The Journal of Networking

CCSP Sebagai Solusi Keamanan Jaringan

2009-11-05T19:18:00.000-08:00

Percepatan perkembangan teknologi informasi dan komunikasi (TIK) serta percepatan tekonologi keamanan jaringan tidak sebanding dengan kemampuan dan wawasan seseorang akan teknologi keamanan jaringan itu sendiri. Sehingga seringkali muncul berbagai kasus bobolnya sistem jaringan oleh pihak-pihak yang tidak bertanggung jawab.

Kini saatnya kita perlu membangun sebuah infrastruktur jaringan yang aman dan memiliki kecanggihan dalam mengantisipasi datangnya ancaman keamanan sistem serta jaringan itu sendiri. Salah satu cara dalam membangun infrastruktur keamanan jaringan ini adalah membekali para profesional IT dengan sertifikasi khusus di bidang ini. Sertifikasi khusus ini adalah CCSP atau Cisco Certified Security Professional. Diharapkan melalui sertifikasi ini, para profesional memiliki kemampuan dan pengetahuan yang sistematis serta lengkap berkaitan dengan keamanan sistem jaringan pengamanan produktifitas organisasi.

CCSP

2009-11-02T00:11:00.000-08:00

CCSP adalah satu-satunya program sertifikasi dari Cisco yang diperuntukkan bagi para profesional infrastruktur jaringan yang terkonsentrasi pada masalah keamanan jaringan. Dengan sertifikasi ini, para profesional dianggap telah memiliki keahlian untuk mengamankan dan mengelola infrastruktur jaringan untuk mengamankan produktifitas suatu organisasi dan mengantisipasi ancaman keamanan. Persyaratan mengikuti program CCSP ini, peserta training CCSP adalah tingkatan sertifikasi kedua setelah Cisco Certified Network Associate (CCNA) dan CCNA Security. Untuk tahap selanjutnya professional di bidang security dapat mengikuti program sertifikasi tingkat expert yaitu Cisco Certified Internetwork Expert (CCIE) Security.

Program CCSP terdiri dari tiga training yang direkomendasikan dan tiga training lainnya sebagai pilihan. Training yang direkomendasikan tersebut diantaranya adalah Securing Networks with Cisco Routers and Switches (SNRS), Securing Networks with ASA Foundation (SNAF), Implementing Cisco Intrusion Prevention System (IPS). Sedangkan training lanjutan sebagai pilihan diantaranya adalah Implementing Cisco NAC Appliance (CANAC), Implementing Cisco Security Monitoring, Analysis and Response System (MARS), dan Securing Networks with ASA Advanced (SNAA).

Tetap Semangat Mengikuti Kelas Malam

2009-10-07T22:10:00.000-07:00

Jaman sekarang yang dibutuhkan adalah solusi. Begitu juga untuk urusan training IT. Bagi karyawan yang tidak bisa meninggalkan pekerjaannya, mereka dapat bergabung di sebuah IT training khusus "after office hour". Hal ini telah berhasil dijalankan dan ternyata sama sekali tidak membuat semangat peserta training dan pengajar menjadi kendor.

Waktu training dimulai dari pukul lima sore hingga sembilan malam. Sesi istirahat hanya satu kali yaitu untuk makan malam saja. Apabila dihitung, jumlah waktu yang efektif adalah tiga jam dalam satu hari training. Lab yang bisa diakses via Internet adalah salah satu solusi agar peserta dapat berlatih di kantor ataupun di rumah. Beberapa kelas malam yang pernah diikuti peserta adalah materi CCNP, CCNA dan CSE.

Pada bulan puasa yang lalu masih di tahun yang sama, saya mengajar kelas malam tersebut. Selain mengikuti training, peserta dan pengajar sekaligus berbuka bersama. Materi training dikemas sedemikian rupa agar mudah dipahami peserta.

Solusi kelas malam ini juga cocok bagi karyawan internal. Hal ini juga dibuktikan dengan antusiasnya teman-teman satu kantor yang mendapatkan undangan mengikuti kelas CSE baru-baru ini. Meski pulang kantor, dengan sisa-sisa tenaga di sore hari, ternyata peserta tetap semangat mendengarkan penjelasan tentang materi-materi training yang saya sampaikan.

Photo: Peserta kelas CSE di bilangan Jakarta @ photo session

Router-ID

2009-10-06T01:46:00.000-07:00

Di lingkungan jaringan OSPF, router-id sangat dibutuhkan untuk melakukan identifikasi antar sesama router OSPF. Router-id disediakan dalam format dot decimal 32 bit. Layaknya penulisan IP Address, router-id menggunakan konsep yang sama. Router-id dapat dibentuk dan dibuat secara manual ataupun secara otomatis dari penulisan setiap link yang ada di sebuah router OSPF.

Pada sebuah router, router-id akan dipilih oleh sistem berdasarkan IP Address yang paling tinggi dari semua pengalamatan IP Address yang terdapat pada router itu sendiri. Sebagai contoh ada sebuah router OSPF yang memiliki 3 interface (ethernet0/0, ethernet0/1 dan serial0/0) dan masing-masing telah diberikan pengalamatan IP Address yang berbeda jaringan (secara berurutan: 10.1.1.1/24, 10.2.2.1/24, 192.168.1.1/24), maka kita perlu memperhatikan nilai IP Address tersebut. Nilai IP Address yang paling besar akan dideklarasikan oleh sistem sebagai router-id router tersebut. Dalam contoh tersebut maka serial0/0 dengan IP Address 172.16.1.1 akan dipakai sebagai router-id.

Kita dapat secara sengaja melakukan disain router-id khusus untuk router OSPF tersebut. Terdapat dua solusi untuk memberikan router-id yang baru tanpa mengubah pengalamatan di sebuah interface fisik. Yang pertama dengan cara memberikan interface loopback pada router tersebut dan memberikan pengalamatan IP Address tertentu (misalnya 172.16.1.1/32), maka router-id yang sebelumnya (192.168.1.1/24) dapat tergantikan. Cara yang kedua adalah dengan memberikan tambahan perintah dibawah konfigurasi router OSPF, dengan menuliskan router-id lalu diikuti dengan penulisan 32bit dot decimal (192.168.100.1).

Dengan kronologis diatas, bergantinya router-id tersebut tidak secara otomatis dilakukan sistem. Oleh karena itu perlu kiranya menghapus distribusi router-id OSPF dengan menggunakan perintah clear ip ospf. Apabila hal tersebut tidak berhasil maka perlu melakukan reload router atau mungkin harus menghapus konfigurasi router OSPF baru kemudian dilakukan konfigurasi ulang :(

Untuk menghindari hal tersebut terjadi, diupayakan agar merencanakan disain jaringan dan melakukan konfiguras lebih baik lagi. Apabila berencana menggunakan loopback interface sebagai router-id, maka tundalah membuat konfigurasi router OSPF setelah benar-benar interface loopback aktif dipakai. Namun demikian sangat disarankan agar memberikan router-id dengan memakai perintah router-id dibawah konfigurasi router. Untuk melihat dan memastikan kebenaran router-id, kita dapat menggunakan perintah show ip ospf.

Berikut ini gambaran penulisan router-id tersebut:

router-id 10.1.1.1

Untuk melihat dan memastikan kebenaran router-id, kita dapat menggunakan perintah show ip ospf.

Router# show ip ospf

Routing Process "ospf 201" with ID 192.42.110.200

Supports only single TOS(TOS0) route

It is an area border and autonomous system boundary router

Redistributing External Routes from,

    igrp 200 with metric mapped to 2, includes subnets in redistribution

    rip with metric mapped to 2

    igrp 2 with metric mapped to 100

    igrp 32 with metric mapped to 1

Number of areas in this router is 3

Area 192.42.110.0

    Number of interfaces in this area is 1

    Area has simple password authentication

    SPF algorithm executed 6 times

SRTT

2009-10-05T23:30:00.001-07:00

SRTT kepanjangan dari Smooth Round-Trip Time. SRTT adalah salah satu field yang terdapat pada hasil monitoring protokol routing EIGRP. SRTT adalah angka dalam perhitungan millisecond yang dibutuhkan sebuah EIGRP paket yang akan dikirimkan ke router tetangganya dan bagi router lokal yang menerima acknowledge sebuah paket itu sendiri. SRTT dalam millisecond itu dapat dilihat manakala kita memonitor protokol routing EIGRP menggunakan perintah show ip eigrp neighbor.

Ada perbedaan saat kita mencoba memeriksa dan memonitor routing proses milik EIGRP ini secara statik menggunakan perintah show. Apabila menggunakan show ip eigrp interface maka perhitungan interval ini dalam hitungan second atau detik.

Contoh menggunakan perintah neighbor:

Router# show ip eigrp neighbors 

P-EIGRP Neighbors for process 77 
Address                 Interface     Holdtime Uptime   Q      Seq  SRTT  RTO 
                                      (secs)   (h:m:s)  Count  Num  (ms)  (ms) 
172.16.81.28            Ethernet1     13       0:00:41  0      11   4     20 
172.16.80.28            Ethernet0     14       0:02:01  0      10   12    24 
172.16.80.31            Ethernet0     12       0:02:02  0      4    5     20 

Contoh menggunakan perintah interface:
Router# show ip eigrp interfaces detail 

IP-EIGRP interfaces for process 123 
                        Xmit Queue   Mean   Pacing Time   Multicast    Pending
Interface        Peers  Un/Reliable  SRTT   Un/Reliable   Flow Timer   Routes 
IP-EIGRP interfaces for process 123 
                        Xmit Queue   Mean   Pacing Time   Multicast    Pending
Interface        Peers  Un/Reliable  SRTT  Un/Reliable  Flow Timer    Routes 
Fa0/1              0        0/0        0       0/10            0           0

Policy Dulu, Baru Yang Lain...

2009-09-15T14:33:00.000-07:00

Beberapa waktu lalu saat mendapatkan kesempatan mengajar kelas Network Security, saya bertemu dengan beberapa teman engineer dari perusahaan BUMN. Mengenai nama BUMN baiknya tidak saya sebutkan disini demi etika dan kesopanan. Mereka rela mengikuti training 4 modul yang harus dihabiskan selama empat minggu berturut-turut demi objektif yang sedang saya pertanyakan ini.

Di awal training seperti biasanya kami berkenalan dan pada akhirnya saya menanyakan motivasi mereka mengikuti training semacam ini. Tidak disangka, ternyata mereka ingin memiliki tools atau semacam software penyerang yang rencananya dipakai untuk menyaingi salah satu karyawan yang "bandel". Belakangan saya tahu bahwa karyawan yang bandel itu tidak lain adalah rekan kerjanya sendiri! Dan melalui obrolan yang intens, saya mendapatkan informasi bahwa karyawan yang "bandel" ini adalah seorang junior di perusahaan tersebut namun mendapatkan jabatan koordinator di lingkungan mereka. Sepertinya sebagai rekan seniornya mereka tidak mau diatur ya :-?

Mereka adalah contoh script kiddies, orang yang tidak punya kemampuan hacking namun mencoba menggunakan software dan tools hacking yang rencananya dipakai untuk tujuan tertentu. Hal-hal seperti diatas adalah salah satu contoh dan kesamaan masalah di sebuah organisasi yang sama sekali tidak memiliki policy. Apakah mereka tidak bisa membuatnya atau tidak mau membuatnya? Seringkali hal seperti ujung-ujungnya masalah politis saja. Security policy menjadi hal yang tidak diperhatikan. Padahal hal ini menyangkut keamanan dan confidentiality sebuah organisasi. Cerita tentang teman-teman engineer di salah satu BUMN tersebut menggambarkan betapa Internal Relations belum solid.

Secara teoritis dan praktikal, pertahanan yang paling baik adalah dengan membangun Internal Relations dan Internal Policy yang sistematis. Setelah Internal Relations dan Policy-nya dibentuk, barulah memperkuat pertahanan dari luar. Sehingga bila berbicara tentang Network Security, IT Security, Data Confidentiality atau semacamnya, cobalah pertanyakan lebih dahulu; "Apakah Anda memiliki Organization Policy?" Naaaah, kalo sudah membuat "Policy" baru yang lainnya...

Empat Hal Yang Dibutuhkan Peralatan Keamanan Jaringan

2009-08-25T21:29:00.001-07:00

Apabila ada peralatan yang dianggap sebagai peralatan kemanan jaringan, dia harus memiliki persyaratan tertentu. Setidaknya ada empat buah faktor yang harus bisa dilakukan oleh alat ini. Yang pertama, harus memiliki kemampuan melakukan pengiriman frame data maupun paket data. Kedua mempunyai kemampuan sebagai Firewall, yang ketiga alat ini harus mampu menterjemahkan alamat IP. Yang keempat, alat ini dapat membangun sebuah Virtual Private Network (VPN).

Kemampuan yang pertama mengindikasikan bahwa alat ini sama layaknya sebuah switch. Dimana switch memiliki kemampuan mengirimkan frame dari satu collision domain menuju kepada collision domain yang berbeda. Hal ini sering disebut aktifitas switching frame. Aktifitas switching frame didasarkan pada pembacaan alamat di layer 2. Apabila kita bicara tentang LAN, maka alamat yang dipakai adalah MAC-Address. Sama seperti peralatan switch, tabel MAC-Address akan dipakai untuk verifikasi aktifitas switching frame

Alat ini juga harus mampu meneruskan paket dari satu broadcast domain tertentu menuju broadcast domain yang berbeda. Hal ini sama dengan kemampuan sebuah router dengan aktifitas switching packet-nya. Aktifitas ini didasarkan atas pembacaan alamat IP/layer 3. Tabel routing akan dipakai untuk verifikasi aktifitas switching paket tersebut. Beberapa hal yang harus dikelola adalah penggunaan static routing, dynamic routing dan default routing.

Kemampuan yang kedua adalah Firewall. Fungsi yang dilakukannya adalah mencoba untuk menyaring paket yang lalu lalang. Cara penyaringan paket ini dapat berdasarkan IP/Layer3, berdasarkan TCP/UDP, atau dapat dimungkinkan berdasarkan header dari aplikasi yang berjalan di jaringan. Hal ini dipakai untuk menerapkan kebijakan keamanan di jaringan.

Alat keamanan jaringan seperti ini umumnya ditempatkan pada posisi paling terdepan/ujung. Oleh karena itu dia harus punya kemampuan menerjemahkan alamat IP internal yang nantinya dianggap sebagai jaringan yang tidak dapat diroutingkan dari luar. Caranya yaitu dengan mengganti/menterjemahkan alamat IP internal. Hal ini dapat dilakukan dengan cara Network Address Translation (NAT), Port Address Translation (PAT) atau bahkan keduanya tergantung dari konfigurasi yang diinginkan

Terakhir, alat ini harus mampu dipakai untuk membangunVPN menggunakan alamat IP publik sebagai medium antara dua situs yang berbeda. Oleh karena itu, alat ini harus dapat melakukan enkapsulasi dari situs sumber menuju situs tujuannya melewati jaringan publik seperti Internet. Alat ini juga harus mampu melakukan penyandian paket sehingga pada saat melewati jaringan publik seseorang tidak punya kemampuan untuk membuka paket tersebut. Alat ini juga harus memiliki kemampuan untuk melakukan otentikasi alat-alat yang memang dilibatkan pada proses VPN itu sendiri. Jadi yang melakukannya bukan sembarang alat yang ada di jaringan Internet, hanya alat-alat tertentu saja.

Apabila Anda memiliki sebuah peralatan jaringan, apakah alat tersebut dapat diandalkan sebagai peralatan keamanan jaringan atau tidak, sebaiknya selalu melihat empat kemampuan diatas.

Ujian Sertifikasi Pengajar Cisco

2009-08-17T00:40:00.000-07:00

Di pertengahan tahun 2008, saya mendapatkan kesempatan untuk mengikuti ujian sertifikasi khusus untuk pengajar Cisco. Sertifikasi ini disebut CCSI yaitu kepanjangan dari Cisco Certified Systems Instructor. Program sertifikasi ini diadakan untuk validasi pengajar Cisco di seluruh dunia. Pemegang sertifikasi ini berhak mengajar materi Cisco dan diakui secara legal oleh pihak Cisco System.

Syarat mengikuti ujian ini, peserta harus pernah mengikuti training CCNA dan lulus ujian CCNA terlebih dahulu. Setelah itu dapat mendaftarkan diri di CLSP terdekat. Lokasi ujian bisa bervariasi, umumnya bila asal negara di Indonesia, maka negara penyelenggara ujian ini difokuskan di Asia Pasific. Saat itu kebetulan saya mengikuti ujian CCSI di Singapura.

Materi yang diujikan adalah CCNA. Sedangkan jenis ujiannya terdiri dari tiga penilaian. Yaitu penilaian penguasaan kelas, materi CCNA dan penguasaan konfigurasi lab. Ujian CCSI ini memang penuh dengan tantangan. Penilaian presentasi dilakukan dengan dua bahasa. Pertama dengan bahasa masing-masing negara, selanjutnya dalam bahasa Inggris. Sedangkan penilaian konfigurasi lab didasarkan pada hasil konfigurasi yang benar pada setiap langkahnya serta jumlah konfigurasi yang telah diselesaikan peserta. Bagi saya, konfigurasi sebuah lab adalah tantangan yang besar. Karena dari sebelas langkah konfigurasi yang disediakan saya harus menyelesaikannya dalam waktu kurang dari 8 jam. Karena ketatnya penilaian dan waktu, sampai-sampai saya tidak dapat meluangkan waktu untuk makan siang :(

Untuk kelulusan lab harus diatas 80%. Jadi kesalahan yang diperbolehkan adalah 20% saja. Sedangkan penilaian uji presentasi didasarkan pada jawaban yang benar atas pertanyaan penguji dan peserta yang hadir di tempat ujian. Alhamdulillah, satu minggu setelah ujian diadakan saya mendapatkan pengumuman bahwa saya telah lulus CCSI dengan nomor #32068.

Photo: Bersama sang Proctor, Mr. Eric Tolentino

Saat ScreenOS Menerima Paket...

2009-06-02T21:10:00.000-07:00

Paket akan dikirimkan ke beberapa arahan berikut ini:

1. Paket akan mendapatkan perlakuan pemeriksaan. Sistem akan memastikan apakah memiliki IP headers dan Layer 4 headers yang valid.

2. Sistem akan melihat apakah paket tersebut sudah ada pada sebuah sesi atau masih benar-benar baru? Apabila memang termasuk pada sesi sebelumnya, maka paket secara langsung dapat diteruskan. Hal ini disebabkan informasi tujuan sudah ada & tercatat di dalam tabel forwarding. Peralatan ini memanfaatkan tabel ini untuk memutuskan kemana arah paket akan dikirimkan. Apabila traffic tersebut dianggap baru, maka peralatan tersebut akan membuat tambahan keputusan untuk menjalankan proses penerusan paket tersebut.

3. Sistem akan melihat apakah alamat tujuan paket bisa terjangkau atau tidak. Apabila tidak terjangkau/tidak terdaftar, maka alat ini akan membuang paket ini alias tidak akan diteruskan. Namun sebaliknya apabila alamat tujuan terdaftar, maka paket akan diteruskan dan dilanjutkan pada langkah selanjutnya.

4. Apakah traffic tersebut akan melakukan penyeberangan zona? Peralatan jaringan ini akan melakukan asosiasi antara informasi zona yang menjadi tujuan paket dengan zona yang dimiliki oleh interface yang bakal menerima paket itu sendiri. Apabila zona tersebut sama, maka paket akan diteruskan dan sesi akan dibuat. Apabila zona yang dibandingkan tersebut berbeda, maka alat tersebut harus melakukan penentuan arah yang berikutnya.

5. Paket yang rencananya akan diteruskan tersebut akan disaring berdasarkan policy. Peralatan keamanan jaringan ini akan melihat dan membandingkan informasi traffic pada paket tersebut dengan policy yang pernah ditentukan sebelumnya. Apabila cocok namun pernyataannya adalah larangan, maka paket akan dibuang. Sedangkan bila cocok dan pernyataan dalam sebuah policy adalah permit, maka paket akan diteruskan dan dicatatkan pada tabel sesi.

6. Menjalankan ARP untuk mencari tahu alamat MAC dari perangkat tujuannya.

Langkah-langkah diatas tersebut dengan asumsi bahwa hal ini berlaku secara default pada sebuah peralatan ScreenOS. Meski demikian masih ada beberapa konfigurasi pilihan yg lainnya seperti "intrazone blokcking", intrazone policies", Deep Inspection (DI) atau antivirus scanning.

Attack Prevention

2009-05-02T01:32:00.000-07:00

Salah satu fasilitas pada sebuah perangkat keamanan jaringan adalah sistem antisipasi serangan atau Attack Prevention System. Sistem ini melakukan pengamanan akan munculnya Denial of Service (DoS), Viruses, Embedded Attack, dan beberapa hal yang bisa dilakukan seperti Malicious URL protection, URL filtering, Web filtering, Spam filtering, antivirus checking dan intrusion detection prevention (IDP).

Platform dan Juniper Interface

2009-04-02T23:07:00.000-07:00

Tabel di samping ini menggambarkan beberapa platform Juniper beserta nama masing-masing interface-nya.

Routing Static vs. Routing Dynamic

2009-02-12T12:35:00.000-08:00

Pada suatu masa, ada percakapan antara seorang engineer dengan dua buah router :)

engineer: hai router#1, bila ada paket yang menuju kota cirebon, tolong teruskan via cikampek ya.

router#1: (tanpa berpikir panjang router menjawab) siap pak! nanti saya teruskan via cikampek!

Lalu engineer segera melakukan komunikasi dengan router yang kedua.

engineer: hai router#2, saya baru saja berikan informasi bahwa dirimu ada di persimpangan jalan menuju kota Jakarta, kota Bandung, kota Jogjakarta dan kota Semarang. Apabila ada paket yang menuju ke salah satu kota-kota tersebut, tolong pikirkan kemana paket itu harus lewat.

router#2: (sambil berpikir router#2 menjawab) baik pak! saya akan berkomunikasi dengan router-router tetangga saya dan akan menanyakan lokasi yang harus dilewati paket-paket tersebut nantinya.

