Configurando Interface de Rede. IPTABLES Firewall em Linux Kernel 2.4 em diante. Regras do Iptables. Iptables. Regras do Iptables. Comandos Principais

Transcrição

1 IPTABLES Firewall em Linux Kernel 2.4 em diante Prof. Alexandre Beletti Ferreira Configurando Interface de Rede Configuração da interface de rede: netconfig (Slackware) netconf ou linuxconf (Conectiva e RedHat) Existe ainda outra possibilidade: ifconfig ethx IP netmask IP_MASK up Onde IP é o IP da interface e IP_MASK é a máscara da rede. Iptables Evolução do ipchains, criado também por Paul Russel. Regras do Iptables São como filtros aplicados ao iptables para que o mesmo implemente o que chamamos de filtro de pacote de acordo com o endereço IP/porta de origem/destino, interface de origem/destino, etc. As regras são armazenadas dentro dos chamados chains e processadas na ordem em que são inseridas. Regras do Iptables Quando o sistema é reinicializado as regras são perdidas e precisam estar em um arquivo carregado na inicialização do SO. Sintaxe: iptables comando parâmetros extensões Exemplo: iptables A INPUT p TCP s j DROP Comandos Principais DROP = Nega pacote sem envio de um flag Reset R ACCEPT = Aceita pacote REJECT = Nega pacote mas envia um flag Reset R. Obs: O envio de um flag reset pode facilitar a detecção por um scanner de rede em uma porta aberta do sistema. O ideal é DROP. 1

2 Tabelas São áreas de memória RAM usadas para armazenar os chains em conjunção como um conjunto de regras. São elas: Filter Nat Mangle Tabela Filter Considerada a tabela padrão, contém três chains básicos: INPUT = Consultado para pacotes que chegam na própria máquina OUTPUT = Consultado por pacotes que saem da própria máquina FORWARD = Consultado por pacotes que são redirecionados para outra interface de rede ou outra estação. Utilizado em mascaramento. Usada para passagem de pacotes que podem gerar outra conexão. Um exemplo clássico é o mascaramento (masquerading); nat, port forwarding e proxy transparente são outros. Possui três chains básicos: PREROUTING = Consultado quando os pacotes precisam ser redirecionados logo que chegam. Por exemplo, um pacote smtp que vai ser direcionado para um endereço interno da rede (é o chain ideal para realização do chamado Destination NAT (DNAT). OUTPUT = Consultado quando os pacotes gerados localmente precisam ser redirecionados antes de serem roteados. Este chain somente é utilizado para conexões que se originam de IPs de interfaces de rede locais. POSTROUTING = Consultado quando os pacotes precisam ser modificados após o tratamento de roteamento. É o chain utilizado para realização de SNAT e mascaramento (IP Masquerading). 2

3 Utilizada para alterações especiais de pacotes como, por exemplo, modificar o tipo de serviço (TOS) de um pacote. Ideal para produzir informações falsas para scanners de rede. Possui dois chains padrão: PREROUTING = Consultado quando os pacotes precisam ser direcionados logo que chegam. OUTPUT = Consultado quando os pacotes gerados localmente precisam ser redirecionados antes de serem roteados. Comandos -A = Acrescenta uma regra às existentes no sistema, permitindo atualizar regras -I = Insere uma nova regra -D = Exclui uma regra -P = Define a regra padrão -L = Lista regras existentes no Firewall -F = Zera as regras (FLUSH) Comandos -h = Ajuda -R = Substitui uma regra (REPLACE) -C = Checar as regras -Z = Zera uma regra específica -N = Cria uma nova regra com um nome específico -X = executa uma regra por seu nome Parâmetros -p = Define o protocolo: TCP, UDP e ICMP -s = endereço origem -d = endereço destino Possui ainda 2 (dois) argumentos: endereço/máscara e porta Exemplo: -s /24 80 Parâmetros -i = interface -j = redirecionar uma ação (JUMP) -f = tratar datagramas fragmentados 3

4 -sport [porta:porta] -dport [porta:porta] -mac-source MAC -icmp-type TIPO Extensões Exemplo de um FLUSH geral Script FLUSH: iptables P INPUT ACCEPT iptables P FORWARD ACCEPT iptables P OUTPUT ACCEPT iptables F iptables t nat F #flush no nat iptables X #flush nas chains personalizadas Iptables Z #zera regras específicas Exemplo de um Firewall Básico Script BÁSICO: iptables P INPUT DROP iptables P FORWARD DROP iptables P OUTPUT ACCEPT iptables A INPUT p TCP -m state state ESTABLISHED, RELATED j ACCEPT ATENÇÃO Especificar regras de acordo com o estado da conexão do pacote -> STATEFULL de uma conexão: NEW = Checam pacotes que criam novas conexões a partir de uma conexão original ESTABLISHED = Checam os pacotes com conexões já estabelecidas (Ex: FTP). ATENÇÃO RELATED = Checam os pacotes relacionados indiretamente a uma conexão. INVALID = Checam os pacotes que não puderam ser identificados por algum motivo qualquer e com resposta de conexões desconhecidas. NAT e Mascaramento Utilizada quando queremos colocar toda uma Intranet atrás de um Firewall, utilizando IPs falsos ou frios (ex: ou ). Esta técnica habilita uma simples máquina a traduzir através de um endereço IP toda uma rede. 4

5 NAT e Mascaramento NAT = Netware Address Translation. Muito utilizado em roteadores, o NAT é uma espécie de mascaramento só que desempenha funções de encaminhamento de pacotes (packet forwarding). Quem cuida disso no Linux (não é nativo) é o ipmasqadm portfw. NAT e Mascaramento Este tipo de recurso é extremamente útil quando desejamos colocar um servidor web, ou até de correio, atrás de um firewall utilizando endereços flasos, com o intuito de evitar invasões ou quando temos poucos IPs para endereçamento de servidores e roteadores. NAT Roteamento com ROTEADOR Roteadores traduzem um endereço falso dentro de uma rede interna (Intranet) para um endereço válido para a Internet ou para outra rede. Roteamento com SERVIDOR Servidor Linux contendo 2 placas de rede, fazendo o redirecionamento da rede interna para a Internet. Mascaramento Exemplo 1 iptables t nat A POSTROUTING o ppp0 j MASQUERADE iptables A FORWARD i ppp0 j ACCEPT iptables A INPUT p TCP m state state ESTABLISHED, RELATED j ACCEPT 5

6 Mascaramento Exemplo 1 Na primeira linha utilizamos a tabela nat, ou seja, o tratamento de POSTROUTING. Neste caso, tudo que vier da rede interna deverá sair mascarado pela interface ppp0 (em ADSL seria pppoe0). Na segunda linha FORWARD é feito para a interface ppp. Estudo de Caso Criando o Firewall de uma Empresa Exemplo 1 Todos os pacotes vindos da rede com máscara destinados a devem ser descartados: iptables A FORWARD s /24 d -j DROP Exemplo 2 Os pacotes oriundos de rede destinados ao host deverao ser descartados: iptables A FORWARD d -j DROP Exemplo 3 Todos os pacotes vindos de destinados a com máscara devem ser descartados: iptables A FORWARD d /24 s -j DROP Exemplo 4 Todos os pacotes ICMP vindos de e destinados a qualquer rede deverão ser descartados: iptables A FORWARD s /24 p icmp -j DROP 6

7 Regular o tipo de serviço, ou seja, regulamentar de certa forma o tráfego da rede. Se um FTP está consumindo os recursos de sua rede, podemos regular a entrada e a saída de pacotes com a mesma: iptables t mangle A OUTPUT o ppp0 p tcp dport 21 j TOS set-tos 0x10 Espera mínima = 0x10 Máximo processamento = 0x08 Máxima confiança = 0x02 Custo mínimo = 0x02 Prioridade padrão = 0x00 Bibliografia MARCELO, A., Firewalls em Linux. São Paulo: Brasport,