Firewall cihazımız üzerinden geçen tüm paketleri izleyerek bu paketlere vereceğimiz parametrelere göre işlem yapmak üzere kurgulanmış bir uygulamadır.

Bu uygulama tüm işlemlerini 3 ana tablo altında toplamaktadır.

INPUT: Yani sadece router’ımıza giren paketler. OUTPUT: Yani sadece router’ımızdan dışarı çıkan paketler. FORWARD: Router’ımız üzerinden geçerek bir başka ip adresine giden paketler.(routing-nat)

Mikrotik RouterOS Firewall Nedir?

Firewall cihazımız üzerinden geçen tüm paketleri izleyerek bu paketlere vereceğimiz parametrelere göre işlem yapmak üzere kurgulanmış bir uygulamadır.

Bu uygulama tüm işlemlerini 3 ana tablo altında toplamaktadır.

INPUT: Yani sadece router’ımıza giren paketler.
OUTPUT: Yani sadece router’ımızdan dışarı çıkan paketler.
FORWARD: Router’ımız üzerinden geçerek bir başka ip adresine giden paketler.(routing-nat)

Mikrotik Linux tabanlı bir sistem olduğundan Linux Kerneli üzerindeki IPTABLES sistemi ile birebir aynı mantığa sahiptir. Fakat kullanım açısından ciddi kolaylıklar sağlayarak çok daha rahat yönetim imkanı sunmaktadır.

Winbox Uzerinde Firewall Ekrani

Firewall özellikleri ile pek çok parametre sayesinde bize 120 den fazla seçenek ile filtreleme ve uygulama yapmamıza olanak tanır.

Firewall Yeni Kural

Firewall Yeni Kural

Firewall Yeni Kural

Firewall Yeni Kural

Son sürümlerde geliştirilen bu özelliği sayesinde pek çok işlemde SCRIPT yazarak algılama ve tespit konularında da beceriler eklenen Mikrotik Firewall ofis networklerinizde ciddi oranda kolaylıklar sağlamaktadır.

Firewall Planlama

Planlama konusunda 2 tip mantık üzerinden hareket edebiliriz.

• İlk tip: Herşeyi kapatarak sadece ihtiyacımız olan portlara izin vererek.
• İkinci tip: Herşeyi açık bırakarak, sadece engellemek istediğimiz portları engelleyerek.

Bu tiplerin kullanımlarına örnek:

Herşeyi engelle, sadece ihtiyacınız olan portlara izin ver:

Örnek olarak web, dns, mail gibi servisler sunduğunuz bir server’ınız veya serverlarınız var. Bu durumda sadece kullandığınız portlara izin vermeniz, ihtiyacınız olmayan diğer portları tamamen kapatmanız en doğru çözüm olacaktır.

Herşeye izin ver, sadece engellemek istediklerini engelle.

Bu durum bir ofis kullanımı için oldukça uygundur. Örnek olarak 50 kullanıcılık bir ofis networkünde MSN veya OYUN portlarını kapatmak fakat diğer tüm uygulamalara müsade etmek en kolay yönetimlerdendir.

Bu kullanımlardan hangisi size en uygun buna karar vererek işleme başlayabilirsiniz.

Adım adım aşağıdaki noktaların üzerinden geçerek firewall yapılandırmanızı planlayabilirsiniz.

Adım 1: Öncelikle firewall’ın güvenliğini sağlamalıyız. Bu güvenliği firewall’a sadece belirli ip adreslerinden tüm erişimlere izin vererek, diğer erişimlerin tamamını kapatarak sağlayabiliriz. Ayrıca dışarıya açık olan servislerin erişim limitlerinide belirtebiliriz. Örnek olarak sadece ssh ve web portunu açık bırakarak diğer tüm portları kapatmak, ICMP üzerinden de gelen talepleride aynı şekilde belirli süre ve paket boyutuna limitlememiz yeterli olacaktır.

Firewall INPUT Kuralları

Grafikte göreceğiniz noktada Bytes ve Packet alanlarında bu girmiş olduğunuz kuralın kaç byte ve kaç paket için uygulandığınıda görebiliyorsunuz. Bu özellik sayesinde uygulanan kuralın işlevsellik durumunu kontrol edebiliyor, ne kadar etki yarattığını inceleyebiliyorsunuz.

Ayrıca kuralın üzerine 2 defa tıklamanız durumunda Trafik ve İstatistikler sekmelerinde anlık olarak trafik ve diğer istatistik verilerinide görebilirsiniz.

Adım 2: karar verdiğimiz kullanım tipini belirlediysek buna göre kuralları oluşturabiliriz. Örnek olarak herşeyi kapatarak sadece ihtiyacımız olan portlara açmayı görebilirsiniz.

