blob: 8ef16a919ba3aba9429aeb4fe2d19acb5ea975ff (plain)

ofs	hex dump	ascii
0000	de 12 04 95 00 00 00 00 55 00 00 00 1c 00 00 00 c4 02 00 00 71 00 00 00 6c 05 00 00 00 00 00 00	........U...........q...l.......
0020	30 07 00 00 6a 00 00 00 31 07 00 00 93 01 00 00 9c 07 00 00 46 00 00 00 30 09 00 00 34 00 00 00	0...j...1...........F...0...4...
0040	77 09 00 00 3d 00 00 00 ac 09 00 00 5f 00 00 00 ea 09 00 00 ff 00 00 00 4a 0a 00 00 56 00 00 00	w...=......._...........J...V...
0060	4a 0b 00 00 18 00 00 00 a1 0b 00 00 17 00 00 00 ba 0b 00 00 c1 00 00 00 d2 0b 00 00 84 00 00 00	J...............................
0080	94 0c 00 00 1c 00 00 00 19 0d 00 00 53 00 00 00 36 0d 00 00 16 00 00 00 8a 0d 00 00 d6 00 00 00	............S...6...............
00a0	a1 0d 00 00 da 00 00 00 78 0e 00 00 0f 00 00 00 53 0f 00 00 44 00 00 00 63 0f 00 00 12 00 00 00	........x.......S...D...c.......
00c0	a8 0f 00 00 19 00 00 00 bb 0f 00 00 23 00 00 00 d5 0f 00 00 a0 00 00 00 f9 0f 00 00 13 01 00 00	............#...................
00e0	9a 10 00 00 12 01 00 00 ae 11 00 00 89 00 00 00 c1 12 00 00 8d 00 00 00 4b 13 00 00 31 00 00 00	........................K...1...
0100	d9 13 00 00 14 00 00 00 0b 14 00 00 22 01 00 00 20 14 00 00 95 00 00 00 43 15 00 00 b7 00 00 00	............"...........C.......
0120	d9 15 00 00 f3 00 00 00 91 16 00 00 7c 00 00 00 85 17 00 00 08 00 00 00 02 18 00 00 c8 00 00 00	............|...................
0140	0b 18 00 00 09 00 00 00 d4 18 00 00 cd 00 00 00 de 18 00 00 99 00 00 00 ac 19 00 00 27 01 00 00	............................'...
0160	46 1a 00 00 25 01 00 00 6e 1b 00 00 17 00 00 00 94 1c 00 00 3e 00 00 00 ac 1c 00 00 03 00 00 00	F...%...n...........>...........
0180	eb 1c 00 00 bc 00 00 00 ef 1c 00 00 66 00 00 00 ac 1d 00 00 42 00 00 00 13 1e 00 00 16 00 00 00	............f.......B...........
01a0	56 1e 00 00 1f 00 00 00 6d 1e 00 00 1d 00 00 00 8d 1e 00 00 18 00 00 00 ab 1e 00 00 18 00 00 00	V.......m.......................
01c0	c4 1e 00 00 0b 00 00 00 dd 1e 00 00 29 00 00 00 e9 1e 00 00 27 00 00 00 13 1f 00 00 0e 00 00 00	............).......'...........
01e0	3b 1f 00 00 2b 00 00 00 4a 1f 00 00 5b 00 00 00 76 1f 00 00 5d 00 00 00 d2 1f 00 00 47 00 00 00	;...+...J...[...v...].......G...
0200	30 20 00 00 45 00 00 00 78 20 00 00 47 00 00 00 be 20 00 00 08 01 00 00 06 21 00 00 ac 00 00 00	0...E...x...G............!......
0220	0f 22 00 00 94 00 00 00 bc 22 00 00 89 00 00 00 51 23 00 00 6d 00 00 00 db 23 00 00 f6 00 00 00	."......."......Q#..m....#......
0240	49 24 00 00 f2 00 00 00 40 25 00 00 87 00 00 00 33 26 00 00 17 01 00 00 bb 26 00 00 72 01 00 00	I$......@%......3&.......&..r...
0260	d3 27 00 00 72 01 00 00 46 29 00 00 91 00 00 00 b9 2a 00 00 43 01 00 00 4b 2b 00 00 9c 00 00 00	.'..r...F).......*..C...K+......
0280	8f 2c 00 00 02 01 00 00 2c 2d 00 00 9b 00 00 00 2f 2e 00 00 99 00 00 00 cb 2e 00 00 61 00 00 00	.,......,-....../...........a...
02a0	65 2f 00 00 64 00 00 00 c7 2f 00 00 60 00 00 00 2c 30 00 00 5c 00 00 00 8d 30 00 00 5a 00 00 00	e/..d..../..`...,0..\....0..Z...
02c0	ea 30 00 00 cd 00 00 00 45 31 00 00 6a 00 00 00 13 32 00 00 93 01 00 00 7e 32 00 00 46 00 00 00	.0......E1..j....2......~2..F...
02e0	12 34 00 00 34 00 00 00 59 34 00 00 3d 00 00 00 8e 34 00 00 5f 00 00 00 cc 34 00 00 ff 00 00 00	.4..4...Y4..=....4.._....4......
0300	2c 35 00 00 56 00 00 00 2c 36 00 00 18 00 00 00 83 36 00 00 17 00 00 00 9c 36 00 00 c1 00 00 00	,5..V...,6.......6.......6......
0320	b4 36 00 00 84 00 00 00 76 37 00 00 1c 00 00 00 fb 37 00 00 53 00 00 00 18 38 00 00 16 00 00 00	.6......v7.......7..S....8......
0340	6c 38 00 00 d6 00 00 00 83 38 00 00 da 00 00 00 5a 39 00 00 0f 00 00 00 35 3a 00 00 44 00 00 00	l8.......8......Z9......5:..D...
0360	45 3a 00 00 12 00 00 00 8a 3a 00 00 19 00 00 00 9d 3a 00 00 23 00 00 00 b7 3a 00 00 a0 00 00 00	E:.......:.......:..#....:......
0380	db 3a 00 00 13 01 00 00 7c 3b 00 00 12 01 00 00 90 3c 00 00 89 00 00 00 a3 3d 00 00 8d 00 00 00	.:......|;.......<.......=......
03a0	2d 3e 00 00 31 00 00 00 bb 3e 00 00 14 00 00 00 ed 3e 00 00 22 01 00 00 02 3f 00 00 95 00 00 00	->..1....>.......>.."....?......
03c0	25 40 00 00 b7 00 00 00 bb 40 00 00 f3 00 00 00 73 41 00 00 7c 00 00 00 67 42 00 00 08 00 00 00	%@.......@......sA..|...gB......
03e0	e4 42 00 00 c8 00 00 00 ed 42 00 00 09 00 00 00 b6 43 00 00 cd 00 00 00 c0 43 00 00 99 00 00 00	.B.......B.......C.......C......
0400	8e 44 00 00 27 01 00 00 28 45 00 00 25 01 00 00 50 46 00 00 17 00 00 00 76 47 00 00 3e 00 00 00	.D..'...(E..%...PF......vG..>...
0420	8e 47 00 00 03 00 00 00 cd 47 00 00 bc 00 00 00 d1 47 00 00 66 00 00 00 8e 48 00 00 42 00 00 00	.G.......G.......G..f....H..B...
0440	f5 48 00 00 16 00 00 00 38 49 00 00 1f 00 00 00 4f 49 00 00 1d 00 00 00 6f 49 00 00 18 00 00 00	.H......8I......OI......oI......
0460	8d 49 00 00 18 00 00 00 a6 49 00 00 0b 00 00 00 bf 49 00 00 29 00 00 00 cb 49 00 00 27 00 00 00	.I.......I.......I..)....I..'...
0480	f5 49 00 00 0e 00 00 00 1d 4a 00 00 2b 00 00 00 2c 4a 00 00 5b 00 00 00 58 4a 00 00 5d 00 00 00	.I.......J..+...,J..[...XJ..]...
04a0	b4 4a 00 00 47 00 00 00 12 4b 00 00 45 00 00 00 5a 4b 00 00 47 00 00 00 a0 4b 00 00 08 01 00 00	.J..G....K..E...ZK..G....K......
04c0	e8 4b 00 00 ac 00 00 00 f1 4c 00 00 94 00 00 00 9e 4d 00 00 89 00 00 00 33 4e 00 00 6d 00 00 00	.K.......L.......M......3N..m...
04e0	bd 4e 00 00 f6 00 00 00 2b 4f 00 00 f2 00 00 00 22 50 00 00 87 00 00 00 15 51 00 00 17 01 00 00	.N......+O......"P.......Q......
0500	9d 51 00 00 72 01 00 00 b5 52 00 00 72 01 00 00 28 54 00 00 91 00 00 00 9b 55 00 00 43 01 00 00	.Q..r....R..r...(T.......U..C...
0520	2d 56 00 00 9c 00 00 00 71 57 00 00 02 01 00 00 0e 58 00 00 9b 00 00 00 11 59 00 00 99 00 00 00	-V......qW.......X.......Y......
0540	ad 59 00 00 61 00 00 00 47 5a 00 00 64 00 00 00 a9 5a 00 00 60 00 00 00 0e 5b 00 00 5c 00 00 00	.Y..a...GZ..d....Z..`....[..\...
0560	6f 5b 00 00 5a 00 00 00 cc 5b 00 00 01 00 00 00 00 00 00 00 00 00 00 00 40 00 00 00 00 00 00 00	o[..Z....[..............@.......
0580	05 00 00 00 00 00 00 00 00 00 00 00 03 00 00 00 00 00 00 00 08 00 00 00 43 00 00 00 07 00 00 00	........................C.......
05a0	45 00 00 00 25 00 00 00 53 00 00 00 00 00 00 00 15 00 00 00 35 00 00 00 1e 00 00 00 3a 00 00 00	E...%...S...........5.......:...
05c0	00 00 00 00 54 00 00 00 39 00 00 00 20 00 00 00 3e 00 00 00 41 00 00 00 0b 00 00 00 4c 00 00 00	....T...9.......>...A.......L...
05e0	00 00 00 00 36 00 00 00 49 00 00 00 42 00 00 00 00 00 00 00 00 00 00 00 44 00 00 00 3d 00 00 00	....6...I...B...........D...=...
0600	4d 00 00 00 02 00 00 00 37 00 00 00 18 00 00 00 52 00 00 00 00 00 00 00 4a 00 00 00 29 00 00 00	M.......7.......R.......J...)...
0620	00 00 00 00 00 00 00 00 1f 00 00 00 34 00 00 00 2f 00 00 00 46 00 00 00 33 00 00 00 0f 00 00 00	............4.../...F...3.......
0640	00 00 00 00 3b 00 00 00 32 00 00 00 23 00 00 00 13 00 00 00 28 00 00 00 17 00 00 00 4f 00 00 00	....;...2...#.......(.......O...
0660	4b 00 00 00 00 00 00 00 24 00 00 00 0d 00 00 00 0c 00 00 00 48 00 00 00 00 00 00 00 00 00 00 00	K.......$...........H...........
0680	51 00 00 00 2a 00 00 00 3f 00 00 00 4e 00 00 00 00 00 00 00 2b 00 00 00 30 00 00 00 00 00 00 00	Q...*...?...N.......+...0.......
06a0	10 00 00 00 1d 00 00 00 22 00 00 00 26 00 00 00 00 00 00 00 55 00 00 00 04 00 00 00 00 00 00 00	........"...&.......U...........
06c0	06 00 00 00 2d 00 00 00 21 00 00 00 00 00 00 00 1b 00 00 00 0e 00 00 00 14 00 00 00 38 00 00 00	....-...!...................8...
06e0	12 00 00 00 00 00 00 00 09 00 00 00 00 00 00 00 00 00 00 00 3c 00 00 00 0a 00 00 00 31 00 00 00	....................<.......1...
0700	16 00 00 00 19 00 00 00 2e 00 00 00 1c 00 00 00 47 00 00 00 00 00 00 00 27 00 00 00 1a 00 00 00	................G.......'.......
0720	00 00 00 00 2c 00 00 00 50 00 00 00 11 00 00 00 00 41 20 64 65 66 61 75 6c 74 20 61 63 74 69 6f	....,...P........A.default.actio
0740	6e 20 6f 66 20 60 60 72 65 74 75 72 6e 60 60 2c 20 77 68 69 63 68 20 72 65 74 75 72 6e 73 20 74	n.of.``return``,.which.returns.t
0760	68 65 20 70 61 63 6b 65 74 20 62 61 63 6b 20 74 6f 20 74 68 65 20 6f 72 69 67 69 6e 61 6c 20 63	he.packet.back.to.the.original.c
0780	68 61 69 6e 20 69 66 20 6e 6f 20 61 63 74 69 6f 6e 20 69 73 20 74 61 6b 65 6e 2e 00 41 20 6e 65	hain.if.no.action.is.taken..A.ne
07a0	77 20 66 69 72 65 77 61 6c 6c 20 73 74 72 75 63 74 75 72 65 e2 80 94 77 68 69 63 68 20 75 73 65	w.firewall.structure...which.use
07c0	73 20 74 68 65 20 60 60 6e 66 74 61 62 6c 65 73 60 60 20 62 61 63 6b 65 6e 64 2c 20 72 61 74 68	s.the.``nftables``.backend,.rath
07e0	65 72 20 74 68 61 6e 20 60 60 69 70 74 61 62 6c 65 73 60 60 e2 80 94 69 73 20 61 76 61 69 6c 61	er.than.``iptables``...is.availa
0800	62 6c 65 20 6f 6e 20 61 6c 6c 20 69 6e 73 74 61 6c 6c 61 74 69 6f 6e 73 20 73 74 61 72 74 69 6e	ble.on.all.installations.startin
0820	67 20 66 72 6f 6d 20 56 79 4f 53 20 60 60 31 2e 34 2d 72 6f 6c 6c 69 6e 67 2d 32 30 32 33 30 38	g.from.VyOS.``1.4-rolling-202308
0840	30 34 30 35 35 37 60 60 2e 20 54 68 65 20 66 69 72 65 77 61 6c 6c 20 73 75 70 70 6f 72 74 73 20	040557``..The.firewall.supports.
0860	63 72 65 61 74 69 6f 6e 20 6f 66 20 64 69 73 74 69 6e 63 74 2c 20 69 6e 74 65 72 6c 69 6e 6b 65	creation.of.distinct,.interlinke
0880	64 20 63 68 61 69 6e 73 20 66 6f 72 20 65 61 63 68 20 60 4e 65 74 66 69 6c 74 65 72 20 68 6f 6f	d.chains.for.each.`Netfilter.hoo
08a0	6b 20 3c 68 74 74 70 73 3a 2f 2f 77 69 6b 69 2e 6e 66 74 61 62 6c 65 73 2e 6f 72 67 2f 77 69 6b	k.<https://wiki.nftables.org/wik
08c0	69 2d 6e 66 74 61 62 6c 65 73 2f 69 6e 64 65 78 2e 70 68 70 2f 4e 65 74 66 69 6c 74 65 72 5f 68	i-nftables/index.php/Netfilter_h
08e0	6f 6f 6b 73 3e 60 5f 20 61 6e 64 20 61 6c 6c 6f 77 73 20 66 6f 72 20 6d 6f 72 65 20 67 72 61 6e	ooks>`_.and.allows.for.more.gran
0900	75 6c 61 72 20 63 6f 6e 74 72 6f 6c 20 6f 76 65 72 20 74 68 65 20 70 61 63 6b 65 74 20 66 69 6c	ular.control.over.the.packet.fil
0920	74 65 72 69 6e 67 20 70 72 6f 63 65 73 73 2e 00 41 20 72 75 6c 65 20 74 6f 20 60 60 61 63 63 65	tering.process..A.rule.to.``acce
0940	70 74 60 60 20 70 61 63 6b 65 74 73 20 66 72 6f 6d 20 65 73 74 61 62 6c 69 73 68 65 64 20 61 6e	pt``.packets.from.established.an
0960	64 20 72 65 6c 61 74 65 64 20 63 6f 6e 6e 65 63 74 69 6f 6e 73 2e 00 41 20 72 75 6c 65 20 74 6f	d.related.connections..A.rule.to
0980	20 60 60 64 72 6f 70 60 60 20 70 61 63 6b 65 74 73 20 66 72 6f 6d 20 69 6e 76 61 6c 69 64 20 63	.``drop``.packets.from.invalid.c
09a0	6f 6e 6e 65 63 74 69 6f 6e 73 2e 00 41 64 64 20 61 20 73 65 74 20 6f 66 20 66 69 72 65 77 61 6c	onnections..Add.a.set.of.firewal
09c0	6c 20 70 6f 6c 69 63 69 65 73 20 66 6f 72 20 6f 75 72 20 6f 75 74 73 69 64 65 2f 57 41 4e 20 69	l.policies.for.our.outside/WAN.i
09e0	6e 74 65 72 66 61 63 65 2e 00 41 66 74 65 72 20 65 76 65 72 79 20 63 6f 6e 66 69 67 75 72 61 74	nterface..After.every.configurat
0a00	69 6f 6e 20 63 68 61 6e 67 65 2c 20 79 6f 75 20 6e 65 65 64 20 74 6f 20 61 70 70 6c 79 20 74 68	ion.change,.you.need.to.apply.th
0a20	65 20 63 68 61 6e 67 65 73 20 62 79 20 75 73 69 6e 67 20 74 68 65 20 66 6f 6c 6c 6f 77 69 6e 67	e.changes.by.using.the.following
0a40	20 63 6f 6d 6d 61 6e 64 3a 00 41 66 74 65 72 20 73 77 69 74 63 68 69 6e 67 20 74 6f 20 3a 72 65	.command:.After.switching.to.:re
0a60	66 3a 60 71 75 69 63 6b 2d 73 74 61 72 74 2d 63 6f 6e 66 69 67 75 72 61 74 69 6f 6e 2d 6d 6f 64	f:`quick-start-configuration-mod
0a80	65 60 20 69 73 73 75 65 20 74 68 65 20 66 6f 6c 6c 6f 77 69 6e 67 20 63 6f 6d 6d 61 6e 64 73 2c	e`.issue.the.following.commands,
0aa0	20 61 6e 64 20 79 6f 75 72 20 73 79 73 74 65 6d 20 77 69 6c 6c 20 6c 69 73 74 65 6e 20 6f 6e 20	.and.your.system.will.listen.on.
0ac0	65 76 65 72 79 20 69 6e 74 65 72 66 61 63 65 20 66 6f 72 20 69 6e 63 6f 6d 69 6e 67 20 53 53 48	every.interface.for.incoming.SSH
0ae0	20 63 6f 6e 6e 65 63 74 69 6f 6e 73 2e 20 59 6f 75 20 6d 69 67 68 74 20 77 61 6e 74 20 74 6f 20	.connections..You.might.want.to.
0b00	63 68 65 63 6b 20 74 68 65 20 3a 72 65 66 3a 60 73 73 68 60 20 63 68 61 70 74 65 72 20 6f 6e 20	check.the.:ref:`ssh`.chapter.on.
0b20	68 6f 77 20 74 6f 20 6c 69 73 74 65 6e 20 6f 6e 20 73 70 65 63 69 66 69 63 20 61 64 64 72 65 73	how.to.listen.on.specific.addres
0b40	73 65 73 20 6f 6e 6c 79 2e 00 41 66 74 65 72 20 73 77 69 74 63 68 69 6e 67 20 74 6f 20 3a 72 65	ses.only..After.switching.to.:re
0b60	66 3a 60 71 75 69 63 6b 2d 73 74 61 72 74 2d 63 6f 6e 66 69 67 75 72 61 74 69 6f 6e 2d 6d 6f 64	f:`quick-start-configuration-mod
0b80	65 60 20 69 73 73 75 65 20 74 68 65 20 66 6f 6c 6c 6f 77 69 6e 67 20 63 6f 6d 6d 61 6e 64 73 3a	e`.issue.the.following.commands:
0ba0	00 41 6c 6c 6f 77 20 41 63 63 65 73 73 20 74 6f 20 53 65 72 76 69 63 65 73 00 41 6c 6c 6f 77 20	.Allow.Access.to.Services.Allow.
