffic apply vào rule vừa tạo.

+ Source Zone: chọn Internal, Address(es) và User ID giữ nguyên mặc định. Click Next.

+ Destination Zone: chọn Internet. Address(es) và Service giữ nguyện mặc định là any. Click Next.

Mục Advanced Security:

+ Rule Action: chọn Permit.

+ App Firewall: chọn tên rule đã tạo trong trong phần App Firewall. Các thông số còn lại giữ nguyên. Click Next. Tiếp theo là click Fisnish và OK để hoàn thành tạo Firewall policy.

Kiểm tra khi truy cập Facebook trên web đã bị chặn.

Nhưng vẫn có thể kết nối đến các trang web khác như zingnews.

Bài viết này sẽ hướng dẫn các bước cấu hình trên firewall juniper SRX320 để người dùng trong nội bộ có thể truy cập internet.

1.Sơ đồ mạng

Như sơ đồ, thiết bị tường lửa Juniper SRX320 sẽ được kết nối internet ở port ge-0/0/0 với IP tĩnh là 192.168.1.100/24 và trỏ về gateway là địa chỉ của nhà mạng 192.168.1.1/24.

Phía bên trong của juniper SRX 320 là lớp mạng nội bộ với IP 192.168.10.1/24 được đặt cho port ge-0/0/1. Trên ge-0/0/1 được cấu hình DHCP server để cấp phát IP cho các thiết bị truy cập đến nó.

Cuối cùng là 1 thiết bị Laptop được kết nối với ge-0/0/1 thông qua cáp mạng và nhận được IP 192.168.10.2 được cấp từ DHCP server trên ge-0/0/1.

2.Các bước cấu hình.

• Cấu hình DHCP Server
• Cấu hình Firewall Rule
• Cấu Security Zone
• Cấu hình Static Route
• Cấu hình Source NAT

3.Hướng dẫn cấu hình.

Bước 1: Cấu hình DHCP Server

Đi đến DHCP tab > DHCP Server. Click vào icon cây bút để chỉnh sửa.

Ở General tab, mục Network Address ta sẽ ghi subnet bạn muốn cấp cho mạng nội bộ.

Tiếp theo click chọn DHCP Attributes.

Trong mục DNS Server Name, click Add để thêm DNS là 8.8.8.8

Trong mục Gateway Routers: điền địa chỉ ip gateway là 192.168.10.1 cho mạng nội bộ trên cổng ge-0/0/1.

Click Ok.

Ở Address Range tab, click Edit để chỉnh sửa dải ip cấp phát cho mạng nội bộ.

Điền dải ip cấp cho mạng nội bộ là từ 192.168.10.2-192.168.10.254.

Đi đến Interfaces tab, click chọn Port. Chọn port ge-0/0/0, click icon cây bút để chỉnh sửa.

Trong mục General, chọn Zone là Internet.

Tiếp theo chọn mục Ipv4 Address, click chọn Enable Address Configure để chỉnh sửa ip cho cổng ge-0/0/0. Click icon dấu “+” và điền ip là 192.168.1.100.

Sau cùng click OK.

Ta cũng chỉnh sửa ip cho cổng ge-0/0/1 tương tự các bước như cho cổng ge-0/0/0 ở trên.

Chọn Zone là Internal và điền ip cho cổng là 192.168.10.1

Bước 2: Cấu hình Firewall Rule.

Đi đến Security tab >Firewall Policy >Rules:

+ Rule Name: Đặt tên cho rule.

+ Source Zone: chọn là Internal, click Next

+ Destination Zone: chọn là Internet, click Next.

+ Rule Action: chọn Permit

Cuối cùng click Finish để kết thúc tạo rule.

Như vậy ta vừa tạo xong 1 rule “AccessInternet” trong Rule “Internal to Internet” bạn nên tạo thêm 1 rule nữa có Soucre Zone là Internet, Destination Zone là Internal và Rule Action là Deny.

Bước 3: Cấu hình Security Zone

Đi tới Security tab > Object > Zone/Screens. Chọn zone bạn muốn cấu hình và click icon cây bút để tiến hành chỉnh sửa. Ở đây ta sẽ cấu hình Internal Zone trước

Trong Main tab:

+ Zone Type: chọn Security

+ Interfaces: Chuyển port ge-0/0/1.0 từ bảng Available sang bảng Selected.

Trong Host Inbound Traffic –Zone tab:

+ Protocol: chọn “all” hoặc bạn có thể lựa chọn giao thức muốn chạy và chuyển nó sang bảng Selected.

+ Service: Tương tụ như chọn Protocol bằng cách chọn các dịch vụ trong bảng Available chuyển sang bảng Selected như: ping, ssh,…

Trong Host Inbound Traffic –Interfaces tab:

+ Selected Interface: lựa chọn port bạn muốn cấu hình.

+ Service: chọn các dịch vụ bạn muốn sử dụng trong bảng Available Service chuyển sang Selected.

+ Protocol: cũng tương tự như Service, bạn có thể chọn “all” để cho phép sửa dụng tất cả các protocol.

Bạn cũng thực hiện các bước cấu hình Internet Zone tương tự như Internal Zone.

Bước 4: Cấu hình Static Route

Đi đến Network tab > Static Routing. Click icon “+” để thêm static route

Click IPv4 và điền default route là: 0.0.0.0/0

Ở mục Next-hop, click icon “+” và điền ip next-hop là 192.168.1.1

Click Ok để lưu.

Bước 5: Cấu hình Source NAT

Đi đến Security tab > NAT > Source. Click icon “+” để cấu hình Rules.