Firewall Forward Table

Adım 3: Erişimlerin kayıtlarınıda tutmak istersek bu durumdada Firewall ayarlarımızı kullanarak erişimleri kaydedebiliriz. Bu işlem için yeni kural ekliyorsunuz. Kural ekleme ekranında Chain kısmına yeni yaratmak istediğiniz tabloyu yaratmanız yeterlidir. Winbox bu kuralı otomatik olarak yaratacaktır. Ekstra bir işlem yapmanıza gerek yoktur.

Winbox Firewall

Bu işlemde Action kısmında işlem olarak LOG seçiyor ve LOG PREFIX olarak LOGANDDROP yazıyoruz. Bu işlem sayesinde bu kurallarca tutulacak kayıtların satır başlarında bu kural tarafından tutulduğuna dair bir belirti olacak böylece pek çok log üzerinde çalışırken hangi işlemden dolayı kayıt tutulduğunu karıştırmamış olacaksınız.

Winbox Firewall

Yarattığımız LOGANDDROP tablosunu firewall penceresinin sağ tarafından seçerek bu tablo içerisindeki kurallarımızı görebilirsiniz.

Winbox Firewall

Winbox Firewall

Bu tabloda 2 kural uygulayacağız. 1. Kuralımız gelen tüm paketleri kaydet. Yani Log tutması. 2. kural ise tüm paketleri engellemesi olacak. Bu kural sonrasında tablomuzun görünümü şu şekilde olacaktır.

Winbox Firewall

Şimdi bu tablomuzu yarattık. Fakat ana tablolarımız olan INPUT-FORWARD-OUTPUT veya diğer aktif tablolarımızdan herhangi bir işlemi bu tablomuza yönlendirmeden kullanılamayacaktır. Bu nedenle yapmak istediğimiz işleme göre kuralları bu tabloya yönlendirmemiz gerekecektir. Action kısmında JUMP özelliği bu işlem için kullanılmaktadır.

Örneğimizde istemediğimiz tüm paketleri DROP olarak seçmiştik. Şimdi bu filtreye giderek DROP yerine JUMP seçeceğiz. JUMP edilecek tablo olarakta yeni yarattığımız bu LOG_AND_DROP tablosunu seçeceğiz. Böylece bu filtreye uyan tüm paketler bu tablomuza gelecektir. Bu tablomuzda önce kaydedilecek sonrasında ise DROP edilecektir.

Winbox Firewall

Ve bu kuralımızın ardından LOG kısmına girip baktığımızda pek çok kayıt göreceksiniz. Bu kayıtları incelerseniz hangi Source ip adresinden hangi destination’a gittiğine kadar pek çok detayı bulabilirsiniz.

Bu arada önemli bir özellik konusunda bilgi vermemiz gerekiyor. Sistemin default log özelliği 50-100 satırdan fazla kaydı tutmayacaktır. Log özelliğini genişletmek için daha sonraki makalelerimizde unix SYSLOGD üzerinde log tutulabilmesine ilişkin bazı özellikleri incelemeniz gerekmektedir.

Winbox Firewall

Farklı tablolar kullanarak farklı kullanımlar veya farklı müşterileriniz için Mikrotik Firewall’ı oldukça iyi derecede düzenleyebilirsiniz.

]]> #/?feed=rss2&p=144 0 http://www.mikrotik.com.tr/?p=70 http://www.mikrotik.com.tr/?p=70#comments Tue, 16 Sep 2008 23:44:19 +0000 admin http://www.mikrotik.com.tr/?p=70 Mikrotik kendisini yönetebilmeniz için size birden fazla imkan sunmaktadır. Telnet, SSH, WEB, SERIAL PORT arayüzü ve bir mucize diye niteleyebileceğimiz Winbox! Öncelikle bu yönetim tiplerinden bahsedeceğiz. Ardından adım adım yönetimi yapacağız.

Telnet ve SSH standart uygulamadır ve bu protokoller üzerinde çalışan servis ile erişilerek tüm değişikliklerin CLI yani command line üzerinden yapılmasına olanak tanır. CLI kullanımı [...]]]> Mikrotik kendisini yönetebilmeniz için size birden fazla imkan sunmaktadır. Telnet, SSH, WEB, SERIAL PORT arayüzü ve bir mucize diye niteleyebileceğimiz Winbox! Öncelikle bu yönetim tiplerinden bahsedeceğiz. Ardından adım adım yönetimi yapacağız.

Telnet ve SSH standart uygulamadır ve bu protokoller üzerinde çalışan servis ile erişilerek tüm değişikliklerin CLI yani command line üzerinden yapılmasına olanak tanır. CLI kullanımı çok hızlı ve kolay bir ortamdır. Fakat bu konuda biraz deneyim kazanmış olmanız önerilir. Özellikle Cisco veya benzeri ekipmanların veya Linux sisteminin SSH-telnet tabanlı CLI arayüzlerini kullanmış arkadaşların çok daha esnek olan bu arayüze çok çabuk ısınacaklarını düşünmekteyim.