0bc0	4d 61 6e 61 67 65 6d 65 6e 74 20 41 63 63 65 73 73 00 41 6c 74 65 72 6e 61 74 69 76 65 6c 79 2c	Management.Access.Alternatively,
0be0	20 69 6e 73 74 65 61 64 20 6f 66 20 63 6f 6e 66 69 67 75 72 69 6e 67 20 74 68 65 20 60 60 43 4f	.instead.of.configuring.the.``CO
0c00	4e 4e 5f 46 49 4c 54 45 52 60 60 20 63 68 61 69 6e 20 64 65 73 63 72 69 62 65 64 20 61 62 6f 76	NN_FILTER``.chain.described.abov
0c20	65 2c 20 79 6f 75 20 63 61 6e 20 74 61 6b 65 20 74 68 65 20 6d 6f 72 65 20 74 72 61 64 69 74 69	e,.you.can.take.the.more.traditi
0c40	6f 6e 61 6c 20 73 74 61 74 65 66 75 6c 20 63 6f 6e 6e 65 63 74 69 6f 6e 20 66 69 6c 74 65 72 69	onal.stateful.connection.filteri
0c60	6e 67 20 61 70 70 72 6f 61 63 68 20 62 79 20 63 72 65 61 74 69 6e 67 20 72 75 6c 65 73 20 6f 6e	ng.approach.by.creating.rules.on
0c80	20 65 61 63 68 20 68 6f 6f 6b 27 73 20 63 68 61 69 6e 3a 00 41 6c 74 65 72 6e 61 74 69 76 65 6c	.each.hook's.chain:.Alternativel
0ca0	79 2c 20 79 6f 75 20 63 61 6e 20 74 61 6b 65 20 74 68 65 20 6d 6f 72 65 20 74 72 61 64 69 74 69	y,.you.can.take.the.more.traditi
0cc0	6f 6e 61 6c 20 73 74 61 74 65 66 75 6c 20 63 6f 6e 6e 65 63 74 69 6f 6e 20 66 69 6c 74 65 72 69	onal.stateful.connection.filteri
0ce0	6e 67 20 61 70 70 72 6f 61 63 68 20 62 79 20 63 72 65 61 74 69 6e 67 20 72 75 6c 65 73 20 6f 6e	ng.approach.by.creating.rules.on
0d00	20 65 61 63 68 20 62 61 73 65 20 68 6f 6f 6b 27 73 20 63 68 61 69 6e 3a 00 41 70 70 6c 79 20 74	.each.base.hook's.chain:.Apply.t
0d20	68 65 20 66 69 72 65 77 61 6c 6c 20 70 6f 6c 69 63 69 65 73 3a 00 41 73 20 61 62 6f 76 65 2c 20	he.firewall.policies:.As.above,.
0d40	63 6f 6d 6d 69 74 20 79 6f 75 72 20 63 68 61 6e 67 65 73 2c 20 73 61 76 65 20 74 68 65 20 63 6f	commit.your.changes,.save.the.co
0d60	6e 66 69 67 75 72 61 74 69 6f 6e 2c 20 61 6e 64 20 65 78 69 74 20 63 6f 6e 66 69 67 75 72 61 74	nfiguration,.and.exit.configurat
0d80	69 6f 6e 20 6d 6f 64 65 3a 00 42 6c 6f 63 6b 20 49 6e 63 6f 6d 69 6e 67 20 54 72 61 66 66 69 63	ion.mode:.Block.Incoming.Traffic
0da0	00 42 79 20 64 65 66 61 75 6c 74 2c 20 56 79 4f 53 20 69 73 20 69 6e 20 6f 70 65 72 61 74 69 6f	.By.default,.VyOS.is.in.operatio
0dc0	6e 61 6c 20 6d 6f 64 65 2c 20 61 6e 64 20 74 68 65 20 63 6f 6d 6d 61 6e 64 20 70 72 6f 6d 70 74	nal.mode,.and.the.command.prompt
0de0	20 64 69 73 70 6c 61 79 73 20 61 20 60 24 60 2e 20 54 6f 20 63 6f 6e 66 69 67 75 72 65 20 56 79	.displays.a.`$`..To.configure.Vy
0e00	4f 53 2c 20 79 6f 75 20 77 69 6c 6c 20 6e 65 65 64 20 74 6f 20 65 6e 74 65 72 20 63 6f 6e 66 69	OS,.you.will.need.to.enter.confi
0e20	67 75 72 61 74 69 6f 6e 20 6d 6f 64 65 2c 20 72 65 73 75 6c 74 69 6e 67 20 69 6e 20 74 68 65 20	guration.mode,.resulting.in.the.
0e40	63 6f 6d 6d 61 6e 64 20 70 72 6f 6d 70 74 20 64 69 73 70 6c 61 79 69 6e 67 20 61 20 60 23 60 2c	command.prompt.displaying.a.`#`,
0e60	20 61 73 20 64 65 6d 6f 6e 73 74 72 61 74 65 64 20 62 65 6c 6f 77 3a 00 42 79 20 64 65 66 61 75	.as.demonstrated.below:.By.defau
0e80	6c 74 2c 20 56 79 4f 53 20 69 73 20 69 6e 20 6f 70 65 72 61 74 69 6f 6e 61 6c 20 6d 6f 64 65 2c	lt,.VyOS.is.in.operational.mode,
0ea0	20 61 6e 64 20 74 68 65 20 63 6f 6d 6d 61 6e 64 20 70 72 6f 6d 70 74 20 64 69 73 70 6c 61 79 73	.and.the.command.prompt.displays
0ec0	20 61 20 60 60 24 60 60 2e 20 54 6f 20 63 6f 6e 66 69 67 75 72 65 20 56 79 4f 53 2c 20 79 6f 75	.a.``$``..To.configure.VyOS,.you
0ee0	20 77 69 6c 6c 20 6e 65 65 64 20 74 6f 20 65 6e 74 65 72 20 63 6f 6e 66 69 67 75 72 61 74 69 6f	.will.need.to.enter.configuratio
0f00	6e 20 6d 6f 64 65 2c 20 72 65 73 75 6c 74 69 6e 67 20 69 6e 20 74 68 65 20 63 6f 6d 6d 61 6e 64	n.mode,.resulting.in.the.command
0f20	20 70 72 6f 6d 70 74 20 64 69 73 70 6c 61 79 69 6e 67 20 61 20 60 60 23 60 60 2c 20 61 73 20 64	.prompt.displaying.a.``#``,.as.d
0f40	65 6d 6f 6e 73 74 72 61 74 65 64 20 62 65 6c 6f 77 3a 00 43 6f 6d 6d 69 74 20 61 6e 64 20 53 61	emonstrated.below:.Commit.and.Sa
0f60	76 65 00 43 6f 6d 6d 69 74 20 63 68 61 6e 67 65 73 2c 20 73 61 76 65 20 74 68 65 20 63 6f 6e 66	ve.Commit.changes,.save.the.conf
0f80	69 67 75 72 61 74 69 6f 6e 2c 20 61 6e 64 20 65 78 69 74 20 63 6f 6e 66 69 67 75 72 61 74 69 6f	iguration,.and.exit.configuratio
0fa0	6e 20 6d 6f 64 65 3a 00 43 6f 6e 66 69 67 75 72 61 74 69 6f 6e 20 4d 6f 64 65 00 43 6f 6e 66 69	n.mode:.Configuration.Mode.Confi
0fc0	67 75 72 65 20 46 69 72 65 77 61 6c 6c 20 47 72 6f 75 70 73 00 43 6f 6e 66 69 67 75 72 65 20 53	gure.Firewall.Groups.Configure.S
0fe0	74 61 74 65 66 75 6c 20 50 61 63 6b 65 74 20 46 69 6c 74 65 72 69 6e 67 00 43 6f 6e 66 69 67 75	tateful.Packet.Filtering.Configu
1000	72 65 20 61 20 72 75 6c 65 20 6f 6e 20 74 68 65 20 60 60 69 6e 70 75 74 60 60 20 68 6f 6f 6b 20	re.a.rule.on.the.``input``.hook.
1020	66 69 6c 74 65 72 20 74 6f 20 6a 75 6d 70 20 74 6f 20 74 68 65 20 60 60 56 79 4f 53 5f 4d 41 4e	filter.to.jump.to.the.``VyOS_MAN
1040	41 47 45 4d 45 4e 54 60 60 20 63 68 61 69 6e 20 77 68 65 6e 20 6e 65 77 20 63 6f 6e 6e 65 63 74	AGEMENT``.chain.when.new.connect
1060	69 6f 6e 73 20 61 72 65 20 61 64 64 72 65 73 73 65 64 20 74 6f 20 70 6f 72 74 20 32 32 20 28 53	ions.are.addressed.to.port.22.(S
1080	53 48 29 20 6f 6e 20 74 68 65 20 72 6f 75 74 65 72 20 69 74 73 65 6c 66 3a 00 43 72 65 61 74 65	SH).on.the.router.itself:.Create
10a0	20 61 20 6e 65 77 20 63 68 61 69 6e 20 28 60 60 4f 55 54 53 49 44 45 2d 49 4e 60 60 29 20 77 68	.a.new.chain.(``OUTSIDE-IN``).wh
10c0	69 63 68 20 77 69 6c 6c 20 64 72 6f 70 20 61 6c 6c 20 74 72 61 66 66 69 63 20 74 68 61 74 20 69	ich.will.drop.all.traffic.that.i
10e0	73 20 6e 6f 74 20 65 78 70 6c 69 63 69 74 6c 79 20 61 6c 6c 6f 77 65 64 20 61 74 20 73 6f 6d 65	s.not.explicitly.allowed.at.some
1100	20 70 6f 69 6e 74 20 69 6e 20 74 68 65 20 63 68 61 69 6e 2e 20 54 68 65 6e 2c 20 77 65 20 63 61	.point.in.the.chain..Then,.we.ca
1120	6e 20 6a 75 6d 70 20 74 6f 20 74 68 61 74 20 63 68 61 69 6e 20 66 72 6f 6d 20 74 68 65 20 60 60	n.jump.to.that.chain.from.the.``
1140	66 6f 72 77 61 72 64 60 60 20 68 6f 6f 6b 20 77 68 65 6e 20 74 72 61 66 66 69 63 20 69 73 20 63	forward``.hook.when.traffic.is.c
1160	6f 6d 69 6e 67 20 66 72 6f 6d 20 74 68 65 20 60 60 57 41 4e 60 60 20 69 6e 74 65 72 66 61 63 65	oming.from.the.``WAN``.interface
1180	20 67 72 6f 75 70 20 61 6e 64 20 69 73 20 61 64 64 72 65 73 73 65 64 20 74 6f 20 6f 75 72 20 6c	.group.and.is.addressed.to.our.l
11a0	6f 63 61 6c 20 6e 65 74 77 6f 72 6b 2e 00 43 72 65 61 74 65 20 61 20 6e 65 77 20 63 68 61 69 6e	ocal.network..Create.a.new.chain
11c0	20 28 60 60 4f 55 54 53 49 44 45 2d 49 4e 60 60 29 20 77 68 69 63 68 20 77 69 6c 6c 20 64 72 6f	.(``OUTSIDE-IN``).which.will.dro
11e0	70 20 61 6c 6c 20 74 72 61 66 66 69 63 20 74 68 61 74 20 69 73 20 6e 6f 74 20 65 78 70 6c 69 63	p.all.traffic.that.is.not.explic
1200	69 74 79 20 61 6c 6c 6f 77 65 64 20 61 74 20 73 6f 6d 65 20 70 6f 69 6e 74 20 69 6e 20 74 68 65	ity.allowed.at.some.point.in.the
1220	20 63 68 61 69 6e 2e 20 54 68 65 6e 2c 20 77 65 20 63 61 6e 20 6a 75 6d 70 20 74 6f 20 74 68 61	.chain..Then,.we.can.jump.to.tha
1240	74 20 63 68 61 69 6e 20 66 72 6f 6d 20 74 68 65 20 60 60 66 6f 72 77 61 72 64 60 60 20 68 6f 6f	t.chain.from.the.``forward``.hoo
1260	6b 20 77 68 65 6e 20 74 72 61 66 66 69 63 20 69 73 20 63 6f 6d 69 6e 67 20 66 72 6f 6d 20 74 68	k.when.traffic.is.coming.from.th
1280	65 20 60 60 57 41 4e 60 60 20 69 6e 74 65 72 66 61 63 65 20 67 72 6f 75 70 20 61 6e 64 20 69 73	e.``WAN``.interface.group.and.is
12a0	20 61 64 64 72 65 73 73 65 64 20 74 6f 20 6f 75 72 20 6c 6f 63 61 6c 20 6e 65 74 77 6f 72 6b 2e	.addressed.to.our.local.network.
12c0	00 44 48 43 50 20 63 6c 69 65 6e 74 73 20 77 69 6c 6c 20 62 65 20 61 73 73 69 67 6e 65 64 20 49	.DHCP.clients.will.be.assigned.I
12e0	50 20 61 64 64 72 65 73 73 65 73 20 77 69 74 68 69 6e 20 74 68 65 20 72 61 6e 67 65 20 6f 66 20	P.addresses.within.the.range.of.
1300	60 31 39 32 2e 31 36 38 2e 30 2e 39 20 2d 20 31 39 32 2e 31 36 38 2e 30 2e 32 35 34 60 20 61 6e	`192.168.0.9.-.192.168.0.254`.an
1320	64 20 68 61 76 65 20 61 20 64 6f 6d 61 69 6e 20 6e 61 6d 65 20 6f 66 20 60 69 6e 74 65 72 6e 61	d.have.a.domain.name.of.`interna
1340	6c 2d 6e 65 74 77 6f 72 6b 60 00 44 48 43 50 20 63 6c 69 65 6e 74 73 20 77 69 6c 6c 20 62 65 20	l-network`.DHCP.clients.will.be.
1360	61 73 73 69 67 6e 65 64 20 49 50 20 61 64 64 72 65 73 73 65 73 20 77 69 74 68 69 6e 20 74 68 65	assigned.IP.addresses.within.the
1380	20 72 61 6e 67 65 20 6f 66 20 60 60 31 39 32 2e 31 36 38 2e 30 2e 39 20 2d 20 31 39 32 2e 31 36	.range.of.``192.168.0.9.-.192.16
13a0	38 2e 30 2e 32 35 34 60 60 20 61 6e 64 20 68 61 76 65 20 61 20 64 6f 6d 61 69 6e 20 6e 61 6d 65	8.0.254``.and.have.a.domain.name
13c0	20 6f 66 20 60 60 69 6e 74 65 72 6e 61 6c 2d 6e 65 74 77 6f 72 6b 60 60 00 44 48 43 50 20 6c 65	.of.``internal-network``.DHCP.le
13e0	61 73 65 73 20 77 69 6c 6c 20 68 6f 6c 64 20 66 6f 72 20 6f 6e 65 20 64 61 79 20 28 38 36 34 30	ases.will.hold.for.one.day.(8640
1400	30 20 73 65 63 6f 6e 64 73 29 00 44 48 43 50 2f 44 4e 53 20 71 75 69 63 6b 2d 73 74 61 72 74 00	0.seconds).DHCP/DNS.quick-start.
1420	44 6f 63 75 6d 65 6e 74 61 74 69 6f 6e 20 66 6f 72 20 6d 6f 73 74 20 6f 66 20 74 68 65 20 6e 65	Documentation.for.most.of.the.ne
1440	77 20 66 69 72 65 77 61 6c 6c 20 43 4c 49 20 63 61 6e 20 62 65 20 66 6f 75 6e 64 20 69 6e 20 74	w.firewall.CLI.can.be.found.in.t
1460	68 65 20 3a 72 65 66 3a 60 66 69 72 65 77 61 6c 6c 60 20 63 68 61 70 74 65 72 2e 54 68 65 20 6c	he.:ref:`firewall`.chapter.The.l
1480	65 67 61 63 79 20 66 69 72 65 77 61 6c 6c 20 69 73 20 73 74 69 6c 6c 20 61 76 61 69 6c 61 62 6c	egacy.firewall.is.still.availabl
14a0	65 20 66 6f 72 20 76 65 72 73 69 6f 6e 73 20 62 65 66 6f 72 65 20 60 60 31 2e 34 2d 72 6f 6c 6c	e.for.versions.before.``1.4-roll
14c0	69 6e 67 2d 32 30 32 33 30 38 30 34 30 35 35 37 60 60 20 61 6e 64 20 63 61 6e 20 62 65 20 66 6f	ing-202308040557``.and.can.be.fo
14e0	75 6e 64 20 69 6e 20 74 68 65 20 3a 72 65 66 3a 60 66 69 72 65 77 61 6c 6c 2d 6c 65 67 61 63 79	und.in.the.:ref:`firewall-legacy
1500	60 20 63 68 61 70 74 65 72 2e 20 54 68 65 20 65 78 61 6d 70 6c 65 73 20 69 6e 20 74 68 69 73 20	`.chapter..The.examples.in.this.
1520	73 65 63 74 69 6f 6e 20 75 73 65 20 74 68 65 20 6e 65 77 20 63 6f 6e 66 69 67 75 72 61 74 69 6f	section.use.the.new.configuratio
1540	6e 2e 00 45 73 70 65 63 69 61 6c 6c 79 20 69 66 20 79 6f 75 20 61 72 65 20 61 6c 6c 6f 77 69 6e	n..Especially.if.you.are.allowin
1560	67 20 53 53 48 20 72 65 6d 6f 74 65 20 61 63 63 65 73 73 20 66 72 6f 6d 20 74 68 65 20 6f 75 74	g.SSH.remote.access.from.the.out
1580	73 69 64 65 2f 57 41 4e 20 69 6e 74 65 72 66 61 63 65 2c 20 74 68 65 72 65 20 61 72 65 20 61 20	side/WAN.interface,.there.are.a.
15a0	66 65 77 20 61 64 64 69 74 69 6f 6e 61 6c 20 63 6f 6e 66 69 67 75 72 61 74 69 6f 6e 20 73 74 65	few.additional.configuration.ste
15c0	70 73 20 74 68 61 74 20 73 68 6f 75 6c 64 20 62 65 20 74 61 6b 65 6e 2e 00 46 69 6e 61 6c 6c 79	ps.that.should.be.taken..Finally
15e0	2c 20 63 6f 6e 66 69 67 75 72 65 20 74 68 65 20 60 60 56 79 4f 53 5f 4d 41 4e 41 47 45 4d 45 4e	,.configure.the.``VyOS_MANAGEMEN
1600	54 60 60 20 63 68 61 69 6e 20 74 6f 20 61 63 63 65 70 74 20 63 6f 6e 6e 65 63 74 69 6f 6e 20 66	T``.chain.to.accept.connection.f
1620	72 6f 6d 20 74 68 65 20 60 60 4c 41 4e 60 60 20 69 6e 74 65 72 66 61 63 65 20 67 72 6f 75 70 20	rom.the.``LAN``.interface.group.
1640	77 68 69 6c 65 20 6c 69 6d 69 74 69 6e 67 20 72 65 71 75 65 73 74 73 20 63 6f 6d 69 6e 67 20 66	while.limiting.requests.coming.f
1660	72 6f 6d 20 74 68 65 20 60 60 57 41 4e 60 60 20 69 6e 74 65 72 66 61 63 65 20 67 72 6f 75 70 20	rom.the.``WAN``.interface.group.
