Areksitiung’s Blog

Firewall adalah satu seperangkat software dan hardware yang bertugas menyaring paket-paket yang lewat sesuai dengan aturan yang dimilikinya. firewall biasanya terpasang antara jaringan internet dengan jaringan local, atau juga antara jaringan local dengan jaringan local. dalam proses filterisasi, firewall mempunyai dua macam aturan yang dimiliki, yaitu exclusive firewall dan inclusive firewall. exclusive firewall yaitu firewall yang mengizinkan semua paket traffick yang lewat kecuali paket-paket yang sesuai dengan rulenya (default-allow). sedangkan inclusive firewall adalah menolak semua paket traffick yang lewat kecuali paket-paket yang sesuai dengan rulenya (default-deny).

Dalam penerapan sesungguhnya, inclusive firewall jauh lebih aman dari pada exclusive firewall. tapi dalam proses pembuatan aturan juga jauh lebih sulit, karena harus teliti dalam pembuatan rule terutama unregistered port dan proses-proses pasif. firewall dapat dibangun pada layer 3, 5 dan 7 pada lapisan OSI.
Komponen firewall adalah sebagai berikut :
Passing.
Blocking.
Translating.
Shaping.
Forwarding.
Logging.
untuk melaksanakan fungsi di atas firewall selalu membaca beberapa parameter yang menjadi bagian rulenya, adapun parameter tersebut adalah:

Alamat (IP) asal
Alamat (IP) tujuan
Port asal (/etc/services)
Port tujuan (/etc/services)
Interface
Protocol (/etc/protocols)
Options
Pada Operating System FreeBSD, firewall (layer 3) dapat dibangun dengan IPFW (IP Firewall), IPF (IP Filter) dan PF (Paket Filter). IPFW adalah firewall yang merupakan bawaan dari FreeBSD, sedangkan IPF adalah asli bawaan NetBSD dan FP adalah bawaan dari OpenBSD. PF ada dalam kernel FreeBSD mulai FreeBSD 5.3 dan sesudahnya.

Untuk masing-masing firewall diatas, Insya Allah akan dibahas pada posting selanjutnya.

IPFW atau IP Firewall adalah salah satu service yang dimiliki oleh Operating System FreeBSD untuk membangun sebuah firewall. firewall ini bekerja pada layer 3 lapisan OSI (Open System Interconnection).
salah satu ciri dari firewall dengan IPFW adalah dalam pembacaan rule-nya akan di baca dari atas kebawah, bila ada traffick yang sudah sesuai dengan rule firewall dibagian atas, maka sistem akan mengeksekusi tanpa membaca atau membandingkan dengan rule di baris berikutnya. lalu bagaimana untuk membangun firewall ini ?

Untuk mengaktifkan IPFW tentunya kernel FreeBSD harus support IPFW dengan menambahkan options sebagai berikut:

options IPFIREWALL
options IPFIREWALL_VERBOSE
options IPFIREWALL_DEFAULT_TO_ACCEPT
options DUMMYNET
options IPDIVERT

tambahkan pada /etc/rc.conf

firewall_enable=”YES”
firewall_script=”/etc/rc.firewall”
firewall_logging=”YES”
natd_enable=”YES”
natd_interfaces=”"
natd_program=”/sbin/natd”

Berikut adalah format IPFW:

CMD RULE_NUMBER ACTION LOGGING SELECTION STATEFULL

CMD = /sbin/ipfw
RULE_NUMBER = 0001, 0002, 0003, 0004 dst
ACTION = pass, permit, allow, accept, deny atau drop
LOGGING = optional
SELECTION= tcp, udp atau icmp (daftar protokol ada di /etc/protocols). from src to dst, port number, in out, via IF.
STATEFULL = optional
Seperti sudah di jelaskan di posting sebelumnya, bahwa fungsi firewall adalah sebagai berikut.

contoh passing

/sbin/ipfw add 0001 pass all from any to any
/sbin/ipfw add 0002 pass icmp from any to any estabilished
/sbin/ipfw add 0003 pass tcp from 192.168.1.0/24 to any 21 keep-state
/sbin/ipfw add 0004 pass tcp from any to me 21 in via fxp0

contoh blocking

/sbin/ipfw add 0001 deny all from any to any
/sbin/ipfw add 0002 deny icmp from any to any estabilished
/sbin/ipfw add 0003 deny tcp from 192.168.1.0/24 to any 21 keep-state
/sbin/ipfw add 0004 deny tcp from any to me in via fxp0

contoh logging, default logging akan di simpan di /var/log/security

contoh translating

/sbin/ipfw add divert natd all from any to any

contoh shaping

/sbin/ipfw add pipe 10 ip from any to 192.168.1.1 via fxp0
/sbin/ipfw pipe 10 config bw 128Kbit/s
/sbin/ipfw add pipe 20 ip from 192.168.1.1 to any via fxp0
/sbin/ipfw pipe 20 config bw 64Kbit/s

Ok, untuk saat ini kita akan coba membuat web-proxy transparen dengan mikrotik. Seperti halnya membuat web-proxy dengan menggunakan linux, setelah kita membuat web-proxy kita akan memaksa mengarahkan port yang mau keluar harus melalui proxy.

Ok, kita akan mulai saja bagaimana langkah-langkahnya :

1. Seperti biasa, kita persiapkan alat perang kita biasanya, u know what I mean (kopi ama rokok)
2. Untuk konfigurasi dasar seperti setting IP Address, kita lanjutkan dari artikel sebelumnya. Jadi kita hanya tinggal menambahkan fungsi web proxy saja.
3. Setelah kita masuk ke console dari mikrotik, kita mulai dengan membuat web-proxy itu sendiri.

[admin@MikroTik] > ip web-proxy
[admin@MikroTik] ip web-proxy> set enabled=yes
[admin@MikroTik] ip web-proxy> set src-address=0.0.0.0
[admin@MikroTik] ip web-proxy> set port=8080
[admin@MikroTik] ip web-proxy> set hostname=proxy.infonesia.info //ganti dengan nama proxy anda
[admin@MikroTik] ip web-proxy> set transparent-proxy=yes
[admin@MikroTik] ip web-proxy> set parent-proxy=0.0.0.0:0
[admin@MikroTik] ip web-proxy> set cache-administrator=web@infonesia.info //ganti dengan alamt email anda
[admin@MikroTik] ip web-proxy> set max-object-size=4096KiB
[admin@MikroTik] ip web-proxy> set cache-drive=system
[admin@MikroTik] ip web-proxy> set max-cache-size=unlimited
[admin@MikroTik] ip web-proxy> set max-ram-cache-size=unlimited

4. Setelah langkah-langkah diatas selesai, kita akan coba forward paksa akses keluar menuju ke proxy dahulu dengan langkah-langkah sebagai berikut

[admin@MikroTik] ip web-proxy> /ip firewall nat add chain=dstnat protocol=tcp dst-port=80 action=redirect to-ports=8080
[admin@MikroTik] ip web-proxy> /ip firewall nat add chain=dstnat protocol=tcp dst-port=3128 action=redirect to-ports=8080
[admin@MikroTik] ip web-proxy> /ip firewall nat add chain=dstnat protocol=tcp dst-port=8080 action=redirect to-ports=8080

Ok, pembuatan proxy kita sudah selesai. Untuk mengecek apakah setup proxy kita sudah benar, kita akan coba blokir akses untuk suatu situs. Untuk kali ini kita akan memakai contoh friendster.com untuk diblokir. Cara untuk memblokir situs sebagai berikut :

[admin@MikroTik] ip web-proxy> access add url=friendster.com method=any action=deny

Kemudian kita coba di komputer klien, dengan browser coba untuk mengakses situs friendster.com. Jika waktu membuka situs tersebut keluar seperti gambar di bawah ini, maka konfigurasi proxy anda berhasil. Jika masih bisa membuka halaman utama situs tersebut, maka konfigurasi anda masih salah. Coba trace kesalahan anda.

