Software de Telecomunicações. Firewalls

Transcrição

1 Software de Telecomunicações Firewalls Prof RG Crespo Software de Telecomunicações Firewalls : 1/34 Introdução Firewall: dispositivo (SW, HW, ou ambos) que limita acessos por rede (Internet), a uma outra rede de um ou mais computadores (a proteger). Não protege contra copia por outros meios (diskette, ), nem contra tunneling de aplicações avançadas!!! Etapas a seguir na configuração de uma firewall 1. Determinar quais os servidores dentro da rede interna que podem ser acedidos do exterior e quais os serviços (ssh, WWW, , ) a disponibilizar ao exterior. 2. Configurar a firewall de forma o mais restrita possível. Prof RG Crespo Software de Telecomunicações Firewalls : 2/34

2 História (1) Linux disponibiliza subsistema de gestão de uma firewall, o netfilter ( A administração é feita por comandos ao servidor firewall ipfw adaptado do BSD (1994, Kernel 1.1) ipfwadm (Kernel 2.0.x; RH 5.x) ipchains (1998, Kernel 2.2.x; RH 6.x,7.0) iptables (1999, a partir do Kernel 2.4.x; RH ) versão mais recente: iptables-1.3.7, dezembro 2006 O iptables está incorporado no núcleo do Linux ( kernel ), ao contrário do ipchains. Windows XP instala automaticamente uma firewall no SP2 (nota: talvez a melhor contribuição da Microsoft para a segurança). Prof RG Crespo Software de Telecomunicações Firewalls : 3/34 História (2) Neste módulo descreve-se o iptables Equipamento: PC de recursos limitados CPU: 486 ou posterior RAM: 16MB placas Internet: 2 (uma para a rede exterior, outro para a rede interior-lan) Filtragem pode ser exercida em: flags determinadas do TCP (anteriormente, apenas no SYN) endereços IP 1 ou MAC 2 (anteriormente, apenas IP) em simultâneo a vários portos bits (IPv4) ou 128 bis (IPv6) 2-48 bits Prof RG Crespo Software de Telecomunicações Firewalls : 4/34

3 História (3) O daemon iptables é manipulado pelo administrador ( root ) através do comando /sbin/service iptables opcao start (arranque) stop (paragem) restart (reinicio) Para que a firewall seja lançada automaticamente no boot-up do sistema operativo Linux, executar /sbin/chkconfig iptables on Configuração no arranque, no Linux-RH, estabelecida no ficheiro/etc/sysconfig/iptables (se existir). Prof RG Crespo Software de Telecomunicações Firewalls : 5/34 Arquitectura (1) Estação de trabalho Firewall Impressora Internet Servidores DMZ-zona desmilitarizada (acesso limitado a partir do exterior) Prof RG Crespo Software de Telecomunicações Firewalls : 6/34

4 Arquitectura (2) Os pacotes IP passam, na firewall, por uma estrutura de 5 cadeias ( chains ), denominada kernelspace structure FIREWALL Internet Para conversão de endereços (NAT) Pré-encaminhamento (PREROUTING) Entrada (INPUT) Re-encaminhamento (FORWARD) Pós-encaminhamento (POSTROUTING) Saída (OUTPUT) Processos da rede local Prof RG Crespo Software de Telecomunicações Firewalls : 7/34 Interligação rede local-internet (1) A máquina que faz a interface entre a rede local (LAN) e a Internet possui duas placas de rede, de nomes eth0 (tipicamente na Internet) e eth1 (tipicamente na rede local). A configuração das placas é feita pelo comando /sbin/ifconfig placa Para redes locais privadas, o RFC1918 define 256 classes C contíguas Nota: o endereço privado da firewall constitui o endereço gateway da rede local. Prof RG Crespo Software de Telecomunicações Firewalls : 8/34

5 Interligação rede local-internet (2) Protocolo Activação Estatísticas Endereço IP >ifconfig eth0 eth0 Link encap:ethernet HWaddr 00:4F:4E:06:CE:0E inet addr: Bcast: Mask: UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets: errors:1 dropped:0 overruns:0 frame:0 TX packets: errors:0 dropped:0 overruns:4 carrier:0 Dimensão máxima trama IP collisions:0 txqueuelen:1000 RX bytes: (337.9 MiB) TX bytes: (713.7 MiB) Interrupt:9 Base address:0xd800 >ifconfig eth1 eth1 Link encap:ethernet HWaddr 00:4F:4E:03:30:C5 inet addr: Bcast: Mask: UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets: errors:1 dropped:0 overruns:0 frame:0 TX packets: errors:0 dropped:0 overruns:3 carrier:0 collisions:0 txqueuelen:1000 RX bytes: (848.5 MiB) TX bytes: (252.0 MiB) Interrupt:5 Base address:0xd400 Prof RG Crespo Software de Telecomunicações Firewalls : 9/34 Interligação rede local-internet (3) A rede local é interligada à Internet por dois modos: A. Rede local pública A rede local faz parte da Internet, com endereços válidos. As tramas IP podem ser trocadas entre os computadores da rede local e da Internet sem tratamento. B. Rede local privada (a mais usada) Os computadores da rede local possuem endereços especiais. A firwall reescreve os cabeçalhos que por ela passam. Prof RG Crespo Software de Telecomunicações Firewalls : 10/34