1680	74 6f 20 34 20 70 65 72 20 6d 69 6e 75 74 65 3a 00 46 69 6e 61 6c 6c 79 2c 20 74 72 79 20 61 6e	to.4.per.minute:.Finally,.try.an
16a0	64 20 53 53 48 20 69 6e 74 6f 20 74 68 65 20 56 79 4f 53 20 69 6e 73 74 61 6c 6c 20 61 73 20 79	d.SSH.into.the.VyOS.install.as.y
16c0	6f 75 72 20 6e 65 77 20 75 73 65 72 2e 20 4f 6e 63 65 20 79 6f 75 20 68 61 76 65 20 63 6f 6e 66	our.new.user..Once.you.have.conf
16e0	69 72 6d 65 64 20 74 68 61 74 20 79 6f 75 72 20 6e 65 77 20 75 73 65 72 20 63 61 6e 20 61 63 63	irmed.that.your.new.user.can.acc
1700	65 73 73 20 79 6f 75 72 20 72 6f 75 74 65 72 20 77 69 74 68 6f 75 74 20 61 20 70 61 73 73 77 6f	ess.your.router.without.a.passwo
1720	72 64 2c 20 64 65 6c 65 74 65 20 74 68 65 20 6f 72 69 67 69 6e 61 6c 20 60 60 76 79 6f 73 60 60	rd,.delete.the.original.``vyos``
1740	20 75 73 65 72 20 61 6e 64 20 63 6f 6d 70 6c 65 74 65 6c 79 20 64 69 73 61 62 6c 65 20 70 61 73	.user.and.completely.disable.pas
1760	73 77 6f 72 64 20 61 75 74 68 65 6e 74 69 63 61 74 69 6f 6e 20 66 6f 72 20 3a 72 65 66 3a 60 73	sword.authentication.for.:ref:`s
1780	73 68 60 3a 00 46 69 6e 61 6c 6c 79 2c 20 77 65 20 63 61 6e 20 6e 6f 77 20 63 6f 6e 66 69 67 75	sh`:.Finally,.we.can.now.configu
17a0	72 65 20 61 63 63 65 73 73 20 74 6f 20 74 68 65 20 73 65 72 76 69 63 65 73 20 72 75 6e 6e 69 6e	re.access.to.the.services.runnin
17c0	67 20 6f 6e 20 74 68 69 73 20 72 6f 75 74 65 72 2c 20 61 6c 6c 6f 77 69 6e 67 20 61 6c 6c 20 63	g.on.this.router,.allowing.all.c
17e0	6f 6e 6e 65 63 74 69 6f 6e 73 20 63 6f 6d 69 6e 67 20 66 72 6f 6d 20 6c 6f 63 61 6c 68 6f 73 74	onnections.coming.from.localhost
1800	3a 00 46 69 72 65 77 61 6c 6c 00 46 69 72 73 74 2c 20 63 72 65 61 74 65 20 61 20 6e 65 77 20 64	:.Firewall.First,.create.a.new.d
1820	65 64 69 63 61 74 65 64 20 63 68 61 69 6e 20 28 60 60 56 79 4f 53 5f 4d 41 4e 41 47 45 4d 45 4e	edicated.chain.(``VyOS_MANAGEMEN
1840	54 60 60 29 20 66 6f 72 20 6d 61 6e 61 67 65 6d 65 6e 74 20 61 63 63 65 73 73 2c 20 77 68 69 63	T``).for.management.access,.whic
1860	68 20 72 65 74 75 72 6e 73 20 74 6f 20 74 68 65 20 70 61 72 65 6e 74 20 63 68 61 69 6e 20 69 66	h.returns.to.the.parent.chain.if
1880	20 6e 6f 20 61 63 74 69 6f 6e 20 69 73 20 74 61 6b 65 6e 2e 20 41 64 64 20 61 20 72 75 6c 65 20	.no.action.is.taken..Add.a.rule.
18a0	74 6f 20 61 63 63 65 70 74 20 74 72 61 66 66 69 63 20 66 72 6f 6d 20 74 68 65 20 60 60 4c 41 4e	to.accept.traffic.from.the.``LAN
18c0	60 60 20 69 6e 74 65 72 66 61 63 65 20 67 72 6f 75 70 3a 00 48 61 72 64 65 6e 69 6e 67 00 48 65	``.interface.group:.Hardening.He
18e0	72 65 20 77 65 27 72 65 20 61 6c 6c 6f 77 69 6e 67 20 74 68 65 20 72 6f 75 74 65 72 20 74 6f 20	re.we're.allowing.the.router.to.
1900	72 65 73 70 6f 6e 64 20 74 6f 20 70 69 6e 67 73 2e 20 54 68 65 6e 2c 20 77 65 20 63 61 6e 20 61	respond.to.pings..Then,.we.can.a
1920	6c 6c 6f 77 20 61 63 63 65 73 73 20 74 6f 20 74 68 65 20 44 4e 53 20 72 65 63 75 72 73 6f 72 20	llow.access.to.the.DNS.recursor.
1940	77 65 20 63 6f 6e 66 69 67 75 72 65 64 20 65 61 72 6c 69 65 72 2c 20 61 63 63 65 70 74 69 6e 67	we.configured.earlier,.accepting
1960	20 74 72 61 66 66 69 63 20 62 6f 75 6e 64 20 66 6f 72 20 70 6f 72 74 20 35 33 20 66 72 6f 6d 20	.traffic.bound.for.port.53.from.
1980	61 6c 6c 20 68 6f 73 74 73 20 6f 6e 20 74 68 65 20 60 60 4e 45 54 2d 49 4e 53 49 44 45 2d 76 34	all.hosts.on.the.``NET-INSIDE-v4
19a0	60 60 20 6e 65 74 77 6f 72 6b 3a 00 49 66 20 79 6f 75 20 77 61 6e 74 65 64 20 74 6f 20 65 6e 61	``.network:.If.you.wanted.to.ena
19c0	62 6c 65 20 53 53 48 20 61 63 63 65 73 73 20 74 6f 20 79 6f 75 72 20 66 69 72 65 77 61 6c 6c 20	ble.SSH.access.to.your.firewall.
19e0	66 72 6f 6d 20 74 68 65 20 6f 75 74 73 69 64 65 2f 57 41 4e 20 69 6e 74 65 72 66 61 63 65 2c 20	from.the.outside/WAN.interface,.
1a00	79 6f 75 20 63 6f 75 6c 64 20 63 72 65 61 74 65 20 73 6f 6d 65 20 61 64 64 69 74 69 6f 6e 61 6c	you.could.create.some.additional
1a20	20 72 75 6c 65 73 20 74 6f 20 61 6c 6c 6f 77 20 74 68 61 74 20 6b 69 6e 64 20 6f 66 20 74 72 61	.rules.to.allow.that.kind.of.tra
1a40	66 66 69 63 2e 00 49 6e 20 74 68 69 73 20 63 61 73 65 2c 20 77 65 20 77 69 6c 6c 20 63 72 65 61	ffic..In.this.case,.we.will.crea
1a60	74 65 20 74 77 6f 20 69 6e 74 65 72 66 61 63 65 20 67 72 6f 75 70 73 20 e2 80 94 20 61 20 60 60	te.two.interface.groups.....a.``
1a80	57 41 4e 60 60 20 67 72 6f 75 70 20 66 6f 72 20 6f 75 72 20 69 6e 74 65 72 66 61 63 65 73 20 63	WAN``.group.for.our.interfaces.c
1aa0	6f 6e 6e 65 63 74 65 64 20 74 6f 20 74 68 65 20 70 75 62 6c 69 63 20 69 6e 74 65 72 6e 65 74 20	onnected.to.the.public.internet.
1ac0	61 6e 64 20 61 20 60 60 4c 41 4e 60 60 20 67 72 6f 75 70 20 66 6f 72 20 74 68 65 20 69 6e 74 65	and.a.``LAN``.group.for.the.inte
1ae0	72 66 61 63 65 73 20 63 6f 6e 6e 65 63 74 65 64 20 74 6f 20 6f 75 72 20 69 6e 74 65 72 6e 61 6c	rfaces.connected.to.our.internal
1b00	20 6e 65 74 77 6f 72 6b 2e 20 41 64 64 69 74 69 6f 6e 61 6c 6c 79 2c 20 77 65 20 77 69 6c 6c 20	.network..Additionally,.we.will.
1b20	63 72 65 61 74 65 20 61 20 6e 65 74 77 6f 72 6b 20 67 72 6f 75 70 2c 20 60 60 4e 45 54 2d 49 4e	create.a.network.group,.``NET-IN
1b40	53 49 44 45 2d 76 34 60 60 2c 20 74 68 61 74 20 63 6f 6e 74 61 69 6e 73 20 6f 75 72 20 69 6e 74	SIDE-v4``,.that.contains.our.int
1b60	65 72 6e 61 6c 20 73 75 62 6e 65 74 2e 00 49 6e 20 74 68 69 73 20 63 61 73 65 2c 20 77 65 20 77	ernal.subnet..In.this.case,.we.w
1b80	69 6c 6c 20 63 72 65 61 74 65 20 74 77 6f 20 69 6e 74 65 72 66 61 63 65 20 67 72 6f 75 70 73 e2	ill.create.two.interface.groups.
1ba0	80 94 61 20 60 60 57 41 4e 60 60 20 67 72 6f 75 70 20 66 6f 72 20 6f 75 72 20 69 6e 74 65 72 66	..a.``WAN``.group.for.our.interf
1bc0	61 63 65 73 20 63 6f 6e 6e 65 63 74 65 64 20 74 6f 20 74 68 65 20 70 75 62 6c 69 63 20 69 6e 74	aces.connected.to.the.public.int
1be0	65 72 6e 65 74 20 61 6e 64 20 61 20 60 60 4c 41 4e 60 60 20 67 72 6f 75 70 20 66 6f 72 20 74 68	ernet.and.a.``LAN``.group.for.th
1c00	65 20 69 6e 74 65 72 66 61 63 65 73 20 63 6f 6e 6e 65 63 74 65 64 20 74 6f 20 6f 75 72 20 69 6e	e.interfaces.connected.to.our.in
1c20	74 65 72 6e 61 6c 20 6e 65 74 77 6f 72 6b 2e 20 41 64 64 69 74 69 6f 6e 61 6c 6c 79 2c 20 77 65	ternal.network..Additionally,.we
1c40	20 77 69 6c 6c 20 63 72 65 61 74 65 20 61 20 6e 65 74 77 6f 72 6b 20 67 72 6f 75 70 2c 20 60 60	.will.create.a.network.group,.``
1c60	4e 45 54 2d 49 4e 53 49 44 45 2d 76 34 60 60 2c 20 74 68 61 74 20 63 6f 6e 74 61 69 6e 73 20 6f	NET-INSIDE-v4``,.that.contains.o
1c80	75 72 20 69 6e 74 65 72 6e 61 6c 20 73 75 62 6e 65 74 2e 00 49 6e 74 65 72 66 61 63 65 20 43 6f	ur.internal.subnet..Interface.Co
1ca0	6e 66 69 67 75 72 61 74 69 6f 6e 00 4d 6f 73 74 20 69 6e 73 74 61 6c 6c 61 74 69 6f 6e 73 20 77	nfiguration.Most.installations.w
1cc0	6f 75 6c 64 20 63 68 6f 6f 73 65 20 74 68 69 73 20 6f 70 74 69 6f 6e 2c 20 61 6e 64 20 77 69 6c	ould.choose.this.option,.and.wil
1ce0	6c 20 63 6f 6e 74 61 69 6e 3a 00 4e 41 54 00 4e 6f 77 20 74 68 61 74 20 77 65 20 68 61 76 65 20	l.contain:.NAT.Now.that.we.have.
1d00	63 6f 6e 66 69 67 75 72 65 64 20 73 74 61 74 65 66 75 6c 20 63 6f 6e 6e 65 63 74 69 6f 6e 20 66	configured.stateful.connection.f
1d20	69 6c 74 65 72 69 6e 67 20 74 6f 20 61 6c 6c 6f 77 20 74 72 61 66 66 69 63 20 66 72 6f 6d 20 65	iltering.to.allow.traffic.from.e
1d40	73 74 61 62 6c 69 73 68 65 64 20 61 6e 64 20 72 65 6c 61 74 65 64 20 63 6f 6e 6e 65 63 74 69 6f	stablished.and.related.connectio
1d60	6e 73 2c 20 77 65 20 63 61 6e 20 62 6c 6f 63 6b 20 61 6c 6c 20 6f 74 68 65 72 20 69 6e 63 6f 6d	ns,.we.can.block.all.other.incom
1d80	69 6e 67 20 74 72 61 66 66 69 63 20 61 64 64 72 65 73 73 65 64 20 74 6f 20 6f 75 72 20 6c 6f 63	ing.traffic.addressed.to.our.loc
1da0	61 6c 20 6e 65 74 77 6f 72 6b 2e 00 4f 6e 63 65 20 79 6f 75 72 20 63 6f 6e 66 69 67 75 72 61 74	al.network..Once.your.configurat
1dc0	69 6f 6e 20 77 6f 72 6b 73 20 61 73 20 65 78 70 65 63 74 65 64 2c 20 79 6f 75 20 63 61 6e 20 73	ion.works.as.expected,.you.can.s
1de0	61 76 65 20 69 74 20 70 65 72 6d 61 6e 65 6e 74 6c 79 20 62 79 20 75 73 69 6e 67 20 74 68 65 20	ave.it.permanently.by.using.the.
1e00	66 6f 6c 6c 6f 77 69 6e 67 20 63 6f 6d 6d 61 6e 64 3a 00 4f 6e 6c 79 20 68 6f 73 74 73 20 66 72	following.command:.Only.hosts.fr
1e20	6f 6d 20 79 6f 75 72 20 69 6e 74 65 72 6e 61 6c 2f 4c 41 4e 20 6e 65 74 77 6f 72 6b 20 63 61 6e	om.your.internal/LAN.network.can
1e40	20 75 73 65 20 74 68 65 20 44 4e 53 20 72 65 63 75 72 73 6f 72 00 4f 70 74 69 6f 6e 20 31 3a 20	.use.the.DNS.recursor.Option.1:.
1e60	43 6f 6d 6d 6f 6e 20 43 68 61 69 6e 00 4f 70 74 69 6f 6e 20 31 3a 20 47 6c 6f 62 61 6c 20 53 74	Common.Chain.Option.1:.Global.St
1e80	61 74 65 20 50 6f 6c 69 63 69 65 73 00 4f 70 74 69 6f 6e 20 32 3a 20 43 6f 6d 6d 6f 6e 2f 43 75	ate.Policies.Option.2:.Common/Cu
1ea0	73 74 6f 6d 20 43 68 61 69 6e 00 4f 70 74 69 6f 6e 20 32 3a 20 50 65 72 2d 48 6f 6f 6b 20 43 68	stom.Chain.Option.2:.Per-Hook.Ch
1ec0	61 69 6e 00 4f 70 74 69 6f 6e 20 33 3a 20 50 65 72 2d 48 6f 6f 6b 20 43 68 61 69 6e 00 51 75 69	ain.Option.3:.Per-Hook.Chain.Qui
1ee0	63 6b 20 53 74 61 72 74 00 52 65 70 6c 61 63 65 20 74 68 65 20 64 65 66 61 75 6c 74 20 60 60 76	ck.Start.Replace.the.default.``v
1f00	79 6f 73 60 60 20 73 79 73 74 65 6d 20 75 73 65 72 3a 00 52 65 70 6c 61 63 65 20 74 68 65 20 64	yos``.system.user:.Replace.the.d
1f20	65 66 61 75 6c 74 20 60 76 79 6f 73 60 20 73 79 73 74 65 6d 20 75 73 65 72 3a 00 53 53 48 20 4d	efault.`vyos`.system.user:.SSH.M
1f40	61 6e 61 67 65 6d 65 6e 74 00 53 65 74 20 75 70 20 3a 72 65 66 3a 60 73 73 68 5f 6b 65 79 5f 62	anagement.Set.up.:ref:`ssh_key_b
1f60	61 73 65 64 5f 61 75 74 68 65 6e 74 69 63 61 74 69 6f 6e 60 3a 00 54 68 65 20 61 64 64 72 65 73	ased_authentication`:.The.addres
1f80	73 20 72 61 6e 67 65 20 60 31 39 32 2e 31 36 38 2e 30 2e 32 2f 32 34 20 2d 20 31 39 32 2e 31 36	s.range.`192.168.0.2/24.-.192.16
1fa0	38 2e 30 2e 38 2f 32 34 60 20 77 69 6c 6c 20 62 65 20 72 65 73 65 72 76 65 64 20 66 6f 72 20 73	8.0.8/24`.will.be.reserved.for.s
1fc0	74 61 74 69 63 20 61 73 73 69 67 6e 6d 65 6e 74 73 00 54 68 65 20 61 64 64 72 65 73 73 20 72 61	tatic.assignments.The.address.ra
1fe0	6e 67 65 20 60 60 31 39 32 2e 31 36 38 2e 30 2e 32 2f 32 34 20 2d 20 31 39 32 2e 31 36 38 2e 30	nge.``192.168.0.2/24.-.192.168.0
2000	2e 38 2f 32 34 60 60 20 77 69 6c 6c 20 62 65 20 72 65 73 65 72 76 65 64 20 66 6f 72 20 73 74 61	.8/24``.will.be.reserved.for.sta
2020	74 69 63 20 61 73 73 69 67 6e 6d 65 6e 74 73 00 54 68 65 20 63 68 61 69 6e 20 77 65 20 77 69 6c	tic.assignments.The.chain.we.wil
2040	6c 20 63 72 65 61 74 65 20 69 73 20 63 61 6c 6c 65 64 20 60 60 43 4f 4e 4e 5f 46 49 4c 54 45 52	l.create.is.called.``CONN_FILTER
2060	60 60 20 61 6e 64 20 68 61 73 20 74 68 72 65 65 20 72 75 6c 65 73 3a 00 54 68 65 20 64 65 66 61	``.and.has.three.rules:.The.defa
2080	75 6c 74 20 67 61 74 65 77 61 79 20 61 6e 64 20 44 4e 53 20 72 65 63 75 72 73 6f 72 20 61 64 64	ult.gateway.and.DNS.recursor.add
20a0	72 65 73 73 20 77 69 6c 6c 20 62 65 20 60 31 39 32 2e 31 36 38 2e 30 2e 31 2f 32 34 60 00 54 68	ress.will.be.`192.168.0.1/24`.Th
20c0	65 20 64 65 66 61 75 6c 74 20 67 61 74 65 77 61 79 20 61 6e 64 20 44 4e 53 20 72 65 63 75 72 73	e.default.gateway.and.DNS.recurs
20e0	6f 72 20 61 64 64 72 65 73 73 20 77 69 6c 6c 20 62 65 20 60 60 31 39 32 2e 31 36 38 2e 30 2e 31	or.address.will.be.``192.168.0.1
2100	2f 32 34 60 60 00 54 68 65 20 66 69 72 65 77 61 6c 6c 20 62 65 67 69 6e 73 20 77 69 74 68 20 74	/24``.The.firewall.begins.with.t
2120	68 65 20 62 61 73 65 20 60 60 66 69 6c 74 65 72 60 60 20 74 61 62 6c 65 73 20 79 6f 75 20 64 65	he.base.``filter``.tables.you.de
2140	66 69 6e 65 20 66 6f 72 20 65 61 63 68 20 6f 66 20 74 68 65 20 60 60 66 6f 72 77 61 72 64 60 60	fine.for.each.of.the.``forward``
2160	2c 20 60 60 69 6e 70 75 74 60 60 2c 20 61 6e 64 20 60 60 6f 75 74 70 75 74 60 60 20 4e 65 74 66	,.``input``,.and.``output``.Netf
2180	69 74 65 72 20 68 6f 6f 6b 73 2e 20 45 61 63 68 20 6f 66 20 74 68 65 73 65 20 74 61 62 6c 65 73	iter.hooks..Each.of.these.tables
21a0	20 69 73 20 70 6f 70 75 6c 61 74 65 64 20 77 69 74 68 20 72 75 6c 65 73 20 74 68 61 74 20 61 72	.is.populated.with.rules.that.ar
21c0	65 20 70 72 6f 63 65 73 73 65 64 20 69 6e 20 6f 72 64 65 72 20 61 6e 64 20 63 61 6e 20 6a 75 6d	e.processed.in.order.and.can.jum
21e0	70 20 74 6f 20 6f 74 68 65 72 20 63 68 61 69 6e 73 20 66 6f 72 20 6d 6f 72 65 20 67 72 61 6e 75	p.to.other.chains.for.more.granu
2200	6c 61 72 20 66 69 6c 74 65 72 69 6e 67 2e 00 54 68 65 20 66 6f 6c 6c 6f 77 69 6e 67 20 73 65 74	lar.filtering..The.following.set
2220	74 69 6e 67 73 20 77 69 6c 6c 20 63 6f 6e 66 69 67 75 72 65 20 3a 72 65 66 3a 60 73 6f 75 72 63	tings.will.configure.:ref:`sourc
2240	65 2d 6e 61 74 60 20 72 75 6c 65 73 20 66 6f 72 20 6f 75 72 20 69 6e 74 65 72 6e 61 6c 2f 4c 41	e-nat`.rules.for.our.internal/LA
2260	4e 20 6e 65 74 77 6f 72 6b 2c 20 61 6c 6c 6f 77 69 6e 67 20 68 6f 73 74 73 20 74 6f 20 63 6f 6d	N.network,.allowing.hosts.to.com
2280	6d 75 6e 69 63 61 74 65 20 74 68 72 6f 75 67 68 20 74 68 65 20 6f 75 74 73 69 64 65 2f 57 41 4e	municate.through.the.outside/WAN
22a0	20 6e 65 74 77 6f 72 6b 20 76 69 61 20 49 50 20 6d 61 73 71 75 65 72 61 64 65 2e 00 54 68 65 20	.network.via.IP.masquerade..The.
