Tema do Minicurso: Firewall IPTABLES. Carga horária 3h

Transcrição

1 Orientador: Mirla Rocha de Oliveira Ferreira Bacharel em Engenharia da Computação Orientadora do Curso de Formação Profissional em Redes de Computadores - SENAC

2 Tema do Minicurso: Firewall IPTABLES Carga horária 3h

3 Linux - Revisão Sistema Operacional operante desde de 1991, criado por Linus Torvalds, na de Helsinki na Finlândia. Possui código aberto (open source), liberado como software livre (free software).

4 Linux - Revisão Código aberto X software livre: A diferença está nos objetivos, filosofia e modo de agir, não nos softwares ou licenças. O código aberto é regido pela organização Open Source Initiative (OSI). O software livre é caracterizado pelo movimento Free Software Foundation (FSF).

5 Linux - Revisão Código aberto: Distribuição livre; Acesso ao código-fonte; Permissão para criação de trabalhos derivados; Integridade do autor do código-fonte; Não discriminação contra pessoas ou grupos; Não discriminação contra áreas de atuação; Distribuição da licença; Licença não específica a um produto; Licença não restritiva a outros programas; Licença neutra em relação à tecnologia.

6 Linux - Revisão Software livre: liberdade de executar o programa, para qualquer propósito (liberdade 0); liberdade de estudar como o programa funciona e adaptá-lo às suas necessidades (liberdade 1), sendo o acesso ao código-fonte um pré-requisito para esta aspecto; liberdade de distribuir cópias de forma que você possa ajudar ao seu próximo (liberdade 2); liberdade de melhorar o programa e liberar os seus aperfeiçoamentos, de modo que toda a comunidade se beneficie (liberdade 3). Novamente, aqui o acesso ao código-fonte é um pré-requisito.

7 Linux - Revisão Sendo assim, tem-se maior estabilidade, velocidade e novos recursos adicionados ao sistema.

8 Linux - Revisão O LINUX NÃO É VULNERÁVEL A VÍRUS! Há maior dificuldade de ação de vírus devido às restrições de acesso ao sistema de arquivos e execução, onde a separação de privilégios entre processos é rigorosa e as recomendações do padrão de política de segurança são respeitadas.

9 Arquivos de Log Encontram-se em /var/log Registram tudo o que acontecem com o kernel, com os daemons e utilitários do sistema. Kernel: o núcleo do sistema operacional. Controla todo o hardware do computador. É a interface entre os programas e o hardware, permitindo a execução dos processos e compartilhamento da memória. Daemons: programa que não precisa do controle do usuário para rodar no sistema. Funciona em background, ou seja, em segundo plano, junto com o sistema. Normalmente, são iniciados no processo de boot e lidam com requisições diversas, como de rede, serviços e atividades do hardware. ).

10 Firewall Programa que aplica uma política de segurança impedindo a recepção de dados não autorizados em uma rede/computador. Atua como uma defesa, controlando o acesso ao sistema por meio de regras e a filtragem de dados. O Iptables é o firewall do Linux.

11 Firewall - Iptables Regras: Comandos passados realizar uma determinada ação (como bloquear ou deixar passar um pacote) de acordo com o endereço/porta de origem/destino, interface de origem/destino, etc. São armazenadas dentro dos chains e processadas na ordem que são inseridas. Como as regras se perdem a cada vez que o computador for reiniciado, devem-se ser gravadas em um arquivo para serem carregadas a cada inicialização. Um exemplo de regra: iptables -A INPUT -s j DROP

12 Firewall - Iptables Chains: Locais onde as regras são armazenadas para operação do firewall. Existem dois tipos de chains: os embutidos (como os chains INPUT, OUTPUT e FORWARD) e os criados pelo usuário. Os nomes dos chains embutidos devem ser especificados sempre em maiúsculas (chain input é completamente diferente de INPUT).

