01-13 配置IM阻断

Size: px

Start display at page:

Download "01-13 配置IM阻断"

伎鳞水
5 years ago
Views:

1 配置指南安全防范分册目录目录 13 配置 IM 阻断简介配置 IM 阻断建立配置任务激活模式文件配置需要阻断的 IM 协议配置 ACL 设定 IM 阻断策略配置 IM 阻断策略应用到域间配置 IM 全局阻断 ( 可选 ) 使能域间 IM 检测 ( 可选 ) 使能全局 IM 检测检查配置结果维护清除 IM 统计信息调试 IM 阻断信息配置举例配置透明模式下 IM 全局阻断示例配置路由模式下 IM 域间阻断示例 i

2 插图目录配置指南安全防范分册插图目录图 13-1 透明模式下 IM 阻断配置示例组网图图 13-2 路由模式下 IM 阻断配置示例组网图 ii

3 配置指南安全防范分册 13 配置 IM 阻断 13 配置 IM 阻断关于本章本章描述内容如下表所示标题内容 13.1 简介介绍 IM 阻断功能的意义及实现原理 13.2 配置介绍 IM 阻断功能的配置方法 13.3 维护介绍 IM 阻断功能的维护方法 13.4 配置举例介绍 IM 阻断功能的组网举例配置举例 1: 配置透明模式下 IM 全局阻断示例配置举例 2: 配置路由模式下 IM 域间阻断示例 13-1

4 13 配置 IM 阻断配置指南安全防范分册 13.1 简介即时通讯 IM(Instant Message) 是随着互联网发展起来的一种实时通讯技术, 此技术实现了在线交谈传送文件语音对话及视频聊天等服务常用的 IM 协议有 QQ MSN 等在现今的互联网服务中, 即时通讯已经成为了最为流行的服务模式之一, 随着人们对其的依赖日益增强, 针对即时通讯的病毒和黑客攻击也日益严峻 Eudemon 的 IM 阻断功能通过深度检测机制 DPI(Deep Packet Inspection) 实现了对 IM 流量的检测和阻断 Eudemon 的 IM 阻断功能还可以结合 ACL, 通过 ACL 设置不同的阻断时间段, 以满足用户不同的阻断需求如果网络中出现当前 Eudemon 不能识别的 IM 流量, 可以通过获取新的模式文件来控制不断出现的新的 IM 流量 Eudemon 的 IM 阻断功能可广泛应用于社区校园和企业等大量应用 IM 的网络 13.2 配置 IM 阻断建立配置任务应用环境前置任务数据准备当需要限制网络中用户使用 IM 类软件时, 即可在网络的出口处部署 Eudemon, 并配置 IM 阻断功能配置 IM 阻断功能之前, 需要完成以下任务 : 配置 Eudemon 能正常转发报文用户已经获得 DPI 的模式文件在配置 IM 阻断之前, 需要准备以下数据序号数据 1 模式文件 2 需要进行阻断的 IM 协议 ( 至少选择一种 ) 3 ( 可选 )IM 阻断时间段 4 用户需要实现的阻断策略 ( 配置 ACL) 13-2

5 配置指南安全防范分册 13 配置 IM 阻断如果 ACL 中不设定时间段, 则在任何时间都使用 IM 阻断策略进行阻断 IM 协议应根据需要至少选择一种, 否则 Eudemon 将不进行 IM 检测和阻断 DPI 模式文件激活时, 默认所有的协议是不使能的配置过程序号过程 1 激活模式文件 2 配置需要阻断的 IM 协议 3 配置 ACL 设定 IM 阻断策略 4 配置 IM 阻断策略应用到域间 5 配置 IM 全局阻断 6 ( 可选 ) 使能域间 IM 检测 7 ( 可选 ) 使能全局 IM 检测 8 检查配置结果激活模式文件如果仅需要阻断某个特定域间的 IM 流量, 为提高性能, 可不配置全局检测和全局阻断策略, 仅在该域间配置相应阻断策略步骤 1 执行命令 system-view, 进入系统视图步骤 2 执行命令 firewall dpi pattern-file active, 激活模式文件模式文件的名称必须为 protocol.rul, 激活前需先将此文件写入 Eudemon 的 FLASH 中将模式文件写入 Eudemon 的 FALSH 中的具体操作步骤请参见 Quidway Eudemon 100E/200/200S 防火墙配置指南系统管理分册中的 Eudemon 作为 FTP Client 的 FTP 连接配置示例 P2P 限流和 IM 阻断功能使用同一模式文件, 如果已配置 P2P 限流功能, 并已经激活模式文件, 就不需要重新激活了模式文件升级时, 可通过 display dpi pattern-file active 查看已激活模式文件信息, 通过 display dpi pattern-file on-flash 查看导入 FLASH 的模式文件信息配置需要阻断的 IM 协议步骤 1 执行命令 system-view, 进入系统视图 13-3