22c0	66 6f 6c 6c 6f 77 69 6e 67 20 73 65 74 74 69 6e 67 73 20 77 69 6c 6c 20 63 6f 6e 66 69 67 75 72	following.settings.will.configur
22e0	65 20 44 48 43 50 20 61 6e 64 20 44 4e 53 20 73 65 72 76 69 63 65 73 20 6f 6e 20 79 6f 75 72 20	e.DHCP.and.DNS.services.on.your.
2300	69 6e 74 65 72 6e 61 6c 2f 4c 41 4e 20 6e 65 74 77 6f 72 6b 2c 20 77 68 65 72 65 20 56 79 4f 53	internal/LAN.network,.where.VyOS
2320	20 77 69 6c 6c 20 61 63 74 20 61 73 20 74 68 65 20 64 65 66 61 75 6c 74 20 67 61 74 65 77 61 79	.will.act.as.the.default.gateway
2340	20 61 6e 64 20 44 4e 53 20 73 65 72 76 65 72 2e 00 54 68 65 6e 2c 20 77 65 20 63 61 6e 20 6a 75	.and.DNS.server..Then,.we.can.ju
2360	6d 70 20 74 6f 20 74 68 65 20 63 6f 6d 6d 6f 6e 20 63 68 61 69 6e 20 66 72 6f 6d 20 62 6f 74 68	mp.to.the.common.chain.from.both
2380	20 74 68 65 20 60 60 66 6f 72 77 61 72 64 60 60 20 61 6e 64 20 60 60 69 6e 70 75 74 60 60 20 68	.the.``forward``.and.``input``.h
23a0	6f 6f 6b 73 20 61 73 20 74 68 65 20 66 69 72 73 74 20 66 69 6c 74 65 72 69 6e 67 20 72 75 6c 65	ooks.as.the.first.filtering.rule
23c0	20 69 6e 20 74 68 65 20 72 65 73 70 65 63 74 69 76 65 20 63 68 61 69 6e 73 3a 00 54 68 65 73 65	.in.the.respective.chains:.These
23e0	20 72 75 6c 65 73 20 61 6c 6c 6f 77 20 53 53 48 20 74 72 61 66 66 69 63 20 61 6e 64 20 72 61 74	.rules.allow.SSH.traffic.and.rat
2400	65 20 6c 69 6d 69 74 20 69 74 20 74 6f 20 34 20 72 65 71 75 65 73 74 73 20 70 65 72 20 6d 69 6e	e.limit.it.to.4.requests.per.min
2420	75 74 65 2e 20 54 68 69 73 20 62 6c 6f 63 6b 73 20 62 72 75 74 65 2d 66 6f 72 63 69 6e 67 20 61	ute..This.blocks.brute-forcing.a
2440	74 74 65 6d 70 74 73 3a 00 54 68 69 73 20 63 68 61 70 74 65 72 20 77 69 6c 6c 20 67 75 69 64 65	ttempts:.This.chapter.will.guide
2460	20 79 6f 75 20 6f 6e 20 68 6f 77 20 74 6f 20 67 65 74 20 75 70 20 74 6f 20 73 70 65 65 64 20 71	.you.on.how.to.get.up.to.speed.q
2480	75 69 63 6b 6c 79 20 75 73 69 6e 67 20 79 6f 75 72 20 6e 65 77 20 56 79 4f 53 20 73 79 73 74 65	uickly.using.your.new.VyOS.syste
24a0	6d 2e 20 49 74 20 77 69 6c 6c 20 73 68 6f 77 20 79 6f 75 20 61 20 76 65 72 79 20 62 61 73 69 63	m..It.will.show.you.a.very.basic
24c0	20 63 6f 6e 66 69 67 75 72 61 74 69 6f 6e 20 65 78 61 6d 70 6c 65 20 74 68 61 74 20 77 69 6c 6c	.configuration.example.that.will
24e0	20 70 72 6f 76 69 64 65 20 61 20 3a 72 65 66 3a 60 6e 61 74 60 20 67 61 74 65 77 61 79 20 66 6f	.provide.a.:ref:`nat`.gateway.fo
2500	72 20 61 20 64 65 76 69 63 65 20 77 69 74 68 20 74 77 6f 20 6e 65 74 77 6f 72 6b 20 69 6e 74 65	r.a.device.with.two.network.inte
2520	72 66 61 63 65 73 20 28 60 60 65 74 68 30 60 60 20 61 6e 64 20 60 60 65 74 68 31 60 60 29 2e 00	rfaces.(``eth0``.and.``eth1``)..
2540	54 68 69 73 20 63 68 61 70 74 65 72 20 77 69 6c 6c 20 67 75 69 64 65 20 79 6f 75 20 6f 6e 20 68	This.chapter.will.guide.you.on.h
2560	6f 77 20 74 6f 20 67 65 74 20 75 70 20 74 6f 20 73 70 65 65 64 20 71 75 69 63 6b 6c 79 20 75 73	ow.to.get.up.to.speed.quickly.us
2580	69 6e 67 20 79 6f 75 72 20 6e 65 77 20 56 79 4f 53 20 73 79 73 74 65 6d 2e 20 49 74 20 77 69 6c	ing.your.new.VyOS.system..It.wil
25a0	6c 20 73 68 6f 77 20 79 6f 75 20 61 20 76 65 72 79 20 62 61 73 69 63 20 63 6f 6e 66 69 67 75 72	l.show.you.a.very.basic.configur
25c0	61 74 69 6f 6e 20 65 78 61 6d 70 6c 65 20 74 68 61 74 20 77 69 6c 6c 20 70 72 6f 76 69 64 65 20	ation.example.that.will.provide.
25e0	61 20 3a 72 65 66 3a 60 6e 61 74 60 20 67 61 74 65 77 61 79 20 66 6f 72 20 61 20 64 65 76 69 63	a.:ref:`nat`.gateway.for.a.devic
2600	65 20 77 69 74 68 20 74 77 6f 20 6e 65 74 77 6f 72 6b 20 69 6e 74 65 72 66 61 63 65 73 20 28 60	e.with.two.network.interfaces.(`
2620	65 74 68 30 60 20 61 6e 64 20 60 65 74 68 31 60 29 2e 00 54 68 69 73 20 63 6f 6e 66 69 67 75 72	eth0`.and.`eth1`)..This.configur
2640	61 74 69 6f 6e 20 63 72 65 61 74 65 73 20 61 20 70 72 6f 70 65 72 20 73 74 61 74 65 66 75 6c 20	ation.creates.a.proper.stateful.
2660	66 69 72 65 77 61 6c 6c 20 74 68 61 74 20 62 6c 6f 63 6b 73 20 61 6c 6c 20 74 72 61 66 66 69 63	firewall.that.blocks.all.traffic
2680	20 77 68 69 63 68 20 77 61 73 20 6e 6f 74 20 69 6e 69 74 69 61 74 65 64 20 66 72 6f 6d 20 74 68	.which.was.not.initiated.from.th
26a0	65 20 69 6e 74 65 72 6e 61 6c 2f 4c 41 4e 20 73 69 64 65 20 66 69 72 73 74 2e 00 54 6f 20 6d 61	e.internal/LAN.side.first..To.ma
26c0	6b 65 20 66 69 72 65 77 61 6c 6c 20 63 6f 6e 66 69 67 75 72 61 74 69 6f 6e 20 65 61 73 69 65 72	ke.firewall.configuration.easier
26e0	2c 20 77 65 20 63 61 6e 20 63 72 65 61 74 65 20 67 72 6f 75 70 73 20 6f 66 20 69 6e 74 65 72 66	,.we.can.create.groups.of.interf
2700	61 63 65 73 2c 20 6e 65 74 77 6f 72 6b 73 2c 20 61 64 64 72 65 73 73 65 73 2c 20 70 6f 72 74 73	aces,.networks,.addresses,.ports
2720	2c 20 61 6e 64 20 64 6f 6d 61 69 6e 73 20 74 68 61 74 20 64 65 73 63 72 69 62 65 20 64 69 66 66	,.and.domains.that.describe.diff
2740	65 72 65 6e 74 20 70 61 72 74 73 20 6f 66 20 6f 75 72 20 6e 65 74 77 6f 72 6b 2e 20 57 65 20 63	erent.parts.of.our.network..We.c
2760	61 6e 20 74 68 65 6e 20 75 73 65 20 74 68 65 6d 20 66 6f 72 20 66 69 6c 74 65 72 69 6e 67 20 77	an.then.use.them.for.filtering.w
2780	69 74 68 69 6e 20 6f 75 72 20 66 69 72 65 77 61 6c 6c 20 72 75 6c 65 73 65 74 73 2c 20 61 6c 6c	ithin.our.firewall.rulesets,.all
27a0	6f 77 69 6e 67 20 66 6f 72 20 6d 6f 72 65 20 63 6f 6e 63 69 73 65 20 61 6e 64 20 72 65 61 64 61	owing.for.more.concise.and.reada
27c0	62 6c 65 20 63 6f 6e 66 69 67 75 72 61 74 69 6f 6e 2e 00 55 73 69 6e 67 20 6f 70 74 69 6f 6e 73	ble.configuration..Using.options
27e0	20 64 65 66 69 6e 65 64 20 69 6e 20 60 60 73 65 74 20 66 69 72 65 77 61 6c 6c 20 67 6c 6f 62 61	.defined.in.``set.firewall.globa
2800	6c 2d 6f 70 74 69 6f 6e 73 20 73 74 61 74 65 2d 70 6f 6c 69 63 79 60 60 2c 20 73 74 61 74 65 20	l-options.state-policy``,.state.
2820	70 6f 6c 69 63 79 20 72 75 6c 65 73 20 74 68 61 74 20 61 70 70 6c 69 65 73 20 66 6f 72 20 62 6f	policy.rules.that.applies.for.bo
2840	74 68 20 49 50 76 34 20 61 6e 64 20 49 50 76 36 20 61 72 65 20 63 72 65 61 74 65 64 2e 20 54 68	th.IPv4.and.IPv6.are.created..Th
2860	65 73 65 20 67 6c 6f 62 61 6c 20 73 74 61 74 65 20 70 6f 6c 69 63 69 65 73 20 61 6c 73 6f 20 61	ese.global.state.policies.also.a
2880	70 70 6c 69 65 73 20 66 6f 72 20 61 6c 6c 20 74 72 61 66 66 69 63 20 74 68 61 74 20 70 61 73 73	pplies.for.all.traffic.that.pass
28a0	65 73 20 74 68 72 6f 75 67 68 20 74 68 65 20 72 6f 75 74 65 72 20 28 74 72 61 6e 73 69 74 29 20	es.through.the.router.(transit).
28c0	61 6e 64 20 66 6f 72 20 74 72 61 66 66 69 63 20 6f 72 69 67 69 6e 61 74 65 64 2f 64 65 73 74 69	and.for.traffic.originated/desti
28e0	6e 61 74 65 64 20 74 6f 2f 66 72 6f 6d 20 74 68 65 20 72 6f 75 74 65 72 20 69 74 73 65 6c 66 2c	nated.to/from.the.router.itself,
2900	20 61 6e 64 20 77 69 6c 6c 20 62 65 20 61 76 61 6c 75 61 74 65 64 20 62 65 66 6f 72 65 20 61 6e	.and.will.be.avaluated.before.an
2920	79 20 6f 74 68 65 72 20 72 75 6c 65 20 64 65 66 69 6e 65 64 20 69 6e 20 74 68 65 20 66 69 72 65	y.other.rule.defined.in.the.fire
2940	77 61 6c 6c 2e 00 55 73 69 6e 67 20 6f 70 74 69 6f 6e 73 20 64 65 66 69 6e 65 64 20 69 6e 20 60	wall..Using.options.defined.in.`
2960	60 73 65 74 20 66 69 72 65 77 61 6c 6c 20 67 6c 6f 62 61 6c 2d 6f 70 74 69 6f 6e 73 20 73 74 61	`set.firewall.global-options.sta
2980	74 65 2d 70 6f 6c 69 63 79 60 60 2c 20 73 74 61 74 65 20 70 6f 6c 69 63 79 20 72 75 6c 65 73 20	te-policy``,.state.policy.rules.
29a0	74 68 61 74 20 61 70 70 6c 69 65 73 20 66 6f 72 20 62 6f 74 68 20 49 50 76 34 20 61 6e 64 20 49	that.applies.for.both.IPv4.and.I
29c0	50 76 36 20 61 72 65 20 63 72 65 61 74 65 64 2e 20 54 68 65 73 65 20 67 6c 6f 62 61 6c 20 73 74	Pv6.are.created..These.global.st
29e0	61 74 65 20 70 6f 6c 69 63 69 65 73 20 61 6c 73 6f 20 61 70 70 6c 69 65 73 20 66 6f 72 20 61 6c	ate.policies.also.applies.for.al
2a00	6c 20 74 72 61 66 66 69 63 20 74 68 61 74 20 70 61 73 73 65 73 20 74 68 72 6f 75 67 68 20 74 68	l.traffic.that.passes.through.th
2a20	65 20 72 6f 75 74 65 72 20 28 74 72 61 6e 73 69 74 29 20 61 6e 64 20 66 6f 72 20 74 72 61 66 66	e.router.(transit).and.for.traff
2a40	69 63 20 6f 72 69 67 69 6e 61 74 65 64 2f 64 65 73 74 69 6e 61 74 65 64 20 74 6f 2f 66 72 6f 6d	ic.originated/destinated.to/from
2a60	20 74 68 65 20 72 6f 75 74 65 72 20 69 74 73 65 6c 66 2c 20 61 6e 64 20 77 69 6c 6c 20 62 65 20	.the.router.itself,.and.will.be.
2a80	65 76 61 6c 75 61 74 65 64 20 62 65 66 6f 72 65 20 61 6e 79 20 6f 74 68 65 72 20 72 75 6c 65 20	evaluated.before.any.other.rule.
2aa0	64 65 66 69 6e 65 64 20 69 6e 20 74 68 65 20 66 69 72 65 77 61 6c 6c 2e 00 56 79 4f 53 20 77 69	defined.in.the.firewall..VyOS.wi
2ac0	6c 6c 20 73 65 72 76 65 20 61 73 20 61 20 66 75 6c 6c 20 44 4e 53 20 72 65 63 75 72 73 6f 72 2c	ll.serve.as.a.full.DNS.recursor,
2ae0	20 72 65 70 6c 61 63 69 6e 67 20 74 68 65 20 6e 65 65 64 20 74 6f 20 75 74 69 6c 69 7a 65 20 47	.replacing.the.need.to.utilize.G
2b00	6f 6f 67 6c 65 2c 20 43 6c 6f 75 64 66 6c 61 72 65 2c 20 6f 72 20 6f 74 68 65 72 20 70 75 62 6c	oogle,.Cloudflare,.or.other.publ
2b20	69 63 20 44 4e 53 20 73 65 72 76 65 72 73 20 28 77 68 69 63 68 20 69 73 20 67 6f 6f 64 20 66 6f	ic.DNS.servers.(which.is.good.fo
2b40	72 20 70 72 69 76 61 63 79 29 00 57 65 20 63 61 6e 20 63 72 65 61 74 65 20 61 20 63 6f 6d 6d 6f	r.privacy).We.can.create.a.commo
2b60	6e 20 63 68 61 69 6e 20 66 6f 72 20 73 74 61 74 65 66 75 6c 20 63 6f 6e 6e 65 63 74 69 6f 6e 20	n.chain.for.stateful.connection.
2b80	66 69 6c 74 65 72 69 6e 67 20 6f 66 20 6d 75 6c 74 69 70 6c 65 20 69 6e 74 65 72 66 61 63 65 73	filtering.of.multiple.interfaces
2ba0	20 28 6f 72 20 6d 75 6c 74 69 70 6c 65 20 6e 65 74 66 69 6c 74 65 72 20 68 6f 6f 6b 73 20 6f 6e	.(or.multiple.netfilter.hooks.on
2bc0	20 6f 6e 65 20 69 6e 74 65 72 66 61 63 65 29 2e 20 54 68 6f 73 65 20 69 6e 64 69 76 69 64 75 61	.one.interface)..Those.individua
2be0	6c 20 63 68 61 69 6e 73 20 63 61 6e 20 74 68 65 6e 20 6a 75 6d 70 20 74 6f 20 74 68 65 20 63 6f	l.chains.can.then.jump.to.the.co
2c00	6d 6d 6f 6e 20 63 68 61 69 6e 20 66 6f 72 20 73 74 61 74 65 66 75 6c 20 63 6f 6e 6e 65 63 74 69	mmon.chain.for.stateful.connecti
2c20	6f 6e 20 66 69 6c 74 65 72 69 6e 67 2c 20 72 65 74 75 72 6e 69 6e 67 20 74 6f 20 74 68 65 20 6f	on.filtering,.returning.to.the.o
2c40	72 69 67 69 6e 61 6c 20 63 68 61 69 6e 20 66 6f 72 20 66 75 72 74 68 65 72 20 72 75 6c 65 20 70	riginal.chain.for.further.rule.p
2c60	72 6f 63 65 73 73 69 6e 67 20 69 66 20 6e 6f 20 61 63 74 69 6f 6e 20 69 73 20 74 61 6b 65 6e 20	rocessing.if.no.action.is.taken.
2c80	6f 6e 20 74 68 65 20 70 61 63 6b 65 74 2e 00 57 65 20 63 61 6e 20 6e 6f 77 20 63 6f 6e 66 69 67	on.the.packet..We.can.now.config
2ca0	75 72 65 20 61 63 63 65 73 73 20 74 6f 20 74 68 65 20 72 6f 75 74 65 72 20 69 74 73 65 6c 66 2c	ure.access.to.the.router.itself,
2cc0	20 61 6c 6c 6f 77 69 6e 67 20 53 53 48 20 61 63 63 65 73 73 20 66 72 6f 6d 20 74 68 65 20 69 6e	.allowing.SSH.access.from.the.in
2ce0	73 69 64 65 2f 4c 41 4e 20 6e 65 74 77 6f 72 6b 20 61 6e 64 20 72 61 74 65 20 6c 69 6d 69 74 69	side/LAN.network.and.rate.limiti
2d00	6e 67 20 53 53 48 20 61 63 63 65 73 73 20 66 72 6f 6d 20 74 68 65 20 6f 75 74 73 69 64 65 2f 57	ng.SSH.access.from.the.outside/W
2d20	41 4e 20 6e 65 74 77 6f 72 6b 2e 00 57 65 20 73 68 6f 75 6c 64 20 61 6c 73 6f 20 62 6c 6f 63 6b	AN.network..We.should.also.block
2d40	20 61 6c 6c 20 74 72 61 66 66 69 63 20 64 65 73 74 69 6e 61 74 65 64 20 74 6f 20 74 68 65 20 72	.all.traffic.destinated.to.the.r
2d60	6f 75 74 65 72 20 69 74 73 65 6c 66 20 74 68 61 74 20 69 73 6e 27 74 20 65 78 70 6c 69 63 69 74	outer.itself.that.isn't.explicit
2d80	6c 79 20 61 6c 6c 6f 77 65 64 20 61 74 20 73 6f 6d 65 20 70 6f 69 6e 74 20 69 6e 20 74 68 65 20	ly.allowed.at.some.point.in.the.
2da0	63 68 61 69 6e 20 66 6f 72 20 74 68 65 20 60 60 69 6e 70 75 74 60 60 20 68 6f 6f 6b 2e 20 41 73	chain.for.the.``input``.hook..As
2dc0	20 77 65 27 76 65 20 61 6c 72 65 61 64 79 20 63 6f 6e 66 69 67 75 72 65 64 20 73 74 61 74 65 66	.we've.already.configured.statef
2de0	75 6c 20 70 61 63 6b 65 74 20 66 69 6c 74 65 72 69 6e 67 20 61 62 6f 76 65 2c 20 77 65 20 6f 6e	ul.packet.filtering.above,.we.on
2e00	6c 79 20 6e 65 65 64 20 74 6f 20 73 65 74 20 74 68 65 20 64 65 66 61 75 6c 74 20 61 63 74 69 6f	ly.need.to.set.the.default.actio
2e20	6e 20 74 6f 20 60 60 64 72 6f 70 60 60 3a 00 57 69 74 68 20 74 68 65 20 6e 65 77 20 66 69 72 65	n.to.``drop``:.With.the.new.fire
2e40	77 61 6c 6c 20 73 74 72 75 63 74 75 72 65 2c 20 77 65 20 68 61 76 65 20 68 61 76 65 20 61 20 6c	wall.structure,.we.have.have.a.l
2e60	6f 74 20 6f 66 20 66 6c 65 78 69 62 69 6c 69 74 79 20 69 6e 20 68 6f 77 20 77 65 20 67 72 6f 75	ot.of.flexibility.in.how.we.grou
2e80	70 20 61 6e 64 20 6f 72 64 65 72 20 6f 75 72 20 72 75 6c 65 73 2c 20 61 73 20 73 68 6f 77 6e 20	p.and.order.our.rules,.as.shown.