13 Firewall - Iptables Tabela: Locais usados para armazenar os chains e conjunto de regras com uma determinada característica em comum. As tabelas podem ser referenciadas com a opção -t tabela. Para facilitar o funcionamento e a gerência, o iptables divide as ACLs em tabelas, cada qual com um função específica. Existem 3 tabelas disponíveis no iptables: mangle. Daremos enfoque à tabela filter. filter, nat e

14 Firewall - Iptables Tabela filter Tabela padrão do Iptables, composto por 3 chains: INPUT - Consultado para dados que chegam à máquina. OUTPUT - Consultado para dados que saem da máquina. FORWARD - Consultado para dados que são redirecionados para outra máquina

15 Introdução O Iptables é um firewall em nível de pacotes e funciona baseado no endereço/porta de origem/destino do pacote, prioridade, etc. Nível de pacotes: É muito utilizado em redes pequenas ou de porte médio. Por meio de um conjunto de regras estabelecidas, determina que endereços IPs e dados podem estabelecer comunicação e/ou transmitir/receber dados. Sendo assim, pode negar o pacote (DROP) ou deixá-lo passar (ACCEPT). Nível de aplicação É usado em computadores servidores e não permite comunicação direta entre a rede e a Internet. Analisam o conteúdo do pacote para tomar suas decisões de filtragem.

16 Introdução Funciona através da comparação de regras para saber se um pacote tem ou não permissão para passar. Em firewalls mais restritivos, o pacote é bloqueado e registrado para que o administrador do sistema tenha conhecimento sobre o que está acontecendo em seu sistema. Totalmente implementado no kernel do sistema operacional, garantindo maior nível de segurança na filtragem.

17 Introdução Pode ser usado para modificar e monitorar o tráfego da rede, fazer NAT (masquerading, source nat, destination nat), redirecionamento de pacotes, marcação de pacotes, modificar a prioridade de pacotes que chegam/saem do seu sistema, contagem de bytes, dividir tráfego entre máquinas, criar proteções anti-spoofing, contra syn flood, DoS, etc.

18 Introdução IP Masquerading: permite usar o computador como um roteador para redes de pequeno porte. SNAT (Source Network Address Translation): reescreve a fonte e / ou destino de pacotes IP quando passam por um routeador ou firewall. DNAT (Destination Network Address Translation): muda o IP de destino de um pacote em rota para outro IP. Usada para publicar um serviço a partir de uma rede interna de um IP acessível ao público.

19 Introdução O tráfego vindo de máquinas desconhecidas da rede pode ser bloqueado/registrado através do uso de simples regras. O iptables garante grande flexibilidade na manipulação das regras de acesso ao sistema, precisando apenas conhecer quais interfaces o sistema possui, o que deseja bloquear, o que tem acesso garantido, quais serviços devem estar acessíveis para cada rede.

20 Introdução Para o bom funcionamento, é necessário conhecimentos básicos de rede tcp/ip, roteamento e portas, para criar as regras que farão a segurança do sistema. A segurança depende do controle das regras que serão criadas. É importante lembrar que as falhas humanas são garantia de mais de 95% de sucesso nas invasões.

21 O que proteger? É preciso ter conhecimento de quais serviços devem ter acesso garantido a usuários externos e quais serão bloqueados a todas/determinadas máquinas É recomendável bloquear o acesso a todas portas menores que 1024, por executarem serviços que rodam com privilégio de usuário root, e autorizar somente o acesso as portas que realmente deseja.

22 O que proteger? Serviços com autenticação em texto plano e potencialmente inseguros como rlogin, telnet, ftp, NFS, DNS, LDAP, SMTP RCP, X-Window são serviços que devem ser ter acesso garantido somente para máquinas/redes que você confia. Estes serviços podem ser usados para tentativa de acesso ao seu sistema e também como máscara de ataques a outros sistemas.

23 O que proteger? A configuração do firewall ajuda a impedir o envio de pacotes mesmo quando um serviço estiver mal configurado. Se, por exemplo, uma máquina Windows da rede for infectada por um trojan, o firewall poderá estar configurado para bloquear qualquer tentativa de conexão vinda da internet (cracker) para as máquinas da rede.

24 O que proteger? Deve-se saber quais máquinas terão acesso livre e quais serão restritas. Deve-se saber quais serviços deverão ter prioridade no processamento. Deve-se saber quais máquinas/redes NUNCA deverão ter acesso a certas/todas máquinas.

25 O que proteger? Deve-se saber o volume de tráfego que o servidor manipulará. Através disso, pode-se balancear o tráfego entre outras máquinas, configurar proteções contra DoS, syn flood, etc. Deve-se saber o que tem permissão de passar de uma rede para outra (em máquinas que atuam como roteadores/gateways de uma rede interna). Etc.

