Firewalls - IPTables. Carlos Gustavo A. da Rocha. ASSR

Transcrição

1 Firewalls - IPTables Carlos Gustavo A. da Rocha

2 Histórico de Firewalls no SO Linux O kernel do Linux disponibiliza funcionalidades de filtragem de pacotes desde meados de 1995 Kernel versão 1.2.x e 2.0.x Ipfwadm Kernel versão 2.2.x Ipchains Kernel versão 2.4.x, 2.6.x e 3.x Iptables (tecnicamente netfilter...)

3 Firewall padrão do Linux, desde o kernel 2.4 Os comandos iptables, ip6tables, ebtables e arptables são uma interface de alto nível para o firewall real, implementado pela biblioteca netfilter do kernel do Linux Implementado objetivando Rapidez Estabilidade Adição de novos módulos e funcionalidades

4 IPTables características Realiza filtragens padrões (Packet Filter) Baseadas em interfaces, protocolos, portas etc Possui funções relativamente avançadas de LOG Sendo também um Firewall Statefull Armazena informações sobre o estado de cada conexão TCP, ou stream UDP É possível analisar dados dos pacotes Provoca queda de desempenho

5 IPTables características (2) Cada filtragem é detalhada em uma regra Uma série de condições Uma ação Regras são inseridas em chains (cadeias) e analisadas sequencialmente Até que o pacote case com uma regra Neste momento a ação é executada

6 IPTables chains Existe uma série de chains (cadeias) padrões Tráfego destinado a máquina: INPUT Tráfego que deixa a máquina: OUTPUT Tráfego roteado pela máquina: FORWARD Além de PREROUTING e POSTROUTING, comumente utilizadas nas operações de NAT

7 IPTables tabelas Também existem tabelas padrões Regras de filtragem: filter Regras de NAT: nat Regras para marcação de pacotes: mangle

8 IPTables ações E ações padrões Permitir o pacote: ACCEPT Não permitir o pacote: DROP, REJECT Logar o pacote: LOG, ULOG

9 IPTables políticas As chains INPUT, OUTPUT e FORWARD possuem também políticas (ACCEPT ou DROP) Política ACCEPT (padrão) Tudo que não estiver bloqueado será permitido Regras serão de bloqueio Política DROP Tudo que não estiver liberado será bloqueado Regras serão de liberação

10

11 IPTables sintaxe básica Inserir uma regra no início de uma chain iptables [-t <tabela>] -I <chain> <regra> -j <acao> Inserir uma regra no final de uma chain iptables [-t <tabela>] -A <chain> <regra> -j <acao> Remover uma regra de uma chain iptables [-t <tabela>] -D <chain> <regra> -j <acao>

12 IPTables sintaxe básica (2) Alterar a política de uma chain iptables -P <chain> <politica> Listar as regras de uma chain iptables [-t <tabela>] -L [-n] <chain> Remover todas as regras de uma chain iptables -F <chain>

13 IPTables sintaxe básica (3) Bloquear SSH iptables -I INPUT -p tcp --dport 22 -j DROP Bloquear SSH a partir de /8 iptables -I INPUT -p tcp -s /8 --dport 22 -j DROP Bloquear SSH, logar tentativas de conexão iptables -I INPUT -p tcp --dport 22 -j LOG iptables -A INPUT -p tcp --dport 22 -j DROP

14 IPTables sintaxe básica (4) Bloquear HTTP para o servidor (qualquer origem); Liberar HTTP a partir de /32 (qualquer destino); Bloquear HTTP a partir de /24 (qualquer destino); iptables -I INPUT -p tcp -d dport 80 -j DROP iptables -I INPUT -p tcp -s dport 80 -j ACCEPT iptables -I INPUT -p tcp -s /24 --dport 80 -j DROP

15 IPTables sintaxe básica (5) Especificando mais de uma porta ao mesmo tempo iptables -I INPUT -p tcp -m multiport --dports 22,80 -j DROP iptables -I INPUT -p tcp -m multiport --dports 1:2024 -j DROP Especificando interfaces de rede iptables -I INPUT -i eth0 -p tcp --dport 80 -j ACCEPT iptables -I INPUT -i wlan0 -p tcp --dport 80 -j DROP

16 IPTables sintaxe básica (6) Bloqueando o tráfego de saída para um local específico iptables -I OUTPUT -o wlan0 -p tcp --dport 80 -j DROP iptables -I OUTPUT -o wlan0 -p tcp -d dport 80 -j DROP iptables -I OUTPUT -o wlan0 -p tcp -d m multiport \ --dports 22,80 -j DROP

17 IPTables sintaxe básica (7) Bloqueando algumas portas e liberando outras iptables -I INPUT -p tcp -m multiport --dports 110,143 -j DROP iptables -I INPUT -p tcp -s /24 -m multiport dports \ 22,80 -j ACCEPT iptables -I INPUT -p udp -s /24 --dport 53 -j ACCEPT

18 IPTables sintaxe básica (8) Regras utilizadas em FORWARD iptables -I FORWARD -i eth0 -o eth1 -p tcp --dport 80 -j ACCEPT iptables -I FORWARD -i eth1 -o eth0 -p tcp --dport 80 -j DROP iptables -I FORWARD -i eth0 -p tcp -s dport 80 -j LOG iptables -I FORWARD -i eth0 -p tcp -s dport 80 -j DROP iptables -I FORWARD -i eth0 -p tcp --dport 80 -j ACCEPT

19 IPTables sintaxe básica (9) Regra de NAT N:1 (Mascaramento) iptables -t nat -I POSTROUTING -o eth0 -s /24 -j MASQUERADE Regra de NAT 1:1 iptables -t nat -A POSTROUTING -s j SNAT --to iptables -t nat -A PREROUTING -d j DNAT --to

20 IPTables sintaxe básica (10) Tornando o IPTables um Firewall statefull iptables -I INPUT -mstate --state ESTABLISHED,RELATED -j ACCEPT iptables -I OUTPUT -mstate --state ESTABLISHED,RELATED -j ACCEPT iptables -I FORWARD -mstate --state ESTABLISHED,RELATED -j ACCEPT