CLI üzerinde takıldığınız noktalarda “?” (soru işareti) tuşuna basmanız size bulunduğunuz noktada olası tüm parametre ve komutları göstermektedir. Aynı zamanda tab tuşuna birden fazla basmanız durumunda da yazdığınız komutu tamamlamaktadır. Bu özellikler yönetim işlemlerinde hız ve hatasız işlem imkanı sunmaktadır.

CLI üzerindeki mantıksal önemli bir nokta ise komutların bulunduğunuz path’e göre işletilmesidir. Örnek olarak /ip address komutunu verin. Ardından interface komutunu verme şansınız bulunmayacaktır. Çünki artık siz /ip address dizini altındaki komutları girebilirsiniz. Eğer başka bir dizinden komut girmek isterseniz / işaretini koyarak en üst dizinden komutlar girebilirsiniz. Bulunduğunuz dizindeki komut ve parametreler hakkında bilgi almak için ? işaretini kullanabilirsiniz.

Mikrotik CLI Görüntüsü

Serial Port üzerinden erişebilmek için COM1 portuna 9600bps hızında bağlanabilmeniz yeterlidir. CLI görüntüsü üzerinden işlemlerinizi yürütebilirsiniz.

Web Arayüzü kısıtlı yönetim şansları sunar. Kısıtlı imkanları sürümlere göre değişiklik gösterdiğinden bunu açıklamayacağız. Fakat giriş için mikrotik’in ip adresini yazarak karşınıza gelecek web kısmından giriş yapabilir ve bazı bölümleri inceleyebilirsiniz. Web arayüzüne WEBBOX adı verilmektedir.

Webbox Giriş

Ve Winbox! Winbox Mikrotik tarafından geliştirilmiş pek çok hayat kurtaran uygulamadan biridir. Winbox’u bilgisayarınıza indirebilmek için http://www.mikrotik.com/download.html sayfasının sağ tarafındaki sütununda bulunan linklerden faydalanabilirsiniz. Bu link sayesinde Winbox’u indirdiğinizi sayarak devam ediyorum.

Winbox‘u çalıştırın.

Winbox

“Connect To” alanını görüyorsunuz. Buraya normal şartlarda IP adresi veya Mikrotik’in MAC-ID adresini yazarak erişmenize imkan tanır. Yani hem Layer3 hem Layer2 tabanını kullanarak yönetebilirsiniz.

Burada dikkat ederseniz çok keskin bir zeka bulunuyor. Sıfır kurulumda IP vermediğiniz için yönetim için sistemin konsolunda olmanız gerekmeden basit bir kontrol ile sistemi yönetebilmektesiniz.

Bu özellik ileride bir IP ayarlarında veya FIREWALL ayarlarında hata yapmanız durumunda erişiminizin kesilmesini absorbe ederek sisteme erişerek sorunu gidermenizi sağlar.

Dikkat etmeniz gereken bir nokta, bilgisayarınız üzerinde bir firewall yazılımı çalışıyor ise bu yazılım Winbox’un tarama protokolünü engelleyecek ve izin vermeyecektir. Bu nedenle tavsiyemiz bu arama işlemi sırasında Layer2 taramayı engellememesi için Firewall’ınızı devre dışı bırakmanızdır. Aksi halde bu özellik çalışmayacaktır.

Peki şimdi bir soru? Bu sunucunun MAC Adresini nasıl bulacaksınız? Winbox bize burada da zekice bir kolaylık sağlıyor. Connect To alanının yanında üzerinde … (üç nokta) bulunan butona tıklamanız durumunda Winbox aynı Layer 2 network üzerinde(yani Türkçesi aynı kablo ile erişebildiğiniz mecrada, winbox ve mikrotik’in aynı switch’e bağlı olması durumunda) broadcast üzerinden yapacağı tarama ile bize tüm Mikrotik donanımlarının MAC ve IP adres bilgileri ile IDENT bilgilerini bularak listeler. Bu listede MAC adresine tıklayarak MAC üzerinden, IP adresine tıklayarak IP üzerinden bağlanmamızı ve yönetmemize imkan tanır.

Winbox IP Ekleme

Yönetimsel açıdan Winbox’ın güzel diğer özelliklerini daha sonraki makalelerimizden takip edebilirsiniz.

Mikrotik Paketleri

Linux kerneli üzerine geliştirilmiş bir işletim sistemi(routerOS) ve bu sistem üzerinde aşağıdaki özelliklerive uygulamaları kullanmanıza imkan sağlar;