26 Prática Para a manipulação das regras armazenadas nas suas tabelas, o iptables fornece os seguintes comandos: -A : adiciona uma nova regra no final da lista de regras de uma dada tabela; -L : lista todas as regras de uma determinada tabela; -P : define a política padrão uma tabela, ou seja a regra padrão que será aplicada a um fluxo quando ele passar por todas as demais; -F : remove todas as regras de uma tabela sem alterar sua política padrão; -N : cria nova nova chain na tabela especificada; -X : apaga todas as chains de uma determinada tabela;

27 Prática Ações do iptables As ações permitem categorizar melhor as regras, fornecendo um tratamento mais detalhado sobre quais pacotes deverão ser manipulados. As principais ações fornecidas pelo iptables são listadas abaixo: -p : especifica qual protocolo será manipulado (TCP, UDP ICMP, etc..); -i : especifica a interface pela qual o pacote deve entrar (eth0, eth1, ppp0, ppp+); -o : especifica a interface pela qual o pacote deve sair (eth0, eth1, ppp0, ppp+); -s : informa a origem do pacote. sport : informa a porta a partir da qual o pacote será enviado, porta de origem; -d : informa o destino do pacote; dport : informa a porta de destino do pacote; -j : informa o de deve ser feito com o pacote, ou seja o alvo da regra

28 Alvos da regras Firewall IPTABLES Prática Ações referentes ao enquadramento dos fluxos por uma regra. ACCEPT : permite a entrada ou a saída ou o forward do pacote; DROP : descarta o pacote, sem comunicar a origem que o mesmo foi rejeitado, ideal para ocultar a existência do firewall; REJECT : descarta o pacote informando a origem que ele foi rejeitado pelo destino; LOG : registra o pacote em um arquivo de log que pode ser especificado através dos níveis de log do sistema, mas por default as mensagens são enviadas para o arquivo /var/log/messages ; SNAT : altera o endereço de origem do pacote que atendeu as características especificadas; DNAT : altera o endereço de destino do pacote; REDIRECT : redireciona o pacote para uma porta diferente.

29 Prática Adicionando regras - A Como exemplo vamos criar uma regra que bloqueia o acesso a nosso própria máquina ( loopback). Primeiro daremos um ping para verificar seu funcionamento: #ping PING ( ): 56 data bytes 64 bytes from : icmp_seq=0 ttl=255 time=0.6 ms 64 bytes from : icmp_seq=1 ttl=255 time=0.5 ms ping statistics packets transmitted, 2 packets received, 0% packet loss A máquina responde! Agora vamos incluir uma regra no chain INPUT (-A INPUT) que bloqueie (-j DROP) qualquer acesso indo (com destino) ao endereço (-d ): Agora verificamos um novo ping. iptables -t filter -A INPUT -d j DROP

30 Prática #ping PING ( ): 56 data bytes ping statistics packets transmitted, 0 packets received, 100% packet loss Desta vez, a máquina não respondeu, pois todos os pacotes com o destino (-d ) são rejeitados (-j DROP). A opção -A é usada para adicionar novas regras no final do chain. Além de -j DROP que serve para rejeitar os pacotes, podemos também usar -j ACCEPT para aceitar pacotes. A opção -j é chamada de alvo da regra, pois define o destino do pacote que atravessa a regra. Você está na base de um sistema de firewall!

31 Prática Listando regras - L Onde: A seguinte sintaxe é usada para listar as regras criadas: iptables [-t tabela] -L [chain] [opções] tabela É uma das tabelas usadas pelo iptables. Se a tabela não for especificada, a tabela filter será usada como padrão. chain Um dos chains disponíveis na tabela acima ou criado pelo usuário. Caso o chain não seja especificado, todos os chains da tabela serão mostrados. opções As seguintes opções podem ser usadas para listar o conteúdo de chains: -v Exibe mais detalhes sobre as regras criadas nos chains. -n Exibe endereços de máquinas/portas como números ao invés de tentar resolução DNS. -x Exibe números exatos ao invés de números redondos. Também mostra a faixa de portas de uma regra de firewall. --line-numbers Exibe o número da posição da regra na primeira coluna da listagem.

