TuxFrw 3.0 MSPF Modular Stateful Packet Filter

Tamanho: px

Começar a partir da página:

Download "TuxFrw 3.0 MSPF Modular Stateful Packet Filter http://tuxfrw.linuxinfo.com.br"

Vagner Sintra Ximenes
2 Há anos
Visualizações:

Transcrição

1 TuxFrw 3.0 MSPF Modular Stateful Packet Filter TuxFrw é uma ferramenta modular, criada em linguagem shell script, que permite o admistrador configurar de forma fácil e segura as regras de filtro de pacotes do Firewall, utilizando o IPTables como interface de configuração. O Projeto foi iniciado em 01/10/2001 e começou baseado em um simples script da Conectiva chamado CFTK (Conectiva Firewall Tool Kit). Na época considerei o script muito complexo, de difícil manutenção e sem suporte a NAT. O shell script era composto de diversas funções em um arquivo de grandes proporções. Como a Conectiva não aceitava os argumentos de melhoria e este era GPL resolvi criar o projeto TuxFrw.

2 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Fluxo de dados do Netfilter/IPTables kernels 2.4 e 2.6: INPUT Firewall Local Process OUTPUT FORWARD Fluxo de dados do IPChains kernel 2.2: Firewall INPUT FORWARD OUTPUT POSTROUTING PREROUTING FORWARD

3 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Estrutura modular do TuxFrw IPv4: tuxfrw tuxfrw.conf tf_mangle.mod tf_input.mod tf_base.mod tf_output.mod tf_kernel.mod tf_nat-out.mod tf_nat-in.mod tf_forward.mod tf_int-ext.mod tf_dmz-int.mod tf_int-dmz.mod tf_ext-int.mod tf_int-vpn.mod tf_vpn-ext.mod tf_dmz-ext.mod tf_ext-dmz.mod tf_vpn-int.mod tf_dmz-vpn.mod tf_vpn-dmz.mod tf_ext-vpn.mod

4 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Estrutura modular do TuxFrw IPv6: tuxfrw tuxfrw.conf tf_mangle.mod tf_input.mod tf_base.mod tf_output.mod tf_kernel.mod tf_forward.mod tf_int-ext.mod tf_dmz-int.mod tf_int-dmz.mod tf_ext-int.mod tf_int-vpn.mod tf_vpn-ext.mod tf_dmz-ext.mod tf_ext-dmz.mod tf_vpn-int.mod tf_dmz-vpn.mod tf_vpn-dmz.mod tf_ext-vpn.mod

5 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Entendendo o funcionamento dos módulos: Os módulos de regras representam o sentido de saída do tráfego do pacote. tf_xxx-yyy.mod - neste caso, XXX representa de onde o pacote está vindo, ou seja, de qual interface de rede e YYY seria o destino do pacote, ou seja, por qual interface de rede está saindo o pacote. Desta maneira é possível obter mais clareza e facilidade na administração das regras.

6 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Entendendo o funcionamento dos módulos: tf_kernel.mod aqui encontram-se optimizações de kernel e carregamento de módulos do Netfilter. Qualquer módulo do Netfilter que se deseja utilizar, precisa ser incluído aqui para ser carregado no momento da execução do TuxFrw. tf_base.mod módulo que contém todas as funções de chamadas para os módulos do TuxFrw. Quando adicionamos uma nova interface de rede ao Firewall, inserimos aqui todas as chamadas para os novos módulos.

7 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Entendendo o funcionamento dos módulos: tuxfrw.conf aqui encontramos todas as variáveis utilizadas nos módulos do TuxFrw. Novas variáveis podem ser criadas aqui e lidas em qualquer outro módulo do projeto. Facilita a manutenção das regras porque permite ao administrador alterar o valor de uma variável em um único lugar e não em cada módulo. Ex.: o IP do DNS foi alterado, basta alterar aqui e reiniciar o TuxFrw.

8 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Entendendo o funcionamento dos módulos: kernel.orig aqui são gravados os parâmetros originais do kernel, antes do TuxFrw ser executado pela primeira vez. Isso porque em caso de dúvida, quando paramos o TuxFrw, este volta o kernel ao seu estado original. tf_forward.mod nesse módulo redirecionamos qualquer FORWARD para outros módulos conforme suas interfaces de entrada e saída. tf_input.mod aqui liberamos acessos ao Firewall. Por padrão qualquer acesso ao Firewall é negado e devemos ter muito cuidado com o que liberamos nesse módulo. Firewalls não devem conter serviços abertos desnecessariamente.

9 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Entendendo o funcionamento dos módulos: tf_output neste módulo liberamos qualquer acesso do Firewall para qualquer rede. tf_nat-in.mod aqui colocamos as regras de criação dos NATs de entrada no Firewall. Onde associamos os IPs públicos aos não públicos na entrada do Firewall. tf_nat-out.mod aqui fazemos o inverso do citado acima, ou seja, associamos os IPs não públicos aos públicos na saída do Firewall. tf_mangle.mod módulo utilizado para configurações na tabela mangle, como marcação de pacotes para roteamento avançado e outros.

10 TuxFrw 3.0 MSPF Modular Stateful Packet Filter

11 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Instalando o TuxFrw

51 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Feito! Nesse momento após o comando: tuxfrw start se não houver erro algum nas regras nosso Firewall estará rodando perfeitamente como mostrado no diagrama. Após o primeiro start do TuxFrw o mesmo cria um arquivo em /etc/tuxfrw chamado: kernel.orig. Nele são gravadas todos os valores default das variáveis do sysctl antes da alteração do TuxFrw. Dessa forma basta o comando: tuxfrw stop para parar o TuxFrw e voltar os valores padrões do sysctl.

52 TuxFrw 3.0 MSPF Modular Stateful Packet Filter O TuxFrw também possui instruções que podem ser passadas em linha de comando para facilitar uma implatação de um Firewall e ajudar à resolver problemas com regras mal configuradas. Um exemplo típico: você configurou o TuxFrw mas o cliente diz que não consegue acessar determinado serviço externo. Nesse caso uma regra pode estar errada no filtro ou no NAT. Executando na linha de comando: tuxfrw natopen você diz ao TuxFrw para remover toda a filtragem e deixar apenas o NAT habilitado, ou seja, um router simples e sem bloqueios. Nos próximos slides mostrarei outros comandos.

56 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Por trás dos bastidores: O segredo de como o TuxFrw consegue trabalhar com módulos está no uso das chains com as interfaces de rede. Para cada conjunto de interface de entrada e de saída na chain FORWARD, é criada uma chain temporária responsável que chamo de módulo. Exemplo de código do tf_forward.mod: if [ "$INT_IFACE"!= "" -a "$EXT_IFACE"!= "" ]; then $IPTABLES -A FORWARD -i $INT_IFACE -o $EXT_IFACE -j INT2EXT $IPTABLES -A FORWARD -i $EXT_IFACE -o $INT_IFACE -j EXT2INT fi Esse trecho acima direciona as regras de FORWARD das interfaces INT e EXT para os módulos: tf_int-ext.mod e tf_ext-int.mod.

57 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Olhando o módulo tf_forward.mod

60 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Olhando o módulo tf_input.mod

64 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Olhando o módulo tf_output.mod

66 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Olhando o módulo tf_mangle.mod

68 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Comentando o módulo tf_kernel.mod

70 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Comentando o módulo tf_base.mod

72 TuxFrw 3.0 MSPF Modular Stateful Packet Filter Dúvidas???

73 TuxFrw 3.0 MSPF Modular Stateful Packet Filter C A switch B a) b) c) d) e) A pinga B e B pinga C A não pinga B mas B pinga C A pinga B, A pinga C e B não pinga C A pinga B, A pinga C e B pinga C Ninguém se pinga.

74 TuxFrw 3.0 MSPF Modular Stateful Packet Filter FIM e obrigado à todos Contato: Marcelo Gondim Site:

Documentos relacionados

Obs: Endereços de Rede. Firewall em Linux Kernel 2.4 em diante. Obs: Padrões em Intranet. Instalando Interface de Rede.

Obs: Endereços de Rede. Firewall em Linux Kernel 2.4 em diante. Obs: Padrões em Intranet. Instalando Interface de Rede. Obs: Endereços de Rede Firewall em Linux Kernel 2.4 em diante Classe A Nº de IP 1 a 126 Indicador da Rede w Máscara 255.0.0.0 Nº de Redes Disponíveis 126 Nº de Hosts 16.777.214 Prof. Alexandre Beletti