6 Níveis de filtragem (1) A filtragem de pacotes pode ser exercida a 3 níveis: A. Rede (ou bridge ): decisão baseada nos endereços fonte/destino e portos Combate roubo de endereços IP de fora. Cavalo de tróia, que abre porto não autorizado no firewall, não consegue comunicar com o seu controlador. B. Filtragem dinâmica de Rede: alterações bruscas de tráfego levam ao corte do acesso, até retornar a valores aceitáveis. C. Aplicação (ou NAT- Network Address Translation ): todos os endereços de dentro são convertidos para o endereço da firewall, tornado a rede interna invisível ao exterior. Possibilita igualmente transladação de portos. Prof RG Crespo Software de Telecomunicações Firewalls : 11/34 Níveis de filtragem (2) A filtragem é guiada por tabelas 1 com regras ordenadas. Cada regra é formada por duas partes: emparelhamento e alvo. Se o pacote não emparelhar com uma regra, é submetido à regra seguinte. Se não emparelhar na segunda regra, a regra seguinte é indicada pelo alvo: ACCEPT: deixa passar DROP: não passa REJECT: não passa, com mensagem de erro DNAT (SNAT): reescreve endereço de destino (fonte) MASQUERADE: reescreve endereço fonte (por omissão, a interface), usado frequentemente para alterar os portos fonte RETURN: continua na regra seguinte 1 mais precisamente, uma fila ( queue ) Prof RG Crespo Software de Telecomunicações Firewalls : 12/34

7 Níveis de filtragem (3) Existem 3 tipos de tabelas para manipular pacotes, seleccionadas pela opção table ttt filter (omissão), com regras para INPUT (filtragem de pacotes entrados na firewall ), FORWARD (filtragem de pacotes redireccionados para servidores protegidos pela firewall ), OUTPUT (filtragem de pacotes gerados localmente, para fora) nat (para criar novas conexões), com regras para PREROUTING (alterar pacotes à chegada), OUTPUT (pacotes gerados localmente antes de direccionados), POSTROUTING (pacotes alterados antes do envio para a Internet) mangle (para alterações especializadas) Prof RG Crespo Software de Telecomunicações Firewalls : 13/34 Níveis de filtragem (4) Internet Tabela mange PREROUTING Tabela nat PREROUTING Encaminhamento Tabela nat POSTROUTING Sim Tabela mange INPUT Para Firewall? Não Tabela mange FORWARD Tabela mangle POSTROUTING Tabela filter INPUT Tabela filter FORWARD Tabela filter OUTPUT Tabela nat OUTPUT Tabela mange OUTPUT Resposta Firewall Processamento local Encaminhamento Tabela mange POSTROUTING Tabela NAT POSTROUTING Internet Prof RG Crespo Software de Telecomunicações Firewalls : 14/34

8 Regras (1) Sintaxe das regras iptables [-t tabela] opções alvo/salto Opções mais importantes no iptables Acção -A adicionar regra no fim da cadeia -I posição inserir regra numa posição da cadeia -D remover regra anterior -F apagar todas as regras, enviadas para um ficheiro (se existir) Prof RG Crespo Software de Telecomunicações Firewalls : 15/34 Regras (2) Salto (-j) alvo ACCEPT aceita pacote REJECT rejeita pacote e envia mensagem de erro ICMP DROP rejeita pacote sem envio de mensagem ICMP MASQ mascaramento RETURN finaliza cadeia Interface -i id carta por onde pacote entra -o id carta por onde pacote sai Protocolo -p prot tcp, udp, icmp ou all Prof RG Crespo Software de Telecomunicações Firewalls : 16/34

9 Regras (3) Portos --sport gama porto de origem --dport gama porto de destino --syn pedido de estabelecimento de conexão --icmp tipo eco, os tipos pode ser echorequest:pedido, echo-reply:resposta Endereços -s IPaddr[/máscara] fonte -d IPaddr[/máscara] destino Nota 0/0 significa qualquer endereço Prof RG Crespo Software de Telecomunicações Firewalls : 17/34 Regras (4) Estado do pacote (necessário módulo ip_conntrack) -m --state estado NEW: pacote iniciou nova conexão, ou associado a conexão que ainda não levou pacotes para os dois lados. ESTABLISHED: pacote associado a conexão que já levou pacotes para os dois lados. INVALID: pacote não é associado a uma conexão. RELATED: pacote está a iniciar nova conexão, mas é associado a uma conexão existente (ex: transferência FTP). Iniciado de dentro NEW ESTABLISHED RELATED NEW Internet drop Prof RG Crespo Software de Telecomunicações Firewalls : 18/34

10 Endereços (1) Os endereços podem ser indicados em diversas formas: 1. Nome lógico, resolvido por servidor de nomes DNS, ex: comp.ist.utl.pt 2. Numero IP, ex: Sequência de endereços, ex: CIDR ( Classless Internet Domain Routing), na forma endereço base/máscara. A máscara ( netmask ) pode ser indicada sob 2 formas Curta, com o número de bits do prefixo que são fixos. Completa, indicando o valor de todos os grupos de 8 bits (entre 0 e 255) Prof RG Crespo Software de Telecomunicações Firewalls : 19/34 Endereços (2) Filtro curto Máscara Número de endereços / / / / / / / Ex: /24 indica que os 24 bits superiores são fixos, podendo variar os 32-24=8 bits menos significativos: assim é coberta a gama a Ex: /29, podem variar 3 bits menos significativos: assim é coberta a gama a Prof RG Crespo Software de Telecomunicações Firewalls : 20/34

11 Endereços (3) Os endereços internos, da rede privada LAN ( Local Area Network ), podem ser indicados nas classes reservadas pela IANA Classe A, bloco 24 bits (máscara ): por exemplo, Classe B, bloco 20 bits (máscara ): por exemplo, Classe C, bloco 16 bits (máscara ): por exemplo, Normalmente, o penúltimo endereço (.254) é destinado ao nó de encaminhamento ( gateway ) e o último (.255) ao nó de difusão ( broadcast ). Prof RG Crespo Software de Telecomunicações Firewalls : 21/34 Portos Os portos abrangidos numa regra podem ser indicadas em diversas formas 1. Porto individual, ex Gama de portos inferior:superior. Por omissão, o limite inferior e superior são 0 e :1023 (portos entre 0 e 1023) 1024: (portos de número igual ou superior a 1024) Nota 1: portos 0:1023 são designados portos de sistema, e apenas podem ser abertos pelo root Nota 2: lista das aplicações associadas a portos disponibilizada em Prof RG Crespo Software de Telecomunicações Firewalls : 22/34

12 Script (1) Formato típico de um script # Carregamento dos módulos apropriados modprobe iptable_nat modprobe ip_conntrack_ftp # remoção regras existentes e anulação dos contadores iptables -F # flush das regras iptables -X # elimina todas as cadeias na tabela iptables -Z # anula pacotes e contadores em todas as cadeias Prof RG Crespo Software de Telecomunicações Firewalls : 23/34 Script (2) # insere DROP por omissão iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT DROP # definições típicas IFACE="eth0" # interface nível dados (ethernet eth0, ppp0, ) CLASS_C=" /64" # sub-rede/máscara NAMESERVER_1=" " # primeiro servidor de nomes DNS NAMESERVER_2=" " # segundo servidor de nomes DNS SERVER=" " GATEWAY=" " P_PORTS="0:1023" UP_PORTS= "1024:65535" Prof RG Crespo Software de Telecomunicações Firewalls : 24/34

13 Script (3) # protecção SYN; por omissao, limit=3/hora, limit-burst=5 iptables -N syn-flood iptables -A INPUT-i$IFACE-ptcp-syn -j syn flood iptables -A syn-flood -m limit --limit 1/s \ --limit -burst 4 -j RETURN iptables -A syn-flood -j DROP # Nova conexões são SYN iptables -A INPUT-i $IFACE-p tcp!--syn -m state\ --state NEW -j DROP ##! : operador de negação, -m : emparelha ( match ) Prof RG Crespo Software de Telecomunicações Firewalls : 25/34 Script (4) iptables -N icmp-in iptables -N icmp-out # aceita DNS (de servidores) iptables -A INPUT -i $IFACE -p udp -s $NAMESERVER_1 \ --sport 53 -m state --state ESTABLISHED -j ACCEPT iptables -A INPUT -i $IFACE -p udp -s $NAMESERVER_2 \ --sport 53 -m state --state ESTABLISHED -j ACCEPT # aceita DNS (para servidores) iptables -A OUTPUT -o $IFACE -p udp -s $NAMESERVER_1 \ --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o $IFACE -p udp -s $NAMESERVER_2 \ --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT Prof RG Crespo Software de Telecomunicações Firewalls : 26/34