6 13 配置 IM 阻断配置指南安全防范分册步骤 2 执行命令 firewall im-block include protocol, 配置需要阻断的 IM 协议可配置的协议由模式文件决定, 如果没有被激活的模式文件, 则无法执行 firewall im-block include protocol 命令步骤 3 ( 可选 ) 执行命令 firewall dpi packet-number number, 配置对每个会话需要检测的报文个数 numer 的范围是 1~48, 默认个数为 2 个配置的报文检测个数越多, 检测率越高, 也越消耗系统性能 IM 阻断效果不理想时, 请通过此命令增加报文检测个数配置 ACL 设定 IM 阻断策略步骤 1 执行命令 system-view, 进入系统视图步骤 2 执行命令 acl [ number ] acl-number [ match-order { config auto } ], 进入 ACL 视图步骤 3 执行命令 rule [ rule-id ] { permit deny } [ source { source-address source-wildcard address-set address-set-name any } time-range time-name logging ] *, 配置基本 ACL 规则或执行命令 rule [ rule-id ] { permit deny } protocol [ source { source-address source-wildcard address-set address-set-name any } destination { destination-address destination-wildcard address-set address-set-name any } source-port { operator port range port1 port2 port-set port-set-name } destination-port { operator port range port1 port2 port-set port-set-name } icmp-type { icmp-type icmp-code icmp-message } precedence precedence tos tos time-range time-name logging ] *, 配置高级 ACL 规则 IM 对 ACL 规则中配置 permit 的流量进行阻断,deny 的流量进行放行 ACL 中设定的时间段, 就是 IM 阻断使用的时间段配置 IM 阻断策略应用到域间步骤 1 执行命令 system-view, 进入系统视图步骤 2 执行命令 firewall interzone zone-name1 zone-name2, 进入域间视图步骤 3 执行命令 im-block acl-number, 配置 IM 阻断策略应用到域间已经应用在域间的 IM 阻断策略, 如果对 ACL 规则进行了更改, 则域间 IM 的阻断策略会随着 ACL 的规则变化而做自动刷新 13-4

7 配置指南安全防范分册 13 配置 IM 阻断配置 IM 全局阻断步骤 1 执行命令 system-view, 进入系统视图步骤 2 执行命令 firewall im-block default-permit, 启用全局 IM 阻断功能启用全局 IM 阻断功能后, 所有域间的 IM 类流量全被阻断但是如果还配置了应用在域间的 IM 阻断策略, 则匹配域间 IM 阻断策略 ACL 中 deny 规则的 IM 流量可以放行如果配置了 IM 阻断策略, 就不需要再配置 IM 检测策略了如果只需要监控 IM 流量, 不需要阻断, 可只配置 IM 检测功能, 实现 IM 流量的统计日志功能, 通过 IM 流量统计信息和相关日志达到监控目的 ( 可选 ) 使能域间 IM 检测步骤 1 执行命令 system-view, 进入系统视图步骤 2 执行命令 firewall interzone zone-name1 zone-name2, 进入域间视图步骤 3 执行命令 im-detect enable, 启用域间 IM 检测功能使用该命令可实现在指定的域间检测, 其他域间不检测的功能缩小检测范围, 可以提高系统的性能 ( 可选 ) 使能全局 IM 检测步骤 1 执行命令 system-view, 进入系统视图步骤 2 执行命令 firewall im-detect default-permit, 启用全局 IM 检测功能如果需要对所有域间的流量进行检测是否为 IM 流量, 可执行该命令检查配置结果可在所有视图下执行以下命令检查配置结果 13-5

8 13 配置 IM 阻断配置指南安全防范分册操作查看当前激活的或在 FLASH 上的模式文件信息 ( 包含版本号 P2P 和 IM 协议名称等 ) 命令 display dpi pattern-file { active on-flash } 查看域间应用的 IM 阻断策略 display interzone [ zone-name1 zone-name2 ] 查看基于 IM 协议的统计信息查看配置的报文检测个数全局策略打开的 IM 协议等 display im-block statistic protocol display current-configuration 执行 display im-block statistic protocol 命令可以查看按协议分类的 IM 流量信息 <Eudemon> display im-block statistic protocol protocol receive(pkt/oct) discard(pkt/oct) permit(pkt/oct) IM_QQ IM_MSN total statistic from 11:22: /10/25 to 11:40: /10/ 维护清除 IM 统计信息操作手动清除 IM 流量统计信息命令 reset im-block statistic 调试 IM 阻断信息在出现 IM 阻断运行故障时, 请在用户视图下执行 debugging firewall im-block 命令进行调试, 查看调试信息, 定位故障并分析故障原因由于 IM 流量的识别是基于 DPI 检测的, 所以当 IM 检测不成功时可以在用户视图下执行 debugging firewall dpi 命令进行调试, 查看与 DPI 检测相关的调试信息 13-6