Sebelum kita belajar bagaimana cara setup server mikrotik menjadi sebuah Gateway Server, kita siapkan dulu beberapa keperluan.

1. Sebuah komputer yang telah ter-install mikrotik
2. 2 buah NIC (Network Adapter)
3. Sebuah koneksi internet (dalam hal ini penulis menggunakan koneksi dari speedy)
4. Sebuah komputer atau laptop sebagai client
5. Kopi dan rokok secukupnya

Setelah kita persiapkan semua keperluan kita sebelum belajar seperti list di atas, kita akan memulai setup sebuah server mikrotik menjadi sebuah gateway server.

1. Cek apakah NIC telah terpasang dengan benar dengan cara jalankan perintah :
[admin@MikroTik] > interface print
Jika setelah menjalankan perintah di atas muncul seperti di bawah ini, maka instalasi NIC sduah benar.

Flags: X – disabled, R – running, D – dynamic, S – slave
# NAME TYPE MTU
0 R ether1 ether 1500
1 R ether2 ether 1500

2. Setup ip address dari kedua ethernet, gateway juga alamat DNS server mikrotik tersebut (sesuai gambar di atas).

ether1 = 192.168.1.2 netmask = 255.255.255.0
ether2 = 10.100.100.1 netmask = 255.255.255.0
Gateway = 192.168.1.1
Primary dan Secondary DNS = (sesuai dengan DNS ISP anda)

Jika belum mengetahui cara setting di atas, silahkan lihat di sini.
3. Test koneksi internet dengan cara menjalankan perintah ping.

[admin@MikroTik] > ping google.com
72.14.207.99 64 byte ping: ttl=238 time=604 ms
72.14.207.99 64 byte ping: ttl=238 time=622 ms
72.14.207.99 64 byte ping: ttl=238 time=582 ms
72.14.207.99 64 byte ping: ttl=238 time=623 ms
5 packets transmitted, 4 packets received, 20% packet loss
round-trip min/avg/max = 582/607.7/623 ms

4. Setup masquerading (NAT) agar client dari server mikrotik bisa tersambung ke internet.

[admin@MikroTik] > ip firewall nat add action=masquerade out-interface=ether1 chain=srcnat
Cek hasil dari setup
[admin@MikroTik] > ip firewall nat print
Flags: X – disabled, I – invalid, D – dynamic
0 chain=srcnat action=masquerade out-interface=ether1

5. Setup DHCP Server dengan langkah-langkah sebagai berikut :
* Buat IP Address Pool
[admin@MikroTik] > ip pool add name=dhcp-pool ranges=10.100.100.10-10.100.100.20
* Tambahkan DHCP network dan gateway yang akan didistribusikan di client
[admin@MikroTik] > ip dhcp-server network add address=10.100.100.0/24 gateway=10.100.100.1
* Tambahkan DHCP Server ke ether2
[admin@MikroTik] > ip dhcp-server add interface=ether2 address-pool=dhcp-pool
* Enable DHCp Service
[admin@MikroTik] > ip dhcp-server enable 0
6. Langkah terakhir adalah tes dari client.

######################################################################

# Welcome to ZTE Full Service Access Platform

# Press Return to get started

# Copyright 2005-2009 , ZTE Co.,Ltd.

######################################################################

Login:admin

Password:admin

fsap>enable

Please input password:admin

fsap# configure

fsap(config)#

fsap(config)# system hostname TBL DSLAM##-D4-BY

## number of new subrack
D4 Central java
BY short site name

TBL# show card

Slot Shelf Type Port BootVer SoftVer Status

———————————————————————-

2 1 NO/ASNVC2 V1.0.6U2T7 V1.0.6U2T7 NotConfig (none)

4 1 NO/STNGB V1.0.6U1T7 V1.0.6U1T7 NotConfig

5 1 NO/STNGB V1.0.6U1T7 V1.0.6U1T7 NotConfig

9 1 CSCE 0 V1.0.6U2T7 V1.0.6U2T7 Main/SubCardMismatch

11 1 CSCE 0 V1.0.6U2T7 V1.0.6U2T7 Standby/SubCardMismatch

———————————————————————-

TBL# add-card asnvc2 ?

2-8,10,12-17 – Assign a card number

TBL# add-card asnvc2 2 ?—–>add card ADSL 2+ (asnvc2) in slot 2

self-shelf – Splitter card in self shelf

splitter-shelf – Splitter card in splitter shelf

TBL# add-card asnvc2 2 splitter-shelf —–>splitter put separated with the card

TBL# add-card asnvc2 3 splitter-shelf

TBL# add-card stngb ? ——> card SHDSL

3-8,10,12-17 – Assign a card number

TBL# add-card stngb 4

TBL# add-card stngb 5

TBL# add-subcard

CSC – Add sub-card in CSC slot

TBL# add-subcard csc ?——-> add controlling board

upside – Assign upside sub-card type

TBL# add-subcard csc upside

OGFA – FOUR_FE_F ports subcard

OGFB – FOUR_GE_F ports subcard

OGFM – FOUR_FE_F ports subcard

TGFC – FOUR_10/100/1000E_T ports subcard

SGFA – TWO_FE_F ports subcard

SGFB – TWO_GE_F ports subcard (giga Ethernet)

SGFM – TWO_FE_F ports subcard

SGFD – TWO_FE_F+TWO_10/100/1000E_T ports subcard

SGFE – TWO_GE_F+TWO_10/100/1000E_T ports subcard

SGFN – TWO_FE_F+TWO_10/100/1000E_T ports subcard

NONE – No subcard

TBL# add-subcard csc upside ogfb ?

underside – Assign underside sub-card type

TBL# add-subcard csc upside ogfb underside sgfb

TBL(config)# add-vlan 10 (vlan management)

TBL(config)# add-vlan 100 (vlan traffic)

TBL(config)# vlan 10 9/1 tag
TBL(config)# vlan 100 9/1 tag
TBL(config)# vlan 100 2/1-64 untag pvc 1
TBL(config)# vlan 100 3/1-64 untag pvc 1
TBL(config)# vlan 100 4/1-64 untag pvc 1
TBL(config)# vlan 100 5/1-64 untag pvc 1

TBL(config)# ip subnet 172.16.253.10 255.255.255.0 10 name TBL

TBL(config)# snmp-server host 172.16.253.100 NMS

TBL(config)# snmp-server community public rw —> optional (ro or rw)

TBL(config)# adsl-profile ADSL384K

TBL(config)#
TBL(config)# adsl-profile ADSL384K

AtucConfRateMode(1-fixed,2-adaptAtStartup,3-adaptAtRuntime):[2]

AtucConfRateChanRatio(0..100):[0]

AtucConfTargetSnrMgn(0..310(0.1dB)):[80]

AtucConfMaxSnrMgn(80..310(0.1dB)):[310]

AtucConfMinSnrMgn(0..80(0.1dB)):[0]

AtucConfDownshiftSnrMgn(0..310):[0]

AtucConfUpshiftSnrMgn(0..310):[0]

AtucConfMinUpshiftTime(0..16383):[0]

AtucConfMinDownshiftTime(0..16383):[0]

ConfProfileLineType(1-fast-only ,2-interleaved-only):[2]

AtucChanConfFastMaxTxRate(0..102400kbps):[1024]384

AtucChanConfFastMinTxRate(0..384kbps):[0]

AtucChanConfInterleaveMaxTxRate(0..102400kbps):[1024]384

AtucChanConfInterleaveMinTxRate(0..384kbps):[0]

AtucChanConfMaxInterleaveDelay(0..255ms):[16]

AturConfRateMode(1-fixed,2-adaptAtStartup,3-adaptAtRuntime):[2]

