CONTENTS I Preface Document Version . . . . . . Disclaimer . . . . . . . . . . . About this Document . . . . Typographical Conventions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xvi xvii xvii xvii xviii II Product Overview 2 3 3 1 Capabilities 1.1 Product Highlights . . . . . . . . . . . . . . . . . . . . . . . . . . III Introduction to Networking 6 7 9 9 9 9 10 11 11 11 13 13 14 2 The OSI Model 3 Firewall Principles 3.1 The Role of the Firewall . . . . . . . . . . . . . . . . . 3.1.1 What is a Firewall? . . . . . . . . . . . . . . . . 3.1.2 How does a Firewall work? . . . . . . . . . . . . 3.2 What does a Firewall NOT protect against? . . . . . . 3.2.1 Attacks on Insecure pre-installed Components 3.2.2 Inexperienced Users on protected Networks . . 3.2.3 Data-Driven Network Attacks . . . . . . . . . . 3.2.4 Internal Attacks . . . . . . . . . . . . . . . . . . 3.2.5 Modems and VPN Connection . . . . . . . . . 3.2.6 Holes between DMZs and Internal Networks . i . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . ii IV Administration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18 19 19 19 19 22 23 25 25 25 26 28 28 29 29 31 31 32 34 35 35 4 Configuration Platform 4.1 Configuring Via WebUI . . . . . 4.1.1 Overview . . . . . . . . . . 4.1.2 Interface Layout . . . . . 4.1.3 Configuration Operations 4.2 Monitoring Via CLI . . . . . . . . 5 Logging 5.1 Overview . . . . . . . . . . . . . . 5.1.1 Importance & Capability 5.1.2 Events . . . . . . . . . . . 5.2 Log Receivers . . . . . . . . . . . . 5.2.1 Syslog Receiver . . . . . . 5.2.2 Memory Log Receiver . . 5.2.3 SMTP Event Receiver . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Maintenance 6.1 Firmware Upgrades . . . . . . . . . . . . . . . . . . . . . . . . . . 6.2 Reset To Factory Defaults . . . . . . . . . . . . . . . . . . . . . . 6.3 Backup Configuration . . . . . . . . . . . . . . . . . . . . . . . . 7 Advanced Settings 7.1 Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . V Fundamentals . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38 39 39 39 41 41 42 46 48 49 49 51 8 Logical Objects 8.1 Address Book . . . . . . . . . . . . . . . . . . . . 8.1.1 IP address . . . . . . . . . . . . . . . . . . 8.1.2 Ethernet address . . . . . . . . . . . . . . 8.2 Services . . . . . . . . . . . . . . . . . . . . . . . . 8.2.1 Service Types . . . . . . . . . . . . . . . . 8.2.2 Error Report & Connection Protection 8.3 Schedules . . . . . . . . . . . . . . . . . . . . . . . 8.4 X.509 Certificates . . . . . . . . . . . . . . . . . . 8.4.1 Introduction to Certificates . . . . . . . . 8.4.2 X.509 Certificates in D-Link Firewall . D-Link Firewalls User's Guide iii 9 Interfaces 9.1 Ethernet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9.1.1 Ethernet Interfaces . . . . . . . . . . . . . . . . . . . . 9.1.2 Ethernet Interfaces in D-Link Firewalls . . . . . . . 9.2 Virtual LAN (VLAN) . . . . . . . . . . . . . . . . . . . . . . 9.2.1 VLAN Infrastructure . . . . . . . . . . . . . . . . . . 9.2.2 802.1Q VLAN Standard . . . . . . . . . . . . . . . . 9.2.3 VLAN Implementation . . . . . . . . . . . . . . . . . 9.2.4 Using Virtual LANs to Expand Firewall Interfaces 9.3 DHCP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9.3.1 DHCP Client . . . . . . . . . . . . . . . . . . . . . . . 9.4 PPPoE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9.4.1 PPP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9.4.2 PPPoE Client Configuration . . . . . . . . . . . . . . 9.5 Interface Groups . . . . . . . . . . . . . . . . . . . . . . . . . . 9.6 ARP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9.6.1 ARP Table . . . . . . . . . . . . . . . . . . . . . . . . . 10 Routing 10.1 Overview . . . . . . . . . . . . . . . . . . . . . . . . . . 10.2 Routing Hierarchy . . . . . . . . . . . . . . . . . . . . . 10.3 Routing Algorithms . . . . . . . . . . . . . . . . . . . . 10.3.1 Static Routing . . . . . . . . . . . . . . . . . . 10.3.2 Dynamic Routing . . . . . . . . . . . . . . . . . 10.3.3 OSPF . . . . . . . . . . . . . . . . . . . . . . . . 10.4 Route Failover . . . . . . . . . . . . . . . . . . . . . . . 10.4.1 Scenario: Route Failover Configuration . . . 10.5 Dynamic Routing Implementation . . . . . . . . . . . 10.5.1 OSPF Process . . . . . . . . . . . . . . . . . . . 10.5.2 Dynamic Routing Policy . . . . . . . . . . . . 10.5.3 Scenarios: Dynamic Routing Configuration 10.6 Scenario: Static Routing Configuration . . . . . . . . 10.7 Policy Based Routing(PBR) . . . . . . . . . . . . . . . 10.7.1 Overview . . . . . . . . . . . . . . . . . . . . . . 10.7.2 Policy-based Routing Tables . . . . . . . . . . 10.7.3 Policy-based Routing Policy . . . . . . . . . . 10.7.4 PBR Execution . . . . . . . . . . . . . . . . . . 10.7.5 Scenario: PBR Configuration . . . . . . . . . 10.8 Proxy ARP . . . . . . . . . . . . . . . . . . . . . . . . . D-Link Firewalls User's Guide . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53 53 53 54 56 56 57 58 59 60 60 61 62 62 65 66 66 69 69 70 71 71 72 74 77 78 81 81 81 82 87 88 88 89 89 89 91 94 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . iv 11 Date & Time 11.1 Setting the Date and Time . . . . . . . . 11.1.1 Current Date and Time . . . . . . 11.1.2 Time Zone . . . . . . . . . . . . . . 11.1.3 Daylight Saving Time(DST) . . . 11.2 Time Synchronization . . . . . . . . . . . 11.2.1 Time Synchronization Protocols . 11.2.2 Timeservers . . . . . . . . . . . . . 11.2.3 Maximum Adjustment . . . . . . 11.2.4 Synchronization Interval . . . . . 12 DNS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 95 96 96 96 97 98 98 98 99 99 101 103 103 103 104 13 Log Settings 13.1 Implementation . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13.1.1 Defining Syslog Receiver . . . . . . . . . . . . . . . . . . 13.1.2 Enabling Logging . . . . . . . . . . . . . . . . . . . . . . . VI Security Polices . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108 109 109 110 111 112 112 112 114 116 123 123 123 124 124 124 124 126 14 IP Rules 14.1 Overview . . . . . . . . . . . . . . . . . . . . . . . 14.1.1 Fields . . . . . . . . . . . . . . . . . . . . . 14.1.2 Action types . . . . . . . . . . . . . . . . . 14.2 Address Translation . . . . . . . . . . . . . . . . . 14.2.1 Overview . . . . . . . . . . . . . . . . . . . 14.2.2 NAT . . . . . . . . . . . . . . . . . . . . . . 14.2.3 Address translation in D-Link Firewall 14.3 Scenarios: IP Rules Configuration . . . . . . . . 15 Access (Anti-spoofing) 15.1 Overview . . . . . . . . . . . . . . . 15.1.1 IP Spoofing . . . . . . . . . 15.1.2 Anti-spoofing . . . . . . . . 15.2 Access Rule . . . . . . . . . . . . . . 15.2.1 Function . . . . . . . . . . . 15.2.2 Settings . . . . . . . . . . . . 15.3 Scenario: Setting up Access Rule . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . D-Link Firewalls User's Guide v 16 DMZ & Port Forwarding 16.1 General . . . . . . . . . . 16.1.1 Concepts . . . . . 16.1.2 DMZ Planning . 16.1.3 Benefits . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 127 127 127 129 130 131 131 131 132 133 134 134 134 135 136 137 137 17 User Authentication 17.1 Authentication Overview . . . . . . . . . . . . . 17.1.1 Authentication Methods . . . . . . . . . 17.1.2 Password Criterion . . . . . . . . . . . . . 17.1.3 User Types . . . . . . . . . . . . . . . . . . 17.2 Authentication Components . . . . . . . . . . . . 17.2.1 Local User Database(UserDB) . . . . . . 17.2.2 External Authentication Server . . . . . 17.2.3 Authentication Agents . . . . . . . . . . 17.2.4 Authentication Rules . . . . . . . . . . . 17.3 Authentication Process . . . . . . . . . . . . . . . 17.4 Scenarios: User Authentication Configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . VII Content Inspection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 146 147 147 148 148 150 155 155 156 158 158 158 159 160 161 18 Application Layer Gateway (ALG) 18.1 Overview . . . . . . . . . . . . . . . . . . . . . . 18.2 FTP . . . . . . . . . . . . . . . . . . . . . . . . . 18.2.1 FTP Connections . . . . . . . . . . . . . 18.2.2 Scenarios: FTP ALG Configuration . 18.3 HTTP . . . . . . . . . . . . . . . . . . . . . . . . 18.3.1 Components & Security Issues . . . . . 18.3.2 Solution . . . . . . . . . . . . . . . . . . 18.4 H.323 . . . . . . . . . . . . . . . . . . . . . . . . . 18.4.1 H.323 Standard Overview . . . . . . . . 18.4.2 H.323 Components . . . . . . . . . . . . 18.4.3 H.323 Protocols . . . . . . . . . . . . . . 18.4.4 H.323 ALG Overview . . . . . . . . . . 18.4.5 Scenarios: H.323 ALG Configuration 19 Intrusion Detection System (IDS) 181 19.1 Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 181 19.1.1 Intrusion Detection Rules . . . . . . . . . . . . . . . . . . 182 19.1.2 Pattern Matching . . . . . . . . . . . . . . . . . . . . . . . 182 D-Link Firewalls User's Guide vi 19.2 19.3 19.4 19.5 19.6 19.1.3 Action . . . . . . . . . . . . . . . . . Chain of Events . . . . . . . . . . . . . . . . 19.2.1 Scenario 1 . . . . . . . . . . . . . . . 19.2.2 Scenario 2 . . . . . . . . . . . . . . . Signature Groups . . . . . . . . . . . . . . . Automatic Update of Signature Database SMTP Log Receiver for IDS Events . . . . Scenario: Setting up IDS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 182 183 183 184 186 186 187 189 VIII Virtual Private Network (VPN) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 192 193 193 193 195 195 198 200 201 207 207 208 210 213 213 214 214 215 219 223 228 228 234 243 20 VPN Basics 20.1 Introduction to VPN . . . . . . . . . 20.1.1 VPNs vs Fixed Connections 20.2 Introduction to Cryptography . . . 20.2.1 Encryption . . . . . . . . . . . 20.2.2 Authentication & Integrity . 20.3 Why VPN in Firewalls . . . . . . . . 20.3.1 VPN Deployment . . . . . . . 21 VPN Planning 21.1 VPN Design Considerations . . . . . . . . . . . . . . . . . . . . . 21.1.1 End Point Security . . . . . . . . . . . . . . . . . . . . . . 21.1.2 Key Distribution . . . . . . . . . . . . . . . . . . . . . . . 22 VPN Protocols & Tunnels 22.1 IPsec . . . . . . . . . . . . . . . . . . . . . 22.1.1 IPsec protocols . . . . . . . . . . 22.1.2 IPsec Encapsulation Modes . . 22.1.3 IKE . . . . . . . . . . . . . . . . . 22.1.4 IKE Integrity & Authentication 22.1.5 Scenarios: IPsec Configuration 22.2 PPTP/ L2TP . . . . . . . . . . . . . . . 22.2.1 PPTP . . . . . . . . . . . . . . . . 22.2.2 L2TP . . . . . . . . . . . . . . . . 22.3 SSL/TLS (HTTPS) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . ...