Manuale Utente (Inglese)

Queste istruzioni esamineranno la configurazione delle regole del firewall dall'interfaccia della riga di comando (CLI) del router. Le informazioni teoriche sono trattate in dettaglio nell'articolo 'Come è implementato il firewall?'. Per informazioni sulla configurazione delle regole del firewall dall'interfaccia web, fare riferimento all'articolo Firewall.

La CLI fornisce opzioni aggiuntive per la configurazione del Keenetic firewall rispetto all'interfaccia web. Una descrizione dettagliata dei comandi CLI per ogni Keenetic modello si trova nella Guida di riferimento ai comandi, disponibile in Download center.

Il firewall del dispositivo Keenetic esegue le regole di filtraggio scritte nell'Elenco di controllo accessi (ACL) su ciascuna interfaccia a cui questo elenco è associato. Più elenchi possono essere collegati a un'unica interfaccia.

Sono disponibili i seguenti comandi per la configurazione del firewall:

Ad esempio, per passare alla modifica dell'elenco MyList1, si utilizza il seguente comando:

(config)> access-list MyList1
(config-acl)>

Una volta creato l'elenco di accesso, è possibile iniziare a creare le relative regole. A tale scopo, si utilizzano i comandi deny e permit, corrispondenti alle regole di filtraggio di negazione e autorizzazione. Il formato di questi comandi è lo stesso e si può trovare nella Guida di riferimento ai comandi.

Ecco alcuni esempi di regole:

Il comando exit viene utilizzato per uscire dalla modifica dell'elenco di accesso.

Un elenco completo di regole, utilizzando i comandi di cui sopra, nel file di configurazione del router apparirà così:

access-list MyList1
permit tcp 192.168.1.33/32 0.0.0.0/32
deny icmp 192.168.1.0/24 0.0.0.0/32
deny ip 192.168.1.0/24 0.0.0.0/32

Dopo aver preparato l'elenco delle regole di accesso, è necessario associarlo all'interfaccia richiesta del dispositivo. A tale scopo si utilizza il comando ip access-group {ACL_name} {direction in|out} nelle impostazioni di ciascuna interfaccia.

Ricorda che l'interfaccia definisce anche la direzione del flusso di traffico per ogni elenco a cui verranno applicate queste regole. La direzione è determinata rispetto all'interfaccia (la direzione in entrata in — sempre verso il dispositivo, e in uscita out — da esso). Queste informazioni sono descritte in dettaglio nell'articolo Come è implementato il firewall?.

Ad esempio, associa le regole create all'interfaccia ISP esterna:

(config)> interface ISP
(config-if)> ip access-group MyList1 out
Network::Acl: Output "MyList1" access list added to "ISP".

Nella direzione in uscita (out) dell'interfaccia ISP (questa è la direzione dal router alla rete di questa interfaccia) la trasmissione di qualsiasi traffico verso qualsiasi indirizzo sarà vietata.

Un elenco di regole simile al nostro esempio può essere utile quando è necessario negare l'accesso a Internet tramite l'interfaccia esterna a tutti gli host sulla rete locale tranne uno. Nel nostro esempio, l'accesso e il ping vengono negati a tutti gli host su 192.168.1.0, ad eccezione dell'host con l'indirizzo IP 192.168.1.33.

Le impostazioni del livello di accesso (security-level) vengono applicate sulle interfacce Keenetic, che determinano la logica di funzionamento del firewall:

Il seguente diagramma può rappresentare lo schema delle direzioni dei dati consentite e proibite nei router Keenetic:

Per impostazione predefinita, un router Keenetic accetta connessioni di rete solo da interfacce private. Le interfacce di tipo private sono autorizzate a stabilire connessioni con interfacce public e con il dispositivo stesso per la gestione e l'accesso ai servizi in esecuzione sul router. Per l'interfaccia della rete ospite, l'accesso al router e ai suoi servizi è negato.

Tra interfacce private e tra un'interfaccia private e una protected, per impostazione predefinita, è vietato stabilire una connessione, ma l'accesso può essere consentito se necessario. Questa opzione dipende dall'impostazione del parametro isolate-private. Se devi consentire connessioni tra interfacce private o tra un'interfaccia private e protected (cioè non isolare l'accesso), esegui il comando no isolate-private.

Dalle interfacce public, è vietato stabilire connessioni a qualsiasi interfaccia, comprese altre interfacce di tipo public e il dispositivo stesso.

Le interfacce di tipo protected sono autorizzate a stabilire connessioni solo con interfacce di tipo public. Per impostazione predefinita, l'accesso ai dispositivi di tipo private e ad altre interfacce protected, così come alla gestione dei dispositivi, è proibito.

Con il comando security-level public|private|protected, è possibile gestire i livelli di accesso sulle interfacce del router.

Ad esempio:

(config)> interface Bridge3
(config-if)> security-level protected
Network::Interface::IP: "Bridge3": security level set to "protected".

È possibile identificare il livello di sicurezza dell'interfaccia specificata eseguendo il comando show interface {interface_name}.

Ad esempio:

(config)> show interface ISP

               id: GigabitEthernet1
            index: 1
             type: GigabitEthernet
      description: Broadband connection
   interface-name: ISP
             link: up
        connected: yes
            state: up
              mtu: 1500
         tx-queue: 2000
          address: 193.0.174.199
             mask: 255.255.255.0
           uptime: 12433
           global: yes
        defaultgw: yes
         priority: 700
   security-level: public
              mac: 50:ff:20:2d:ed:ea
        auth-type: none

La linea security-level specifica il livello di sicurezza in base al quale funziona la politica firewall predefinita.

L'elenco dei nomi delle interfacce e i relativi identificatori di sistema possono essere visualizzati come segue: digita il comando show interface e poi premi il tasto TAB sulla tastiera. Vedrai l'elenco di tutte le interfacce attualmente disponibili del dispositivo, comprese le interfacce di servizio preimpostate.