AturConfRateChanRatio(0..100):[0]

AturConfTargetSnrMgn(0..310(0.1dB)):[80]

AturConfMaxSnrMgn(80..310(0.1dB)):[310]

AturConfMinSnrMgn(0..80(0.1dB)):[0]

AturConfDownshiftSnrMgn(0..310(0.1dB)):[0]

AturConfUpshiftSnrMgn(0..310(0.1dB)):[0]

AturConfMinUpshiftTime(0..16383):[0]

AturConfMinDownshiftTime(0..16383):[0]

AturChanConfFastMaxTxRate(0..10240kbps):[512]64

AturChanConfFastMinTxRate(0..64kbps):[0]

AturChanConfInterleaveMaxTxRate(0..10240kbps):[512]64

AturChanConfInterleaveMinTxRate(0..64kbps):[0]

AturChanConfMaxInterleaveDelay(0..255ms):[16]

AtucDMTConfFreqBinsOperType(1-open,2-cancel):[2]

AturDMTConfFreqBinsOperType(1-open,2-cancel):[2]

LineDMTConfEOC(1-byte ,2-streaming ):[1]

LineDMTConfTrellis(1-on,2-off):[1]

AtucConfMaxBitsPerBin(0..15):[15]

AtucConfTxStartBin(6..511):[32]

AtucConfTxEndBin(32..511):[511]

AtucConfRxStartBin(6..63):[6]

AtucConfRxEndBin(6..63):[60]

AtucConfUseCustomBins(1-on,2-off):[2]

AtucConfDnBitSwap(1-on,2-off):[2]

AtucConfUpBitSwap(1-on,2-off):[2]

AtucConfREADSL2Enable(1-on,2-off):[2]

AtucConfPsdMaskType(1-DMT_PSD_MSK,2-ADSL2_PSD_MSK,3-ADSL2_READSL_WIDE_PSD_MSK,4-ADSL2_READSL_NARROW_PSD_MSK):[2]

AtucConfPMMode(1-DISABLE,2-L2_ENABLE,3-L3_ENABLE,4-L3_ENABLE | L2_ENABLE):[1]

AtucConfPML0Time(0..255s):[240]

AtucConfPML2Time(0..255s):[120]

AtucConfPML2ATPR(0..31db):[3]

AtucConfPML2Rate(512..1024kbps):[512]

Press M or m key to modify, or the other key to complete?[C]

TBL(config)# port-location pppoe-plus enable

TBL(cfg-slot-adsl-2)# pppoe-plus enable

TBL(cfg-slot-adsl-2)# pvid 100 pvc 1

TBL(cfg-slot-adsl-2)# adsl profile toni

TBL(cfg-slot-adsl-2)# exit

TBL(cfg-slot-adsl-3)# pppoe-plus enable

TBL(cfg-slot-adsl-3)# pvid 100 pvc 1

TBL(cfg-slot-adsl-3)# adsl profile toni

TBL(cfg-slot-adsl-3)# exit

TBL(config)# uaps enable

TBL(config)# slot ?

adsl – Config the ADSL slot

eponr – Config the eponr slot

ethernet – Config the ethernet slot

shdsl – Config the Shdsl slot

vdsl – Config the VDSL slot

TBL(config)# slot ethernet 9

TBL(cfg-slot-eth-9)#

TBL(cfg-slot-eth-9)# up-link

1-6 – Assign an interface list

TBL(cfg-slot-eth-9)# up-link 1

TBL(cfg-slot-eth-9)# exit

TBL(config)# sho history

30 sho interface vlan 10

31 ip subnet 172.16.253.10 255.255.255.0 10 name TBL

32 snmp-server host 172.16.253.10

33 snmp-server community public rw

34 interface range adsl 2-3/1-64

35 pvid 100 pvc 1

36 exit

37 adsl-profile toni

38 adsl-profile toni

39 port-location pppoe-plus enable

40 slot adsl 2

41 pppoe-plus enable

42 pvid 100 pvc1

43 pvid 100 pvc 1

44 adsl profile toni

45 exit

46 slot adsl 3

47 adsl profile toni

48 pvid 100 pvc 1

49 pppoe-plus enable

50 exit

51 uaps enable

52 exit

53 show run

54 conf

55 slot ethernet 9

56 up-link 1

57 exit

58 show run

59 sho history

TBL(config)# exit

TBL# save

TBL# logout

Are you sure to quit? yes[Y] or no[N]:[N]y

Keamanan jaringan menjadi semakin penting dengan semakin banyaknya waktu yang dihabiskan orang untuk berhubungan. Mengganggu keamanan jaringan sering lebih mudah daripada fisik atau lokal, dan lebih umum.

Terdapat sejumlah alat yang baik untuk membantu keamanan jaringan, dan semakin banyak disertakan dalam distribusi Linux.

PACKET SNIFFERS

Salah satu cara umum yang digunakan penyusup untuk memperoleh akses ke banyak sistem di jaringan anda adalah dengan menggunakan sebuah packet sniffer pada host yang telah diganggu. Sniffer ini mendengarkan port Ethernet untuk hal-hal seperti “Password” dan “Login” dan “su” dalam aliran paket dan kemudian mencatat lalu lintas setelahnya. Dengan cara ini, penyerang memperoleh password untuk sistem yang bahkan tidak mereka usahakan untuk dibongkar. Password teks biasa adalah sangat rentan terhadap serangan ini.

Contoh: host A telah diganggu. Penyerang menginstal sebuah sniffer. Sniffer mencatat login admin ke host B dari host C. Ia memperoleh password personal admin ketika ia login ke B. Kemudian, admin melakukan ’su’ untuk mengatasi suatu masalah. Mereka sekarang memiliki password root untuk Host B. Kemudian admin membolehkan seseorang telnet dari rekeningnya ke host Z di site lain. Sekarang penyerang memiliki password/login di host Z.

Di masa sekarang, penyerang bahkan tidak perlu mengganggu sebuah sistem untuk melakukan hal ini, mereka dapat membawa laptop atau pc ke suatu gedung dan menyadap ke jaringan anda.

Dengan menggunakan ssh atau metode password terenkripsi lainnya dapat mencegah serangan ini. Hal-hal seperti APOP untuk rekening pop juga dapat mencegah serangan ini. (Login pop normal sangat rentan untuk hal ini, sama seperti segala sesuatu yang mengirim password teks biasa melalui kabel).

PELAYANAN SISTEM dan tcp_wrappers

Segera setelah anda menaruh sistem Linux anda di sembarang jaringan, hal pertama yang harus dilihat adalah pelayanan yang butuh anda tawarkan. Pelayanan-pelayanan yang tidak perlu anda tawarkan seharusnya ditiadakan sehingga anda memiliki satu hal yang tidak perlu dikhawatirkan dan penyerang memiliki satu hal kurangnya untuk mencari lubang.

Terdapat sejumlah cara untuk meniadakan pelayanan dalam Linux. Anda dapat melihat pada file /etc/inetd.conf dan melihat pelayanan apa yang ditawarkan oleh inetd anda. Tiadakan segala yang tidak anda butuhkan dengan mengkomentari mereka (taruh # di awal baris), dan kemudian mengirimkan proses inetd anda sebuah SIGHUP.

Anda dapat pula menghilangkan (atau mengkomentari) pelayanan-pelayanan di file /etc/services. Hal ini berarti client lokal anda tidak akan menemukan pelayanan (contoh, jika anda menghilangkan ftp, dan berusaha dan ftp ke site remote dari mesin tersebut maka akan gagal dengan pesan pelayanan yang tidak dikenal). Tidaklah berharga untuk menghilangkan pelayanan, karena tidak memberikan keamanan tambahan. Jika orang lokal ingin menggunakan ftp bahkan yang telah anda komentari, mereka ingin membuat client mereka menggunakan port ftp umum dan masih dapat bekerja baik.

