Configuração do Servidor Gateway Firewall e DHCP

Transcrição

1 Fundamentos e Serviços IP Configuração do Servidor Gateway Firewall e DHCP Configurações da primeira placa de rede(que está conectada com a internet) receberá configurações do dhcp de sua rede. Configurações da placa de rede conectada na rede interna: endereço IP: máscara de rede: Configurações para a operação de NAT do servidor. Criar um arquivo que irá configurar automaticamente o NAT do servidor (digite o comando a seguir). touch nat.sh Depois entre no modo de edição do arquivo com o seguinte comando. nano nat.sh Em seguida insira as seguintes linhas no arquivo. echo 1 > /proc/syst/net/ipv4/ip_forward iptables -t nat -A POSTROUTING -j MASQUERADE Mude as permissões do arquivo para ser executado. chmod +x nat.sh Execute o arquivo para as alterações seja efetuadas../nat.sh DHCP O comando abaixo instala o DHCP em um Linux: apt-get install isc-dhcp-server Para configurar o servidor DHCP é necessário alterar o arquivo /etc/dhcp/dhcpd.conf para isso vamos guardar um backup do arquivo com a extensão.old. cp /etc/dhcp/dhcpd.conf /etc/dhcp/dhcpd.conf.old Insira as linhas seguir dentro do arquivo /etc/dhcp/dhcpd.con para alterar as configurações do DHCP. ddns-update-style none; max-lease-time ; authoritative; log-facility local7; option domain-name empresa.com ; option domain-name-servers , ; subnet netmask {

2 range ; option subnet-mask ; option routers ; option broadcast-address ; } Para testar se as configurações fora aceitas use o comando abaixo ele retornará se tem erro ou não no arquivo. dhcpd-t Execute o comando abaixo para iniciar o servidor DHCP: service isc-dhcp-server start execute o comando abaixo para parar o servidor DHCP. service isc-dhcp-server stop EXECUTE O COMANDO ABAIXO PARA REINICIAR O SERVIDOR DHCP. service isc-dhcp-server restart Firewall O Firewall IPTables é um firewall de nível de pacotes, ou seja, usa parâmetros, como porta/endereço de origem/destino, estado da conexão, e outros para fazer a filtragem e segurança na rede. Em suma, o IPTables tem inúmeras possibilidades de controle oferecidas pelos recursos de filtragem. É um firewall de linha de comando encontrado nos sistemas Linux. Permite gerenciar o tráfego de rede através de um conjunto de conjunto de tabelas que possuem cadeias que contém o conjunto de regras internas ou definidas pelo usuário. Uma tabela praticamente define o seu poder, o que pode ou o que não pode realizar com o pacote. Assim, existem 3 tabelas gerenciáveis no IPTables: FILTER - esta é a tabela padrão, responsável pela filtragens de pacotes. Possui três cadeias de conjuntos de regras: o INPUT - pacotes destinados a sockets locais o FORWAD - pacotes encaminhados (roteados) através do firewall o OUTPUT - pacotes gerados localmente NAT - é uma tabela que é consultada quando um pacote tenta criar uma nova conexão. Pode alterar características

3 de origem ou de destino de um pacote. Possui três cadeias de conjuntos de regras: o PREROUTING - utilizado para alterar um pacote, logo que é recebido o POSTROUTING - usado para alterar pacotes quando eles estão prestes a sair o OUTPUT - usado para alterar pacotes gerados localmente MANGLE - esta tabela é usada para alteração de pacotes. Até o kernel versão 2.4 esta tabela tinha apenas 2 cadeias, mas eles são agora 5: o PREROUTING - para alterar as conexões de entrada o OUTPUT - para alterar pacotes gerados localmente o o INPUT - para pacotes de entrada POSTROUTING - para alterar pacotes quando eles estão prestes a sair o FORWARD - pacotes encaminhados (roteados) através do firewall 1 - Exibir todas as regras disponíveis iptables -L -n -v Se preferir, verificar apenas uma tabela em específico (no caso a tabela nat): iptables -t nat -L -n -v Ou através de linhas numeradas: iptables -n -L -v --line-numbers 2 - Bloquear endereço IP específico entrante na rede Para adicionar regra:

4 iptables -A INPUT -s xxx.xxx.xxx.xxx -j DROP Para removê-la: iptables -D INPUT -s xxx.xxx.xxx.xxx -j DROP 3 - Bloquear porta específica Sainte: iptables -A OUTPUT -p tcp --dport xxx -j DROP Entrante: iptables -A INPUT -p tcp --dport xxx -j ACCEPT Ou múltiplas portas: iptables -A INPUT -p tcp -m multiport --dports 22,80,443 -j ACCEPT iptables -A OUTPUT -p tcp -m multiport --sports 22,80,443 -j ACCEPT 4 - Permitir rede específica acessar determinada porta: iptables -A OUTPUT -p tcp -d /24 --dport 22 -j ACCEPT 5 - Bloquear Network Flood sobre o servidor web que esteja escutando na porta 80 Aceitando de 100 a 200 conexões por minuto (ajuste da maneira que achar melhor): iptables -A INPUT -p tcp --dport 80 -m limit --limit 100/minute - -limit-burst 200 -j ACCEPT

5 6 - Manter registros de Log s de pacotes bloqueados: iptables -A INPUT -i eth0 -j LOG --log-prefix "Quantidade pacotes bloqueados:" ftp iptables -A INPUT -p tcp -dport 21 -j LOG -log-prefix Serviço: Os log s são salvos em /var/log/messages. Onde você poderá filtrar usando comando grep: grep "Quantidade pacotes bloqueados:" /var/log/messages 7 -Limitar o número de conexões simultâneas oriundas de determinado IP: iptables -A INPUT -p tcp --syn --dport 22 -m connlimit --connlimitabove 3 -j REJECT Onde, essa regra permitirá 3 conexões simultâneas advindas de um mesmo endereço IP na porta 22 (SSH). 8 - Permitir conexões já estabelecidas: iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 9 - Bloquear Ping Requests: iptables -A INPUT -p icmp -icmp-type echo-request -j DROP 10 - Bloquear por endereço MAC: iptables -A INPUT -m mac --mac-source 00:00:00:00:00:00 -j DROP

6 Por fim, exemplos de regras... Replace ACCEPT with DROP to block port: ## open port ssh tcp port 22 ## iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 - j ACCEPT -dport 22 -j ACCEPT ## open cups (printing service) udp/tcp port 631 for LAN users ## iptables -A INPUT -s /24 -p udp -m udp --dport 631 -j ACCEPT iptables -A INPUT -s /24 -p tcp -m tcp --dport 631 -j ACCEPT ## allow time sync via NTP for lan users (open udp port 123) ## iptables -A INPUT -s /24 -m state --state NEW -p udp - -dport 123 -j ACCEPT ## open tcp port 25 (smtp) for all ## iptables -A INPUT -m state --state NEW -p tcp --dport 25 -j ACCEPT # open dns server ports for all ## iptables -A INPUT -m state --state NEW -p udp --dport 53 -j ACCEPT iptables -A INPUT -m state --state NEW -p tcp --dport 53 -j ACCEPT ## open http/https (Apache) server port to all ## iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT iptables -A INPUT -m state --state NEW -p tcp --dport 443 -j ACCEPT ## open tcp port 110 (pop3) for all ## iptables -A INPUT -m state --state NEW -p tcp --dport 110 -j ACCEPT ## open tcp port 143 (imap) for all ## iptables -A INPUT -m state --state NEW -p tcp --dport 143 -j ACCEPT ## open access to Samba file server for lan users only ## -dport 137 -j ACCEPT -dport 138 -j ACCEPT -dport 139 -j ACCEPT -dport 445 -j ACCEPT

7 ## open access to proxy server for lan users only ## -dport j ACCEPT ## open access to mysql server for lan users only ## iptables -I INPUT -p tcp --dport j ACCEPT Configuração do Servidor MANGENTO e POSTGRES Configurações da placa de rede conectada na rede interna: endereço IP: máscara de rede: Configuração da máquina em que o simulador de casa bancaria está Configurações da placa de rede conectada na rede interna e dinâmica (DHCP):