Pada pembicaraan pertama, engineer memberitahu router#1 tentang lokasi jalur yang harus dilalui sebuah paket. Router#1 tidak berpikir banyak dalam meneruskan paket karena sekedar menjalankan perintah dari engineer. Jenis routing seperti yang dilakukan oleh router#1 adalah jenis routing static.

Pada pembicaraan yang kedua, terlihat sekali bahwa router#2 perlu memikirkan cara dan jalur mana yang harus dilalui untuk paket-paket yang akan menuju kota Jakarta, kota Bandung, kota Jogjakarta dan kota Semarang. Untuk mendapatkan informasi yang lengkap, router#2 harus berkomunikasi dengan router-router tetangganya lebih dahulu baru, melengkapi tabel routingnya baru kemudian paket dapat dikirimkan. Jenis routing seperti yang dilakukan oleh router#2 adalah jenis routing dynamic.

Apabila dipahami dari overhead sebuah router, maka router#1 lebih efisien dalam menggunakan overheadnya, sebaliknya router#2 benar-benar memanfaatkan overheadnya untuk mendapatkan informasi routing yang lengkap. Dipandang dari penerapan dan skalabilitas dua model routing ini, maka routing static sangat terbatas, sedangkan penggunaan routing dynamic akan lebih fleksibel dan memiliki skalabilitas tinggi.

IP versi 4 Sudah Habis?

2009-02-12T11:24:00.000-08:00

Jawaban atas pertanyaan tersebut bisa jadi ada benarnya. Ditambah lagi kini sudah banyak yang menerapkan versi IP yang keenam (IPv6). Dengan semakin bertumbuhnya pengguna Internet maka jaringan semakin membesar, malah boleh dikatakan meledak! Untuk itu diciptakannlah tiga rentang jaringan yang khusus dipakai untuk jaringan internal, yaitu Jaringan kelas A (10.0.0.0), B (172.16.0.0 - 172.16.31.0) dan C (192.168.0.0 - 192.168.255.255).

Jaringan internal ini sedianya akan diterapkan pada jaringan di dalam sebuah organisasi dan disain jaringan ini tidak dipakai untuk penggunaan di Internet secara global. Agar jaringan internal ini dapat tetap tersambung ke Internet dan dapat bersifat unik, maka perlu adanya penterjemahan alamat. Tehnik penterjemahan alamat jaringan internal ini disebut Network Address Translation atau NAT.

Dynamic Packet Filtering

2009-02-05T23:47:00.000-08:00

Dynamic Packet Filtering atau Stateful Packet Inspection berbeda dengan Packet Filtering biasa. Apabila dibandingkan, packet filtering hanya memeriksa paket berdasarkan informasi yang terdapat di dalam header paket-nya, sementara Stateful Inspection memonitor setiap koneksi yang lalu lalang melalui semua interface dari sebuah firewall dan memastikan bahwa paket tersebut dianggap valid.

Sebagai contoh, sebuah firewall yang memeriksa paket tidak hanya informasi header-nya namun juga termasuk isi dari paket tersebut melalui informasi layer tertinggi yaitu layer aplikasi.

Dynamic Packet Filtering memiliki metode khusus. Peralatan keamanan jaringan ini mencatat beberapa komponen di dalam sebuah paket IP dan segmen TCP serta mengelola setiap sesi baik TCP maupun UDP yang melewati firewall tersebut.

Pada saat paket melewati sebuah firewall, peralatan ini akan membandingkan informasi header dengan informasi yang terdapat dalam tabel inspeksinya. Apabila cocok, maka paket tersebut diijinkan untuk melewati firewall. Namun apabila sebaliknya, maka paket akan di drop.

Komponen Perangkat Lunak Sebuah Firewall

2009-02-05T00:58:00.000-08:00

ALG atau application-layer gateway dipakai untuk mengelola protokol-protokol khusus seperti Session Initiation Protocol (SIP), FTP, H.232, Sun RPC, dll. di sebuah perangkat keamanan jaringan seperti Firewall. Pada saatnya ALG akan mencermati, mendeteksi dan menganalisa traffic tertentu, mengalokasi sumber daya jaringan dan menentukan dynamic policies untuk mengijinkan traffic melewati alat keamanan jaringan itu sendiri.

Virtual Interface

2009-02-04T23:22:00.000-08:00

Disamping ini adalah beberapa syntax untuk dari pemberian nama dari beberapa virtual interface yang didukung oleh peralatan jaringan Juniper.