9 配置指南安全防范分册 13 配置 IM 阻断打开调试开关将影响系统的性能调试完毕后, 应及时执行 undo debugging all 命令关闭调试开关操作命令打开 IM 阻断调试开关 debugging firewall im-block [ packet error event all ] 打开 DPI 检测调试开关 debugging firewall dpi [ packet error event all ] 13.4 配置举例配置透明模式下 IM 全局阻断示例组网需求 Eudemon 200 工作在透明模式下, 不需要另外配置 IP 地址如图 13-1 所示,Eudemon 接口 Ethernet 0/0/0 与 Trust 网络相连,Ethernet 0/0/1 与 Untrust 网络相连,Ethernet 1/0/0 与 DMZ 域相连需求如下 : 对所有域间网络用户进行 IM 阻断图 13-1 透明模式下 IM 阻断配置示例组网图 DMZ PC_A PC_B PC_D Eth1/0/0 PC_E Trust PC_C Eth0/0/0 Eudemon Eth0/0/1 Untrust 配置思路采用如下思路配置 : 13-7

10 13 配置 IM 阻断配置指南安全防范分册 1. 配置 Eudemon 工作模式 2. 配置 Eudemon 基本数据 3. 配置 IM 阻断配置步骤步骤 1 配置 Eudemon 工作模式 # 进入系统视图 <Eudemon> system-view # 配置 Eudemon 工作在透明模式 [Eudemon] firewall mode transparent 如果 Eudemon 原本不工作在透明模式, 请重启以使新的工作模式生效步骤 2 配置 Eudemon 基本数据 # 将接口加入到安全区域 [Eudemon] firewall zone untrust [Eudemon-zone-untrust] add interface Ethernet 0/0/1 [Eudemon-zone-untrust] quit [Eudemon] firewall zone trust [Eudemon-zone-trust] add interface Ethernet 0/0/0 [Eudemon-zone-trust] quit [Eudemon] firewall zone dmz [Eudemon-zone-dmz] add interface Ethernet 1/0/0 [Eudemon-zone-dmz] quit # 打开域间缺省包过滤规则 [Eudemon] firewall packet default permit all 步骤 3 配置 IM 阻断 Eudemon 的 FLASH 中已有模式文件才能激活模式文件将模式文件 protocol.rul 写入 FLASH 的具体操作过程请参见防火墙配置指南系统管理分册中的 Eudemon 作为 FTP Client 的 FTP 连接配置示例 # 激活模式文件 [Eudemon] firewall dpi pattern-file active Active pattern file successfully! # 配置需要阻断的 IM 协议 [Eudemon] firewall im-block include IM_QQ [Eudemon] firewall im-block include IM_MSN # 启用全局 IM 阻断功能 [Eudemon] firewall im-block default-permit # ( 可选 ) 配置 DPI 报文检测个数 13-8

11 配置指南安全防范分册 13 配置 IM 阻断 [Eudemon] firewall dpi packet-number 10 步骤 4 验证配置结果 # 显示当前 IM 阻断配置信息 [Eudemon] display current-configuration # sysname Eudemon # firewall dpi packet-number 10 firewall im-block default-permit # firewall im-block include IM_QQ firewall im-block include IM_MSN 配置路由模式下 IM 域间阻断示例组网需求 Eudemon 工作在路由模式如图 13-2 所示,Eudemon 接口 Ethernet 0/0/0 与内部网络相连,Ethernet 0/0/1 与外部网络相连 Eudemon 配置 NAT 策略, 所有内网用户通过 Eudemon 后, 使用地址池 /24~ /24 中的 IP 地址作为转换后的源地址需求如下 : 分时间段限制内部所有的用户使用 IM 通讯周一至周五时间段 :8:30-17:30 阻断 IM 流量, 其他时间 ( 包括周六周日全天 ) 不阻断任何时间段都允许内部的 PC_A 用户使用 IM 通讯图 13-2 路由模式下 IM 阻断配置示例组网图 PC_A /24 PC_B /24 内部网络 Eth0/0/ /24 Eth0/0/ /24 外部网络 Eudemon PC_C Trust /24 Untrust 配置思路采用如下思路配置 : 13-9

12 13 配置 IM 阻断配置指南安全防范分册 1. 配置 Eudemon 工作模式 2. 配置接口 IP 地址, 并将接口加入安全区域 3. 配置 NAT 地址池和 NAT 策略 4. 配置 IM 阻断的协议 5. 配置 IM 阻断所需的 ACL 策略 6. 配置 IM 阻断策略应用到域间 7. 配置报文检测个数配置步骤步骤 1 配置 Eudemon 工作模式 # 进入系统视图 <Eudemon> system-view # 设置 Eudemon 工作在路由模式 [Eudemon] firewall mode route 如果 Eudemon 原本不工作在路由模式, 请重启以使新的工作模式生效步骤 2 配置接口 IP 地址, 并将接口加入安全区域 # 进入 Ethernet 0/0/0 视图 [Eudemon] interface Ethernet 0/0/0 # 配置 Ethernet 0/0/0 的 IP 地址 [Eudemon-Ethernet0/0/0] ip address [Eudemon-Ethernet0/0/0] quit # 进入 Ethernet 0/0/1 视图 [Eudemon] interface Ethernet 0/0/1 # 配置 Ethernet 0/0/1 的 IP 地址 [Eudemon-Ethernet0/0/1] ip address [Eudemon-Ethernet0/0/1] quit # 进入 Trust 区域视图 [Eudemon] firewall zone trust # 配置 Ethernet 0/0/0 加入 Trust 区域 [Eudemon-zone-trust] add interface Ethernet 0/0/

13 配置指南安全防范分册 13 配置 IM 阻断 [Eudemon-zone-trust] quit # 进入 Untrust 区域视图 [Eudemon] firewall zone untrust # 配置 Ethernet 0/0/1 加入 Untrust 区域 [Eudemon-zone-untrust] add interface Ethernet 0/0/1 [Eudemon-zone-untrust] quit # 使能域间缺省包过滤规则 [Eudemon] firewall packet-filter default permit all 步骤 3 配置 NAT 地址池和 NAT 策略, 并将地址池应用到域间 # 配置地址池 [Eudemon] nat address-group # 创建 ACL [Eudemon] acl number 2000 # 配置 ACL 规则 [Eudemon-acl-basic-2000] rule permit source [Eudemon-acl-basic-2000] quit # 进入 Trust 和 Untrust 区域视图 [Eudemon] firewall interzone trust untrust # 配置 NAT 转换应用在域间 [Eudemon-interzone-trust-untrust] nat outbound 2000 address-group 1 [Eudemon-interzone-trust-untrust] quit 步骤 4 配置 IM 阻断的协议 Eudemon 的 FLASH 中已有模式文件才能激活模式文件将模式文件 protocol.rul 写入 FLASH 的具体操作过程请参见防火墙配置指南系统管理分册中的 Eudemon 作为 FTP Client 的 FTP 连接配置示例 # 激活模式文件 [Eudemon] firewall dpi pattern-file active Active pattern file successfully! # 配置需要阻断的 IM 协议为 QQ 和 MSN [Eudemon] firewall im-block include IM_QQ 13-11

14 13 配置 IM 阻断配置指南安全防范分册 [Eudemon] firewall im-block include IM_MSN 步骤 5 配置 IM 阻断所需的 ACL 策略 # 设置需进行 IM 阻断的时间段名称为 block [Eudemon] time-range block 8:30 to 17:30 working-day # 创建 ACL 3000 [Eudemon] acl number 3000 # 配置不需阻断的用户 PC_A [Eudemon-acl-adv-3000] rule deny ip source [Eudemon-acl-adv-3000] rule deny ip destination # 配置分时段需阻断的 IM 用户 [Eudemon-acl-adv-3000] rule permit source time-range block [Eudemon-acl-adv-3000] quit 步骤 6 配置 IM 阻断策略应用到域间 # 进入 Trust 和 Untrust 域间视图 [Eudemon] firewall interzone trust untrust # 配置 IM 阻断所需的 ACL 策略应用到域间 [Eudemon-interzone-trust-untrust] im-block 3000 [Eudemon-interzone-trust-untrust] quit 步骤 7 ( 可选 ) 配置报文检测个数 # 配置报文检测个数为 18 [Eudemon] firewall dpi packet-number

01-01 配置ACL

01-01 配置ACL 配置指南安全防范分册目录目录 1 配置 ACL...1-1 1.1 简介...1-2 1.1.1 ACL 概述...1-2 1.1.2 ACL 规则的匹配顺序...1-2 1.2 配置 ACL...1-3 1.2.1 建立配置任务...1-3 1.2.2 ( 可选 ) 定义时间段...1-6 1.2.3 ( 可选 ) 定义地址集...1-6 1.2.4 ( 可选 ) 定义端口集...1-7 1.2.5