Script - Firewallobjekte - Syntax

[joeMJ]

Hallo zusammen,

ich möchte zwei Firewall Stationsobjekte anlegen, die ich in einigen Regeln verwenden möchte.

Dazu hole ich mir meine Objekte aus /Setup/IP-Router/Firewall/Objects.

Dort ist alles einmal durcheinander, jedoch kann ich verstehen, wie Lancom die Stationsobjekte wünscht.

Ich verstehe das Skriptmodul so, dass es mit

cd /2/8/10/1

in die Objekte wechselt

und mit del löscht (möchte ich nicht)
und mit
add "BEZEICHNUNG" {2} "%Ax.x.x.x %Mx.x.x.x usw."
die Objekte anlegt.

Wenn ich das auf meine Wunschobjekte anpasse, bekomme ich einen Script Error. Offensichtlich übersehe ich etwas und habe ein paar Fragen: Muss ich löschen? Will ich ja nicht, kann ich das auskommentieren? Was bedeutet {2}? Gibt es eine maximale Anzahl an Stationen, die ich in ein Objekt packen kann? Die Liste, die ich für die zwei Objekte habe, ist "relativ" lang.

Liebe Grüße
Joe

[5624]

Am einfachsten ist es, wenn du deine Wünsche mittels LANconfig an einem Testgerät anlegst, dann die Konfiguration des Gerätes als Skript exportierst (eventuell vorher auf den Teil des LCOS-Menübaums eingrenzen, den du brauchst, z.B. /setup/ip-router/firewall) und dann das Skript händisch anpasst.

So erzeuge ich meine Skripte.

[joeMJ]

Das ist mir wohl bekannt. So mache ich es im Regelfall auch.

Jedoch habe ich eine Liste von Stationen in einer Textdatei (recht viele) und ich kann die nicht von Hand einklappern. Deswegen ja auch meine Frage zur maximalen Anzahl.

[Bernie137]

Hi,

und wenn Du nun das Objekt mit LANconfig von Hand anlegst mit einer oder zwei Stationen, es exportierst und die Syntax mit den Stationen aus Deiner Textdatei ergänzt?
Das beantwortet zwar noch nicht Deine Frage zu den max. Objekten, schließt aber zumindest Syntaxfehler aus.

vg Bernie

[joeMJ]

Hi Bernie,

habe ich (aus Faulheit) so gemacht. Der Export macht ja auch nix anderes, als ich in der Konsole zu Fuß.
-> Ich falle auf die Nase.

Wenn ich den Syntax in SSH zu fuß mit 2-3 Stationen durchgehe, dann bekomme ich keinen Fehler, jedoch finde ich anschließend das Objekt nicht in Lanconfig.

Um's kurz zu machen, der Kunde wünschte 3 Stations-Objekte im Lancom, um sie schon am Gateway zu verwerfen. Ich halte das prinzipiell nicht für OK, denn spoofen lässt sich recht viel, jedoch ist das Vorgehen der Nutzer in diesen Netzen recht subtil. Er hat in der letzten Woche recht viel Ärger mit einem Offshore-Holländer gehabt. Primär kam der Blödsinn vom AS29073, das war recht schnell erledigt, da übersichtlich. Er hat jetzt eine kleine Verschnaufpause. Weiterhin wünschte er sich ein Objekt zum RBN, das ist allerdings wirklich sehr schwer, da recht unübersichtlich und kreuz und quer durcheinander. Diese Liste wollte er eingepflegt haben: -> http://rules.emergingthreats.net/fwrule ... ck-IPs.txt Da sie recht häufig wechselt, wünsche ich mir ein Best-Practices Szenario, um so etwas recht zügig umzusetzen.

[alf29]

Moin,

Was bedeutet {2}

Wenn bei einem set/add-Kommando für eine Tabelle ein Argument in einer geschweiften Klammer angegeben wird, ist das der Name oder die SNMP-Id einer Spalte. Man spricht damit quasi direkt eine bestimmte Spalte an und muß nicht mit einer Reihe von Sternen die davor liegenden Spalten überspringen.

Gruß Alfred

[joeMJ]

Hallo Alfred,

danke!