Komponen ScreenOS

2009-02-02T22:12:00.000-08:00

ScreenOS adalah salah satu Sistem Operasi dari Juniper Network. Sistem Operasi ini dikhususkan untuk peralatan jaringan Juniper. Dibawah ini adalah delapan komponen ScreenOS yang perlu diketahui, yaitu: interface, zones, policy, virtual router, forwarding table, virtual system, flow, dan session.

Virtual System

2009-01-30T00:47:00.000-08:00

Virtual system (VSYS) adalah bentuk logika dari beberapa peralatan jaringan Juniper pada area pengelolaan yang beragam. Setiap VSYS bekerja dengan firewall-nya sendiri dengan satu set policy. VSYS ini hanya didukung oleh Juniper Network firewall system.

Virtual System juga dapat digambarkan sebagai sebuah peralatan fisik jaringan yang sengaja dioptimalkan dengan melakukan emulasi beberapa firewall sekaligus. Hanya peralatan jaringan Juniper tingkat tinggi yang mendukung Virtual System ini.

Virtual Router (VR)

2009-01-29T23:00:00.000-08:00

Sebuah virtual router adalah bentukan logikal routing pada Perlatan Jaringan Juniper. Sama seperti layaknya router secara fisik, VR memiliki tabel routing-nya sendiri dan perhitungan logika routingnya masing-masing. Khusus untuk trafik yang mengalir dari satu VR ke VR lainnya dibutuhkan konfigurasi routing inter-VR.

Forwarding Table

2009-01-29T00:40:00.000-08:00

Forwarding table dipakai untuk menentukan ke arah mana dan lewat interface mana paket akan dikirimkan. Hal ini terdiri dari beberapa jaringan IP bilamana peralatan jaringan tersebut ada di modus layer 3 dan akan menggunakan MAC address bilamana peralatan jaringan ada di modus layer 2.

Agar menyegarkan ingatan kita akan tabel ini, dapat dikatakan bahwa forwarding table pada modus layer 3 sering disebut sebagai tabel routing, sedangkan pada modus layer 2 disebut sebagai tabel MAC-Address.

Policy Pada ScreenOS

2009-01-28T22:39:00.000-08:00

Peralatan Firewall Juniper dijalankan berdasarkan policy. Kebijakan keamanan akan didasarkan kepada aturan-aturan yang telah ditentukan terlebih dahulu. Yaitu mengenai trafik yang diperbolehkan melewati firewall, berdasarkan beberapa parameter yang telah dipakai untuk mengidentifikasi aliran trafik itu sendiri.

Policy diimplementasi berdasarkan zonanya. Sehingga satu set/beberapa policy ditempatkan pada sebuah aliran trafik dari Zona A dan masuk ke Zona B, sementara itu satu set/beberapa policy dapat juga ditempatkan pada aliran trafik dari Zona A dan masuk ke Zona C.

Zones

2009-01-27T22:36:00.000-08:00

Zone adalah grup logic dari beberapa sub-jaringan. Semua peralatan di dalam sebuah zona akan berbagi pakai sistem keamanan yang sama satu dengan lainnya. Pembuatan zona semudah sebuah dua zona yang dibentuk. Semua interface pada akhirnya akan terkoneksi pada jaringan internal pada satu buah zona. Sedangkan semua interface yang terkoneksi pada dunia luar, harus berada di zona yang berbeda. Konfigurasi yang lebih rumit mungkin dapat membagi interface ke dalam departemen internal atau berdasarkan fungsinya untuk dihubungkan kepada dunia luar seperti Internet dan juga koneksi DMZ.

Zona internal seringkali dituliskan dengan istilah Trust Zone. Zona publik atau eksternal yang umumnya terhubung ke dunia luar sering disebut sebagai Untrust Zone. Sementara zona antara kedua zona yang disebutkan pertama kali sering disebut dengan DMZ atau DeMilitarized Zone.

Zone secara hirarkis akan ditempatkan pada sebuah Virtual Router.

Interface Pada ScreenOS

2009-01-26T22:35:00.000-08:00

Interface adalah koneksi antar sub jaringan - sub jaringan yang ada. Peralatan yang berbeda akan menggunakan nama yang berbeda pula. Sebagai contoh sebuah interface Trust pada sebuah alat jaringan, atau menggunakan nama jenis interface tersebut secara langsung, misalnya ethernet1. Namun demikian yang terpenting adalah setiap interface tersebut akan diberikan alamat IP manakala sebuah firewall bekerja di modus layer 3.

Penerapan sebuah zone dan interface harus mengikuti aturan yang terstruktur. Sebuah interface tidak dapat diberikan pengalamatan IP sebelum menjadi bagian dari zone tertentu terlebih dahulu. Sehingga pada saat ingin memberikan IP address, interface tersebut harus dimasukkan/terdaftar pada sebuah zone saja!

contoh penerapannya sbb:

router-> set interface ethernet0/1 zone trust

router-> set interface ethernet0/1 ip 10.1.1.1/24

Selanjutnya penerapan per interface-nya dapat diberikan beberapa service sekaligus seperti management ping, telnet, ssh, http, dll.

Selain interface fisik, peralatan Juniper juga mendukung virtual interface. Peralatan Juniper juga mendukung berbagai macam interface layer 1 dan layer 2 seperti ethernet, serial, wireless, ADSL, dan ISDN. Untuk interface ethernet didukung bersifat auto sensing, malahan tidak memerlukan konfigurasi khusus. Sedangkan contoh untuk serial interface adalah T1, T3, E1.

Perbandingan Perintah CLI ScreenOS dan IOS Saat Awal Pemakaian

2009-01-01T19:48:00.000-08:00

CLI atau Command Line Interface pada produk Cisco menggunakan Sistem Operasi IOS. Sedangkan perangkat keamanan jaringan pada vendor Juniper menggunakan Sistem Operasi ScreenOS. Artikel ini membahas tentang perbandingan antara keduanya.

Proses loading pertama kali diantara keduanya tidak jauh berbeda. Saat pertama kali muncul prompt, IOS masuk pada modus User Executable Mode dengan kemunculan tanda ">". Apabila user sedang mengaktifkan router Cisco, maka kemunculan prompt pertama kali adalah "router>". Level otorisasiselanjutnya adalah pada modus privilege. Untuk masuk ke modus privilege, maka user perlu memberikan perintah "enable", dan seketika itu juga prompt berubah menjadi tanda "#".

Contoh:

router>enable

router#

Pada ScreenOS, setelah kita masukkan otentikasi dengan benar prompt yang muncul tidak jauh berbeda, dimana muncul tanda "->". Sebagai contoh bila menggunakan perangkat SSG20, maka prompt akan muncul "ssg20->".

Cara penghapusan konfigurasi menggunakan IOS cukup dengan menuliskan di modus priviledge "erase nvram". Sebagai contoh: router#erase nvram. Sementara di ScreenOS user perlu menuliskan ssg20-> unset all.

Beberapa perintah berikut ini adalah komparasinya:

IOS | ScreenOS

router(config)#hostname R1 | router-> set hostname R1

router(config)#interface eth0 | router -> set interface zone trust

router(config)#ip address 10.1.1.1 255.255.255.0 | router -> set interface eth0/0 ip 10.1.1.1./24

router(config)#line vty 0 4 | set interface eth0 manage telnet

router(config)#password cisco

router#copy run start | router -> save

Artikel ini masih dalam pengembangan, silahkan update selalu dengan mendaftarkan diri pada RSS blog ini <Bloglines, Google, Netvibes, News Gator>

Perlunya QoS

2008-07-06T17:52:00.001-07:00

QoS atau Quality of Service sangat diperlukan seiring dengan pertumbuhan dan berevolusinya kebutuhan jaringan dan aplikasi berbasis web. Perbedaan aplikasi dengan bervariasinya jaringan membuat para administrator jaringan harus mengatur infrastruktur jaringannya dengan seksama dan secara khusus. Sekian banyaknya aplikasi harus dianalisa dan dikategorikan. Pengakategorian ini haruslah berdasarkan kebutuhan dan prioritas yang telah disepakati. Penggunaan QoS pada penerapan jejaring komputer adalah merupakan keharusan manakala bisnis dan rentang jejaring di lingkungan organisasi bertambah rumit dan luas.

Jejaring komputer yang sangat bertambah luas ini harus mendapatkan mekanisme keamanan yang memadai. Jejaring komputer juga harus dapat diperkirakan, dapat diukur dan apabila memungkinkan harus memberikan garansi atas layanan aplikasi yang dijanjikan kepada pemakainya. Isu yang mengemuka hingga saat ini setelah munculnya Internet adalah visi tentang jejaring yang menjadi satu kesatuan tak terpisahkan atau converge network. Converged network membawa harapan baru tentang keinginan dari setiap organisasi di dunia agar memungkinkan biaya-biaya operasional menjadi efisien dan efektif. Sehingga pada satu titik nanti, pemakai jaringan dan aplikasi akan merasakan layanan-layanan aplikasi yang memiliki standar kualitas yang dijamin.