Beberapa pelayanan yang ingin anda biarkan ada adalah:

ftp
telnet
mail, seperti pop-3 atau imap
identd
time
Jika anda tahu anda tidak ingin menggunakan beberapa paket tertentu, anda dapat menghapusnya. rpm -e dalam distribusi Red Hat akan menghapus seluruh paket. Dalam debian dpkg akan melakukan hal yang sama.

Sebagai tambahan, anda benar-benar ingin meniadakan utilitas rsh/rlogin/rcp, termasuk login (digunakan oleh rlogin), shell (digunakan oleh rcp), dan exec (digunakan oleh rsh) dari dimulai dalam /etc/inetd.conf. Protokol-protokol ini sangat tidak aman dan menjadi penyebab eksploit dahulu.

Anda perlu memeriksa /etc/rc.d/rcN.d, dengan N adalah run level sistem anda dan melihat apakah pelayanan dimulai dalam direktori tersebut tidak dibutuhkan. File dalam /etc/rc.d/rcN.d sebenarnya adalah link simbolik ke direktori /etc/rc.d/init.d. Mengganti nama file dalam direktori init.d memiliki efek meniadakan seluruh link simbolik dalam /etc/rc.d/rcN.d. Jika anda hanya ingin meniadakan pelayanan untuk runlevel tertentu, ganti nama file yang sesuai dengan huruf kecil.

Jika anda memiliki file rc bergaya BSD, anda mungkin ingin memeriksa /etc/rc* untuk program-program yang tidak anda butuhkan.

Kebanyakan distribusi Linux menyertakan tcp_wrappers “wrapping” seluruh pelayanan tcp. Sebuah tcp_wrappers (tcpd) dipanggil dari inetd selain dari server sebenarnya. tcpd kemudian memeriksa host yang membutuhkan pelayanan dan kemudian mengeksekusi atau menolak akses server sebenarnya dari host tersebut. tcpd memungkinkan anda membatasi akses ke pelayanan tcp anda. Anda perlu membuat /etc/hosts.allow dan menambahkan hanya host yang membutuhkan akses ke pelayanan mesin anda.

Jika anda adalah pemakai dialup rumahan, kami menyarankan anda menolak seluruhnya. tcpd juga mencatat usaha yang gagal untuk mengakses pelayanan, sehingga ini dapat memberi anda ide bahwa anda sedang diserang. Jika anda menambahkan pelayanan baru, anda harus pasti mengkonfigurasinya untuk menggunakan tcp_wrappers berbasis TCP. Sebagai contoh, pemakai dial-up normal dapat mencegah orang luar koneksi ke mesin anda, namun masih memiliki kemampuan untuk menerima surat, dan membuat hubungan jaringan ke Internet. Untuk melakukan ini, anda mungkin menambahkan perintah berikut ke /etc/hosts.allow:

ALL: 127.

Dan tentu saja /etc/hosts.deny akan berisi:

ALL: ALL

yang akan mencegah koneksi eksternal ke mesin anda, namun masih memungkinkan anda dari dalam berhubungan ke server di Internet.

VERIFIKASI INFORMASI DNS

Memelihara informasi DNS tentang seluruh host di jaringan anda agar tetap baru dapat membantu meningkatkan keamanan. Bilamana ada host yang tidak dijinkan terhubung ke jaringan anda, anda dapat mengenalinya dengan tidak adanya masukan DNS. Banyak pelayanan dapat dikonfigurasi untuk tidak menerima koneksi dari host yang tidak memiliki masukan DNS yang valid.

identd

identd adalah program kecil yang umumnya berjalan di inetd. Ia mencatat pelayanan tcp apa yang dijalankan pemakai, dan kemudian melaporkannya kepada yang meminta.

Banyak orang salah mengerti kegunaan identd, sehingga meniadakannya atau memblok seluruh site yang memintanya. identd ada bukan untuk membantu remote site. Tidak ada cara untuk mengetahui jika data yang anda peroleh dari remote identd benar atau tidak. Tidak ada autentikasi dalam permintaan identd.

Lalu mengapa anda ingin menjalankannya? Karena ia membantu anda, dan adalah titik data lain dalam penelusuran. Jika identd anda tidak terganggu, maka anda mengerti ia memberi tahu remote site nama pemakai atau uid orang-orang yang menggunakan pelayanan tcp. Jika admin pada remote site datang kepada anda dan memberitahu pemakai anda berusaha menghack ke site mereka, anda dapat secara mudah mengambil tindakan terhadap pemakai tersebut. Jika anda tidak menjalankan identd, anda harus melihat banyak catatan, memperkirakan siapa yang ada pada saat itu, dan secara umum membutuhkan waktu yang lebih banyak untuk menelusuri pemakai.

identd yang disertakan dalam banyak distribusi lebih mudah dikonfigurasi daripada yang diperkirakan orang. Anda dapat meniadakan identd untuk pemakai tertentu (mereka dapat membuat file .noident), anda dapat mencatat seluruh permintaan identd (Saya menyarankannya), anda bahkan dapat memiliki identd mengembalikan uid daripada nama pemakai atau bahkan NO-USER.

SATAN, ISS, dan Scanner Jaringan Lainnya

Terdapat sejumlah paket software berbeda yang melakukan penelusuran berdasarkan port dan pelayanan mesin atau jaringan. SATAN dan ISS adalah dua yang paling dikenal. Software ini berhubungan ke mesin sasaran (atau seluruh mesin sasaran di suatu jaringan) di semua port yang ada, dan berusaha menentukan pelayanan apa yang sedang berjalan. Berdasarkan informasi ini, anda dapat menemukan mesin yang rentan terhadap eksploitasi tertentu pada server.

SATAN (Security Administrators Tool for Analyzing Networks) adalah sebuah penelusur port dengan antara muka web. Ia dapat dikonfigurasi untuk melakukan pemeriksaan ringan, menengah, atau berat pada mesin atau pada jaringan mesin. Akan merupakan ide yang baik untuk memperoleh SATAN dan memeriksa mesin atau jaringan anda, dan membenahi masalah-masalah yang ditemukan. Pastikan anda memperoleh SATAN dari sun-site atau FTP atau web site yang bereputasi.

ISS (Internet Security Scanner) adalah penelusur berdasarkan port yang lain. Ia lebih cepat daripada SATAN, dan mungkin lebih baik untuk jaringan yang besar. Namun demikian, SATAN memberikan lebih banyak informasi.

Mendeteksi penelusuran port. Terdapat beberapa alat yang dirancang untuk memberitahu anda adanya probe SATAN dan ISS dan software penelusuran lainnya. Namun demikian, dengan pemakaian tcp_wrappers yang liberal dan memastikan untuk melihat file log anda secara berkala, anda dapat mengetahui probe tersebut. Bahkan pada setting terendah, SATAN masih meninggalkan jejak pada log di sistem Red Hat.

Sendmail, qmail dan MTA

Salah satu pelayanan penting yang dapat anda sediakan adalah server surat. Sayangnya, ia juga sangat rentan diserang, karena banyaknya tugas yang harus dilakukan dan dibutuhkannya ijin khusus.

Jika anda menggunakan sendmail, penting untuk menjaga versi anda agar up to date. Sendmail memiliki sejarah panjang di eksploitasi keamanan. Selalu pastikan anda menjalankan versi terbaru.

Jika anda bosan mengupgrade versi sendmail anda setiap minggu, anda dapat mempertimbangkan beralih ke qmail. qmail dirancang dengan perhatian pada keamanan sejak awalnya. Ia cepat dan stabil dan aman. http://www.qmail.org

SERANGAN DENIAL OF SERVICES

Serangan denial of service adalah saat ketika penyerang berusaha menggunakan beberapa sumber daya hingga terlalu sibuk untuk menjawab permintaan yang resmi, atau menolak pemakai resmi mengakses mesin anda.