32 Prática Listando regras - L Para listar a regra criada anteriormente usamos o comando: #iptables -t filter -L INPUT Chain INPUT (policy ACCEPT) target prot opt source destination DROP all -- anywhere localhost

33 Prática Listando regras - L Chain INPUT (policy ACCEPT) #iptables -L INPUT -n target prot opt source destination DROP all / #iptables -L INPUT -n --line-numbers Chain INPUT (policy ACCEPT) num target prot opt source destination 1 DROP all / #iptables -L INPUT -n -v Chain INPUT (policy ACCEPT 78 packets, 5820 bytes) pkts bytes target prot opt in out source destination DROP icmp -- * * /

34 Prática Apagando uma regra D Usamos a mesma sintaxe para criar a regra no chain, mas trocamos -A por -D: iptables -t filter -D INPUT -d j DROP Então, a regra correspondente no chain INPUT será automaticamente apagada. Caso o chain possua várias regras semelhantes, somente a primeira será apagada.

35 Prática Inserindo uma regra I Precisamos que o tráfego vindo de não seja rejeitado pelo nosso firewall. Não podemos adicionar uma nova regra (-A) pois esta seria incluída no final do chain e o tráfego seria rejeitado pela primeira regra (nunca atingindo a segunda). A solução é inserir a nova regra antes da regra que bloqueia todo o tráfego ao endereço na posição 1: iptables -t filter -I INPUT 1 -s d j ACCEPT Após este comando, temos a regra inserida na primeira posição do chain (repare no número 1 após INPUT) e a antiga regra número 1 passa a ser a número 2. Desta forma a regra acima será consultada, se a máquina de origem for então o tráfego estará garantido, caso contrário o tráfego com o destino será bloqueado na regra seguinte.

36 Prática Substituindo uma regra - R Após criar nossa regra, percebemos que a nossa intenção era somente bloquear os pings com o destino (pacotes ICMP) e não havia necessidade de bloquear todo o tráfego da máquina. Existem duas alternativas: apagar a regra e inserir uma nova no lugar ou modificar diretamente a regra já criada sem afetar outras regras existentes e mantendo a sua ordem no chain (isso é muito importante). Use o seguinte comando: iptables -R INPUT 2 -d p icmp -j DROP O número 2 é o número da regra que será substituída no chain INPUT e deve ser especificado. O comando acima substituirá a regra 2 do chain INPUT (-R INPUT 2) bloqueando (-j DROP) qualquer pacote icmp (-p icmp) com o destino (-d ).

37 Prática ICMP - Internet Control Message Protocol - é um protocolo que faz parte da pilha TCP/IP, enquadrando-se na camada de rede (nível 3), a mesma camada do protocolo IP - Internet Protocol. O uso mais comum é feito pelos utilitários ping e traceroute. O ping evia pacotes ICMP para verificar se um determinado host está disponível na rede. O traceroute faz uso do envio de diversos pacotes UDP ou ICMP e, através de um pequeno truque, determina a rota seguida para alcançar um host.

38 Prática Criando um nova chain N O tamanho máximo de um nome de chain é de 31 caracteres e podem conter tanto letras maiúsculas quanto minúsculas. iptables [-t tabela] [-N novachain] Para criar o chain internet (que pode ser usado para agrupar as regras de internet) usamos o seguinte comando: iptables -t filter -N internet

39 Prática Renomeando um chain criado pelo usuário E Se, por algum motivo, precisar renomear um chain criado por você na tabela filter, nat ou mangle, poderá usar a opção -E do iptables: iptables -t filter -E chain-antigo novo-chain Não é possível renomear os chains defaults do iptables.

40 Prática Limpando as regras de um chain - F Onde: Para limpar todas as regras de um chain, use a seguinte sintaxe: iptables [-t tabela] [-F chain] tabela Tabela que contém o chain que desejamos zerar. chain Chain que desejamos limpar. Caso um chain não seja especificado, todos os chains da tabela serão limpos. iptables -t filter -F INPUT iptables -t filter -F

41 Prática Apagando um chain criado pelo usuário - X Para apagarmos um chain criado pelo usuário, usamos a seguinte sintaxe: Onde: iptables [-t tabela] [-X chain] tabela Nome da tabela que contém o chain que desejamos excluir. chain Nome do chain que desejamos apagar. Caso não seja especificado, todos os chains definidos pelo usuário na tabela especificada serão excluídos. OBS: Chains embutidos nas tabelas não podem ser apagados pelo usuário. iptables -t filter -X internet iptables -X