2ea0	62 79 20 74 68 65 20 74 68 72 65 65 20 61 6c 74 65 72 6e 61 74 69 76 65 20 61 70 70 72 6f 61 63	by.the.three.alternative.approac
2ec0	68 65 73 20 62 65 6c 6f 77 2e 00 57 69 74 68 20 74 68 65 20 6e 65 77 20 66 69 72 65 77 61 6c 6c	hes.below..With.the.new.firewall
2ee0	20 73 74 72 75 63 74 75 72 65 2c 20 77 65 20 68 61 76 65 20 68 61 76 65 20 61 20 6c 6f 74 20 6f	.structure,.we.have.have.a.lot.o
2f00	66 20 66 6c 65 78 69 62 69 6c 69 74 79 20 69 6e 20 68 6f 77 20 77 65 20 67 72 6f 75 70 20 61 6e	f.flexibility.in.how.we.group.an
2f20	64 20 6f 72 64 65 72 20 6f 75 72 20 72 75 6c 65 73 2c 20 61 73 20 73 68 6f 77 6e 20 62 79 20 74	d.order.our.rules,.as.shown.by.t
2f40	68 65 20 74 77 6f 20 61 6c 74 65 72 6e 61 74 69 76 65 20 61 70 70 72 6f 61 63 68 65 73 20 62 65	he.two.alternative.approaches.be
2f60	6c 6f 77 2e 00 59 6f 75 20 6e 6f 77 20 73 68 6f 75 6c 64 20 68 61 76 65 20 61 20 73 69 6d 70 6c	low..You.now.should.have.a.simpl
2f80	65 20 79 65 74 20 73 65 63 75 72 65 20 61 6e 64 20 66 75 6e 63 74 69 6f 6e 69 6e 67 20 72 6f 75	e.yet.secure.and.functioning.rou
2fa0	74 65 72 20 74 6f 20 65 78 70 65 72 69 6d 65 6e 74 20 77 69 74 68 20 66 75 72 74 68 65 72 2e 20	ter.to.experiment.with.further..
2fc0	45 6e 6a 6f 79 21 00 59 6f 75 72 20 69 6e 74 65 72 6e 61 6c 2f 4c 41 4e 20 69 6e 74 65 72 66 61	Enjoy!.Your.internal/LAN.interfa
2fe0	63 65 20 77 69 6c 6c 20 62 65 20 60 60 65 74 68 31 60 60 2e 20 49 74 20 77 69 6c 6c 20 75 73 65	ce.will.be.``eth1``..It.will.use
3000	20 61 20 73 74 61 74 69 63 20 49 50 20 61 64 64 72 65 73 73 20 6f 66 20 60 60 31 39 32 2e 31 36	.a.static.IP.address.of.``192.16
3020	38 2e 30 2e 31 2f 32 34 60 60 2e 00 59 6f 75 72 20 69 6e 74 65 72 6e 61 6c 2f 4c 41 4e 20 69 6e	8.0.1/24``..Your.internal/LAN.in
3040	74 65 72 66 61 63 65 20 77 69 6c 6c 20 62 65 20 60 65 74 68 31 60 2e 20 49 74 20 77 69 6c 6c 20	terface.will.be.`eth1`..It.will.
3060	75 73 65 20 61 20 73 74 61 74 69 63 20 49 50 20 61 64 64 72 65 73 73 20 6f 66 20 60 31 39 32 2e	use.a.static.IP.address.of.`192.
3080	31 36 38 2e 30 2e 31 2f 32 34 60 2e 00 59 6f 75 72 20 6f 75 74 73 69 64 65 2f 57 41 4e 20 69 6e	168.0.1/24`..Your.outside/WAN.in
30a0	74 65 72 66 61 63 65 20 77 69 6c 6c 20 62 65 20 60 60 65 74 68 30 60 60 2e 20 49 74 20 77 69 6c	terface.will.be.``eth0``..It.wil
30c0	6c 20 72 65 63 65 69 76 65 20 69 74 73 20 69 6e 74 65 72 66 61 63 65 20 61 64 64 72 65 73 73 20	l.receive.its.interface.address.
30e0	76 69 61 20 44 48 43 50 2e 00 59 6f 75 72 20 6f 75 74 73 69 64 65 2f 57 41 4e 20 69 6e 74 65 72	via.DHCP..Your.outside/WAN.inter
3100	66 61 63 65 20 77 69 6c 6c 20 62 65 20 60 65 74 68 30 60 2e 20 49 74 20 77 69 6c 6c 20 72 65 63	face.will.be.`eth0`..It.will.rec
3120	65 69 76 65 20 69 74 73 20 69 6e 74 65 72 66 61 63 65 20 61 64 64 72 65 73 73 20 76 69 61 20 44	eive.its.interface.address.via.D
3140	48 43 50 2e 00 4d 49 4d 45 2d 56 65 72 73 69 6f 6e 3a 20 31 2e 30 0a 43 6f 6e 74 65 6e 74 2d 54	HCP..MIME-Version:.1.0.Content-T
3160	79 70 65 3a 20 74 65 78 74 2f 70 6c 61 69 6e 3b 20 63 68 61 72 73 65 74 3d 55 54 46 2d 38 0a 43	ype:.text/plain;.charset=UTF-8.C
3180	6f 6e 74 65 6e 74 2d 54 72 61 6e 73 66 65 72 2d 45 6e 63 6f 64 69 6e 67 3a 20 38 62 69 74 0a 58	ontent-Transfer-Encoding:.8bit.X
31a0	2d 47 65 6e 65 72 61 74 6f 72 3a 20 4c 6f 63 61 6c 61 7a 79 20 28 68 74 74 70 73 3a 2f 2f 6c 6f	-Generator:.Localazy.(https://lo
31c0	63 61 6c 61 7a 79 2e 63 6f 6d 29 0a 50 72 6f 6a 65 63 74 2d 49 64 2d 56 65 72 73 69 6f 6e 3a 20	calazy.com).Project-Id-Version:.
31e0	0a 4c 61 6e 67 75 61 67 65 3a 20 6a 61 0a 50 6c 75 72 61 6c 2d 46 6f 72 6d 73 3a 20 6e 70 6c 75	.Language:.ja.Plural-Forms:.nplu
3200	72 61 6c 73 3d 31 3b 20 70 6c 75 72 61 6c 3d 30 3b 0a 00 41 20 64 65 66 61 75 6c 74 20 61 63 74	rals=1;.plural=0;..A.default.act
3220	69 6f 6e 20 6f 66 20 60 60 72 65 74 75 72 6e 60 60 2c 20 77 68 69 63 68 20 72 65 74 75 72 6e 73	ion.of.``return``,.which.returns
3240	20 74 68 65 20 70 61 63 6b 65 74 20 62 61 63 6b 20 74 6f 20 74 68 65 20 6f 72 69 67 69 6e 61 6c	.the.packet.back.to.the.original
3260	20 63 68 61 69 6e 20 69 66 20 6e 6f 20 61 63 74 69 6f 6e 20 69 73 20 74 61 6b 65 6e 2e 00 41 20	.chain.if.no.action.is.taken..A.
3280	6e 65 77 20 66 69 72 65 77 61 6c 6c 20 73 74 72 75 63 74 75 72 65 e2 80 94 77 68 69 63 68 20 75	new.firewall.structure...which.u
32a0	73 65 73 20 74 68 65 20 60 60 6e 66 74 61 62 6c 65 73 60 60 20 62 61 63 6b 65 6e 64 2c 20 72 61	ses.the.``nftables``.backend,.ra
32c0	74 68 65 72 20 74 68 61 6e 20 60 60 69 70 74 61 62 6c 65 73 60 60 e2 80 94 69 73 20 61 76 61 69	ther.than.``iptables``...is.avai
32e0	6c 61 62 6c 65 20 6f 6e 20 61 6c 6c 20 69 6e 73 74 61 6c 6c 61 74 69 6f 6e 73 20 73 74 61 72 74	lable.on.all.installations.start
3300	69 6e 67 20 66 72 6f 6d 20 56 79 4f 53 20 60 60 31 2e 34 2d 72 6f 6c 6c 69 6e 67 2d 32 30 32 33	ing.from.VyOS.``1.4-rolling-2023
3320	30 38 30 34 30 35 35 37 60 60 2e 20 54 68 65 20 66 69 72 65 77 61 6c 6c 20 73 75 70 70 6f 72 74	08040557``..The.firewall.support
3340	73 20 63 72 65 61 74 69 6f 6e 20 6f 66 20 64 69 73 74 69 6e 63 74 2c 20 69 6e 74 65 72 6c 69 6e	s.creation.of.distinct,.interlin
3360	6b 65 64 20 63 68 61 69 6e 73 20 66 6f 72 20 65 61 63 68 20 60 4e 65 74 66 69 6c 74 65 72 20 68	ked.chains.for.each.`Netfilter.h
3380	6f 6f 6b 20 3c 68 74 74 70 73 3a 2f 2f 77 69 6b 69 2e 6e 66 74 61 62 6c 65 73 2e 6f 72 67 2f 77	ook.<https://wiki.nftables.org/w
33a0	69 6b 69 2d 6e 66 74 61 62 6c 65 73 2f 69 6e 64 65 78 2e 70 68 70 2f 4e 65 74 66 69 6c 74 65 72	iki-nftables/index.php/Netfilter
33c0	5f 68 6f 6f 6b 73 3e 60 5f 20 61 6e 64 20 61 6c 6c 6f 77 73 20 66 6f 72 20 6d 6f 72 65 20 67 72	_hooks>`_.and.allows.for.more.gr
33e0	61 6e 75 6c 61 72 20 63 6f 6e 74 72 6f 6c 20 6f 76 65 72 20 74 68 65 20 70 61 63 6b 65 74 20 66	anular.control.over.the.packet.f
3400	69 6c 74 65 72 69 6e 67 20 70 72 6f 63 65 73 73 2e 00 41 20 72 75 6c 65 20 74 6f 20 60 60 61 63	iltering.process..A.rule.to.``ac
3420	63 65 70 74 60 60 20 70 61 63 6b 65 74 73 20 66 72 6f 6d 20 65 73 74 61 62 6c 69 73 68 65 64 20	cept``.packets.from.established.
3440	61 6e 64 20 72 65 6c 61 74 65 64 20 63 6f 6e 6e 65 63 74 69 6f 6e 73 2e 00 41 20 72 75 6c 65 20	and.related.connections..A.rule.
3460	74 6f 20 60 60 64 72 6f 70 60 60 20 70 61 63 6b 65 74 73 20 66 72 6f 6d 20 69 6e 76 61 6c 69 64	to.``drop``.packets.from.invalid
3480	20 63 6f 6e 6e 65 63 74 69 6f 6e 73 2e 00 41 64 64 20 61 20 73 65 74 20 6f 66 20 66 69 72 65 77	.connections..Add.a.set.of.firew
34a0	61 6c 6c 20 70 6f 6c 69 63 69 65 73 20 66 6f 72 20 6f 75 72 20 6f 75 74 73 69 64 65 2f 57 41 4e	all.policies.for.our.outside/WAN
34c0	20 69 6e 74 65 72 66 61 63 65 2e 00 41 66 74 65 72 20 65 76 65 72 79 20 63 6f 6e 66 69 67 75 72	.interface..After.every.configur
34e0	61 74 69 6f 6e 20 63 68 61 6e 67 65 2c 20 79 6f 75 20 6e 65 65 64 20 74 6f 20 61 70 70 6c 79 20	ation.change,.you.need.to.apply.
3500	74 68 65 20 63 68 61 6e 67 65 73 20 62 79 20 75 73 69 6e 67 20 74 68 65 20 66 6f 6c 6c 6f 77 69	the.changes.by.using.the.followi
3520	6e 67 20 63 6f 6d 6d 61 6e 64 3a 00 41 66 74 65 72 20 73 77 69 74 63 68 69 6e 67 20 74 6f 20 3a	ng.command:.After.switching.to.:
3540	72 65 66 3a 60 71 75 69 63 6b 2d 73 74 61 72 74 2d 63 6f 6e 66 69 67 75 72 61 74 69 6f 6e 2d 6d	ref:`quick-start-configuration-m
3560	6f 64 65 60 20 69 73 73 75 65 20 74 68 65 20 66 6f 6c 6c 6f 77 69 6e 67 20 63 6f 6d 6d 61 6e 64	ode`.issue.the.following.command
3580	73 2c 20 61 6e 64 20 79 6f 75 72 20 73 79 73 74 65 6d 20 77 69 6c 6c 20 6c 69 73 74 65 6e 20 6f	s,.and.your.system.will.listen.o
35a0	6e 20 65 76 65 72 79 20 69 6e 74 65 72 66 61 63 65 20 66 6f 72 20 69 6e 63 6f 6d 69 6e 67 20 53	n.every.interface.for.incoming.S
35c0	53 48 20 63 6f 6e 6e 65 63 74 69 6f 6e 73 2e 20 59 6f 75 20 6d 69 67 68 74 20 77 61 6e 74 20 74	SH.connections..You.might.want.t
35e0	6f 20 63 68 65 63 6b 20 74 68 65 20 3a 72 65 66 3a 60 73 73 68 60 20 63 68 61 70 74 65 72 20 6f	o.check.the.:ref:`ssh`.chapter.o
3600	6e 20 68 6f 77 20 74 6f 20 6c 69 73 74 65 6e 20 6f 6e 20 73 70 65 63 69 66 69 63 20 61 64 64 72	n.how.to.listen.on.specific.addr
3620	65 73 73 65 73 20 6f 6e 6c 79 2e 00 41 66 74 65 72 20 73 77 69 74 63 68 69 6e 67 20 74 6f 20 3a	esses.only..After.switching.to.:
3640	72 65 66 3a 60 71 75 69 63 6b 2d 73 74 61 72 74 2d 63 6f 6e 66 69 67 75 72 61 74 69 6f 6e 2d 6d	ref:`quick-start-configuration-m
3660	6f 64 65 60 20 69 73 73 75 65 20 74 68 65 20 66 6f 6c 6c 6f 77 69 6e 67 20 63 6f 6d 6d 61 6e 64	ode`.issue.the.following.command
3680	73 3a 00 41 6c 6c 6f 77 20 41 63 63 65 73 73 20 74 6f 20 53 65 72 76 69 63 65 73 00 41 6c 6c 6f	s:.Allow.Access.to.Services.Allo
36a0	77 20 4d 61 6e 61 67 65 6d 65 6e 74 20 41 63 63 65 73 73 00 41 6c 74 65 72 6e 61 74 69 76 65 6c	w.Management.Access.Alternativel
36c0	79 2c 20 69 6e 73 74 65 61 64 20 6f 66 20 63 6f 6e 66 69 67 75 72 69 6e 67 20 74 68 65 20 60 60	y,.instead.of.configuring.the.``
36e0	43 4f 4e 4e 5f 46 49 4c 54 45 52 60 60 20 63 68 61 69 6e 20 64 65 73 63 72 69 62 65 64 20 61 62	CONN_FILTER``.chain.described.ab
3700	6f 76 65 2c 20 79 6f 75 20 63 61 6e 20 74 61 6b 65 20 74 68 65 20 6d 6f 72 65 20 74 72 61 64 69	ove,.you.can.take.the.more.tradi
3720	74 69 6f 6e 61 6c 20 73 74 61 74 65 66 75 6c 20 63 6f 6e 6e 65 63 74 69 6f 6e 20 66 69 6c 74 65	tional.stateful.connection.filte
3740	72 69 6e 67 20 61 70 70 72 6f 61 63 68 20 62 79 20 63 72 65 61 74 69 6e 67 20 72 75 6c 65 73 20	ring.approach.by.creating.rules.
3760	6f 6e 20 65 61 63 68 20 68 6f 6f 6b 27 73 20 63 68 61 69 6e 3a 00 41 6c 74 65 72 6e 61 74 69 76	on.each.hook's.chain:.Alternativ
3780	65 6c 79 2c 20 79 6f 75 20 63 61 6e 20 74 61 6b 65 20 74 68 65 20 6d 6f 72 65 20 74 72 61 64 69	ely,.you.can.take.the.more.tradi
37a0	74 69 6f 6e 61 6c 20 73 74 61 74 65 66 75 6c 20 63 6f 6e 6e 65 63 74 69 6f 6e 20 66 69 6c 74 65	tional.stateful.connection.filte
37c0	72 69 6e 67 20 61 70 70 72 6f 61 63 68 20 62 79 20 63 72 65 61 74 69 6e 67 20 72 75 6c 65 73 20	ring.approach.by.creating.rules.
37e0	6f 6e 20 65 61 63 68 20 62 61 73 65 20 68 6f 6f 6b 27 73 20 63 68 61 69 6e 3a 00 41 70 70 6c 79	on.each.base.hook's.chain:.Apply
3800	20 74 68 65 20 66 69 72 65 77 61 6c 6c 20 70 6f 6c 69 63 69 65 73 3a 00 41 73 20 61 62 6f 76 65	.the.firewall.policies:.As.above
3820	2c 20 63 6f 6d 6d 69 74 20 79 6f 75 72 20 63 68 61 6e 67 65 73 2c 20 73 61 76 65 20 74 68 65 20	,.commit.your.changes,.save.the.
3840	63 6f 6e 66 69 67 75 72 61 74 69 6f 6e 2c 20 61 6e 64 20 65 78 69 74 20 63 6f 6e 66 69 67 75 72	configuration,.and.exit.configur
3860	61 74 69 6f 6e 20 6d 6f 64 65 3a 00 42 6c 6f 63 6b 20 49 6e 63 6f 6d 69 6e 67 20 54 72 61 66 66	ation.mode:.Block.Incoming.Traff
3880	69 63 00 42 79 20 64 65 66 61 75 6c 74 2c 20 56 79 4f 53 20 69 73 20 69 6e 20 6f 70 65 72 61 74	ic.By.default,.VyOS.is.in.operat
38a0	69 6f 6e 61 6c 20 6d 6f 64 65 2c 20 61 6e 64 20 74 68 65 20 63 6f 6d 6d 61 6e 64 20 70 72 6f 6d	ional.mode,.and.the.command.prom
38c0	70 74 20 64 69 73 70 6c 61 79 73 20 61 20 60 24 60 2e 20 54 6f 20 63 6f 6e 66 69 67 75 72 65 20	pt.displays.a.`$`..To.configure.
38e0	56 79 4f 53 2c 20 79 6f 75 20 77 69 6c 6c 20 6e 65 65 64 20 74 6f 20 65 6e 74 65 72 20 63 6f 6e	VyOS,.you.will.need.to.enter.con
3900	66 69 67 75 72 61 74 69 6f 6e 20 6d 6f 64 65 2c 20 72 65 73 75 6c 74 69 6e 67 20 69 6e 20 74 68	figuration.mode,.resulting.in.th
3920	65 20 63 6f 6d 6d 61 6e 64 20 70 72 6f 6d 70 74 20 64 69 73 70 6c 61 79 69 6e 67 20 61 20 60 23	e.command.prompt.displaying.a.`#
3940	60 2c 20 61 73 20 64 65 6d 6f 6e 73 74 72 61 74 65 64 20 62 65 6c 6f 77 3a 00 42 79 20 64 65 66	`,.as.demonstrated.below:.By.def
3960	61 75 6c 74 2c 20 56 79 4f 53 20 69 73 20 69 6e 20 6f 70 65 72 61 74 69 6f 6e 61 6c 20 6d 6f 64	ault,.VyOS.is.in.operational.mod
3980	65 2c 20 61 6e 64 20 74 68 65 20 63 6f 6d 6d 61 6e 64 20 70 72 6f 6d 70 74 20 64 69 73 70 6c 61	e,.and.the.command.prompt.displa
39a0	79 73 20 61 20 60 60 24 60 60 2e 20 54 6f 20 63 6f 6e 66 69 67 75 72 65 20 56 79 4f 53 2c 20 79	ys.a.``$``..To.configure.VyOS,.y
39c0	6f 75 20 77 69 6c 6c 20 6e 65 65 64 20 74 6f 20 65 6e 74 65 72 20 63 6f 6e 66 69 67 75 72 61 74	ou.will.need.to.enter.configurat
39e0	69 6f 6e 20 6d 6f 64 65 2c 20 72 65 73 75 6c 74 69 6e 67 20 69 6e 20 74 68 65 20 63 6f 6d 6d 61	ion.mode,.resulting.in.the.comma
3a00	6e 64 20 70 72 6f 6d 70 74 20 64 69 73 70 6c 61 79 69 6e 67 20 61 20 60 60 23 60 60 2c 20 61 73	nd.prompt.displaying.a.``#``,.as
3a20	20 64 65 6d 6f 6e 73 74 72 61 74 65 64 20 62 65 6c 6f 77 3a 00 43 6f 6d 6d 69 74 20 61 6e 64 20	.demonstrated.below:.Commit.and.