Serangan-serangan semacam ini meningkat dengan cepat pada tahun-tahun belakangan ini. Beberapa yang populer dan terbaru ditampilkan di bawah ini. Perhatikan bahwa yang baru selalu muncul setiap saat, sehingga ini hanya merupakan contoh. Baca list Linux security dan list serta archive bugtraq untuk informasi terkini.

SYN Flooding – SYN flooding adalah serangan denial of service jaringan. Ia mengambil keuntungan dari “loophole” dalam koneksi TCP yang tercipta. Kernel Linux terbaru (2.0.30 ke atas) memiliki beberapa pilihan konfigurasi untuk mencegah serangan SYN flood dari menolak orang akses ke mesin atau pelayanan anda. Lihat bagian keamanan kernel untuk pilihan perlindungan kernel yang tepat.
Pentium “F00F” Bug – Ini baru ditemukan bahwa serangkaian kode assembly yang dikirim ke prosesor asli Intel Pentium akan mereboot mesin. Ini mempengaruhi setiap mesin dengan prosesor Pentium (bukan klon, atau Pentium Pro atau PII), tidak tergantung pada sistem operasi yang dijalankan. Kernel Linux 2.0.32 ke atas memiliki pemecahan atas bug ini, mencegahnya mengunci mesin anda. Kernel 2.0.33 memiliki versi perbaikan atas hal ini, dan disarankan daripada 2.0.32. Jika anda menggunakan Pentium, anda harus upgrade sekarang!
Ping Flooding – Ping flooding adalah serangan denial of service brute force sederhana. Penyerang mengirim “flood” paket ICMP ke mesin anda. Jika mereka melakukan ini dari host dengan bandwidth yang lebih baik daripada milik anda, mesin anda tidak akan mampu mengirim sesuatu ke jaringan. Variasi serangan ini, disebut “smurfing” mengirim paket ICMP ke host dengan IP kembalian mesin anda, memungkinkan mereka membanjiri anda dengan sedikit terdeteksi. Jika anda diserang ping flood, gunakan alat seperti tcpdump untuk menentukan asal paket (atau tampaknya berasal), kemudian hubungi provider anda dengan informasi ini. Ping flood dapat secara mudah dihentikan di level router atau dengan menggunakan firewall.
Ping o’ Death – Serangan Ping o’ Death disebabkan lebih besarnya paket ICMP ECHO REQUEST yang datang daripada yang dapat ditangani struktur data kernel . Oleh karena mengirim sebuah paket “ping” besar (65.510 byte) ke banyak sistem akan membuat mereka hang atau bahkan crash, masalah ini secara cepat disebut “Ping o’ Death”. Ini telah lama diperbaiki, dan tidak perlu dikhawatirkan lagi.
Teardrop / New Tear – Salah satu eksploit terbaru yang melibatkan bug yang ada di kode fragmentasi IP pada platform Linux dan Windows. Telah diperbaiki dalam kernel versi 2.0.33, dan tidak membutuhkan pilihan pada saat kompilasi untuk menggunakan perbaikan. Linux tampaknya tidak rentan terhadap eksploitasi “new tear”.
Anda dapat menemukan banyak kode eksploitasi, dan deskripsi lebih mendalam tentang bagaimana mereka bekerja di mesin pencari.

Keamanan NFS (Network File System)

NFS adalah protokol file sharing yang paling banyak digunakan. Ia memungkinkan server menjalankan nfsd dan mountd untuk mengekspor seluruh filesystem ke mesin lain dengan dukungan nfs filesystem pada kernelnya (atau beberapa dukungan client jika mereka bukan mesin Linux). Mountd mencatat filesystem yang termount di /etc/mtab, dan dapat menampilkannya.

Banyak site menggunakan NFS untuk bertugas sebagai direktori home untuk pemakai, sehingga tak peduli mesin apa yang dimasuki, mereka akan selalu memiliki file-filenya.

Terdapat sedikit “keamanan” dibolehkan dalam mengekspor filesystem. Anda dapat membuat peta nfsd pemakai root remote (uid=0) ke pemakai nobody, membatasi akses total ke file-file yang diekspor. Namun demikian, karena pemakai individu memiliki akses ke file-file mereka (atau paling tidak uid yang sama), superuser remote dapat login atau su ke rekening mereka dan memiliki akses total ke file-file mereka. Ini hanya penghalang kecil bagi seorang penyerang yang memiliki akses untuk melakukan mount filesystem remote anda.

Jika harus menggunakan NFS, pastikan anda mengekspor ke mesin-mesin yang anda butuh untuk ekspor saja. Jangan pernah mengekspor seluruh direktori root anda, ekspor hanya direktori yang perlu anda ekspor. Lihat NFS HOWTO untuk informasi lebih jauh tentang NFS.

NIS (Network Information Service)

Network Information Service (dahulu YP) adalah suatu cara mendistribusikan informasi ke sekelompok mesin. Master NIS menyimpan tabel informasi dan mengkonversinya ke file peta NIS. Peta ini kemudian melayani jaringan, memungkinkan mesin klien NIS untuk memperoleh login, password, direktori home dan informasi shell (seluruh informasi di file /etc/passwd standar). Hal ini memungkinkan pemakai merubah password mereka sekali dan berlaku pula di seluruh mesin dalam domain NIS.

NIS tidak seluruhnya aman. Ia tidak pernah dimaksudkan demikian. Ia dimaksudkan untuk berguna dan sederhana. Setiap orang dapat menduga nama domain NIS anda (di setiap tempat di Net) dapat memperoleh salinan file passwd, dan menggunakan Crack dan John the Ripper terhadap password pemakai anda. Juga, adalah mungkin untuk menipu NIS dan melakukan berbagai trik kotor. Jika anda harus menggunakan NIS, pastikan anda paham bahayanya.

FIREWALL

Firewall adalah suatu cara untuk membatasi informasi yang dibolehkan masuk dan keluar dari jaringan lokal anda. Umumnya host firewall terhubung ke Internet dan LAN lokal anda, dan akses LAN anda ke Internet hanya melalui firewall. Dengan demikian firewall dapat mengendalikan apa yang diterima dan dikirim dari Internet dan LAN anda.

Terdapat beberapa tipe dan metode setting firewall. Mesin-mesin Linux dapat menjadi firewall yang baik dan murah. Kode firewall dapat dibangun langsung ke dalam kernel 2.0 atau lebih tinggi. Alat ipfwadm user space memungkinkan anda merubah tipe lalu lintas jaringan yang anda bolehkan secara on the fly. Anda dapat pula mencatat tipe lalu lintas jaringan tertentu.

Firewall adalah teknik yang sangat berguna dan penting dalam mengamankan jaringan anda. Penting untuk menyadari bahwa anda tidak boleh pernah berpikir bahwa dengan memiliki firewall, anda tidak perlu mengamankan mesin-mesin di baliknya. Ini kesalahan fatal. Periksa Firewall-HOWTO yang sangat bagus di arsip terbaru sunsite untuk informasi mengenai firewall dan Linux.

KERNEL

Ini adalah deskripsi pilihan konfigurasi kernel yang terkait dengan keamanan, dan sebuah penjelasan apa yang dilakukannya, dan bagaimana menggunakan mereka.

Oleh karena kernel mengendalikan jaringan komputer anda, penting agar kernel sangat aman, dan kernel sendiri tidak akan diganggu. Untuk mencegah serangan jaringan terkini, anda harus berusaha dan memelihara versi kernel anda. Anda dapat menemukan kernel terbaru di http://www.kernel.org

Pilihan Kompilasi Kernel

IP: Drop source routed frames (CONFIG_IP_NOSR) Pilihan ini seharusnya diset. Source routed frame berisikan seluruh jalur ke tujuan. Artinya router yang dilalui paket tidak perlu memeriksa paket, dan hanya memforwardnya saja. Hal ini dapat mengakibatkan masuknya data ke sistem anda yang mungkin menjadi eksploitasi potensial.