42 Prática Especificando a política padrão de um chain - P Onde: A política padrão determina o que acontecerá com um pacote quando ele chegar ao final das regras contidas em um chain. A política padrão do iptables é "ACCEPT" mas isto pode ser alterado com o comando: iptables [-t tabela] [-P chain] [ACCEPT/DROP] ACCEPT/DROP ACCEPT aceita os pacotes caso nenhuma regra do chain conferir e DROP rejeita os pacotes caso nenhuma regra do chain conferir iptables -t filter -P INPUT DROP As políticas de acesso PERMISSIVAS (ACCEPT) normalmente são usadas em conjunto com regras restritivas, onde tudo é bloqueado e o que sobrar é liberado. As políticas RESTRITIVAS (DROP) são usadas em conjunto com regras permissivas, onde tudo é liberado e o que sobrar é bloqueado pela política padrão.

43 Prática Especificando um endereço de origem/destino As opções -s (ou --src/--source) e -d (ou --dst/--destination) servem para especificar endereços de origem e destino respectivamente. Pode-se usar um endereço IP completo (como ), um hostname, um endereço fqdn ( ou um par rede/máscara (como / ou /24). Caso um endereço/máscara não sejam especificados, é assumido 0/0 como padrão (todos as máquinas de todas as redes). A interpretação dos endereços de origem/destino dependem do chain que está sendo especificado (como INPUT e OUTPUT por exemplo). OBS: Caso seja especificado um endereço fqdn e este resolver mais de um endereço IP, serão criadas várias regras, cada uma se aplicando a este endereço IP específico. É recomendável sempre que possível a especificação de endereços IP's nas regras, pois além de serem muito rápidos (não precisam de resolução DNS), são mais seguros para evitar que firewall seja enganado por um ataque de IP spoofing.

44 Prática # Bloqueia o tráfego vindo da rede *: iptables -A INPUT -s /24 -j DROP # Bloqueia conexões com o destino : iptables -A OUTPUT -d j DROP # Bloqueia o tráfego da máquina a rede iptables -A INPUT -s -d j DROP

45 Prática Especificando um protocolo A opção -p (ou --protocol) é usada para especificar protocolos no iptables. Podem ser especificados os protocolos tcp, udp e icmp. Por exemplo, para rejeitar todos os pacotes UDP vindos de : iptables -A INPUT -s p udp -j DROP

46 Prática Especificando portas de origem/destino As portas de origem/destino devem ser especificadas após o protocolo e podem ser precedidas por uma das seguintes opções: --source-port ou --sport - Especifica uma porta ou faixa de portas de origem. --destination-port ou --dport - Especifica uma porta ou faixa de portas de destino. Uma faixa de portas pode ser especificada através de PortaOrigem:PortaDestino # Bloqueia qualquer pacote indo para na faixa de portas 0 a 1023 iptables -A OUTPUT -d p tcp --dport :1023 -j DROP Caso a PortaOrigem de uma faixa de portas não seja especificada, 0 é assumida como padrão. Caso a PortaDestino não seja especificada, é assumida como padrão.

47 Prática A tabela nat (Network Address Translation) - fazendo nat A tabela nat serve para controlar a tradução dos endereços que atravessam o código de roteamento da máquina, ou seja, responsável pelo controle dos pacotes que passam pelo host, cuja origem ou destino não é o mesmo. Existem 3 chains na tabela nat: PREROUTING, OUTPUT e POSTROUTING. A tradução de endereços tem inúmeras utilidades, uma delas é o Masquerading, onde máquinas de uma rede interna podem acessar a Internet através de uma máquina Linux. Nenhuma máquina da Internet poderá ter acesso direto as máquinas da rede interna via SNAT.

48 Prática Para ligar a rede na Internet existem duas opções: Você possui uma conexão que lhe oferece um endereço IP dinâmico (a cada conexão é dado um endereço IP - como uma conexão PPP), então precisamos do IP masquerading. Você tem uma conexão que lhe oferece um endereço IP permanente (ADSL, por exemplo), então precisamos do SNAT. Vamos dar enfoque a criação rápida de uma conexão IP masquerading, entendendo a tradução de endereços no iptables.