3a40	53 61 76 65 00 43 6f 6d 6d 69 74 20 63 68 61 6e 67 65 73 2c 20 73 61 76 65 20 74 68 65 20 63 6f	Save.Commit.changes,.save.the.co
3a60	6e 66 69 67 75 72 61 74 69 6f 6e 2c 20 61 6e 64 20 65 78 69 74 20 63 6f 6e 66 69 67 75 72 61 74	nfiguration,.and.exit.configurat
3a80	69 6f 6e 20 6d 6f 64 65 3a 00 43 6f 6e 66 69 67 75 72 61 74 69 6f 6e 20 4d 6f 64 65 00 43 6f 6e	ion.mode:.Configuration.Mode.Con
3aa0	66 69 67 75 72 65 20 46 69 72 65 77 61 6c 6c 20 47 72 6f 75 70 73 00 43 6f 6e 66 69 67 75 72 65	figure.Firewall.Groups.Configure
3ac0	20 53 74 61 74 65 66 75 6c 20 50 61 63 6b 65 74 20 46 69 6c 74 65 72 69 6e 67 00 43 6f 6e 66 69	.Stateful.Packet.Filtering.Confi
3ae0	67 75 72 65 20 61 20 72 75 6c 65 20 6f 6e 20 74 68 65 20 60 60 69 6e 70 75 74 60 60 20 68 6f 6f	gure.a.rule.on.the.``input``.hoo
3b00	6b 20 66 69 6c 74 65 72 20 74 6f 20 6a 75 6d 70 20 74 6f 20 74 68 65 20 60 60 56 79 4f 53 5f 4d	k.filter.to.jump.to.the.``VyOS_M
3b20	41 4e 41 47 45 4d 45 4e 54 60 60 20 63 68 61 69 6e 20 77 68 65 6e 20 6e 65 77 20 63 6f 6e 6e 65	ANAGEMENT``.chain.when.new.conne
3b40	63 74 69 6f 6e 73 20 61 72 65 20 61 64 64 72 65 73 73 65 64 20 74 6f 20 70 6f 72 74 20 32 32 20	ctions.are.addressed.to.port.22.
3b60	28 53 53 48 29 20 6f 6e 20 74 68 65 20 72 6f 75 74 65 72 20 69 74 73 65 6c 66 3a 00 43 72 65 61	(SSH).on.the.router.itself:.Crea
3b80	74 65 20 61 20 6e 65 77 20 63 68 61 69 6e 20 28 60 60 4f 55 54 53 49 44 45 2d 49 4e 60 60 29 20	te.a.new.chain.(``OUTSIDE-IN``).
3ba0	77 68 69 63 68 20 77 69 6c 6c 20 64 72 6f 70 20 61 6c 6c 20 74 72 61 66 66 69 63 20 74 68 61 74	which.will.drop.all.traffic.that
3bc0	20 69 73 20 6e 6f 74 20 65 78 70 6c 69 63 69 74 6c 79 20 61 6c 6c 6f 77 65 64 20 61 74 20 73 6f	.is.not.explicitly.allowed.at.so
3be0	6d 65 20 70 6f 69 6e 74 20 69 6e 20 74 68 65 20 63 68 61 69 6e 2e 20 54 68 65 6e 2c 20 77 65 20	me.point.in.the.chain..Then,.we.
3c00	63 61 6e 20 6a 75 6d 70 20 74 6f 20 74 68 61 74 20 63 68 61 69 6e 20 66 72 6f 6d 20 74 68 65 20	can.jump.to.that.chain.from.the.
3c20	60 60 66 6f 72 77 61 72 64 60 60 20 68 6f 6f 6b 20 77 68 65 6e 20 74 72 61 66 66 69 63 20 69 73	``forward``.hook.when.traffic.is
3c40	20 63 6f 6d 69 6e 67 20 66 72 6f 6d 20 74 68 65 20 60 60 57 41 4e 60 60 20 69 6e 74 65 72 66 61	.coming.from.the.``WAN``.interfa
3c60	63 65 20 67 72 6f 75 70 20 61 6e 64 20 69 73 20 61 64 64 72 65 73 73 65 64 20 74 6f 20 6f 75 72	ce.group.and.is.addressed.to.our
3c80	20 6c 6f 63 61 6c 20 6e 65 74 77 6f 72 6b 2e 00 43 72 65 61 74 65 20 61 20 6e 65 77 20 63 68 61	.local.network..Create.a.new.cha
3ca0	69 6e 20 28 60 60 4f 55 54 53 49 44 45 2d 49 4e 60 60 29 20 77 68 69 63 68 20 77 69 6c 6c 20 64	in.(``OUTSIDE-IN``).which.will.d
3cc0	72 6f 70 20 61 6c 6c 20 74 72 61 66 66 69 63 20 74 68 61 74 20 69 73 20 6e 6f 74 20 65 78 70 6c	rop.all.traffic.that.is.not.expl
3ce0	69 63 69 74 79 20 61 6c 6c 6f 77 65 64 20 61 74 20 73 6f 6d 65 20 70 6f 69 6e 74 20 69 6e 20 74	icity.allowed.at.some.point.in.t
3d00	68 65 20 63 68 61 69 6e 2e 20 54 68 65 6e 2c 20 77 65 20 63 61 6e 20 6a 75 6d 70 20 74 6f 20 74	he.chain..Then,.we.can.jump.to.t
3d20	68 61 74 20 63 68 61 69 6e 20 66 72 6f 6d 20 74 68 65 20 60 60 66 6f 72 77 61 72 64 60 60 20 68	hat.chain.from.the.``forward``.h
3d40	6f 6f 6b 20 77 68 65 6e 20 74 72 61 66 66 69 63 20 69 73 20 63 6f 6d 69 6e 67 20 66 72 6f 6d 20	ook.when.traffic.is.coming.from.
3d60	74 68 65 20 60 60 57 41 4e 60 60 20 69 6e 74 65 72 66 61 63 65 20 67 72 6f 75 70 20 61 6e 64 20	the.``WAN``.interface.group.and.
3d80	69 73 20 61 64 64 72 65 73 73 65 64 20 74 6f 20 6f 75 72 20 6c 6f 63 61 6c 20 6e 65 74 77 6f 72	is.addressed.to.our.local.networ
3da0	6b 2e 00 44 48 43 50 20 63 6c 69 65 6e 74 73 20 77 69 6c 6c 20 62 65 20 61 73 73 69 67 6e 65 64	k..DHCP.clients.will.be.assigned
3dc0	20 49 50 20 61 64 64 72 65 73 73 65 73 20 77 69 74 68 69 6e 20 74 68 65 20 72 61 6e 67 65 20 6f	.IP.addresses.within.the.range.o
3de0	66 20 60 31 39 32 2e 31 36 38 2e 30 2e 39 20 2d 20 31 39 32 2e 31 36 38 2e 30 2e 32 35 34 60 20	f.`192.168.0.9.-.192.168.0.254`.
3e00	61 6e 64 20 68 61 76 65 20 61 20 64 6f 6d 61 69 6e 20 6e 61 6d 65 20 6f 66 20 60 69 6e 74 65 72	and.have.a.domain.name.of.`inter
3e20	6e 61 6c 2d 6e 65 74 77 6f 72 6b 60 00 44 48 43 50 20 63 6c 69 65 6e 74 73 20 77 69 6c 6c 20 62	nal-network`.DHCP.clients.will.b
3e40	65 20 61 73 73 69 67 6e 65 64 20 49 50 20 61 64 64 72 65 73 73 65 73 20 77 69 74 68 69 6e 20 74	e.assigned.IP.addresses.within.t
3e60	68 65 20 72 61 6e 67 65 20 6f 66 20 60 60 31 39 32 2e 31 36 38 2e 30 2e 39 20 2d 20 31 39 32 2e	he.range.of.``192.168.0.9.-.192.
3e80	31 36 38 2e 30 2e 32 35 34 60 60 20 61 6e 64 20 68 61 76 65 20 61 20 64 6f 6d 61 69 6e 20 6e 61	168.0.254``.and.have.a.domain.na
3ea0	6d 65 20 6f 66 20 60 60 69 6e 74 65 72 6e 61 6c 2d 6e 65 74 77 6f 72 6b 60 60 00 44 48 43 50 20	me.of.``internal-network``.DHCP.
3ec0	6c 65 61 73 65 73 20 77 69 6c 6c 20 68 6f 6c 64 20 66 6f 72 20 6f 6e 65 20 64 61 79 20 28 38 36	leases.will.hold.for.one.day.(86
3ee0	34 30 30 20 73 65 63 6f 6e 64 73 29 00 44 48 43 50 2f 44 4e 53 20 71 75 69 63 6b 2d 73 74 61 72	400.seconds).DHCP/DNS.quick-star
3f00	74 00 44 6f 63 75 6d 65 6e 74 61 74 69 6f 6e 20 66 6f 72 20 6d 6f 73 74 20 6f 66 20 74 68 65 20	t.Documentation.for.most.of.the.
3f20	6e 65 77 20 66 69 72 65 77 61 6c 6c 20 43 4c 49 20 63 61 6e 20 62 65 20 66 6f 75 6e 64 20 69 6e	new.firewall.CLI.can.be.found.in
3f40	20 74 68 65 20 3a 72 65 66 3a 60 66 69 72 65 77 61 6c 6c 60 20 63 68 61 70 74 65 72 2e 54 68 65	.the.:ref:`firewall`.chapter.The
3f60	20 6c 65 67 61 63 79 20 66 69 72 65 77 61 6c 6c 20 69 73 20 73 74 69 6c 6c 20 61 76 61 69 6c 61	.legacy.firewall.is.still.availa
3f80	62 6c 65 20 66 6f 72 20 76 65 72 73 69 6f 6e 73 20 62 65 66 6f 72 65 20 60 60 31 2e 34 2d 72 6f	ble.for.versions.before.``1.4-ro
3fa0	6c 6c 69 6e 67 2d 32 30 32 33 30 38 30 34 30 35 35 37 60 60 20 61 6e 64 20 63 61 6e 20 62 65 20	lling-202308040557``.and.can.be.
3fc0	66 6f 75 6e 64 20 69 6e 20 74 68 65 20 3a 72 65 66 3a 60 66 69 72 65 77 61 6c 6c 2d 6c 65 67 61	found.in.the.:ref:`firewall-lega
3fe0	63 79 60 20 63 68 61 70 74 65 72 2e 20 54 68 65 20 65 78 61 6d 70 6c 65 73 20 69 6e 20 74 68 69	cy`.chapter..The.examples.in.thi
4000	73 20 73 65 63 74 69 6f 6e 20 75 73 65 20 74 68 65 20 6e 65 77 20 63 6f 6e 66 69 67 75 72 61 74	s.section.use.the.new.configurat
4020	69 6f 6e 2e 00 45 73 70 65 63 69 61 6c 6c 79 20 69 66 20 79 6f 75 20 61 72 65 20 61 6c 6c 6f 77	ion..Especially.if.you.are.allow
4040	69 6e 67 20 53 53 48 20 72 65 6d 6f 74 65 20 61 63 63 65 73 73 20 66 72 6f 6d 20 74 68 65 20 6f	ing.SSH.remote.access.from.the.o
4060	75 74 73 69 64 65 2f 57 41 4e 20 69 6e 74 65 72 66 61 63 65 2c 20 74 68 65 72 65 20 61 72 65 20	utside/WAN.interface,.there.are.
4080	61 20 66 65 77 20 61 64 64 69 74 69 6f 6e 61 6c 20 63 6f 6e 66 69 67 75 72 61 74 69 6f 6e 20 73	a.few.additional.configuration.s
40a0	74 65 70 73 20 74 68 61 74 20 73 68 6f 75 6c 64 20 62 65 20 74 61 6b 65 6e 2e 00 46 69 6e 61 6c	teps.that.should.be.taken..Final
40c0	6c 79 2c 20 63 6f 6e 66 69 67 75 72 65 20 74 68 65 20 60 60 56 79 4f 53 5f 4d 41 4e 41 47 45 4d	ly,.configure.the.``VyOS_MANAGEM
40e0	45 4e 54 60 60 20 63 68 61 69 6e 20 74 6f 20 61 63 63 65 70 74 20 63 6f 6e 6e 65 63 74 69 6f 6e	ENT``.chain.to.accept.connection
4100	20 66 72 6f 6d 20 74 68 65 20 60 60 4c 41 4e 60 60 20 69 6e 74 65 72 66 61 63 65 20 67 72 6f 75	.from.the.``LAN``.interface.grou
4120	70 20 77 68 69 6c 65 20 6c 69 6d 69 74 69 6e 67 20 72 65 71 75 65 73 74 73 20 63 6f 6d 69 6e 67	p.while.limiting.requests.coming
4140	20 66 72 6f 6d 20 74 68 65 20 60 60 57 41 4e 60 60 20 69 6e 74 65 72 66 61 63 65 20 67 72 6f 75	.from.the.``WAN``.interface.grou
4160	70 20 74 6f 20 34 20 70 65 72 20 6d 69 6e 75 74 65 3a 00 46 69 6e 61 6c 6c 79 2c 20 74 72 79 20	p.to.4.per.minute:.Finally,.try.
4180	61 6e 64 20 53 53 48 20 69 6e 74 6f 20 74 68 65 20 56 79 4f 53 20 69 6e 73 74 61 6c 6c 20 61 73	and.SSH.into.the.VyOS.install.as
41a0	20 79 6f 75 72 20 6e 65 77 20 75 73 65 72 2e 20 4f 6e 63 65 20 79 6f 75 20 68 61 76 65 20 63 6f	.your.new.user..Once.you.have.co
41c0	6e 66 69 72 6d 65 64 20 74 68 61 74 20 79 6f 75 72 20 6e 65 77 20 75 73 65 72 20 63 61 6e 20 61	nfirmed.that.your.new.user.can.a
41e0	63 63 65 73 73 20 79 6f 75 72 20 72 6f 75 74 65 72 20 77 69 74 68 6f 75 74 20 61 20 70 61 73 73	ccess.your.router.without.a.pass
4200	77 6f 72 64 2c 20 64 65 6c 65 74 65 20 74 68 65 20 6f 72 69 67 69 6e 61 6c 20 60 60 76 79 6f 73	word,.delete.the.original.``vyos
4220	60 60 20 75 73 65 72 20 61 6e 64 20 63 6f 6d 70 6c 65 74 65 6c 79 20 64 69 73 61 62 6c 65 20 70	``.user.and.completely.disable.p
4240	61 73 73 77 6f 72 64 20 61 75 74 68 65 6e 74 69 63 61 74 69 6f 6e 20 66 6f 72 20 3a 72 65 66 3a	assword.authentication.for.:ref:
4260	60 73 73 68 60 3a 00 46 69 6e 61 6c 6c 79 2c 20 77 65 20 63 61 6e 20 6e 6f 77 20 63 6f 6e 66 69	`ssh`:.Finally,.we.can.now.confi
4280	67 75 72 65 20 61 63 63 65 73 73 20 74 6f 20 74 68 65 20 73 65 72 76 69 63 65 73 20 72 75 6e 6e	gure.access.to.the.services.runn
42a0	69 6e 67 20 6f 6e 20 74 68 69 73 20 72 6f 75 74 65 72 2c 20 61 6c 6c 6f 77 69 6e 67 20 61 6c 6c	ing.on.this.router,.allowing.all
42c0	20 63 6f 6e 6e 65 63 74 69 6f 6e 73 20 63 6f 6d 69 6e 67 20 66 72 6f 6d 20 6c 6f 63 61 6c 68 6f	.connections.coming.from.localho
42e0	73 74 3a 00 46 69 72 65 77 61 6c 6c 00 46 69 72 73 74 2c 20 63 72 65 61 74 65 20 61 20 6e 65 77	st:.Firewall.First,.create.a.new
4300	20 64 65 64 69 63 61 74 65 64 20 63 68 61 69 6e 20 28 60 60 56 79 4f 53 5f 4d 41 4e 41 47 45 4d	.dedicated.chain.(``VyOS_MANAGEM
4320	45 4e 54 60 60 29 20 66 6f 72 20 6d 61 6e 61 67 65 6d 65 6e 74 20 61 63 63 65 73 73 2c 20 77 68	ENT``).for.management.access,.wh
4340	69 63 68 20 72 65 74 75 72 6e 73 20 74 6f 20 74 68 65 20 70 61 72 65 6e 74 20 63 68 61 69 6e 20	ich.returns.to.the.parent.chain.
4360	69 66 20 6e 6f 20 61 63 74 69 6f 6e 20 69 73 20 74 61 6b 65 6e 2e 20 41 64 64 20 61 20 72 75 6c	if.no.action.is.taken..Add.a.rul
4380	65 20 74 6f 20 61 63 63 65 70 74 20 74 72 61 66 66 69 63 20 66 72 6f 6d 20 74 68 65 20 60 60 4c	e.to.accept.traffic.from.the.``L
43a0	41 4e 60 60 20 69 6e 74 65 72 66 61 63 65 20 67 72 6f 75 70 3a 00 48 61 72 64 65 6e 69 6e 67 00	AN``.interface.group:.Hardening.
43c0	48 65 72 65 20 77 65 27 72 65 20 61 6c 6c 6f 77 69 6e 67 20 74 68 65 20 72 6f 75 74 65 72 20 74	Here.we're.allowing.the.router.t
43e0	6f 20 72 65 73 70 6f 6e 64 20 74 6f 20 70 69 6e 67 73 2e 20 54 68 65 6e 2c 20 77 65 20 63 61 6e	o.respond.to.pings..Then,.we.can
4400	20 61 6c 6c 6f 77 20 61 63 63 65 73 73 20 74 6f 20 74 68 65 20 44 4e 53 20 72 65 63 75 72 73 6f	.allow.access.to.the.DNS.recurso
4420	72 20 77 65 20 63 6f 6e 66 69 67 75 72 65 64 20 65 61 72 6c 69 65 72 2c 20 61 63 63 65 70 74 69	r.we.configured.earlier,.accepti
4440	6e 67 20 74 72 61 66 66 69 63 20 62 6f 75 6e 64 20 66 6f 72 20 70 6f 72 74 20 35 33 20 66 72 6f	ng.traffic.bound.for.port.53.fro
4460	6d 20 61 6c 6c 20 68 6f 73 74 73 20 6f 6e 20 74 68 65 20 60 60 4e 45 54 2d 49 4e 53 49 44 45 2d	m.all.hosts.on.the.``NET-INSIDE-
4480	76 34 60 60 20 6e 65 74 77 6f 72 6b 3a 00 49 66 20 79 6f 75 20 77 61 6e 74 65 64 20 74 6f 20 65	v4``.network:.If.you.wanted.to.e
44a0	6e 61 62 6c 65 20 53 53 48 20 61 63 63 65 73 73 20 74 6f 20 79 6f 75 72 20 66 69 72 65 77 61 6c	nable.SSH.access.to.your.firewal
44c0	6c 20 66 72 6f 6d 20 74 68 65 20 6f 75 74 73 69 64 65 2f 57 41 4e 20 69 6e 74 65 72 66 61 63 65	l.from.the.outside/WAN.interface
44e0	2c 20 79 6f 75 20 63 6f 75 6c 64 20 63 72 65 61 74 65 20 73 6f 6d 65 20 61 64 64 69 74 69 6f 6e	,.you.could.create.some.addition
4500	61 6c 20 72 75 6c 65 73 20 74 6f 20 61 6c 6c 6f 77 20 74 68 61 74 20 6b 69 6e 64 20 6f 66 20 74	al.rules.to.allow.that.kind.of.t
4520	72 61 66 66 69 63 2e 00 49 6e 20 74 68 69 73 20 63 61 73 65 2c 20 77 65 20 77 69 6c 6c 20 63 72	raffic..In.this.case,.we.will.cr
4540	65 61 74 65 20 74 77 6f 20 69 6e 74 65 72 66 61 63 65 20 67 72 6f 75 70 73 20 e2 80 94 20 61 20	eate.two.interface.groups.....a.
4560	60 60 57 41 4e 60 60 20 67 72 6f 75 70 20 66 6f 72 20 6f 75 72 20 69 6e 74 65 72 66 61 63 65 73	``WAN``.group.for.our.interfaces
4580	20 63 6f 6e 6e 65 63 74 65 64 20 74 6f 20 74 68 65 20 70 75 62 6c 69 63 20 69 6e 74 65 72 6e 65	.connected.to.the.public.interne
45a0	74 20 61 6e 64 20 61 20 60 60 4c 41 4e 60 60 20 67 72 6f 75 70 20 66 6f 72 20 74 68 65 20 69 6e	t.and.a.``LAN``.group.for.the.in
45c0	74 65 72 66 61 63 65 73 20 63 6f 6e 6e 65 63 74 65 64 20 74 6f 20 6f 75 72 20 69 6e 74 65 72 6e	terfaces.connected.to.our.intern
45e0	61 6c 20 6e 65 74 77 6f 72 6b 2e 20 41 64 64 69 74 69 6f 6e 61 6c 6c 79 2c 20 77 65 20 77 69 6c	al.network..Additionally,.we.wil
4600	6c 20 63 72 65 61 74 65 20 61 20 6e 65 74 77 6f 72 6b 20 67 72 6f 75 70 2c 20 60 60 4e 45 54 2d	l.create.a.network.group,.``NET-
4620	49 4e 53 49 44 45 2d 76 34 60 60 2c 20 74 68 61 74 20 63 6f 6e 74 61 69 6e 73 20 6f 75 72 20 69	INSIDE-v4``,.that.contains.our.i
4640	6e 74 65 72 6e 61 6c 20 73 75 62 6e 65 74 2e 00 49 6e 20 74 68 69 73 20 63 61 73 65 2c 20 77 65	nternal.subnet..In.this.case,.we
4660	20 77 69 6c 6c 20 63 72 65 61 74 65 20 74 77 6f 20 69 6e 74 65 72 66 61 63 65 20 67 72 6f 75 70	.will.create.two.interface.group
4680	73 e2 80 94 61 20 60 60 57 41 4e 60 60 20 67 72 6f 75 70 20 66 6f 72 20 6f 75 72 20 69 6e 74 65	s...a.``WAN``.group.for.our.inte
46a0	72 66 61 63 65 73 20 63 6f 6e 6e 65 63 74 65 64 20 74 6f 20 74 68 65 20 70 75 62 6c 69 63 20 69	rfaces.connected.to.the.public.i
46c0	6e 74 65 72 6e 65 74 20 61 6e 64 20 61 20 60 60 4c 41 4e 60 60 20 67 72 6f 75 70 20 66 6f 72 20	nternet.and.a.``LAN``.group.for.
46e0	74 68 65 20 69 6e 74 65 72 66 61 63 65 73 20 63 6f 6e 6e 65 63 74 65 64 20 74 6f 20 6f 75 72 20	the.interfaces.connected.to.our.
4700	69 6e 74 65 72 6e 61 6c 20 6e 65 74 77 6f 72 6b 2e 20 41 64 64 69 74 69 6f 6e 61 6c 6c 79 2c 20	internal.network..Additionally,.
4720	77 65 20 77 69 6c 6c 20 63 72 65 61 74 65 20 61 20 6e 65 74 77 6f 72 6b 20 67 72 6f 75 70 2c 20	we.will.create.a.network.group,.
4740	60 60 4e 45 54 2d 49 4e 53 49 44 45 2d 76 34 60 60 2c 20 74 68 61 74 20 63 6f 6e 74 61 69 6e 73	``NET-INSIDE-v4``,.that.contains
4760	20 6f 75 72 20 69 6e 74 65 72 6e 61 6c 20 73 75 62 6e 65 74 2e 00 49 6e 74 65 72 66 61 63 65 20	.our.internal.subnet..Interface.
4780	43 6f 6e 66 69 67 75 72 61 74 69 6f 6e 00 4d 6f 73 74 20 69 6e 73 74 61 6c 6c 61 74 69 6f 6e 73	Configuration.Most.installations
47a0	20 77 6f 75 6c 64 20 63 68 6f 6f 73 65 20 74 68 69 73 20 6f 70 74 69 6f 6e 2c 20 61 6e 64 20 77	.would.choose.this.option,.and.w
47c0	69 6c 6c 20 63 6f 6e 74 61 69 6e 3a 00 4e 41 54 00 4e 6f 77 20 74 68 61 74 20 77 65 20 68 61 76	ill.contain:.NAT.Now.that.we.hav
47e0	65 20 63 6f 6e 66 69 67 75 72 65 64 20 73 74 61 74 65 66 75 6c 20 63 6f 6e 6e 65 63 74 69 6f 6e	e.configured.stateful.connection
4800	20 66 69 6c 74 65 72 69 6e 67 20 74 6f 20 61 6c 6c 6f 77 20 74 72 61 66 66 69 63 20 66 72 6f 6d	.filtering.to.allow.traffic.from
4820	20 65 73 74 61 62 6c 69 73 68 65 64 20 61 6e 64 20 72 65 6c 61 74 65 64 20 63 6f 6e 6e 65 63 74	.established.and.related.connect
4840	69 6f 6e 73 2c 20 77 65 20 63 61 6e 20 62 6c 6f 63 6b 20 61 6c 6c 20 6f 74 68 65 72 20 69 6e 63	ions,.we.can.block.all.other.inc
4860	6f 6d 69 6e 67 20 74 72 61 66 66 69 63 20 61 64 64 72 65 73 73 65 64 20 74 6f 20 6f 75 72 20 6c	oming.traffic.addressed.to.our.l
4880	6f 63 61 6c 20 6e 65 74 77 6f 72 6b 2e 00 4f 6e 63 65 20 79 6f 75 72 20 63 6f 6e 66 69 67 75 72	ocal.network..Once.your.configur
48a0	61 74 69 6f 6e 20 77 6f 72 6b 73 20 61 73 20 65 78 70 65 63 74 65 64 2c 20 79 6f 75 20 63 61 6e	ation.works.as.expected,.you.can
48c0	20 73 61 76 65 20 69 74 20 70 65 72 6d 61 6e 65 6e 74 6c 79 20 62 79 20 75 73 69 6e 67 20 74 68	.save.it.permanently.by.using.th
48e0	65 20 66 6f 6c 6c 6f 77 69 6e 67 20 63 6f 6d 6d 61 6e 64 3a 00 4f 6e 6c 79 20 68 6f 73 74 73 20	e.following.command:.Only.hosts.
4900	66 72 6f 6d 20 79 6f 75 72 20 69 6e 74 65 72 6e 61 6c 2f 4c 41 4e 20 6e 65 74 77 6f 72 6b 20 63	from.your.internal/LAN.network.c
4920	61 6e 20 75 73 65 20 74 68 65 20 44 4e 53 20 72 65 63 75 72 73 6f 72 00 4f 70 74 69 6f 6e 20 31	an.use.the.DNS.recursor.Option.1
4940	3a 20 43 6f 6d 6d 6f 6e 20 43 68 61 69 6e 00 4f 70 74 69 6f 6e 20 31 3a 20 47 6c 6f 62 61 6c 20	:.Common.Chain.Option.1:.Global.
4960	53 74 61 74 65 20 50 6f 6c 69 63 69 65 73 00 4f 70 74 69 6f 6e 20 32 3a 20 43 6f 6d 6d 6f 6e 2f	State.Policies.Option.2:.Common/
4980	43 75 73 74 6f 6d 20 43 68 61 69 6e 00 4f 70 74 69 6f 6e 20 32 3a 20 50 65 72 2d 48 6f 6f 6b 20	Custom.Chain.Option.2:.Per-Hook.
49a0	43 68 61 69 6e 00 4f 70 74 69 6f 6e 20 33 3a 20 50 65 72 2d 48 6f 6f 6b 20 43 68 61 69 6e 00 51	Chain.Option.3:.Per-Hook.Chain.Q
49c0	75 69 63 6b 20 53 74 61 72 74 00 52 65 70 6c 61 63 65 20 74 68 65 20 64 65 66 61 75 6c 74 20 60	uick.Start.Replace.the.default.`
49e0	60 76 79 6f 73 60 60 20 73 79 73 74 65 6d 20 75 73 65 72 3a 00 52 65 70 6c 61 63 65 20 74 68 65	`vyos``.system.user:.Replace.the
4a00	20 64 65 66 61 75 6c 74 20 60 76 79 6f 73 60 20 73 79 73 74 65 6d 20 75 73 65 72 3a 00 53 53 48	.default.`vyos`.system.user:.SSH
4a20	20 4d 61 6e 61 67 65 6d 65 6e 74 00 53 65 74 20 75 70 20 3a 72 65 66 3a 60 73 73 68 5f 6b 65 79	.Management.Set.up.:ref:`ssh_key
4a40	5f 62 61 73 65 64 5f 61 75 74 68 65 6e 74 69 63 61 74 69 6f 6e 60 3a 00 54 68 65 20 61 64 64 72	_based_authentication`:.The.addr
4a60	65 73 73 20 72 61 6e 67 65 20 60 31 39 32 2e 31 36 38 2e 30 2e 32 2f 32 34 20 2d 20 31 39 32 2e	ess.range.`192.168.0.2/24.-.192.
4a80	31 36 38 2e 30 2e 38 2f 32 34 60 20 77 69 6c 6c 20 62 65 20 72 65 73 65 72 76 65 64 20 66 6f 72	168.0.8/24`.will.be.reserved.for
4aa0	20 73 74 61 74 69 63 20 61 73 73 69 67 6e 6d 65 6e 74 73 00 54 68 65 20 61 64 64 72 65 73 73 20	.static.assignments.The.address.
4ac0	72 61 6e 67 65 20 60 60 31 39 32 2e 31 36 38 2e 30 2e 32 2f 32 34 20 2d 20 31 39 32 2e 31 36 38	range.``192.168.0.2/24.-.192.168
4ae0	2e 30 2e 38 2f 32 34 60 60 20 77 69 6c 6c 20 62 65 20 72 65 73 65 72 76 65 64 20 66 6f 72 20 73	.0.8/24``.will.be.reserved.for.s
4b00	74 61 74 69 63 20 61 73 73 69 67 6e 6d 65 6e 74 73 00 54 68 65 20 63 68 61 69 6e 20 77 65 20 77	tatic.assignments.The.chain.we.w
4b20	69 6c 6c 20 63 72 65 61 74 65 20 69 73 20 63 61 6c 6c 65 64 20 60 60 43 4f 4e 4e 5f 46 49 4c 54	ill.create.is.called.``CONN_FILT
4b40	45 52 60 60 20 61 6e 64 20 68 61 73 20 74 68 72 65 65 20 72 75 6c 65 73 3a 00 54 68 65 20 64 65	ER``.and.has.three.rules:.The.de
4b60	66 61 75 6c 74 20 67 61 74 65 77 61 79 20 61 6e 64 20 44 4e 53 20 72 65 63 75 72 73 6f 72 20 61	fault.gateway.and.DNS.recursor.a
4b80	64 64 72 65 73 73 20 77 69 6c 6c 20 62 65 20 60 31 39 32 2e 31 36 38 2e 30 2e 31 2f 32 34 60 00	ddress.will.be.`192.168.0.1/24`.
4ba0	54 68 65 20 64 65 66 61 75 6c 74 20 67 61 74 65 77 61 79 20 61 6e 64 20 44 4e 53 20 72 65 63 75	The.default.gateway.and.DNS.recu
4bc0	72 73 6f 72 20 61 64 64 72 65 73 73 20 77 69 6c 6c 20 62 65 20 60 60 31 39 32 2e 31 36 38 2e 30	rsor.address.will.be.``192.168.0
4be0	2e 31 2f 32 34 60 60 00 54 68 65 20 66 69 72 65 77 61 6c 6c 20 62 65 67 69 6e 73 20 77 69 74 68	.1/24``.The.firewall.begins.with
4c00	20 74 68 65 20 62 61 73 65 20 60 60 66 69 6c 74 65 72 60 60 20 74 61 62 6c 65 73 20 79 6f 75 20	.the.base.``filter``.tables.you.
4c20	64 65 66 69 6e 65 20 66 6f 72 20 65 61 63 68 20 6f 66 20 74 68 65 20 60 60 66 6f 72 77 61 72 64	define.for.each.of.the.``forward
4c40	60 60 2c 20 60 60 69 6e 70 75 74 60 60 2c 20 61 6e 64 20 60 60 6f 75 74 70 75 74 60 60 20 4e 65	``,.``input``,.and.``output``.Ne
4c60	74 66 69 74 65 72 20 68 6f 6f 6b 73 2e 20 45 61 63 68 20 6f 66 20 74 68 65 73 65 20 74 61 62 6c	tfiter.hooks..Each.of.these.tabl
4c80	65 73 20 69 73 20 70 6f 70 75 6c 61 74 65 64 20 77 69 74 68 20 72 75 6c 65 73 20 74 68 61 74 20	es.is.populated.with.rules.that.
4ca0	61 72 65 20 70 72 6f 63 65 73 73 65 64 20 69 6e 20 6f 72 64 65 72 20 61 6e 64 20 63 61 6e 20 6a	are.processed.in.order.and.can.j
4cc0	75 6d 70 20 74 6f 20 6f 74 68 65 72 20 63 68 61 69 6e 73 20 66 6f 72 20 6d 6f 72 65 20 67 72 61	ump.to.other.chains.for.more.gra
4ce0	6e 75 6c 61 72 20 66 69 6c 74 65 72 69 6e 67 2e 00 54 68 65 20 66 6f 6c 6c 6f 77 69 6e 67 20 73	nular.filtering..The.following.s
4d00	65 74 74 69 6e 67 73 20 77 69 6c 6c 20 63 6f 6e 66 69 67 75 72 65 20 3a 72 65 66 3a 60 73 6f 75	ettings.will.configure.:ref:`sou
4d20	72 63 65 2d 6e 61 74 60 20 72 75 6c 65 73 20 66 6f 72 20 6f 75 72 20 69 6e 74 65 72 6e 61 6c 2f	rce-nat`.rules.for.our.internal/
4d40	4c 41 4e 20 6e 65 74 77 6f 72 6b 2c 20 61 6c 6c 6f 77 69 6e 67 20 68 6f 73 74 73 20 74 6f 20 63	LAN.network,.allowing.hosts.to.c
4d60	6f 6d 6d 75 6e 69 63 61 74 65 20 74 68 72 6f 75 67 68 20 74 68 65 20 6f 75 74 73 69 64 65 2f 57	ommunicate.through.the.outside/W
4d80	41 4e 20 6e 65 74 77 6f 72 6b 20 76 69 61 20 49 50 20 6d 61 73 71 75 65 72 61 64 65 2e 00 54 68	AN.network.via.IP.masquerade..Th
4da0	65 20 66 6f 6c 6c 6f 77 69 6e 67 20 73 65 74 74 69 6e 67 73 20 77 69 6c 6c 20 63 6f 6e 66 69 67	e.following.settings.will.config
4dc0	75 72 65 20 44 48 43 50 20 61 6e 64 20 44 4e 53 20 73 65 72 76 69 63 65 73 20 6f 6e 20 79 6f 75	ure.DHCP.and.DNS.services.on.you
4de0	72 20 69 6e 74 65 72 6e 61 6c 2f 4c 41 4e 20 6e 65 74 77 6f 72 6b 2c 20 77 68 65 72 65 20 56 79	r.internal/LAN.network,.where.Vy
4e00	4f 53 20 77 69 6c 6c 20 61 63 74 20 61 73 20 74 68 65 20 64 65 66 61 75 6c 74 20 67 61 74 65 77	OS.will.act.as.the.default.gatew
4e20	61 79 20 61 6e 64 20 44 4e 53 20 73 65 72 76 65 72 2e 00 54 68 65 6e 2c 20 77 65 20 63 61 6e 20	ay.and.DNS.server..Then,.we.can.
4e40	6a 75 6d 70 20 74 6f 20 74 68 65 20 63 6f 6d 6d 6f 6e 20 63 68 61 69 6e 20 66 72 6f 6d 20 62 6f	jump.to.the.common.chain.from.bo
4e60	74 68 20 74 68 65 20 60 60 66 6f 72 77 61 72 64 60 60 20 61 6e 64 20 60 60 69 6e 70 75 74 60 60	th.the.``forward``.and.``input``
4e80	20 68 6f 6f 6b 73 20 61 73 20 74 68 65 20 66 69 72 73 74 20 66 69 6c 74 65 72 69 6e 67 20 72 75	.hooks.as.the.first.filtering.ru
4ea0	6c 65 20 69 6e 20 74 68 65 20 72 65 73 70 65 63 74 69 76 65 20 63 68 61 69 6e 73 3a 00 54 68 65	le.in.the.respective.chains:.The
4ec0	73 65 20 72 75 6c 65 73 20 61 6c 6c 6f 77 20 53 53 48 20 74 72 61 66 66 69 63 20 61 6e 64 20 72	se.rules.allow.SSH.traffic.and.r
4ee0	61 74 65 20 6c 69 6d 69 74 20 69 74 20 74 6f 20 34 20 72 65 71 75 65 73 74 73 20 70 65 72 20 6d	ate.limit.it.to.4.requests.per.m
4f00	69 6e 75 74 65 2e 20 54 68 69 73 20 62 6c 6f 63 6b 73 20 62 72 75 74 65 2d 66 6f 72 63 69 6e 67	inute..This.blocks.brute-forcing
4f20	20 61 74 74 65 6d 70 74 73 3a 00 54 68 69 73 20 63 68 61 70 74 65 72 20 77 69 6c 6c 20 67 75 69	.attempts:.This.chapter.will.gui
4f40	64 65 20 79 6f 75 20 6f 6e 20 68 6f 77 20 74 6f 20 67 65 74 20 75 70 20 74 6f 20 73 70 65 65 64	de.you.on.how.to.get.up.to.speed
4f60	20 71 75 69 63 6b 6c 79 20 75 73 69 6e 67 20 79 6f 75 72 20 6e 65 77 20 56 79 4f 53 20 73 79 73	.quickly.using.your.new.VyOS.sys
4f80	74 65 6d 2e 20 49 74 20 77 69 6c 6c 20 73 68 6f 77 20 79 6f 75 20 61 20 76 65 72 79 20 62 61 73	tem..It.will.show.you.a.very.bas
4fa0	69 63 20 63 6f 6e 66 69 67 75 72 61 74 69 6f 6e 20 65 78 61 6d 70 6c 65 20 74 68 61 74 20 77 69	ic.configuration.example.that.wi
4fc0	6c 6c 20 70 72 6f 76 69 64 65 20 61 20 3a 72 65 66 3a 60 6e 61 74 60 20 67 61 74 65 77 61 79 20	ll.provide.a.:ref:`nat`.gateway.
4fe0	66 6f 72 20 61 20 64 65 76 69 63 65 20 77 69 74 68 20 74 77 6f 20 6e 65 74 77 6f 72 6b 20 69 6e	for.a.device.with.two.network.in
5000	74 65 72 66 61 63 65 73 20 28 60 60 65 74 68 30 60 60 20 61 6e 64 20 60 60 65 74 68 31 60 60 29	terfaces.(``eth0``.and.``eth1``)
5020	2e 00 54 68 69 73 20 63 68 61 70 74 65 72 20 77 69 6c 6c 20 67 75 69 64 65 20 79 6f 75 20 6f 6e	..This.chapter.will.guide.you.on
5040	20 68 6f 77 20 74 6f 20 67 65 74 20 75 70 20 74 6f 20 73 70 65 65 64 20 71 75 69 63 6b 6c 79 20	.how.to.get.up.to.speed.quickly.