IP: Firewalling (CONFIG_IP_FIREWALL) Pilihan ini perlu jika anda ingin mengkonfigurasi mesin anda sebagai firewall, melakukan masquerading, atau ingin melindungi stasiun kerja dial-up anda dari seseorang yang masuk melalui antar muka dial-up PPP anda.

IP: forwarding/gatewaying (CONFIG_IP_FORWARD) Jika anda menset IP forwarding, mesin Linux anda maka menjadi router. Jika mesin anda ada pada jaringan, anda harus memforward data dari satu jaringan ke yang lain, dan mungkin membalik firewall yang ada di sana untuk mencegah hal ini terjadi. Pemakai dial-up normal mungkin ingin meniadakannya, dan pemakai lain harus berkonsentrasi pada implikasi keamanan melakukan hal ini. Mesin-mesin firewall akan mengadakannya, dan digunakan bersamaan dengan software firewall. Anda dapat mengadakan IP forwarding secara dinamik menggunakan perintah berikut :

root# echo 1 > /proc/sys/net/ipv4/ip_forward

dan meniadakannya dengan perintah :

root# echo 0 > /proc/sys/net/ipv4/ip_forward

File ini (dan banyak file lain di /proc) akan selalu tampak berukuran nol, tetapi kenyataannya tidak. Ini adalah feature kernel yang baru diperkenalkan, sehingga pastikan anda menggunakan kernel 2.0.33 atau lebih baru.

IP: firewall packet logging (CONFIG_IP_FIREWALL_VERBOSE) Pilihan ini memberi anda informasi tentang paket yang diterima firewall anda, seperti pengirim, penerima, port, dsb.

IP: always defragment (CONFIG_IP_ALWAYS_DEFRAG) Umumnya pilihan ini ditiadakan, tetapi jika anda membangun host firewall atau masquerading, anda mungkin ingin mengadakannya. Ketika data dikirim dari satu host ke yang lain, ia tidak selalu dikirim sebagai satu paket data, tetapi dipecah-pecah ke beberapa bagian. Masalah dengan hal ini adalah nomor port selalu disimpan dalam bagian pertama. Artinya seseorang dapat memasukkan informasi ke paket-paket sisanya yang tidak seharusnya ada.

IP: syn cookies (CONFIG_SYN_COOKIES) SYN Attack adalah serangan denial of service (DoS) yang menghabiskan seluruh sumber daya mesin anda, memaksa anda untuk reboot. Kami tidak dapat memikirkan alasan anda meniadakan pilihan ini.

Packet Signatures (CONFIG_NCPFS_PACKET_SIGNING) Ini adalah pilihan yang tersedia pada seri kernel 2.1 yang akan menandai paket NCP untuk keamanan yang lebih kuat. Secara normal anda dapat membiarkannya tidak ada, tetapi ia ada jika anda membutuhkannya.

IP: Firewall packet netlink device (CONFIG_IP_FIREWALL_NETLINK) Ini adalah pilihan yang baik yang memungkinkan anda menganalisa 128 byte pertama paket dalam program userspace, untuk menentukan bilamana anda ingin menerima atau menolak paket, berdasarkan validitasnya.

Device Kernel

Terdapat sejumlah device blok dan karakter untuk Linux yang dapat membantu anda dengan keamanan.

Dua device /dev/random dan /dev/urandom disediakan oleh kernel untuk menerima data random setiap saat.

/dev/random dan /dev/urandom keduanya cukup aman digunakan dalam menghasilkan kunci PGP, tantangan SSH, dan aplikasi lain di mana bilangan random yang aman dibutuhkan. Penyerang seharusnya tidak dapat memperkirakan nomor berikutnya bila diberi urutan awal nomor-nomor dari sumber ini. Telah ada banyak usaha untuk memastikan bahwa nomor yang anda peroleh dari sumber ini adalah random dalam setiap arti kata random.

Perbedaannya adalah bahwa /dev/random menghasilkan byte random dan membuat anda menunggu lebih banyak untuk dikumpulkan. Perhatikan bahwa pada beberapa sistem, ia dapat memblok untuk waktu lama menunggu masukan baru pemakai untuk diberi ke sistem. Sehingga anda perlu berhati-hati sebelum menggunakan /dev/random. (Mungkin hal terbaik yang dapat dilakukan adalah menggunakan ketika anda menciptakan informasi sensitif, dan anda mengatakan kepada pemakai untuk menekan keyboard secara berulang-ulang hingga anda mencetak “OK, enough”).

/dev/random adalah entropi kualitas tinggi, dihasilkan dari pengukuran waktu inter-interrupt dsb. Ia memblok hingga cukup data random bit tersedia.

/dev/urandom adalah serupa, kecuali ketika penyimpanan entropi berjalan rendah ia akan mengembalikan hash kuat secara kriptografi. Ini tidak aman, tetapi cukup bagi kebanyakan aplikasi.

Anda mungkin membaca dari device menggunakan sesuatu seperti:

root# head -c 6 /dev/urandom | uuencode -

Ini akan mencetak enam karakter random di layar, sesuai untuk pembuatan password. Lihat /usr/src/linux/drivers/char/random.c untuk deskripsi algoritma.

Sumber: Internet-primadonal.com

Basic Command
1. Login : admin
Password: admin
Login to the ZXDSL CLI console, default username is admin and the password is admin.
2. DSL#Show card
Show all of the card and their status on the ZXDSL 9210
3. DSL# erase
Delete all of the configuration that contain on the ZXDSL 9210. Please be careful to used this command, because it’s will erased all of the configuration on your system.
4. DSL#reboot
Reboot the ZXDSL 9210 and restart all of the board. Please be careful to used this command, because it’s will restart all of the board and the system will be down for a few second.

Change the ZXDSL 9210 Inband MAC address and identifier board
5. DSL#enable
Password : zxedsl
DSL$ debug module 12345
DSL$ debug module 888999 p1 00:d0:d0:00:00:01 (3 no terakhir => max 92:FF:FF)
DSL$ disable
DSL#reboot
This command used only if you are necessary to change the inband MAC address, if you first time build the ZXDSL 9210 network with more than one DSLAM please make sure there are no conflict MAC address on the each Network element(NE) on the same network. After you’re change this MAC address it’s will be take the effect after you’re reboot the system. After you change the MAC address and reboot the system, make sure the inband MAC address is already changed by type :
DSL# show ip subnet
6. DSL#config card slot 1 cardtype ASNVC2
7. DSL#config card slot 3 cardtype ATIGN —spliter

Enable the PVLAN mode and initialize the uplink port
8. DSL#Configuration
[DSL(config)#pvlan-mode enable -> enable the pvlan mode]
DSL(config)#pvlan-mode uplink-port 1/1 ->initialize the uplink port for Gigabit Ethernet (biasanya ada di up-link 9/1 control modul yah..)
DSL(config)#pvlan-mode uplink-port-group 13/2 ->initialize the uplink port for Fe or Eth
DSL(config)#Exit
DSL#Copy running-config startup-config -> Save and commit all of the config

DSL#reboot -> after you’re enable the pvlan mode, it’s will be take the effect after you’re reboot the system

Add the Inband IP Address to the ZXDSL 9210
9. DSL#Configuration
DSL(config)#IP subnet 150.168.0.2 255.255.254.0 name dslam1
DSL(config)#exit
And then to make sure the IP address already adding to the ZXDSL 9210 type:
DSL#Show ip subnet