49 Prática Fazendo IP masquerading O kernel deverá ter suporte ao iptables. Com os dois comandos abaixo, habilitamos o masquerading para todas as máquinas da rede *: iptables -t nat -A POSTROUTING -s /24 -j MASQUERADE Após definir as regras de NAT, execute o comando seguinte para habilitar o suporte a redirecionamento de pacotes no kernel. echo "1" >/proc/sys/net/ipv4/ip_forward

50 Prática A configuração do servidor Linux está completa. Agora, os clientes da rede precisarão ser configurados para usar o endereço IP do servidor Linux como gateway. É recomendável instalar um servidor proxy e DNS na máquina Linux para acelerar o desempenho das requisições/ resolução de nomes das máquinas em rede.

51 Fazendo SNAT Firewall IPTABLES Prática SNAT (source nat - nat no endereço de origem) consiste em modificar o endereço de origem das máquinas clientes antes dos pacotes serem enviados. A máquina roteadora é inteligente o bastante para lembrar dos pacotes modificados e reescrever os endereços assim que obter a resposta da máquina de destino, direcionando os pacotes ao destino correto. É necessário especificar SNAT como alvo (-j SNAT) quando desejar que as máquinas de da rede interna tenha acesso a Internet através do IP fixo da máquina Linux. O parâmetro --to IP:portas deve ser usado após o alvo SNAT. Ele serve para especificar um endereço IP, faixa de endereços e opcionalmente uma porta ou faixa de portas que será substituída.

52 Prática Toda operação de SNAT é feita no chain POSTROUTING. Modifica o endereço IP dos pacotes vindos da máquina da rede interna, que tem como destino a interface eth1 para (que é o nosso endereço IP da interface ligada a Internet). iptables -t nat -A POSTROUTING -s o eth1 -j SNAT --to

53 Prática Os pacotes indo para a Internet (a conexão é feita via eth1, a interface externa) vindo do endereço , são substituídos por e enviados para fora. Quando a resposta a requisição é retornada, a máquina com iptables recebe os pacotes e faz a operação inversa, modificando o endereço novamente para e enviando a resposta para a máquina da rede interna. Também é possível especificar faixas de endereços e portas que serão substituídas. Modifica o endereço IP de origem de todas as máquinas da rede /24 que tem o destino a interface eth0 para a O endereço IP selecionado é escolhido de acordo com o último IP alocado. iptables -t nat -A POSTROUTING -s /24 -o eth0 -j SNAT --to

54 Prática Idêntico ao anterior, mas faz somente substituições na faixa de portas de origem de 1 a iptables -t nat -A POSTROUTING -s /24 -o eth0 -j SNAT --to : Faz o mapeamento para a faixa de portas a e de a iptables -t nat -A POSTROUTING -s /24 -o eth0 -j SNAT --to to OBS: Se por algum motivo não for possível mapear uma conexão NAT, ela será derrubada.

55 Prática Fazendo DNAT DNAT (Destination nat - nat no endereço de destino) consiste em modificar o endereço de destino das máquinas clientes. O destination nat é muito usado para fazer redirecionamento de pacotes, proxyes transparentes e balanceamento de carga. Toda operação de DNAT é feita no chain PREROUTING. Modifica o endereço IP destino dos pacotes de vindo da interface para iptables -t nat -A PREROUTING -s i eth0 -j DNAT --to

56 Prática Também é possível especificar faixas de endereços e portas que serão substituídas no DNAT. Modifica o endereço IP de destino do tráfego vindos da interface /24 para um IP de a Este é um excelente método para fazer o balanceamento de carga entre servidores. O endereço IP selecionado é escolhido de acordo com o último IP alocado. iptables -t nat -A PREROUTING -i eth0 -s /24 -j DNAT --to Idêntico ao anterior, mas faz somente substituições na faixa de portas de destino de 1024 a iptables -t nat -A PREROUTING -i eth0 -s /24 -j DNAT --to :1024:5000 Não se esqueça de conferir se o ip_forward está ajustado para 1: echo "1" > /proc/sys/net/ipv4/ip_forward.