Trong cửa sổ Edit Rule Set:

+ Mục From: chọn là Zone

+ Chọn Zone Internal từ bảng Available sang bảng Selected

+ Mục To: chọn là Zone

+ Chọn Zone Internet từ bảng Available sang bảng Selected

Tiếp theo trong phần Rule, click icon “+” để thêm Rule.

Trong cửa sổ Add Rule:

+ Rule Name: điền tên Rule bạn muốn.

+ Source Address and Port: điền subnet là 192.168.10.0/24 trong khung Search của bảng Selected, tiếp theo click icon “+” để thêm subnet này vào bảng Selected

+ Destination Address and Port: điền 0.0.0.0/0 và click icon “+” để thêm vào bảng Selected

+ Action: click chọn Do source NAT with Egress Interface Address.

Sau cùng click Ok.

Kiểm tra kết quả máy tính đã nhận ip và ping được 8.8.8.8

Có hai cách để cấu hình thiết bị Juniper là bằng giao diện J-web và giao diện dòng lệnh CLI. Bài viết này sẽ hướng dẫn cách kết nối ban đầu với tường lửa SRX320, cũng như cấu hình các thông số cơ bản của thiết bị bằng sử dụng Setup Wizard trên giao diện J-web.

1.Kết nối và đăng nhập vào thiết bị bằng giao điện J-Web.

Khi firewall Juniper được bật nguồn, nó sẽ tìm kiếm máy chủ DHCP và nếu nó không tìm thấy máy chủ, nó sẽ gán một địa chỉ IP trong mạng con 192.168.1.0/24 cho bất kỳ thiết bị nào được kết nối với nó, vì vậy bạn chỉ cần cắm 1 đầu cáp Ethernet vào cổng 0/0 trên thiết bị firewall và đầu còn lại cắm vào thiết bị PC hoặc laptop bạn dùng để cấu hình thiết bị.

Sau khi PC đã nhận được IP trong dải 192.168.1.0/24. Để kết nối với giao diện J-Web thông qua cổng 0/0 trên firewall Juniper, bạn mở một trình duyệt nhập địa chỉ https://192.168.1.1 để vào giao diện J-web.

Tiếp theo nhấn chọn “Skip to J-Web” để vào Setup Wizard.

2. Tiến hành cài đặt các thông số cơ bản trên thiết bị.

Trong Basic Settings chọn Guied Setup. Click Next.

Tiếp theo trong Experience Level, chọn Enable Basic Options. Click Next.

Trong Device Information, bạn nhập các thông số sau:

+ Device Name: Điền tên của thiết bị

+ Root Password: Nhập một password bạn sẽ dùng khi đăng nhập vào thiết bị

+ Verify Password: Xác nhận lại root password bạn đã nhập.

Ngoài ra bạn cũng có thể tạo một tài khoản Admin khác dùng để đăng nhập vào thiết bị ngoài tài khoản root bằng cách nhấn “Add” bên mục Administrative Account.

Tiếp tục nhấn Next.

Device Time: Chỉnh lại thời gian cho thiết bị. Chọn Manual để chỉnh lại ngày, tháng, năm và chọn Time Zone là GMT +7 VietNam.

Tiếp theo ta đến phần cài đặt các Zone trên thiết bị

Chọn kiểu Internal Zone sẽ kết nối Internet thông qua tường lửa SRX. Click Next.

Bạn có thể chọn thiết bị sẽ quay số PPPOE truy cập Internet và tiếp tục click Next.

Tiếp theo là cấu hình Internet Zone: Bạn chọn 1 cổng trên thiết bị dùng để kết nối với Internet và chỉ được chọn 1 cổng duy nhất. Sau khi chọn xong click Next.

Cấu hình Internal Zone: Chọn kiểu Internal Zone bạn muốn triển khai trên thiết bị SRX. Click Next.

Tại Add Internal Zone: Bạn điền các thông số sau:

+ Zone Name: Đặt tên cho Zone nội bộ.

+ Network Address: Chọn địa chỉ IP cho cổng Internal Zone đã chọn.

+ CIDR: Chọn prefix length cho network address.

+ Chọn port cho Internal Zone như Internet Zone. Có thể bật DHCP Server để cấp IP tự động cho các thiết bị trong Internal Zone.

Click Next.

DHCP Client Pool Range: Chọn dải IP sẽ cấp, nhập địa chỉ DNS server. Click Next.

Tiếp theo cấu hình Security Policy

Cấu hình “Allow Traffic” cho phép traffic có thể truyền giữa hai zone Internet và Internal.

Cấu hình Management Zone là Internal Zone. Cho phép các giao thức có thể sử dụng như Ping, HTTPS, HTTP, SSH. Click Next.

Bạn có thể cấu hình Remote Worker nếu doanh nghiệp của bạn có nhân viên làm việc từ xa. Nếu không muốn cấu hình ngay bây giờ bạn có thể click NO để bỏ qua và click Next.

Cuối cùng là cấu hình NAT.

Sau khi đã cấu hình các thông số trước đó, Setup Wizard sẽ tự động recommended cho bạn nên sử dụng kiểu NAT nào, trong bài viết này là Source NAT. Click Next.

Sau cùng bạn xác nhận lại các thông số đã cài đặt và bạn có thể chỉnh sửa nếu muốn. Click Edit để chỉnh sửa. Click Next.

Cuối cùng bạn click “Apply Settings” để lưu các thông số bạn đã cài đặt.

3. Đăng nhập giao diện cấu hình J-web

Sau khi đã lưu cài đặt xong, bạn reload lại trang và đăng nhập lại thiết bị với tài khoản root. Bên dưới là giao diện cấu hình J-web của thiết bị.