Add the Vlan and put the port into the Vlan
10. DSL#configuration
DSL(config)#add-vlan 2 -> add vlan 2
DSL(config)#add-vlan 3 -> add vlan 3
DSL(config)#vlan 2 1/1 tag -> put port 1/1 as an uplink to the switch into vlan 2 as a management vlan and tag it
DSL(config)#vlan 3 1/1 tag -> put port 1/1 as an uplink to the switch into vlan 3 as a PPPoe vlan and tag it
And then make sure the vlan are already exist and the port are already exist on the vlan by type:
DSL#Show vlan -> show all the vlan that already exist on the system
DSL#Show vlan 2-> show all the port(tag or untag) that are already exist on the vlan 2
DSL#Show vlan 3 -> show all the port(tag or untag) that are already exist on the vlan 3

Configure the adsl user on the ATIGN board
11. DSL#configure slot adsl 3
DSL(cfg-slot-adsl-3)#trap control enable -> to make if the subscriber in this board is on and then this board will know it
DSL(cfg-slot-adsl-3)#no shutdown
DSL(cfg-slot-adsl-3)#exit
DSL(config)#slot adsl 3
DSL(cfg-slot-adsl-3)#pvid 3 ->because of we configure the ADSL subscriber as an untag port so we need to add the pvid
DSL(cfg-slot-adsl-3)#atm pvc 8:81 ->configure the PVC(VCI/VCI) into the subscriber board
DSL(cfg-slot-adsl-3)#exit
DSL(config)#show atm vc slot 3 ->make sure the PVC are already exist at the subscriber board
DSL(config)#vlan 3 3/1-32 untag -> put the subscriber port into the vlan 3 as a subscriber vlan and untag it

Create the ADSL profile and apply the profile to the ADSL subscriber
12. DSL(config)#adsl-profile adsl512k -> this fist command is to created your profile. And then System will ask you this profile didn’t created before, are you sure want to create this profile? You should answer yes.
DSL(config)# adsl-profile adsl512k -> the second command is to configure your profile. And then system will ask you to input all of your configuration, but the most important you should configure the uplink and downlink rate:
• Downlink rate :
Atuchan conf fast max Tx rate [0-132040] (Def:8128) : 1024
Atuchan conf interleave max Tx rate [0-132040] (Def:8128) : 1024
• Uplink rate:
Aturhan conf fast max Tx rate [32-1536] (Def:1024) : 128
Aturhan conf interleave max Tx rate [32-1536] (Def:1024): 128
And then to make sure your ADSL profile is already created successfully type:
DSL#Show adsl profile -> show all adsl profile
DSL#Show adsl profile adsl512k -> show detail the adsl512k profile
DSL(config)#interface adsl 3/1 ->enter the adsl slot 3 port 1 to configure it
DSL(cfg-if-adsl-3/1)#adsl profile adsl512k ->apply the profile to adsl port
DSL(config)#slot adsl 3 -> enter the adsl slot 3 to configure it
DSL(cfg-slot-adsl-3)#adsl profile adsl512k ->apply the profile to adsl slot

Configure the ZXDSL 9210 SNMP server
13. DSL(config)#snmp-server host 10.10.10.1 private ->initialize the snmp server ip address to the ZXDSL 9210
DSL#show snmp -> show the snmp server ip address that you’re already initialize to the ZXDSl 9210
DSL(config)#ip route 0.0.0.0 0.0.0.0 192.168.0.1 -> add the static route to the ZXDSL 9210. This command is used only if the SNMP server Ip address is not in the same network segment with the ZXDSL 9210 ip address.

Configure Uplink port with the STP(Spanning tree protocol) features (gw blum pernah coba yang ini !!!)
14. kayanya siy niy beda card yang di slot, klo yang ada kan ASNVC2 dan PVNA buat splitter.
15. for example we want to configure the EICG board port 1 on the slot 1 and 2 as an uplink port with the STP features where EICG slot 1 port 1 and EICG slot 2 port 1 will be as a redundant uplink port.
DSL#show spanning-tree -> to show the STP features on the ZXDSL 9210 is already enable or not, if the status of STP is disable you should be enable it by type:
DSL#Config spanning-tree enable -> enable the STP features on the system
DSL#show spanning-tree -> make sure the STP features on the system is already enable. And please check the priority on this STP, the value of priority should be less then the priority value on the switch (Ethernet aggregator).
DSL#config interface Ethernet 1/1-> enter EICG slot 1 port 1 to configure it
DSL(cfg-if-eth-1/1)#spanning-tree enable->enable the STP features on the EICG slot 1 port 1.
DSL(cfg-if-eth-1/1)#show spanning-tree interface 1/1 -> make sure the STP features on the slot 1 port 1on is already enable

DSL#config interface Ethernet 2/1-> enter EICG slot 2 port 1 to configure it
DSL(cfg-if-eth-2/1)#spanning-tree enable->enable the STP features on the EICG slot 2 port 1.
DSL(cfg-if-eth-2/1)#show spanning-tree interface 2/1 -> make sure the STP features on the slot 2 port 1on is already enable

After you are already configure the STP features in both of port, you should be check the status of link in this port.
DSL(cfg-if-eth-1/1)#show spanning-tree interface 1/1 -> look the status of STP, there are 3 kind of status on this STP port :
1. blocking -> means the port is blocking and can’t transfer the packet
2. learning -> means the port still learning the other port, please waiting for a few minutes.
3. forwarding -> means the STP port is already active and ready to transfer the packet.
DSL(cfg-if-eth-1/2)#show spanning-tree interface 1/2 -> look the status of STP, the normal condition if port(1/1) and port (1/2) both of them as an STP port, one of them will be blocking and one of the other will be forwarding.
Sumber : google.com

Jaringan Anda terinfeksi Virus ARP SPOOFING

Mungkin anda pernah menemui ketika mengakses Internet ada Keluar Pesan ERORR dengan pesan “Generic Host Process Erorr” maka bisa dipastikan anda dan jaringan anda telah terinfeksi Virus ARP Spoofing. Virus ini dapat membuat mac address palsu dan membuat router palsu sehingga setiap browsing akan melewati komputer yang menjadi router palsu. ciri lain coba buka halaman web dengan browser apapun lalu lihat “source code” halaman web tersebut. pada bagian awal sekali biasanya ada include file javascript dari situs ekstensi .CN. dia menginclude file .js yang dieksekusi browser sebelum membuka halaman browsing anda.

Sebenarnya virus ini(seperti ini sudah pernah booming juga kemaren) dan saat ini seperti biasa dia selalu membuat domain baru untuk include file js virusnya. (domain .cn kemurahan kali ) nah kalo dah tertular siap-siaplah repot. matikan semua LAN. Bersihkan satu persatu yang terjangkiti. heheheh

Sumber : http://www.kaskus.us/blog.php?b=2339 Virus ARP Spoofing Abstraksi Karena patch otomatis yang dilakukan oleh Microsoft (Windows XP SP 2, Vista) efektif menekan penyebaran virus yang mengeksploitasi cleah keamanan OS Microsoft / MS Office, para pembuat malware mengalihkan serangan dengan mengeksploitasi celah keamanan aplikasi populer di luar OS Microsoft seperti Adobe Acrobat, Firefox dan Winamp.

Celakanya, celah keamanan yang diserang tidak terbatas pada aplikasi saja tetapi sudah menjurus pada level lebih tinggi seperti ARP Spoofing. Saat ini, di belantara internet sedang beredar satu virus yang mengeksploitasi celah keamanan ARP Spoofing dan memusingkan para administrator jaringan. Virus ini mampu memalsukan Mac Address proxy / router dalam menyebarkan dirinya sehingga seluruh komputer dalam intranet akan melewati komputer yang terinfeksi virus tersebut setiap kali browsing. Selain itu, secara teknis akibat yang potensial ditimbulkan oleh ARP spoofing ini cukup mengerikan, termasuk ancaman pada keamanan transaksi keuangan melalui internet.

Virus ini dikenal juga dengan nama Microsoft.bat; JS_PSYME.CPZ; W32/Agent.FUVR; Trojan-Downloader.JS.Agent.byh; HEUR/Exploit.HTML; Mal/ObfJS-X Virus memalsukan file dengan nama Microsoft.bat bekerja memalsukan MAC Address Router / proxy dan mengacaukan koneksi intranet dan internet serta dan bagaimana cara mengatasi dan mencegah virus tersebut atau virus sejenis yang mengeksploitasi celah keamanan ARP Spoofing menginfeksi kembali jaringannya. Antivirus saja tidak cukup Menggunakan antivirus saja tidak cukup, karena yang terinfeksi bukan PC yang bersangkutan tetapi PC lain dalam intranet yang memalsukan Mac Address Router. Walaupun PC sudah terproteksi dengan antivirus yang terupdate, jika host / sumber virus di intranet tidak di identifikasi dan tidak dibersihkan maka dalam waktu

singkat varian baru yang dikeluarkan akan mampu menembus pertahanan program antivirus yang terupdate sekalipun.
1.Rekomendasi ARP Protect (NEw Update) http://netoptima.in/arprotect/ Download Tools berikut:
http://www.netoptima.in/ARProtect_Setup_0.12.27.exe atau di mirror yg lain: http://upload66.com/file/18737/ARPro…12-27-rar.html

2.Network Spoofing From JS Injection In Browser http://web2.kaskus.us/showthread.php?t=906565

3. ARP Spoofing by Vaksin.com http://www.vaksin.com/2008/0608/micr…-spoofing.html

4. Mengatasi Virus dgn Teknik ARP http://suhento.blogspot.com/2008/06/…eknik-arp.html

5. Solved-network-spoofing-from-js-injection-in-browser http://apatuu.wordpress.com/2008/06/…on-in-browser/

6. SessionHijacking http://lecturer.eepis-its.edu/~iwana…nHijacking.ppt

7. attack-defense http://g-ti.com/web/modul/attack-defense.pdf

8. ARP_spoofing http://ftp.gunadarma.ac.id/pub/books…P_spoofing.ppt

9. Pemeriksaan keamanan menyeluruh hack sendiri pc anda sebelum orang lain melakukan http://www.chip.co.id/guides/pemerik…melakuk-5.html

10. Demo Network & Security http://www.te.ugm.ac.id/~josh/semina…20Security.pdf

11. http://musdi.org/web/modules.php?nam…order=0&sid=40

12. Spoiler for Saran Juga: Untuk mengatasi permasalahan ARP Spoofing, dianjurkan bagi yang mau:

a. Bagi pengguna komputer dengan sistem operasi Windows diminta untuk menggunakan sistem operasi windows berlisensi dan mengaktifkan Service Pack minimal SP3.

b. Bagi Pengguna komputer dengan sistem operasi Windows diminta untuk mengupdate anti virus atau menggunakan anti virus terbaru.

c. Apabila opsi a dan b tidak dapat di penuhi, kami sangat merekomendasikan untuk menganti sistem operasi tersebut ke sistem operasi berbasis open sourece (linux).

d. Bagi administrator TI di unit kerja, diminta untuk merehab jaringan lokal (LAN) masing-masing dan melakukan update untuk menggunakan Switch Managable. Semoga bermanfaat | m | a | m | a | n

Seiring dengan perkembangan dan prospek besar di bidang ini, otomatis semakin besar pula permintaan akan tenaga kerja TI yang berkualitas. Demand yang tinggi akan professional di bidang TI juga membuat semakin banyak lulusan di bidang TI berlomba-lomba memasuki dunia kerja. Ditambah dengan gaji yang relatif lebih tinggi dibandingkan dengan pekerjaan dibidang lain membuat semakin banyak job seekers mencari peluang di sektor ini.

Nah, sebelum terjun ke bidang ini, sebaiknya Anda juga mengenali medan dan mengetahui 5 kategori posisi di bidang TI yang paling dibutuhkan perusahaan hari ini, berdasarkan data yang diperoleh dari JobsDB.com.

1. Application Specialist
Tidak bisa dipungkiri, posisi sebagai programmer, system analyst, web developer, graphic designer menjadi posisi TI terfavorit yang dibutuhkan perusahaan-perusahaan. Umumnya perusahaan membutuhkan orang yang bisa menganalisa dan mendesain system yang dibutuhkan kelancaran operasional perusahaannya. Dalam melaksanakan pekerjaannya, seorang system analyst banyak berkerja sama dengan programmer. Sehingga timbul keterkaitan antara dua posisi ini.

2. Software Design and Engineering
Walaupun tidak memiliki peminat sebesar kategori application specialist, lowongan sebagai software developer, system engineer, web programmer tetap jadi posisi yang banyak dibutuhkan.

3. System and Network Support
Network administrator, network support, IT system maintenance adalah beberapa posisi di bawah kategori ini. Jika Anda merasa sistem dan jaringan adalah bidang yang Anda minati, kembangkan minat dan keahlian Anda di bidang ini.

4. Technical Support
Setiap perusahaan yang memanfaatkan kemudahan yang diberikan teknologi terutama komputer akan membutuhkan ahli di bidang ini. Posisi sebagai IT staff, technical support staff dan pekerjaan-pekerjaan yang lebih banyak berhubungan dengan hardware berada dalam kategori ini.

5. Business Analyst
Sebagai bagian dari perencanaan strategis untuk pengembangan perusahaan, data yang telah diperoleh perusahaan perlu diolah. Hal itu membuat product analyst dan data analyst menjadi posisi-posisi penting yang dibutuhkan di kategori ini.

Selebihnya, kategori pekerjaan bidang TI lainnya yang diminati mencakup IT Project Management, Product Management, Hardware Engineer, SAP/Oracle dan Technical and Functional Consulting. Dapat dilihat bahwa bidang teknologi informatika memiliki turunan pekerjaan yang sangat terspesialisasi, sehingga jenis pekerjaan di bidang ini juga banyak dan beragam.

Remember : Fokus dan spesialisasi adalah kunci utama keberhasilan seorang professional di bidang TI
sumber:jobsdb.com

jika anda mengalami masalah crash di system winxp dengan pesan
“Generic Host Process for Win32 Services”, Faulting application svchost.exe, version 5.1.2600.2180, faulting module netapi32.dll, version 5.1.2600.2180, fault address 0×0000a3c0.”
eror terjadi di file
WER51f3.dir00svchost.exe.mdmp
TempWER51f3.dir00appcompat.txt

ini terjadi karena komputer terkena blaster yang notabene gak bisa di deteksi oleh antivirus. beberapa saat setelah muncul pesan ini, koneksi internet dan lan langsung terputus. worm yg satu ini selalu menyerang lewat port 135 dan 445.

pada winxp sp1, koneksi akan terjadi lagging karena komputer di gunakan untuk menddos banyak server melalui jaringan internet sehingga mengakibatkan koneksi jadi super sibuk dan akhirnya kita gak bisa ngapa2in lagi.

pada xp sp2, setelah dilakukan patch, maka koneksi tidak bisa digunakan untuk menddos tetapi koneksi langsung di flush dan di block oleh system sehingga kita gak bisa kemana2.

cara mengatasinya adalah dengan menutup port 135 dan 445 secara manual melalui regedit.

buka regedit.exe
HKLMSystemCurrentControlSetServicesNetBTParameters
pada “TransportBindName” , kosongkan value yang ada.

HKEY_LOCAL_MACHINESoftwareMicrosoftOLE
pada “EnableDCOM” rubah valuenya menjadi ” N ”

restart komputer anda. semoga gak terjadi lagi eror yg bikin jengkel.
source: om google.com