O IPCop Firewall é uma "caixa fechada" que possui um kernel próprio e diversas ferramentas integradas como VPN, IDS, Proxy, Firewall, QoS e outras.

Transcrição

1 O que é o IPCop Firewall O IPCop Firewall é uma "caixa fechada" que possui um kernel próprio e diversas ferramentas integradas como VPN, IDS, Proxy, Firewall, QoS e outras. Toda a administração do IPCop é realizada via página web, com conexão SSL segura e criptografada, o que torna a ferramenta ainda mais interessante do ponto de vista de segurança. Este artigo tem como principal objetivo mostrar a instalação do IPCop, a configuração do PPPoE para conexões ADSL (uso o Velox da Telemar como base para este artigo) e instalação de um MOD Server para instalação futura de addons. Por padrão o IPCop Firewall bloqueia todas as conexões vindas da rede externa, mas permite qualquer conexão vinda da rede interna para a externa, ou seja, nada entra, porém tudo pode sair e o que saiu pode voltar. Nas próximas páginas iremos realizar o download do arquivo de instalação, instalar a ferramenta e configurá-la. Então, vamos lá?! Download e instalação A versão atual do IPCop Firewall é a e será a versão utilizada neste artigo. Antes de baixar o instalador, será necessário realizar um dimensionamento de hardware que suporte o IPCop. Para uma rede de até 20 estações, o seguinte hardware suporta perfeitamente: Pentium II 200 MHz 64 Mb de RAM (128 Mb para melhor performance) 5 Gb de HD 2 placas de rede Lógico que você pode usar um hardware equivalente, caso ache melhor. Acesse o link: iso?download e escolha um mirror para baixar os 40 Mb do IPCop. Terminado o download, será necessário confeccionar um CD com o arquivo ISO. Com o CD pronto, basta colocá-lo na máquina que será seu firewall e aguardar o boot. Se o CD estiver OK, a seguinte tela aparecerá:

2 Processo de instalação 1. Agora apenas pressione a tecla ENTER para iniciar o progresso de instalação. 2. Selecione agora a linguagem do produto. Eu recomendo que ele seja instalado em inglês (English), para facilitar futuros updates da ferramenta e por ser uma linguagem universal. Pressione ENTER após a escolha. 3. Apenas pressione ENTER para prosseguir a instalação.

3 4. Deixe selecionado o tipo de instalação CDROM e pressione ENTER no botão OK. Irá aparecer uma outra tela pedindo que você insira o CD do IPCop no drive, basta pressionar a tecla ENTER para prosseguir (assumindo que o CD já esteja no driver). 5. Agora preste bastante atenção! Todos os dados serão apagados da máquina onde estiver sendo instalado o IPCop, OK?! Pressione ENTER para que ele inicie o particionamento automático do firewall.

4 Tela do início do particionamento:

5 6. Ao final da cópia aparecerá uma box com os botões Restore e Skip, selecione com a tecla TAB o botão Skip e pressione ENTER. 7. Agora iniciaremos um passo da instalação que irá requerer bastante atenção, para não termos problemas. Antes vou explicar como o IPCop trabalha. No firewall que vamos instalar aqui no artigo, utilizaremos somente 2 placas de rede: uma para a rede interna e outra para a rede externa, certo?! O IPCop trata as placas de acordo com sua aplicabilidade: Placa interna: GREEN Placa externa: RED Placa da DMZ: ORANGE Iremos utilizar somente a GREEN e RED, neste artigo, onde a GREEN terá o IP interno de sua rede, para que todas as outras estações possam encontrá-la e a RED terá um IP dado pelo provedor ADSL, que no meu caso é o Velox da Telemar. Bom, agora que já sabemos o que é cada coisa, podemos retornar a instalação. A seguinte tela deverá estar diante de você: Selecione Probe e pressione a tecla ENTER para que o IPCop vasculhe sua máquina a procura de uma placa de rede conhecida. Após ter encontrado ele irá instalá-la e configurá-la automaticamente, cabendo a você definir o endereço IP da mesma. Esta configuração será apenas da placa GREEN, a RED será configurada posteriormente, OK?! Não se esqueça disso! :P Ao final da busca, deverá aparecer a seguinte tela, contendo o modelo da sua placa de rede, como mostra a figura abaixo:

6 Apenas pressione ENTER. Agora defina um endereço IP e a máscara de subrede para sua placa GREEN. No meu artigo irei usar o endereço com máscara Depois vá até o botão OK navegando com a tecla TAB e pressione ENTER para continuar. Aguarde o final do up da placa GREEN. Pressione ENTER no botão que mostra um pequeno sumário da instalação, dizendo que a mesma está completa.

7 8. Escolha o layout de seu teclado e pressione ENTER. 9. Selecione seu time zone e pressione ENTER.

8 10. Defina um nome para a sua máquina. Chamarei a minha de ipcop mesmo. 11. Defina agora o domínio de sua máquina. Este é o sufixo de DNS que você usa em sua rede interna. Por exemplo eu usei expertti.com.br e o nome completo da máquina será ipcop.expertti.com.br.

9 12. Agora selecione o botão Disable ISDN e pressione ENTER. 13. Agora iremos definir como será a configuração de nosso firewall. Como eu falei anteriormente este artigo irá abordar apenas 2 placas de rede, por tanto nossa configuração será (GREEN + RED), como o próprio IPCop irá chamar. Nesta tela que estamos agora, mostrada abaixo, iremos escolher a forma GREEN + RED e configurar a placa RED.

10 Selecione Network configuration type e pressione ENTER. Escolha a opção GREEN + RED e pressione ENTER, como mostra a figura abaixo: Configuração da placa RED Na tela de Networking configuration menu, selecione Drivers and card assigments e pressione ENTER. Apenas pressione ENTER na tela seguinte. Agora será necessário repetir o passo 7, para configurar a interface RED. Selecione o botão Probe para que o IPCop procure sua placa e adicione um driver para ela. Ao final da instalação da placa iremos retornar para a tela abaixo:

11 Agora selecione Address settings e pressione ENTER. Selecione RED e pressione ENTER. Navegue usando a seta para baixo, até a opção PPPOE e pressione a barra de espaço, para marcála com um "*", depois vá até o botão OK e pressione ENTER para retornarmos a tela anterior. Selecione Done e pressione ENTER.

12 Agora selecione Done e pressione ENTER, quando estiver na tela Networking configuration menu, para finalizarmos a instalação. 14. Agora caso você precise, você poderá configurar um servidor DHCP para sua rede interna. Eu não irei utilizá-lo neste artigo, por isso não marque a opção Enabled e apenas vá até o botão OK com TAB e pressione ENTER. 15. Vamos escolher as senhas administrativas para nosso firewall. Precisaremos definir a senha do usuário root do Linux e do usuário admin do IPCop. Primeiro defina a senha do usuário root, depois do admin. Pronto, se você ver a tela abaixo, sua instalação estará pronta! Deixe a máquina reiniciar e vamos configurar o IPCop. Configurando o Velox e compartilhando a internet Agora que nosso IPCop está instalado, vamos acessar a console web dele, no endereço: Lembrando que o IP foi o que eu usei no meu artigo e que você deve substituí-lo pelo IP que você designou durante a instalação, OK?! :P Aceite o certificado digital e se tudo der certo a seguinte tela se abrirá para você:

13 Agora vamos configurar a conexão Velox, certo?! Vá até o menu Network > DIALUP. Será necessário efetuar login com o usuário admin, que definimos a senha nos últimos passos da instalação. No campo Interface, selecione PPPoE e clique no botão Refresh, para remontar os campos relativos ao PPPoE. Configurações de DialUp Agora sete o campo Idle timeout para 0. Selecione Connect on IPCop restart. Em Reconnection, selecione Persistent. No campo User Name, na parte de Authentication entre com o número de telefone que você usa para logar no velox, por exemplo: e coloque também sua senha. O método (Method) de autenticação deve ser PAP or CHAP. Deixe o DNS como Automatic. Adicione um nome para sua conexão configurada e clique em Save. Ao clicar no botão Save, a conexão será salva e iniciada. Para acompanhar o status, abra a tela do servidor IPCop e pressione as teclas ALT+F12 para ver os logs de conexão. Se tudo der certo você verá o IPCop subindo sua interface RED. Caso você queira desconectar basta ir no menu SYSTEM > Home e usar os botões Disconnect e Connect. Pronto seu servidor está conectado ao Velox, agora será necessário apenas efetuar as configurações de proxy para liberação das estações, para que você possa se autenticar na tela do Velox Zone. Vá no menu SERVICES > PROXY e configure como mostra a tela abaixo:

14 Você pode trocar as configurações como porta ou tamanho do cache, caso você queira. Estas opções são por sua conta e de acordo com suas necessidades. Pronto, agora vá em suas estações de trabalho e sete como default gateway seu novo servidor de firewall. Feito isso basta tentar acessar qualquer página, para que ele peça a autenticação do provedor ADSL, caso não esteja conectado e você já poderá navegar com proxy transparente. Caso alguma estação específica necessite de configurações de proxy para funcionar, basta você configurar o endereço de proxy e a porta, de acordo com as configurações do seu firewall. Instalando o MOD Server para os Add-Ons Nosso IPCop já está instalando, configurado e funcionando. Talvez da maneira que ele esteja instalado ele atenda perfeitamente todas as suas necessidades, porém se você precisa editar as regras de firewall e bloquear tráfego de dentro pra fora, como por exemplo MSN Messenger, você irá precisar instalar alguns add-ons ao produto. Não é objetivo deste artigo demonstrar a instalação de adds em seu IPCop, pois a quantidade de adds e as necessidades de utilização, podem variar de usuário para usuário. Vou apenas mostrar como funciona e indicar alguns links para baixar adds. Antes de instalar qualquer Add-On, será necessário configurar um server, que é chamado de MOD server. Antes, acesse seu servidor via web, no endereço selecione SYSTEM > SSH ACCESS efetue login como Admin e marque a opção SSH Access e clique em Save. Iremos precisar de acesso via SSH ao servidor. A porta SSH utilizada pelo IPCop é a porta 222. Vamos baixar o MOD server compatível com a versão do IPCop. Instalando o MOD Server O link que contém diversos Addons é: #Addon%20Server Vá até o link:

15 e escolha um mirror para baixar o arquivo addons-2.3-cli-b1.tar.gz. Terminado o download, será necessário enviar este arquivo via SFTP para seu servidor Firewall, de preferência para a raiz do sistema ('/'). No Linux use o utilitário scp e no Windows utilize o utilitário Winscp ( Com o arquivo copiado para a raiz de seu sistema ('/'), efetue login como root no firewall IPCop e execute: # tar zxvf addons-2.3-cli-b1.tar.gz # cd addons #./setup -i Se tudo der certo o seguinte resultado aparecerá: Efetue logout e logue novamente como admin, na página de administração do IPCop ( e note que apareceu um menu chamado ADDONS, que será utilizado para adicionar adds ao seu sistema IPCop. Pronto, agora seu IPCop já possui um servidor MOD, o que possibilita a utilização de addons. No link: s é possível encontrar diversos outros links que contêm addons para o IPCop. Porém é necessário prestar muita atenção na compatibilidade de um determinado add com a versão que você está usando no IPCop, OK?! Um site que contém vários adds legais é o: Instalando um Addon em seu IPCop Após salvar o arquivo de instalação do add, que normalmente serão do tipo *.tar.gz, abra seu navegador de internet no endereço administrativo do IPCop, que é Importante: antes de começar a instalar o qualquer addon leia atentamente a documentação do mesmo para saber onde ele irá "interferir" em seu sistema.

16 Dentro da página de administração, vá no menu ADDONS > ADDONS. Logo no final da página existe uma tabela Install new addon, onde você deverá clicar no botão Arquivo para selecionar o arquivo de instalação do add que foi baixado. Depois clique no botão Upload para enviá-lo ao servidor. Alguns adds pedem um reboot do servidor para funcionar, por isso é necessário verificar este ponto na documentação de cada add. Bom, com este pequeno tutorial você estará apto a instalar adds em seu firewall, adicionando funcionalidades como o SquidGuard, DansGuardian, QoS, dentre outros. O resto do aprendizado da ferramenta é por sua conta. :) Espero que você tenha gostado do artigo e que ele lhe possa ser bastante útil. Um abraço.

17 IpCop _Uso eficiente do IPCOP Firewall Rate This Nesse artigo abordaremos dicas e truques para um uso mais eficiente do IPCOP como solução de firewall de sua rede com uso de layer-7. Veremos como fazer para bloquear MSN, programas P2P e recursos adicionais. Usando o IPCOP Firewall para bloqueios de alto nível Quem acompanha o Viva o Linux já deve ter lido o excelente artigo de Alan Cota: IPCop Firewall Uma ótima opção de proteção para sua rede ADSL Eu já instalei este firewall em clientes pequenos e médios (de 8 a 40 máquinas) e posso atestar que sua interface de configuração é muito intuitiva, o que faz com que os próprios clientes possam administrá-lo (incrível, mas é verdade!). Se você pensar que um firewall deve contar com acompanhamento constante e quem deve fazer este acompanhamento é você Bom, o fato é que sua instalação já foi esmiuçada naquele artigo, mas acredito que se deve colocar para os leitores os vários recursos (os mais úteis, pelo menos) disponíveis. Pense em bloquear, na sua rede, MSN, programas P2P (Kazaa, emule, etc) e Skype. O que você acha disso? Interessante, não? Por si só, o IPCOP possui funções básicas, padrão de qualquer firewall, mas no artigo a que me referi você viu a possibilidade de estender os seus recursos através dos addons, disponibilizados em sua maioria por terceiros. Bem, vamos ver como poderíamos fazer para efetuar os bloqueios que descrevemos acima e liberar todo o potencial do IPCOP.

18 No presente artigo utilizei o CD do IPCOP versão (a última versão disponível) e a máquina é um AMD K6-II 500Mhz, com 256 de memória e um HD de 20 Gb, com 2 interfaces de rede (RED e GREEN). Uma máquina simples. Acredito que pode ser usada com boa performance em uma rede com até 10 clientes fazendo uso intensivo da Internet, com os serviços normais (HTTP, POP, SMTP e FTP). Aqui exemplificamos usando o serviço Velox. Além disso, você pode obter toda uma gama de informações para administrar melhor sua rede: logs, gráficos, Snort IDS, estatísticas do servidor, etc. Lembrar que nesta rede você possui usuários teimosos, que consomem sua largura de banda (média de 300K) com programas P2P, MSN e Skype. Você quer bloquear o uso destes programas em toda a rede (sem exceções para administrar), fazendo com que efetivamente os funcionários façam o que são pagos para fazer: produzir. Além de proteger sua rede contra muitas outras coisas: vírus, instalação de programas baixados via internet, etc. É claro que você não deve deixar nas máquinas destes usuários acesso a modens (internos ou externos). O SQUID Proxy Uma vez tendo feito a instalação básica na nossa máquina firewall, a primeira providência é fazer com os usuários passem a trabalhar por meio do proxy SQUID e de preferência em modo transparente (sem precisar configurar no browser do usuário). Após habilitar as máquinas da rede para receberem seus números IP via DHCP, do próprio IPCOP, começamos nossa brincadeira. O que devemos instalar primeiro seriam os MODS Advanced Proxy e URL Filter. Desta forma, através do SQUID e algumas regras, obteremos muitas vantagens: proxy transparente, definição das máquinas da rede que podem ou não acessar a internet, uso de sub-redes mais racional, limites de transferência de arquivos, tipos de browsers para acesso e até diversas formas de autenticação do usuário. Com o URL Filter e o SQUIDGuard podemos usar listas que podem ser atualizadas automaticamente, o que vai limitar em muito o raio de ação dos nossos funcionários Além disso, temos a possibilidade de construir nossas próprias listas de bloqueio: por URL, por domínio, etc Podemos também criar um backup das nossas configurações de filtros.

19 O fato de podermos contar com o SQUID para fazer este trabalho complexo não elimina a necessidade de efetuarmos alguns bloqueios. Os que descreveremos a seguir utilizarão os recursos do IPTABLES e NetFILTER, junto com a técnica do L7-filter, a implementar no Kernel do nosso box IPCOP, como fazem determinados firewalls no mercado, a um custo de aquisição e administrativo muito maior que o nosso. Bloqueando os indesejáveis Para começar, devemos obter o addon layer7-filter (de Markus Hoffmann) em: * e instalar (detalhes na página), usando o WinSCP e Putty, conforme explicado aqui mesmo no Viva o Linux no artigo de referência no início deste. Aconselho reiniciar o firewall. A partir deste momento você já pode contar com uma série de padrões de bloqueio via instruções usando o IPTABLES. Repare que em: * você deve baixar e colocar no local correto o arquivo: * /msnmessenger.pat e o: * /msn-filetransfer.pat o local correto é /etc/l7-protocols/protocols/ no IPCOP box. Em /etc/rc.d/rc.local você deve acrescentar o seguinte: # Skype and MSN blocked /sbin/iptables -t mangle -A POSTROUTING -m layer7 l7dir /etc/l7- protocols/protocols l7proto msnmessenger -j DROP /sbin/iptables -t mangle -A POSTROUTING -m layer7 l7dir /etc/l7-

20 protocols/protocols l7proto msn-filetransfer -j DROP /sbin/iptables -t mangle -A POSTROUTING -m layer7 l7dir /etc/l7- protocols/protocols l7proto skypetoskype -j DROP /sbin/iptables -t mangle -A POSTROUTING -m layer7 l7dir /etc/l7- protocols/protocols l7proto skypeout -j DROP Repare que as regras apresentadas só serão válidas a partir do instante em que você digitar (rodar) /etc/rc.d/rc.local após atualizar o arquivo. Além disso, coloque também na sua Custom Blacklist o seguinte domínio: passport.com. Isso vai eliminar o uso do Web Messenger (messenger via browser). Atenção também quanto ao Skype. Peguei e usei os arquivos presentes na página de referência dos protocolos (vide acima) e não os colocados pela instalação default. Se houver alguma máquina logada no MSN ou Skype, experimente fazer o logoff e tente conectar novamente Testei aqui com o Skype versão (Beta), MSN Messenger 7.5 e o Miranda IM configurado para atuar na rede MSN. Bom, para voltar ao estado anterior, você pode simplesmente comentar as linhas do arquivo com #, salvar, rodar novamente, além de também rodar (executar) os arquivos rc.firewall e rc.firewall.local com os parâmetros restart e reload, respectivamente (estão no mesmo diretório). Tudo voltará ao normal. Programas P2P Existem vários, mas os de maior uso estarão presentes para que efetuemos o bloqueio via layer-7 (vide acima) ou utilizando o P2PBlock (também do Markus), visto abaixo: * Também muito fácil de instalar e usar, funcionou eficientemente com o emule 0.46C em nossa rede de testes (marquei os itens em String-match e layer7-filter, juntos). Mais recursos Acredito que agora você já possui um razoável nível de proteção em sua rede, mas aconselho também a instalação dos MODS TimeLimit e IPTStat, respectivamente úteis para bloqueio por máquina (e tempo) e verificação das regras de chains do IPTABLES em tempo real.

21 Outro conjunto de recursos muito útil e também fácil de configurar e usar é o COPFilter, mostrado logo a seguir. Ele acrescenta um incrível conjunto de recursos (proteção para POP e SMTP -, SPAM, Vírus e páginas de internet e FTP), já totalmente integrados e configurados no IPCOP. Vale à pena experimentar Bom, ficamos por aqui e espero que você experimente este sensacional, barato e fácil de usar firewall de alto nível, que nada fica a dever aos grandões do mercado. Sua instalação e uso são muito simples e os recursos, inúmeros. Vale a sua criatividade.