57 Exemplos Scripts de Firewall Firewall para bloquear todo o fluxo de dados, só liberando o fluxo na interface lo # definindo as regras padrão iptables -P INPUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP # liberando a interface lo iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT

58 Exemplos Scripts de Firewall Firewall para liberar o acesso serviço http, para acesso externo ( eth1) e acesso pela intranet (eth0) na porta # definindo as regras padrão iptables -P INPUT DROP iptables -P OUTPUT ACCEPT iptables -P FORWARD DROP # definindo as regras de filtragem ao HTTP e HTTPS iptables -A INPUT -p tcp --dport 80 -i eth1 -j ACCEPT iptables -A INPUT -p tcp --dport 443 -i eth0 -j ACCEPT

59 Exemplos Scripts de Firewall Firewall para um servidor que hospeda os serviços: http (80), https (443), imap (143), pop3 (110), smtp (25), ftp (21), ssh (22). Todos os serviços podem ser acessados pela intranet (eth1) e os únicos serviços que podem ser acessados pela internet (eth0) são o http e o https. # definindo as regras padrão iptables -P INPUT DROP iptables -P OUTPUT ACCEPT iptables -P FORWARD DROP # liberando acesso pela internet (eth0) iptables -A INPUT -p tcp --dport 80 -i eth0 -j ACCEPT iptables -A INPUT -p tcp --dport 443 -i eth0 -j ACCEPT

60 Exemplos Scripts de Firewall # liberando acesso pela internet (eth1) iptables -A INPUT -p tcp --dport 80 -i eth1 -j ACCEPT iptables -A INPUT -p tcp --dport 443 -i eth1 -j ACCEPT iptables -A INPUT -p tcp --dport 143 -i eth1 -j ACCEPT iptables -A INPUT -p tcp --dport 110 -i eth1 -j ACCEPT iptables -A INPUT -p tcp --dport 25 -i eth1 -j ACCEPT iptables -A INPUT -p tcp --dport 21 -i eth1 -j ACCEPT iptables -A INPUT -p tcp --dport 22 -i eth1 -j ACCEPT

61 Exemplos Scripts de Firewall Firewall para um servidor que proiba qualquer pacote oriundo da LAN /24 e possa ser direcionado ao site ; permitir a entrada de pacotes oriundos do site ; todos os pacotes oriundos da interface eth1 do firewall devem ser redirecionados para o computador ; descarte todos os pacotes oriundos do ip e destinado ao IP ; todos os pacotes destinados à porta 23 devem ser registrados e posteriormente descartados. # política padrão iptables -P INPUT DROP iptables -P OUTPUT ACCEPT iptables -P FORWARD DROP

62 Exemplos Scripts de Firewall # liberando o tráfego na interface lo iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT # pacotes que entram no firewall iptables -A INPUT -p tcp -dport 23 -j LOG [firewall] acesso ao serviço de telnet iptables -A INPUT -p tcp -dport 23 -j DROP # regras de forward iptables -A FORWARD -s /24 -d -j DROP iptables -A FORWARD -d /24 -s -j ACCEPT iptables -A FORWARD -s d j DROP iptables -A FORWARD -i! eth1 -j DROP iptables -A FORWARD -o! eth0 -j DROP

63 Exemplos Scripts de Firewall Firewall para compartilhamento do Acesso a Internet # libera forward no kernel echo 1 > /proc/sys/net/ipv4/ip_forward # Política padrão iptables -P INPUT DROP iptables -P OUTPUT ACCEPT iptables -P FORWARD DROP # liberando acesso a interface lo iptables -A INPUT -i lo -J ACCEPT

64 Exemplos Scripts de Firewall # libera a entrada de conexões iniciadas pela máquina iptables -A INPUT -m state -state ESTABLISHED,RELATED -j ACCEPT # bloqueia entrada na rede de conexões inválidas iptables -A FORWARD -m state -state NEW,INVALID -j DROP # hablitando o macascaramento com ip dinâmico iptables -t nat -A POSTROUTING -s /24 -o eth0 -j MASQUERADE # libera a entrada de conexões iniciadas pela rede iptables -A FORWARD -o eth0 -m state -state ESTABLISHED,RELATED -j ACCEPT # habilita o forward vinda da rede interna iptables -A FORWARD -i eth1 -s /24 -J ACCEPT