JHONY MASETO Configuração e segurança de redes de computadores

Transcrição

1 JHONY MASETO Configuração e segurança de redes de computadores Semana Acadêmica dos Cursos de Sistema de Computação e Ciência da Computação- Unochapecó Chapecó 12/09/2012

2 Sumário 1.Preparação do ambiente Softwares / pacotes utilizados Comandos básicos Estrutura proposta Mão na massa / configurações iniciais...4 a)níveis de execução / runlevel...4 b)verificação dos pacotes necessários...5 c)definição de um nome para o servidor...5 d)desativar o Selinux para evitar surpresas...5 e)desativar o serviço do iptables...5 f)configurar as interfaces de rede...5 g)verificando as rotas...6 h)ajustar a resolução de nomes DNS Serviço dhcp...6 a)habilitando a repassagem de pacotes Iptables Definição Filter NAT - Network Address Translation...8 a)prerouting...8 b)postrouting c)mangle...9 d)script iptables básico gateway exemplo e)script iptables mais completo exemplo Squid cache - proxy Configurações básicas do squid...14 a)definição...14 b)configuração do squid...14 c)outras opções de configuração Configurações de segurança / performance Outras ACLs Referências...17

3 1. Preparação do ambiente Softwares / pacotes utilizados CentOS release 5.8 (Final) squid-2.6.stable21-6.el5 iptables el5 dhcp el5_8.1 samba el5_8 vsftpd el5_ Comandos básicos vi ( editor de texto shell ) yum ( atualizador / instalador de pacotes ) rpm ( gerenciador de pacotes ) fdisk ( manipulador das tabelas de partição ) man ( documentação ) df ( mostra o particionamento e espaço em disco ) ls ( lista diretórios e arquivos ) tail ( lista a saída de um arquivo ) cat ( imprime em tela o arquivo ) 1.3.Estrutura proposta A ideia do curso é demonstrar de forma prática com poucos conceitos teóricos a montagem de uma estrutura simples de um Gateway para internet com filtro de conteúdo, proteção da rede interna através de um script iptables e demais funcionalidades básicas.

4 1.4.Mão na massa / configurações iniciais a) Níveis de execução / runlevel O Linux é capaz de operar em vários estados diferentes de sistema, cada um dos quais definido pelo conjunto de serviços disponibilizados ao usuário quando o respectivo estado está no controle do sistema. Runlevel - Simões Aprígio,2009 No Centos esta configuração pode ser feita em /etc/inittab, abaixo segue parte do arquivo: Default runlevel. The runlevels used by RHS are: 0 - halt (Do NOT set initdefault to this) 1 - Single user mode 2 - Multiuser, without NFS (The same as 3, if you do not have networking) 3 - Full multiuser mode 4 - unused 5 - X reboot (Do NOT set initdefault to this) id:5:initdefault: Existe algum motivo para eu modificar isso? Como eu verifico que serviços estão associados a este runlevel? Como eu faço para iniciar / desligar um serviço?

5 b) Verificação dos pacotes necessários ~] rpm -q squid ~] rpm -q iptables ~] rpm -q dhcpd ~] rpm -q samba ~] rpm -q vsftpd c) Definição de um nome para o servidor. [root@localhost ~] vi /etc/sysconfig/network NETWORKING=yes NETWORKING_IPV6=no HOSTNAME=comp.unochapeco.edu.br d) Desativar o Selinux para evitar surpresas. [root@localhost ~] vi /etc/sysconfig/selinux SELINUX=disabled e) Desativar o serviço do iptables [root@localhost ~] service iptables stop [root@localhost ~] chkconfig iptables off f) Configurar as interfaces de rede [root@localhost ~] vi /etc/sysconfig/network-scripts/ifcfg-eth0 DEVICE=eth0 BOOTPROTO=static IPADDR= NETMASK= GATEWAY= ONBOOT=yes [root@localhost ~] vi /etc/sysconfig/network-scripts/ifcfg-eth1 DEVICE=eth1 BOOTPROTO=static IPADDR= NETMASK= ONBOOT=yes [root@localhost ~] service network restart

6 g) verificando as rotas ~] route -n Tabela de Roteamento IP do Kernel Destino Roteador MáscaraGen. Opções Métrica Ref Uso Iface U eth U eth UG eth0 h) Ajustar a resolução de nomes DNS [root@comp ~] vi /etc/resolv.conf search unochapeco.edu.br nameserver nameserver Servidor navegando????? 1.5. Serviço dhcp [root@comp ~] vi /etc/dhcpd.conf ddns-update-style none; para utilizar dns dinâmico via dhcp, ou seja o dhcp troca informações com o serviço dns e faz a tradução de cada micro da rede. ignore client-updates; habilita a atualização dos clientes no dns subnet netmask { authoritative; option routers ; option subnet-mask ; option domain-name-servers ; option time-offset ; Eastern Standard Time = gmt -3 range dynamic-bootp ; default-lease-time 21600; Amount of time in seconds that a client may keep the IP address max-lease-time 43200; utilizado para atribuir o mesmo ip a determinado computador host boss { hardware ethernet 2C:27:D7:E1:D3:9A; fixed-address ; } }

7 O Micro pegou ip? a) habilitando a repassagem de pacotes [root@comp ~] vi /etc/sysctl.conf net.ipv4.ip_forward = 0 ou echo "1" > /proc/sys/net/ipv4/ip_forward 2. Iptables 2.1. Definição O IPTABLES é uma ferramenta de edição da tabela de filtragem de pacotes, que atua sobre o kernel ou seja, com ele você é capaz de analisar o cabeçalho (header) e tomar decisões sobre os destinos destes pacotes. O IPTABLES não é a única solução existente para controle desta filtragem, temos ainda as antigas ipfwadm e ipchains, dentre outros. Elgio Schlemer,2007 filter nat mangle São três as tabelas mais importantes do iptables:

8 2.2.Filter Entram nesta tabela o conjunto de regras com finalidades gerais, como bloquear, negar, realizar logs. Em geral os firewall são configurados fazendo uso das três CHAINS Abaixo: INPUT todos os pacotes dom destino ao servidor que esta sendo configurado. OUPUT pacotes que saem do servidor FORWARD pacotes que passam pelo servidor com destino a rede interna ou externa. Para inserir uma regra em uma lista, pode-se usar -A para APPEND, inserindo-a no final, ou -I para INSERT o destino alvo -j pode ser REJECT bloqueia o pacote e retorna ao usuário porta inatingível ; DROP bloqueia o pacote; ACCEPT Aceita o pacote LOG - realiza um log deste pacote no sistema /var/log/messages; 2.3. NAT - Network Address Translation Endereços privados não são permitidos na internet. Routers não fazem routing destes IPs { /8 { /12 { /24 a) PREROUTING Segundo Osvaldo,2011, Logo que o pacote chega ele é modificado, isso acontece antes do roteamento do pacote. É usado em regras de DNAT e Redirecionamento de porta. Vamos analisar o cenário abaixo, onde estamos fazendo um DNAT, ou seja, toda requisição feita para o IP na porta 80 será repassado para o IP da rede interna Redirect de portas (Osvaldo,2011).

9 iptables -t nat -A PREROUTING -d p tcp --dport 80 -j DNAT --to :80 Neste caso todo pacote com destino :80 será repassado para :80, porém isso acontece antes de qualquer roteamento. b) POSTROUTING - Para pacotes que necessitam de modificação após o roteamento, usa-se regras SNAT e IP MASQUERADING. Masquerading (Osvaldo,2011) A máquina pretende acessar a INTERNET, para isso é necessário uma regra de MASQUERADING onde o firewall vai encaminhar a requisição da rede interna para o site destino neste caso o google mas com o ip válido para que o pacote consiga chegar ao destino, no exemplo do osvaldohp, o ip é quem chega ao (Osvaldo,2011) iptables -t nat -A POSTROUTING -s o eth0 -j MASQUERADE outras aplicações para a tabela nat: Balanceamento de carga (load balancing) Backup Systems Diversas rotas para um dado endereço de destino c) Mangle A tabela mangle serve para especificar ações especiais para o tratamento do tráfego que atravessa os chains. Nesta tabela existem cincos chains: PREROUTING, POSTROUTING, INPUT, OUTPUT e FORWARD. (almirwendel,2008). Em geral, cada um deste chain é processado antes do chain correspondente na tabela filter e nat para definir opções especiais para o tráfego.(almirwendel,2008).

10 d) Script iptables básico gateway exemplo 1 [root@comp ~] vi /etc/iptables!/bin/bash variáveis do firewall internal_net=" /24" IPTABLES="/sbin/iptables" MODPROBE="/sbin/modprobe" $MODPROBE ip_conntrack_ftp $MODPROBE ip_nat_ftp $IPTABLES -F -t filter FLUSH $IPTABLES -F -t mangle FLUSH $IPTABLES -F -t nat FLUSH $IPTABLES -P INPUT DROP $IPTABLES -P OUTPUT ACCEPT $IPTABLES -P FORWARD DROP habilita a repassagem de pacotes echo "1" > /proc/sys/net/ipv4/ip_forward maskarar ip $IPTABLES -t nat -A POSTROUTING -s $internal_net -j MASQUERADE $IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT $IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT $IPTABLES -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128 $IPTABLES -t nat -A PREROUTING -i eth1 -p tcp --dport 443 -j REDIRECT --to-port 3128 tcp $IPTABLES -A INPUT -p tcp -s $internal_net --dport j ACCEPT $IPTABLES -A INPUT -p tcp -s $internal_net --dport 21 -j ACCEPT udp $IPTABLES -A FORWARD -p udp -s $internal_net --dport 53 -j ACCEPT

11 e) script iptables mais completo exemplo 2 [root@comp ~] vi /etc/iptables!/bin/sh rc.firewall - Initial SIMPLE IP Firewall test script for 2.4.x Author: Oskar Andreasson <blueflux@koffein.net> (c) of BoingWorld.com, use at your own risk, do whatever you please with it as long as you don't distribute this without due credits to BoingWorld.com Alterado, comentado e traduzido por Elton Luís Minetto <minetto@cco.matrix.com.br> Modificado para uso em configurações mais simples jhony 01/05/2006 Variáveis de configuração LOCALHOST_IP=" /32" LAB_NET=" /24" proxy= interfaces LAB_IFACE="eth1" LINK_IFACE="eth0" Servidores IPTABLES="/sbin/iptables" DEPMOD="/sbin/depmod" MODPROBE="/sbin/modprobe" Carrega todos os módulos do IPTables necessários $DEPMOD -a Adiciona alguns modulos de alvos para o iptables como LOG, REJECT e MASQUARADE $MODPROBE ipt_log $MODPROBE ipt_masquerade Suporte para owner matching

12 $MODPROBE ipt_owner Suporte para traking de conecxoes FTP e IRC. $MODPROBE ip_conntrack_ftp $MODPROBE ip_nat_ftp $IPTABLES -F -t filter flush nas regras de filter $IPTABLES -F -t nat flush nas regras de nat $IPTABLES -F -t mangle flush nas regras de mangle $IPTABLES -X -t filter deleta chains de filter $IPTABLES -X -t nat deleta chains de nat $IPTABLES -X -t mangle deleta chains de mangle $IPTABLES -Z -t filter zera contadores de filter $IPTABLES -Z -t nat zera contadores de nat $IPTABLES -Z -t mangle zera contadores de mangle $IPTABLES -P INPUT DROP muda a politica padrao de INPUT para ACCEPT $IPTABLES -P OUTPUT ACCEPT muda a politica padrao de OUTPUT para ACCEPT $IPTABLES -P FORWARD DROP muda a politica padrao de FORWARD para ACCEPT Masquerading LAB $IPTABLES -t nat -A POSTROUTING -s $LAB_NET -o $LINK_IFACE -j MASQUERADE habilita a repassagem de pacotes echo "1" > /proc/sys/net/ipv4/ip_forward Masquerading LAB $IPTABLES -t nat -A POSTROUTING -s $LAB_NET -o $LINK_IFACE -j MASQUERADE

13 Aceita a repassagem de pacotes que venham em resposta a pedidos feitos por aplicações da rede interna $IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j LOG --log-prefix "Volta " $IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT redirect de porta $IPTABLES -A FORWARD -p tcp --dport j ACCEPT $IPTABLES -t nat -A PREROUTING -i $LINK_IFACE -p tcp --dport j DNAT --to :3389 $IPTABLES -t nat -A POSTROUTING -s j MASQUERADE se não casou até aqui logar $IPTABLES -A FORWARD -m limit --limit 3/minute --limit-burst 3 -j LOG --log-level debug --logprefix "IPT FORWARD packet died" Altera políticas padrão para correntes de INPUT, FORWARD e OUTPUT Somente navegar pelo proxy $IPTABLES -t nat -A PREROUTING -i $LAB_IFACE -p tcp --dport 80 -j REDIRECT --to-port 3128 $IPTABLES -t nat -A PREROUTING -i $LAB_IFACE -p tcp --dport 443 -j REDIRECT --to-port 3128 rotear portas para o proxy correto $IPTABLES -t nat -A PREROUTING -p tcp -m multiport -s $LAB_NET --destination-ports 443,3128,6588,32767,3382,3124,10576,1080,32127,32167,12336,4868 -j DNAT --to-destination $proxy:3128 Regras ICMP Aceita pacotes ICMP do tipo 0,3,5,8,11 Tipo 0 = echo Tipo 3 = unreachable Tipo 5 = redirect Tipo 11 = exceeded $IPTABLES -A INPUT -p ICMP -s 0/0 --icmp-type 0 -j ACCEPT $IPTABLES -A INPUT -p ICMP -s 0/0 --icmp-type 3 -j ACCEPT $IPTABLES -A INPUT -p ICMP -s 0/0 --icmp-type 5 -j ACCEPT só liberar o tipo 8 para maquinas de confiaça. $IPTABLES -A INPUT -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT $IPTABLES -A INPUT -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT

14 Regras TCP localhost $IPTABLES -A INPUT -s j ACCEPT $IPTABLES -A INPUT -s j ACCEPT $IPTABLES -A FORWARD -p tcp -s $LAB_NET --dport 80 -j ACCEPT $IPTABLES -A FORWARD -p tcp -s $LAB_NET --dport j ACCEPT Portas UDP $IPTABLES -A FORWARD -p udp -s $LAB_NET --dport 53 -j ACCEPT $IPTABLES -A FORWARD -p udp -d $LAB_NET --sport 53 -j ACCEPT Corrente de INPUT Aceita pacotes que venham em resposta a serviços iniciados no servidor $IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT $IPTABLES -A INPUT -p tcp -s $LOCALHOST_IP -j ACCEPT o que nao casou loga $IPTABLES -A INPUT -m limit --limit 3/minute --limit-burst 3 -j LOG --log-level debug --log-prefix "IPT INPUT packet died" 3. Squid cache - proxy 3.1. Configurações básicas do squid a) Definição Squid é um cache proxy para web, suporta http, https, ftp entre outros. Ele otimiza o consumo de banda de rede and melhora o tempo de resposta das requisições utilizando-se de um cache. O squid tem um extenso controle de acesso e roda na maioria dos sistemas operacionais e no windows também não sei para que. O squid esta licenciado na GNU GPL. b) Configuração do squid [root@comp ~] vi /etc/squid/squid.conf

15 roda de forma transparente para o usuário, não suporta autenticação, porém não precisa configurar nada no computador do usuário. Squid normally listens to port 3128 http_port 3128 transparent comentar tag que vai entes de INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS http_access deny all exemplos básicos ACL squid Nao permitir acesso a determinados sites acl sitesproibidos dstdomain "/etc/squid/sites_bloqueados" http_access deny sitesproibidos bloqueia por extensão acl extensiondeny url_regex -i mp3 acl download method GET http_access deny extensiondeny download http_access deny extensiondeny troca o idioma para as mensagens de erro. error_directory /usr/share/squid/errors/english error_directory /usr/share/squid/errors/portuguese c) outras opções de configuração - Configurações de segurança / performance aumenta o tamanho do cache e define as configurações para pastas filho cache_dir ufs /var/cache/squid deve ser setado em off, a alteração se deve porque muitas vezes o squid não diferencia um cliente que encerrou a conexão, e uma conexão travada, ou meio encerrada. half_closed_clients off supressão do nome para segurança httpd_suppress_version_string on visible_hostname none - Outras ACLs CONTROLE DE BANDA POR USUÁRIOS

16 acl user_metido proxy_auth "/etc/squid/usuarios_limitados_banda1.txt" acl user_fuck proxy_auth "/etc/squid/usuarios_limitados_banda2.txt" quantia de pools delay_pools 2 faixa FDP redução pequena delay_class 1 2 Limita a sua banda para Kbps de download delay_parameters / /6200 delay_access 1 allow user_metido faixa Fuck redução maior delay_class 2 2 Limita a sua banda para Kbps de download delay_parameters / /3000 delay_access 2 allow user_fuck matador de p2p - chato acl clientep2p_url url_regex ^[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+ http_access deny CONNECT clientep2p_url usuário que estiver inserido nesta lista vai ter o facebook e twitter bloqueado nos horários abaixo acl lista proxy_auth "/etc/squid/trabalha_users.txt" acl do horário acl trabalha-nene-manha time 09:00-11:30 acl trabalha-nene-tarde time 14:00-17:00 acl para chamar os arquivos contendo os sites a serem bloqueados acl sites_bloqueados_horario dstdomain "/etc/squid/sites_bloqueados_horario_domains.txt" bloqueia os sites na hora http_access deny sites_bloqueados_horario trabalha-nene-manha lista http_access deny sites_bloqueados_horario trabalha-nene-tarde lista

17 4. Referências Osvaldohp, Acessado em 17/05/2012, diponível em: Pedro Brandão,2004. Acessado em 17/05/2012, diponível em: Elgio Schlemer,2007. Acessado em 17/05/2012, diponível em: Mirwendel,2008. Acessado em 17/05/2012, diponível em: the squid cache group, Acessado em 17/05/2012, diponível em: Wagner Assis,2008. Acessado em 17/05/2012, diponível em: Simões Aprígio,2009. Acessado em 27/09/2012, diponível em: