NAT. NAT e Tabelas do Iptables NAT NAT. NAT Tipos de Tradução NAT 18/03/2015

Transcrição

1 e Tabelas do Iptables Prof. Alexandre Beletti Network Address Translation Segundo Ueda (IME-USP), uma máquina com endereço IP reservado não pode participar da Internet, não existirão rotas de retorno. O Mascaramento resolve isso, desde que exista ao menos uma interface da rede privada com um endereço oficial, quer dizer roteável O mascaramento consiste em utilizar uma máquina com IP roteávelcomo Gateway para a Internet (ou outra rede...) Essa máquina irá substituir o endereço do remetente no cabeçalho IP de cada pacote por ela repassado pelo seu endereço roteável Dessa forma os pacotes enviados pelo Gateway poderão facilmente ser roteados de volta No retorno dos pacotes o Gateway destroca os endereços dos pacotes pelos endereços da rede interna Como o Gateway sabe se o pacote que recebeu da Internet é para ele ou para uma máquina da rede interna? O Gateway aloca uma porta exclusiva para cada conexão TCP gerada por um cliente da rede interna. Uma tabela é mantida associando essa porta única com o IP e a porta de origem da conexão Os pacotes gerados pelo cliente ao passarem pelo gateway terão tanto o IP de origem quanto a porta de origem trocados Tipos de Tradução Segundo Bernal (POLI-USP), existem 2 tipos de tradução: Tradução 1:1 -> Para cada endereço local é traduzido para um IP distinto válido - ESTÁTICA Tradução N:1 (mascaramento) -> Vários endereços são traduzidos para um único IP - DINÂMICA 1

2 Tradução 1:1 Tradução N:1 Modelo TCP/IP O nível de APLICAÇÃO, com os protocolos FTP, HTTP, etc; O nível de TRANSPORTE, com seus pacotes UDP e TCP, dentre outros; O nível de REDE, responsável pelo roteamento, onde se tem o IP na sua versão 4 como mais significativo; O nível FÍSICOnão faz parte do modelo de camadas TCP/IP, pois é restrito ao fabricante da placa. Classificação do pacote Quadro = Camada de Enlace (modelo TCP/IP) Datagrama = Camada de Rede (TCP/IP) Pacote = Camada Transporte (TCP/IP) O IPTABLES atua nas camadas de Rede (IP de origem/destino) e Tranporte(porta de origem/destino) e Iptables Pacote IP Kernel 2.4 -Linux Segundo Elgio(ULBRA), temos que entender como um pacote IP é tratado pelo kerneldo Linux A próxima figura ilustra o ciclo de vida de um pacote IP dentro do Kerneldo Linux 2

3 Ganchos do Netfilter Ganchos do Netfilter Segundo Elgio(ULBRA), o netfilterintroduziu ganchos, ou pontos, ao longo do ciclo de vida de um datagramaip Observe a próxima figura e veja os ganchos e o que pode ocorrer em cada ponto (nos próximos slides após a figura) 1 -Um datagramadestinado ao processo local Pode ser capturado para avaliação ao entrar na Interface, pelo gancho 1, chamado pelo kernel de PREROUTING. gancho 4, chamado pelo kernel de INPUT. 2 -Um datagramagerado por um processo local gancho 5, chamado pelo kernel de OUTPUT. gancho 3, chamado de POSTROUTING. 3 -Um datagramaque esteja apenas passando por esta máquina, não gerada e não destinada ao ipela Pode ser capturado para avaliação ao entrar na Interface, pelo gancho 1, chamado pelo kernel de PREROUTING. gancho 2, chamado pelo kernel de FORWARD. gancho 3, chamado de POSTROUTING. A Tabela Filter A tabelafilterdeve conter apenas regras que determinam se um pacote deve ser aceito ou não. Nesta tabela não é possível colocar regras para alterar algum parâmetro, como ipou porta. 3

4 A Tabela A tabelanatserve para realizar operações de tradução sobre IP e/ou porta, tanto de origem como de destino, muito embora também permita recusá-lo (não será abordada neste artigo). A Tabela Mangle Por fim a tabelamangleserve para realizar alterações mais profundas e bizarras nos pacotes, como alterar o TTL, TOS, etc(não será abordada neste artigo). Fluxos das Tabelas do IPTABLES Regras do PREROUTING POSTROUTING OUTPUT - PREROUTING Nesta lista irão as regras que serão aplicadas no ganchoprerouting, ou seja, para pacotes que acabaram de entrar por uma das interfaces de rede, não importando qual será o destino dos mesmos, se para um processo local ou para ser roteado (forward). D - PREROUTING Se um pacote precisa ter algum parâmetro de DESTINO modificado, deve ser feito ANTES da etapa de roteamento. Assim sendo, é fácil entender porque na lista PREROUTING é permitido alterar apenas os campos de destino, seja número IP ou porta. A ação que realiza isto é chamada de D. 4

5 PREROUTING Exemplos: iptables-t nat-a PREROUTING -p tcp--dport j D --to :80 iptables-t nat-a PREROUTING -ieth0 -p tcps d dport8080 -j D - -to :80 - POSTROUTING Nesta lista irão as regras com poder de alterar um pacote após o roteamento. É a última etapa antes do pacote deixar a interface de rede em direção ao "mundo". NoPOSTROUTING não tem sentido algum alterar parâmetros de destino, pois ao alterálos o pacote poderia assumir um novo destino, o que é IMPOSSÍVEL, pois a decisão de roteamentojá ocorreu (observe a posição do gancho POSTROUTING na figura 1). - POSTROUTING Assim sendo, nesta lista só é possível alterar características de origem de um pacote, seja ipou seja porta. Também não tem sentido o uso de -i interface (entrando pela interface), pois o pacote necessariamente está saindo! Somente o "-o interface" pode ser empregado. A ação (-j) que permite alterar parâmetros de origem é S, sendo que no POSTROUTING também é aceito a ação DROP e LOG: - POSTROUTING iptables-t nat-a POSTROUTING -p tcp-s j S --to Neste exemplo está se trocando o ipde origem para em todos os pacotes tcp que estiverem saindo por qualquer interface e que tinham o ipde origem como Muito utilizado em traduções de endereços frios INTRANET para quentes - INTERNET - OUTPUT Para evitar que pacotes gerados localmente fossem condenados a não ter meios de alterar parâmetros de destino, o nat também atua no gancho OUTPUT. As regras do natoutput tem o mesmo propósito e a mesma sintaxe das do gancho PREROUTING, com a única diferença de operar pacotes originados por processos locais. - OUTPUT Faça um teste no seu Linux(como root): iptables-t nat-i OUTPUT -p tcp--dport90 -j D --to :80 Depois desta regra você pode acessar o VOL também desta forma: 5

6 Referências html es/pdf/12-pb.pdf a-do-iptables?pagina=1 a-do-iptables-2-a-tabela-nat/?pagina=1 6