[리눅스] UTM9 - Firewall 23.04.14

2023.04.12 - [네트워크 수업/리눅스] - [리눅스] 방화벽 UTM9 23.04.12

 

---

UTMPermalink
1. in -> out
- 모든 트래픽 허용
2. in -> dmz
- DNS, HTTP, HTTPs, POP3, SMTP, IMAP, FTP
3. dmz -> in
- 모두 차단
4. dmz -> out
- DNS, SMTP
5. out -> in
- 모두 차단
6. out -> dmz
- DNS, HTTP, HTTPs, SMTP, FTP

Network Protection
-> Firewall
1. Sources(Internal) + Services(Any) + Destinations(Any)
2. Sources(Internal) + Services(DNS, FTP, HTTP, HTTPS, IMAP, POP3, SMTP) + Destinations(DMZ)
3. Sources(DMZ) + Services(DNS, SMTP) + Destinations(Any)
4. Sources(Any) + Services(DNS, FTP, HTTP, HTTPS, SMTP) + Destinations(DMZ)
-> NAT
1. Network(Internal) + Interface(External)
2. Network(DMZ) + Interface(External)

 

---

방화벽 rule

inside → DMZ

in → ext

DMZ → in

ext → in

ext → DMZ 

 

1. inside → outside : 모든 트래픽 허용.

2. insdie → DMZ : DNS(이름풀이가 되어야함), HTTP, HTTPS, POP3, SMTP, IMAP, FTP가 가능해야한다.

3. DMZ → inside : DMZ에는 사용자가 없다. 그래서 다 차단해야한다.

4. DMZ → outside : DNS, SMTP 허용

DMZ에는 사용자가 없다. 근데 Win7사용자가 DMZ에 구글 주소를 물어보면? DMZ가 External(outside)에 물어보고 다시 사용자에게 물어본다.(리커시브 쿼리). 따라서 DNS는 허용되어야한다.

DNS와 External은 SMTP(보내는 메일서버)가 되어야한다.

5. outside → inside : 모두 차단.

6. outside → DMZ : dns, http, https, smtp, ftp허용

외부세계에있는 사람들은 서버 이용가능.  

 

 

 

---

1. inside → outside : 모든 트래픽 허용.

 

 

 

 

 

2. inside → DMZ : DNS(이름풀이가 되어야함), HTTP, HTTPS, POP3, SMTP, IMAP, FTP가 가능해야한다.

 

 

3. DMZ → inside : DMZ에는 사용자가 없다. 그래서 다 차단해야한다.

 

4. DMZ → outside : DNS, SMTP 허용

DMZ에는 사용자가 없다. 근데 Win7사용자가 DMZ에 구글 주소를 물어보면? DMZ가 External(outside)에 물어보고 다시 사용자에게 물어본다.(리커시브 쿼리). 따라서 DNS는 허용되어야한다.

DNS와 External은 SMTP(보내는 메일서버)가 되어야한다.

 

 

5. outside → inside : 모두 차단.

 

 

 

6. outside → DMZ : dns, http, https, smtp, pop, ftp허용

외부세계에있는 사람들은 서버 이용가능.  

 

 

outside 는 any 라고 생각해주면된다.

 

 

NAT도 DMZ에서 외부로 가는거 추가. 

 

 

 

원래 ping넣어주면안되지만 가능한지 확인을 위해!

 

 

 

외부로 핑날려보면 된다.

 

리커시브 쿼리를 해서 오는것!

 

 

웹서버는 아파치니까 192.168.20.200 넣어준다. -- centos7 아파치에서도 확인하기

아파치 확인

 

 

 

---

 

크롬은xx 무료버전이라 오류ㅎㅎ 익스플로어에서는 차단 잘됨.!!

 

 

---

목적지 NAT (들여다 볼수있게 하는것)

200:udp 53하면 100:53으로 바뀐다.

근데 그렇게만해도 볼수없다. 저포트 여기 포트 다 아이피, 포트넘버 53으로 바꾸는거.

DMZ가 목적지가 된다.

 

 

 

내부 어디로 연결할것인지 정해주는것.

 

 

 

---

내 찐 컴터

 

내 찐컴퓨터에서 이름풀이해보면 아이피 10.5.1.122로 받는다.

내 찐컴퓨터에서 이름풀이하면 뜬다!!!!!!

이걸 DNAT라고 한다.