4 Настройте межсетевой экран на маршрутизаторах HQ-RTR и BR-RTR на сеть в сторону ISP

на сеть в сторону ISP

Для выполнения этого задания нам нужно обеспечить работу только нужных протоколов, а именно: HTTP, HTTPS, DNS, NTP, ICMP. А также запретить остальные подключения из сети Интернет во внутреннюю сеть.

HQ-RTR

Добавляем правила к уже существующим, которые были настроены в предыдущих модулях:

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -i eth0 -p tcp -m multiport --dports 22,53,80,443,2024 -j ACCEPT

iptables -A INPUT -i eth0 -p udp -m multiport --dports 53,123,500,4500 -j ACCEPT

iptables -A INPUT -i eth0 -p icmp -j ACCEPT

iptables -A INPUT -p esp -j ACCEPT

iptables -A FORWARD -p esp -j ACCEPT

iptables -A INPUT -i eth0 -m state --state NEW -j DROP

iptables -A OUTPUT -j ACCEPT

iptables-save > /root/rules

В crontab изменения вносить не нужно, так как сохранение правил было в тот же файл.

Можно проверить наличие всех правил командой:

iptables -L -v

BR-RTR

Такие же правила добавляем на роутер справа и сохраняем их.

И также проверить наличие всех правил командой:

iptables -L -v

И проверим, не отвалился ли туннель ipsec после настройки правил на HQ-RTR:

ipsec status

Видим, что соединение установлено и всё хорошо!

Проверим также наличие связи между конечными устройствами, отправим эхо-запрос с HQ-CLI на BR-SRV:

ping 192.168.4.2