Soal Shift
- Semua subnet tidak dapat mengakses TCP port 21, 443, 66 pada DMZ kecuali KEBUN_BIBIT sedangkan port TCP yang diizinkan untuk mengakses DMZ adalah port 80, 8080, 22.
- Mengijinkan semua akses UDP ke DMZ.
- Subnet DMZ tidak dapat di PING dari luar selain subnet AJK dan jaringan internal.
- Koneksi kepada DMZ melalui ssh dibatasi sebanyak 5 koneksi.
- Buatlah sebuah perintah iptables untuk mengatasi synflood
- Buatlah sebuah perintah iptables untuk mengatasi force ssh attack.
- Buatlah perintah iptables untuk memblok paket scanning. Contoh: xmas, file scan.
- Subnet taman_bungkul hanya bisa diakses oleh subnet kebun_bibit, subnet plasa_surabaya hanya bisa diakses ketika jam kerja (08.00 – 16.00), subnet sutos tidak bisa melakukan koneksi ke YM dan Facebook serta tidak bisa melakukan streaming video pada hari dan jam kerja (senin-jumat 07.00-17.00).
- Selain DMZ gunakan NAT untuk mengakses jaringan luar (tidak boleh menggunakan masquerade).
- Catat semua log yang di-drop oleh firewall.
Jawab
1.
Di Ampel
iptables -A INPUT -s 172.16.1.0/27 -i eth0 -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 21 -j DROP
iptables -A INPUT -s 172.16.1.0/27 -i eth0 -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 443 -j DROP
iptables -A INPUT -s 172.16.1.0/27 -i eth0 -p tcp --dport 66 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 66 -j DROP
iptables -A INPUT -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp -m tcp --dport 8080 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
2.
Di Ampel
iptables -A INPUT -i eth0 -p udp -s 0/0 --dport 53 -j ACCEPT
3.
Di Ampel
iptables -A FORWARD -p icmp -d 10.151.71.112/29 -s 10.151.36.0/24--icmp-type echo-request -j ACCEPT
iptables -A FORWARD -p icmp -d 10.151.71.112/29 -s 172.16.0.0/18 --icmp-type echo-request -j ACCEPT
iptables -A FORWARD -p icmp -d 10.151.71.112/29 --icmp-type echo-request -j REJECT
4.
Di Ampel
iptables -I INPUT -p icmp --icmp-type echo-request -m recent --set
iptables -I INPUT -p icmp --icmp-type echo-request -m recent --update --hitcount 5 -j DROP
5.
Di TP dan GM
iptables -N syn-flood
iptables -A syn-flood -m limit --limit 10/second --limit-burst 50 -j RETURN
iptables -A syn-flood -j LOG --log-prefix "SYN flood: "
iptables -A syn-flood -j DROP
6.
Di TP dan GM
iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 -j DROP
Di Siola
iptables -A FORWARD -p tcp –d 172.16.2.0/26 -m time --timestart 08:00 --timestop 16:00 -j ACCEPT
iptables -A FORWARD -p tcp –d 172.16.2.0/26 -j REJECT
7.
Di TP dan GM(scan xmas)
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
8.
Di stasiun_gubeng
iptables -A INPUT -s 172.16.1.0/27 -i eth0 -j ACCEPT
iptables -A INPUT -i eth0 -j DROP
Di Siola
iptables -A FORWARD -p tcp –d 172.16.2.0/26 -m time --timestart 08:00 --timestop 16:00 -j ACCEPT
iptables -A FORWARD -p tcp –d 172.16.2.0/26 -j REJECT
Di balai_kota
iptables -A FORWARD -p tcp -d 172.16.0.0/24 -m time --timestart 07:00 --timestop 17:00 --weekdays Mon,Tue,Wed,Thu,Fri -j REJECT
iptables -A FORWARD -p tcp -d www.facebook.com –s 172.16.0.0/24 -m time --timestart 07:00 --timestop 17:00 --weekdays Mon,Tue,Wed,Thu,Fri -j REJECT
iptables -A FORWARD -p tcp -d www.messenger.yahoo.com –s 172.16.0.0/24 -m time --timestart 07:00 --timestop 17:00 --weekdays Mon,Tue,Wed,Thu,Fri -j REJECT
iptables -A FORWARD -p tcp -d www.youtube.com –s 172.16.0.0/24 -m time --timestart 07:00 --timestop 17:00 --weekdays Mon,Tue,Wed,Thu,Fri -j REJECT
9.
iptables -t nat -A POSTROUTING -o ppp0 -j SNAT \ --to $PPPIP
10.
lihat di /var/log/firewall, warn, messgaes -clutter
Semua ditaruh di etc/rc.local masing-masing router atau DMZ sesuai kebutuhan lalu dilakukan service network restart serta reboot.
Semua ditaruh di etc/rc.local masing-masing router atau DMZ sesuai kebutuhan lalu dilakukan service network restart serta reboot.
.jpg){kind=spacer}
.jpg){kind=spacer}
.JPG)
.JPG)