14 Script (5) # Aceita WWW iptables -A INPUT -i $IFACE -p tcp --sport 80 -m state \ --state ESTABLISHED -j ACCEPT iptables -A OUTPUT -o $IFACE -p tcp --sport 80 -m state \ --state NEW,ESTABLISHED -j ACCEPT # Aceita WWW cifrado iptables -A INPUT -i $IFACE -p tcp --sport 443 -m state \ --state ESTABLISHED -j ACCEPT iptables -A OUTPUT -o $IFACE -p tcp --sport 443 -m state \ --state NEW,ESTABLISHED -j ACCEPT Prof RG Crespo Software de Telecomunicações Firewalls : 27/34 Transladação de endereços (1) Transladação de endereços DNAT O endereço IP de destino pode ser alterado, por exemplo com servidor WWW protegido. iptables -t nat -A PREROUTING -p tcp -d \ --dport 80 -j DNAT --to-destination \ A cada stream é atribuído aleatoriamente um número interno /28 Prof RG Crespo Software de Telecomunicações Firewalls : 28/34

15 Transladação de endereços (2) Transladação de endereços SNAT O endereço IP de fonte pode ser alterado, por exemplo com vários servidores a partilhar a mesma conexão. iptables -t nat -A POSTROUTING -p tcp -o eth0 -j SNAT \ --to-source : ## é a gama de portos Prof RG Crespo Software de Telecomunicações Firewalls : 29/34 Transladação de endereços (3) Transladação de endereços Invisibilidade da rede interna determinada por mascaramento, que converte vários endereços internos num único IP (se 24 computadores internos requerem a mesma página WWW, o servidor recebe 24 pedidos com o mesmo endereço) Há duas redes: externa (eth0) e interna (eth1) Os pacotes são encaminhados através da cadeia FORWARD # Carregamento do módulo modprobe iptable_nat # Autorização o forward dos pacotes echo 1 > /proc/sys/net/ipv4/ip_forward Prof RG Crespo Software de Telecomunicações Firewalls : 30/34

16 Transladação de endereços (4) # O endereço NAT IP é o da interface da firewall, sendo necessário apenas indicar os endereços internos iptables -t nat -A POSTROUTING -o eth0 -s /27 \ -d 0/0 -j MASQUERADE # endereços internos: /27 iptables -A FORWARD -t filter -i eth1 -m state \ --state NEW,ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -t filter -i eth0 -m state \ --state ESTABLISHED,RELATED -j ACCEPT Prof RG Crespo Software de Telecomunicações Firewalls : 31/34 Listagem das regras (1) iptables L Apresenta as regras aplicadas nos 3 sentidos (INPUT, FORWARD e OUTPUT). Chain INPUT (policy DROP) target prot opt source destination bad_packets all -- anywhere anywhere ACCEPT all -- anywhere anywhere state RELATED, ESTABLISHED DROP all -- anywhere /8 ACCEPT all -- anywhere anywhere ACCEPT tcp -- anywhere anywhere tcp dpt:ssh state NEW ACCEPT udp /27 anywhere udp dpt:snmp state NEW ACCEPT udp /27 anywhere udp dpt:snmp-trap state NEW ACCEPT icmp -- anywhere anywhere icmp echo-reply ACCEPT icmp -- anywhere anywhere icmp time-exceeded ACCEPT icmp -- anywhere anywhere icmp parameter-problem ACCEPT icmp -- anywhere anywhere icmp destination-unreachable ACCEPT icmp -- anywhere anywhere icmp source-quench ACCEPT icmp -- anywhere anywhere icmp echo-request Filtragem Protocolo Estado do pacote Prof RG Crespo Software de Telecomunicações Firewalls : 32/34

17 Listagem das regras (2) Exemplo: Admitamos que foi introduzida a regra de bloqueio de Telnet (porto 23) iptables -A INPUT -p tcp --dport 23 -j DROP O comando iptables L tem por resultado Chain INPUT (policy ACCEPT) target prot opt source destination DROP tcp -- anywhere anywhere tcp dpt:telnet Prof RG Crespo Software de Telecomunicações Firewalls : 33/34 Listagem das regras (3) Para salvaguardar as tabelas actuais, executar comando /sbin/service iptables save que salva configuração no ficheiro /etc/sysconfig/iptables A configuração pode ser lida directamente pelo comando /sbin/iptables-save e carregada directamente pelo comando /sbin/iptables-restore < fich Prof RG Crespo Software de Telecomunicações Firewalls : 34/34