5060	75 73 69 6e 67 20 79 6f 75 72 20 6e 65 77 20 56 79 4f 53 20 73 79 73 74 65 6d 2e 20 49 74 20 77	using.your.new.VyOS.system..It.w
5080	69 6c 6c 20 73 68 6f 77 20 79 6f 75 20 61 20 76 65 72 79 20 62 61 73 69 63 20 63 6f 6e 66 69 67	ill.show.you.a.very.basic.config
50a0	75 72 61 74 69 6f 6e 20 65 78 61 6d 70 6c 65 20 74 68 61 74 20 77 69 6c 6c 20 70 72 6f 76 69 64	uration.example.that.will.provid
50c0	65 20 61 20 3a 72 65 66 3a 60 6e 61 74 60 20 67 61 74 65 77 61 79 20 66 6f 72 20 61 20 64 65 76	e.a.:ref:`nat`.gateway.for.a.dev
50e0	69 63 65 20 77 69 74 68 20 74 77 6f 20 6e 65 74 77 6f 72 6b 20 69 6e 74 65 72 66 61 63 65 73 20	ice.with.two.network.interfaces.
5100	28 60 65 74 68 30 60 20 61 6e 64 20 60 65 74 68 31 60 29 2e 00 54 68 69 73 20 63 6f 6e 66 69 67	(`eth0`.and.`eth1`)..This.config
5120	75 72 61 74 69 6f 6e 20 63 72 65 61 74 65 73 20 61 20 70 72 6f 70 65 72 20 73 74 61 74 65 66 75	uration.creates.a.proper.statefu
5140	6c 20 66 69 72 65 77 61 6c 6c 20 74 68 61 74 20 62 6c 6f 63 6b 73 20 61 6c 6c 20 74 72 61 66 66	l.firewall.that.blocks.all.traff
5160	69 63 20 77 68 69 63 68 20 77 61 73 20 6e 6f 74 20 69 6e 69 74 69 61 74 65 64 20 66 72 6f 6d 20	ic.which.was.not.initiated.from.
5180	74 68 65 20 69 6e 74 65 72 6e 61 6c 2f 4c 41 4e 20 73 69 64 65 20 66 69 72 73 74 2e 00 54 6f 20	the.internal/LAN.side.first..To.
51a0	6d 61 6b 65 20 66 69 72 65 77 61 6c 6c 20 63 6f 6e 66 69 67 75 72 61 74 69 6f 6e 20 65 61 73 69	make.firewall.configuration.easi
51c0	65 72 2c 20 77 65 20 63 61 6e 20 63 72 65 61 74 65 20 67 72 6f 75 70 73 20 6f 66 20 69 6e 74 65	er,.we.can.create.groups.of.inte
51e0	72 66 61 63 65 73 2c 20 6e 65 74 77 6f 72 6b 73 2c 20 61 64 64 72 65 73 73 65 73 2c 20 70 6f 72	rfaces,.networks,.addresses,.por
5200	74 73 2c 20 61 6e 64 20 64 6f 6d 61 69 6e 73 20 74 68 61 74 20 64 65 73 63 72 69 62 65 20 64 69	ts,.and.domains.that.describe.di
5220	66 66 65 72 65 6e 74 20 70 61 72 74 73 20 6f 66 20 6f 75 72 20 6e 65 74 77 6f 72 6b 2e 20 57 65	fferent.parts.of.our.network..We
5240	20 63 61 6e 20 74 68 65 6e 20 75 73 65 20 74 68 65 6d 20 66 6f 72 20 66 69 6c 74 65 72 69 6e 67	.can.then.use.them.for.filtering
5260	20 77 69 74 68 69 6e 20 6f 75 72 20 66 69 72 65 77 61 6c 6c 20 72 75 6c 65 73 65 74 73 2c 20 61	.within.our.firewall.rulesets,.a
5280	6c 6c 6f 77 69 6e 67 20 66 6f 72 20 6d 6f 72 65 20 63 6f 6e 63 69 73 65 20 61 6e 64 20 72 65 61	llowing.for.more.concise.and.rea
52a0	64 61 62 6c 65 20 63 6f 6e 66 69 67 75 72 61 74 69 6f 6e 2e 00 55 73 69 6e 67 20 6f 70 74 69 6f	dable.configuration..Using.optio
52c0	6e 73 20 64 65 66 69 6e 65 64 20 69 6e 20 60 60 73 65 74 20 66 69 72 65 77 61 6c 6c 20 67 6c 6f	ns.defined.in.``set.firewall.glo
52e0	62 61 6c 2d 6f 70 74 69 6f 6e 73 20 73 74 61 74 65 2d 70 6f 6c 69 63 79 60 60 2c 20 73 74 61 74	bal-options.state-policy``,.stat
5300	65 20 70 6f 6c 69 63 79 20 72 75 6c 65 73 20 74 68 61 74 20 61 70 70 6c 69 65 73 20 66 6f 72 20	e.policy.rules.that.applies.for.
5320	62 6f 74 68 20 49 50 76 34 20 61 6e 64 20 49 50 76 36 20 61 72 65 20 63 72 65 61 74 65 64 2e 20	both.IPv4.and.IPv6.are.created..
5340	54 68 65 73 65 20 67 6c 6f 62 61 6c 20 73 74 61 74 65 20 70 6f 6c 69 63 69 65 73 20 61 6c 73 6f	These.global.state.policies.also
5360	20 61 70 70 6c 69 65 73 20 66 6f 72 20 61 6c 6c 20 74 72 61 66 66 69 63 20 74 68 61 74 20 70 61	.applies.for.all.traffic.that.pa
5380	73 73 65 73 20 74 68 72 6f 75 67 68 20 74 68 65 20 72 6f 75 74 65 72 20 28 74 72 61 6e 73 69 74	sses.through.the.router.(transit
53a0	29 20 61 6e 64 20 66 6f 72 20 74 72 61 66 66 69 63 20 6f 72 69 67 69 6e 61 74 65 64 2f 64 65 73	).and.for.traffic.originated/des
53c0	74 69 6e 61 74 65 64 20 74 6f 2f 66 72 6f 6d 20 74 68 65 20 72 6f 75 74 65 72 20 69 74 73 65 6c	tinated.to/from.the.router.itsel
53e0	66 2c 20 61 6e 64 20 77 69 6c 6c 20 62 65 20 61 76 61 6c 75 61 74 65 64 20 62 65 66 6f 72 65 20	f,.and.will.be.avaluated.before.
5400	61 6e 79 20 6f 74 68 65 72 20 72 75 6c 65 20 64 65 66 69 6e 65 64 20 69 6e 20 74 68 65 20 66 69	any.other.rule.defined.in.the.fi
5420	72 65 77 61 6c 6c 2e 00 55 73 69 6e 67 20 6f 70 74 69 6f 6e 73 20 64 65 66 69 6e 65 64 20 69 6e	rewall..Using.options.defined.in
5440	20 60 60 73 65 74 20 66 69 72 65 77 61 6c 6c 20 67 6c 6f 62 61 6c 2d 6f 70 74 69 6f 6e 73 20 73	.``set.firewall.global-options.s
5460	74 61 74 65 2d 70 6f 6c 69 63 79 60 60 2c 20 73 74 61 74 65 20 70 6f 6c 69 63 79 20 72 75 6c 65	tate-policy``,.state.policy.rule
5480	73 20 74 68 61 74 20 61 70 70 6c 69 65 73 20 66 6f 72 20 62 6f 74 68 20 49 50 76 34 20 61 6e 64	s.that.applies.for.both.IPv4.and
54a0	20 49 50 76 36 20 61 72 65 20 63 72 65 61 74 65 64 2e 20 54 68 65 73 65 20 67 6c 6f 62 61 6c 20	.IPv6.are.created..These.global.
54c0	73 74 61 74 65 20 70 6f 6c 69 63 69 65 73 20 61 6c 73 6f 20 61 70 70 6c 69 65 73 20 66 6f 72 20	state.policies.also.applies.for.
54e0	61 6c 6c 20 74 72 61 66 66 69 63 20 74 68 61 74 20 70 61 73 73 65 73 20 74 68 72 6f 75 67 68 20	all.traffic.that.passes.through.
5500	74 68 65 20 72 6f 75 74 65 72 20 28 74 72 61 6e 73 69 74 29 20 61 6e 64 20 66 6f 72 20 74 72 61	the.router.(transit).and.for.tra
5520	66 66 69 63 20 6f 72 69 67 69 6e 61 74 65 64 2f 64 65 73 74 69 6e 61 74 65 64 20 74 6f 2f 66 72	ffic.originated/destinated.to/fr
5540	6f 6d 20 74 68 65 20 72 6f 75 74 65 72 20 69 74 73 65 6c 66 2c 20 61 6e 64 20 77 69 6c 6c 20 62	om.the.router.itself,.and.will.b
5560	65 20 65 76 61 6c 75 61 74 65 64 20 62 65 66 6f 72 65 20 61 6e 79 20 6f 74 68 65 72 20 72 75 6c	e.evaluated.before.any.other.rul
5580	65 20 64 65 66 69 6e 65 64 20 69 6e 20 74 68 65 20 66 69 72 65 77 61 6c 6c 2e 00 56 79 4f 53 20	e.defined.in.the.firewall..VyOS.
55a0	77 69 6c 6c 20 73 65 72 76 65 20 61 73 20 61 20 66 75 6c 6c 20 44 4e 53 20 72 65 63 75 72 73 6f	will.serve.as.a.full.DNS.recurso
55c0	72 2c 20 72 65 70 6c 61 63 69 6e 67 20 74 68 65 20 6e 65 65 64 20 74 6f 20 75 74 69 6c 69 7a 65	r,.replacing.the.need.to.utilize
55e0	20 47 6f 6f 67 6c 65 2c 20 43 6c 6f 75 64 66 6c 61 72 65 2c 20 6f 72 20 6f 74 68 65 72 20 70 75	.Google,.Cloudflare,.or.other.pu
5600	62 6c 69 63 20 44 4e 53 20 73 65 72 76 65 72 73 20 28 77 68 69 63 68 20 69 73 20 67 6f 6f 64 20	blic.DNS.servers.(which.is.good.
5620	66 6f 72 20 70 72 69 76 61 63 79 29 00 57 65 20 63 61 6e 20 63 72 65 61 74 65 20 61 20 63 6f 6d	for.privacy).We.can.create.a.com
5640	6d 6f 6e 20 63 68 61 69 6e 20 66 6f 72 20 73 74 61 74 65 66 75 6c 20 63 6f 6e 6e 65 63 74 69 6f	mon.chain.for.stateful.connectio
5660	6e 20 66 69 6c 74 65 72 69 6e 67 20 6f 66 20 6d 75 6c 74 69 70 6c 65 20 69 6e 74 65 72 66 61 63	n.filtering.of.multiple.interfac
5680	65 73 20 28 6f 72 20 6d 75 6c 74 69 70 6c 65 20 6e 65 74 66 69 6c 74 65 72 20 68 6f 6f 6b 73 20	es.(or.multiple.netfilter.hooks.
56a0	6f 6e 20 6f 6e 65 20 69 6e 74 65 72 66 61 63 65 29 2e 20 54 68 6f 73 65 20 69 6e 64 69 76 69 64	on.one.interface)..Those.individ
56c0	75 61 6c 20 63 68 61 69 6e 73 20 63 61 6e 20 74 68 65 6e 20 6a 75 6d 70 20 74 6f 20 74 68 65 20	ual.chains.can.then.jump.to.the.
56e0	63 6f 6d 6d 6f 6e 20 63 68 61 69 6e 20 66 6f 72 20 73 74 61 74 65 66 75 6c 20 63 6f 6e 6e 65 63	common.chain.for.stateful.connec
5700	74 69 6f 6e 20 66 69 6c 74 65 72 69 6e 67 2c 20 72 65 74 75 72 6e 69 6e 67 20 74 6f 20 74 68 65	tion.filtering,.returning.to.the
5720	20 6f 72 69 67 69 6e 61 6c 20 63 68 61 69 6e 20 66 6f 72 20 66 75 72 74 68 65 72 20 72 75 6c 65	.original.chain.for.further.rule
5740	20 70 72 6f 63 65 73 73 69 6e 67 20 69 66 20 6e 6f 20 61 63 74 69 6f 6e 20 69 73 20 74 61 6b 65	.processing.if.no.action.is.take
5760	6e 20 6f 6e 20 74 68 65 20 70 61 63 6b 65 74 2e 00 57 65 20 63 61 6e 20 6e 6f 77 20 63 6f 6e 66	n.on.the.packet..We.can.now.conf
5780	69 67 75 72 65 20 61 63 63 65 73 73 20 74 6f 20 74 68 65 20 72 6f 75 74 65 72 20 69 74 73 65 6c	igure.access.to.the.router.itsel
57a0	66 2c 20 61 6c 6c 6f 77 69 6e 67 20 53 53 48 20 61 63 63 65 73 73 20 66 72 6f 6d 20 74 68 65 20	f,.allowing.SSH.access.from.the.
57c0	69 6e 73 69 64 65 2f 4c 41 4e 20 6e 65 74 77 6f 72 6b 20 61 6e 64 20 72 61 74 65 20 6c 69 6d 69	inside/LAN.network.and.rate.limi
57e0	74 69 6e 67 20 53 53 48 20 61 63 63 65 73 73 20 66 72 6f 6d 20 74 68 65 20 6f 75 74 73 69 64 65	ting.SSH.access.from.the.outside
5800	2f 57 41 4e 20 6e 65 74 77 6f 72 6b 2e 00 57 65 20 73 68 6f 75 6c 64 20 61 6c 73 6f 20 62 6c 6f	/WAN.network..We.should.also.blo
5820	63 6b 20 61 6c 6c 20 74 72 61 66 66 69 63 20 64 65 73 74 69 6e 61 74 65 64 20 74 6f 20 74 68 65	ck.all.traffic.destinated.to.the
5840	20 72 6f 75 74 65 72 20 69 74 73 65 6c 66 20 74 68 61 74 20 69 73 6e 27 74 20 65 78 70 6c 69 63	.router.itself.that.isn't.explic
5860	69 74 6c 79 20 61 6c 6c 6f 77 65 64 20 61 74 20 73 6f 6d 65 20 70 6f 69 6e 74 20 69 6e 20 74 68	itly.allowed.at.some.point.in.th
5880	65 20 63 68 61 69 6e 20 66 6f 72 20 74 68 65 20 60 60 69 6e 70 75 74 60 60 20 68 6f 6f 6b 2e 20	e.chain.for.the.``input``.hook..
58a0	41 73 20 77 65 27 76 65 20 61 6c 72 65 61 64 79 20 63 6f 6e 66 69 67 75 72 65 64 20 73 74 61 74	As.we've.already.configured.stat
58c0	65 66 75 6c 20 70 61 63 6b 65 74 20 66 69 6c 74 65 72 69 6e 67 20 61 62 6f 76 65 2c 20 77 65 20	eful.packet.filtering.above,.we.
58e0	6f 6e 6c 79 20 6e 65 65 64 20 74 6f 20 73 65 74 20 74 68 65 20 64 65 66 61 75 6c 74 20 61 63 74	only.need.to.set.the.default.act
5900	69 6f 6e 20 74 6f 20 60 60 64 72 6f 70 60 60 3a 00 57 69 74 68 20 74 68 65 20 6e 65 77 20 66 69	ion.to.``drop``:.With.the.new.fi
5920	72 65 77 61 6c 6c 20 73 74 72 75 63 74 75 72 65 2c 20 77 65 20 68 61 76 65 20 68 61 76 65 20 61	rewall.structure,.we.have.have.a
5940	20 6c 6f 74 20 6f 66 20 66 6c 65 78 69 62 69 6c 69 74 79 20 69 6e 20 68 6f 77 20 77 65 20 67 72	.lot.of.flexibility.in.how.we.gr
5960	6f 75 70 20 61 6e 64 20 6f 72 64 65 72 20 6f 75 72 20 72 75 6c 65 73 2c 20 61 73 20 73 68 6f 77	oup.and.order.our.rules,.as.show
5980	6e 20 62 79 20 74 68 65 20 74 68 72 65 65 20 61 6c 74 65 72 6e 61 74 69 76 65 20 61 70 70 72 6f	n.by.the.three.alternative.appro
59a0	61 63 68 65 73 20 62 65 6c 6f 77 2e 00 57 69 74 68 20 74 68 65 20 6e 65 77 20 66 69 72 65 77 61	aches.below..With.the.new.firewa
59c0	6c 6c 20 73 74 72 75 63 74 75 72 65 2c 20 77 65 20 68 61 76 65 20 68 61 76 65 20 61 20 6c 6f 74	ll.structure,.we.have.have.a.lot
59e0	20 6f 66 20 66 6c 65 78 69 62 69 6c 69 74 79 20 69 6e 20 68 6f 77 20 77 65 20 67 72 6f 75 70 20	.of.flexibility.in.how.we.group.
5a00	61 6e 64 20 6f 72 64 65 72 20 6f 75 72 20 72 75 6c 65 73 2c 20 61 73 20 73 68 6f 77 6e 20 62 79	and.order.our.rules,.as.shown.by
5a20	20 74 68 65 20 74 77 6f 20 61 6c 74 65 72 6e 61 74 69 76 65 20 61 70 70 72 6f 61 63 68 65 73 20	.the.two.alternative.approaches.
5a40	62 65 6c 6f 77 2e 00 59 6f 75 20 6e 6f 77 20 73 68 6f 75 6c 64 20 68 61 76 65 20 61 20 73 69 6d	below..You.now.should.have.a.sim
5a60	70 6c 65 20 79 65 74 20 73 65 63 75 72 65 20 61 6e 64 20 66 75 6e 63 74 69 6f 6e 69 6e 67 20 72	ple.yet.secure.and.functioning.r
5a80	6f 75 74 65 72 20 74 6f 20 65 78 70 65 72 69 6d 65 6e 74 20 77 69 74 68 20 66 75 72 74 68 65 72	outer.to.experiment.with.further
5aa0	2e 20 45 6e 6a 6f 79 21 00 59 6f 75 72 20 69 6e 74 65 72 6e 61 6c 2f 4c 41 4e 20 69 6e 74 65 72	..Enjoy!.Your.internal/LAN.inter
5ac0	66 61 63 65 20 77 69 6c 6c 20 62 65 20 60 60 65 74 68 31 60 60 2e 20 49 74 20 77 69 6c 6c 20 75	face.will.be.``eth1``..It.will.u
5ae0	73 65 20 61 20 73 74 61 74 69 63 20 49 50 20 61 64 64 72 65 73 73 20 6f 66 20 60 60 31 39 32 2e	se.a.static.IP.address.of.``192.
5b00	31 36 38 2e 30 2e 31 2f 32 34 60 60 2e 00 59 6f 75 72 20 69 6e 74 65 72 6e 61 6c 2f 4c 41 4e 20	168.0.1/24``..Your.internal/LAN.
5b20	69 6e 74 65 72 66 61 63 65 20 77 69 6c 6c 20 62 65 20 60 65 74 68 31 60 2e 20 49 74 20 77 69 6c	interface.will.be.`eth1`..It.wil
5b40	6c 20 75 73 65 20 61 20 73 74 61 74 69 63 20 49 50 20 61 64 64 72 65 73 73 20 6f 66 20 60 31 39	l.use.a.static.IP.address.of.`19
5b60	32 2e 31 36 38 2e 30 2e 31 2f 32 34 60 2e 00 59 6f 75 72 20 6f 75 74 73 69 64 65 2f 57 41 4e 20	2.168.0.1/24`..Your.outside/WAN.
5b80	69 6e 74 65 72 66 61 63 65 20 77 69 6c 6c 20 62 65 20 60 60 65 74 68 30 60 60 2e 20 49 74 20 77	interface.will.be.``eth0``..It.w
5ba0	69 6c 6c 20 72 65 63 65 69 76 65 20 69 74 73 20 69 6e 74 65 72 66 61 63 65 20 61 64 64 72 65 73	ill.receive.its.interface.addres
5bc0	73 20 76 69 61 20 44 48 43 50 2e 00 59 6f 75 72 20 6f 75 74 73 69 64 65 2f 57 41 4e 20 69 6e 74	s.via.DHCP..Your.outside/WAN.int
5be0	65 72 66 61 63 65 20 77 69 6c 6c 20 62 65 20 60 65 74 68 30 60 2e 20 49 74 20 77 69 6c 6c 20 72	erface.will.be.`eth0`..It.will.r
5c00	65 63 65 69 76 65 20 69 74 73 20 69 6e 74 65 72 66 61 63 65 20 61 64 64 72 65 73 73 20 76 69 61	eceive.its.interface.address.via
5c20	20 44 48 43 50 2e 00	.DHCP..