Obs: Endereços de Rede. Firewall em Linux Kernel 2.4 em diante. Obs: Padrões em Intranet. Instalando Interface de Rede.

Transcrição

1 Obs: Endereços de Rede Firewall em Linux Kernel 2.4 em diante Classe A Nº de IP 1 a 126 Indicador da Rede w Máscara Nº de Redes Disponíveis 126 Nº de Hosts Prof. Alexandre Beletti Ferreira B 128 a 191 w.x C 192 a 223 w.x.y Obs: Padrões em Intranet Classe Nº de IP Máscara A B Instalando Interface de Rede No exemplo exibido na seqüência vamos instalar o driver da placa da 3COM, modelo 509: /sbin/modprobe 3c509 C Configurando Interface de Rede Configuração da interface de rede: netconfig (Slackware) netconf ou linuxconf (Conectiva e RedHat) Existe ainda outra possibilidade: ifconfig ethx IP netmask IP_MASK up Onde IP é o IP da interface e IP_MASK é a máscara da rede. Criando uma rota Criar uma rota para o SO utilizar a placa de rede como saída: route add net IP netmask IP_MASK 1

2 Configurando o DNS DNS = Domain Name Server Arquivo: /etc/resolv.conf Campos: search = quais domínios devem ser procurados para qualquer nome de host que queremos conectaras. nameserver = endereço do servidor DNS Exemplo de resolv.conf search terra.com.br nameserver Iptables Evolução do ipchains, criado também por Paul Russel. Regras do Iptables São como filtros aplicados ao iptables para que o mesmo implemente o que chamamos de filtro de pacote de acordo com o endereço IP/porta de origem/destino, interface de origem/destino, etc. As regras são armazenadas dentro dos chamados chains e processadas na ordem em que são inseridas. Regras do Iptables Quando o sistema é reinicializado as regras são perdidas e precisam estar em um arquivo carregado na inicialização do SO. Sintaxe: iptables comando parâmetros extensões Exemplo: iptables A INPUT p TCP s j DROP Comandos Principais DROP = Nega pacote sem envio de um flag Reset R ACCEPT = Aceita pacote REJECT = Nega pacote mas envia um flag Reset R. Obs: O envio de um flag reset pode facilitar a detecção por um scanner de rede em uma porta aberta do sistema. O ideal é DROP. 2

3 Tabelas São áreas de memória RAM usadas para armazenar os chains em conjunção como um conjunto de regras. São elas: Filter Nat Mangle Tabela Filter Considerada a tabela padrão, contém três chains básicos: INPUT = Consultado para pacotes que chegam na própria máquina OUTPUT = Consultado por pacotes que saem da própria máquina FORWARD = Consultado por pacotes que são redirecionados para outra interface de rede ou outra estação. Utilizado em mascaramento. Tabela Nat Usada para passagem de pacotes que podem gerar outra conexão. Um exemplo clássico é o mascaramento (masquerading); nat, port forwarding e proxy transparente são outros. Possui três chains básicos: Tabela Nat PREROUTING = Consultado quando os pacotes precisam ser redirecionados logo que chegam. Por exemplo, um pacote smtp que vai ser direcionado para um endereço interno da rede (é o chain ideal para realização do chamado Destination NAT (DNAT). Tabela Nat OUTPUT = Consultado quando os pacotes gerados localmente precisam ser redirecionados antes de serem roteados. Este chain somente é utilizado para conexões que se originam de IPs de interfaces de rede locais. Tabela Nat POSTROUTING = Consultado quando os pacotes precisam ser modificados após o tratamento de roteamento. É o chain utilizado para realização de SNAT e mascaramento (IP Masquerading). 3

4 Tabela Mangle Utilizada para alterações especiais de pacotes como, por exemplo, modificar o tipo de serviço (TOS) de um pacote. Ideal para produzir informações falsas para scanners de rede. Possui dois chains padrão: Tabela Mangle PREROUTING = Consultado quando os pacotes precisam ser direcionados logo que chegam. OUTPUT = Consultado quando os pacotes gerados localmente precisam ser redirecionados antes de serem roteados. Comandos -A = Acrescenta uma regra às existentes no sistema, permitindo atualizar regras -I = Insere uma nova regra -D = Exclui uma regra -P = Define a regra padrão -L = Lista regras existentes no Firewall -F = Zera as regras (FLUSH) Comandos -h = Ajuda -R = Substitui uma regra (REPLACE) -C = Checar as regras -Z = Zera uma regra específica -N = Cria uma nova regra com um nome específico -X = executa uma regra por seu nome Parâmetros -p = Define o protocolo: TCP, UDP e ICMP -s = endereço origem -d = endereço destino Possui ainda 2 (dois) argumentos: endereço/máscara e porta Exemplo: -s /24 80 Parâmetros -i = interface -j = redirecionar uma ação (JUMP) -f = tratar datagramas fragmentados 4

5 -sport [porta:porta] -dport [porta:porta] -mac-source MAC -icmp-type TIPO Extensões Exemplo de um FLUSH geral Script FLUSH: iptables P INPUT ACCEPT iptables P FORWARD ACCEPT iptables P OUTPUT ACCEPT iptables F iptables t nat F #flush no nat iptables X #flush nas chains personalizadas Iptables Z #zera regras específicas Exemplo de um Firewall Básico Script BÁSICO: iptables P INPUT DROP iptables P FORWARD DROP iptables P OUTPUT ACCEPT iptables A INPUT p TC`-m state state ESTABLISHED, RELATED j ACCEPT ATENÇÃO Especificar regras de acordo com o estado da conexão do pacote -> STATEFULL de uma conexão: NEW = Checam pacotes que criam novas conexões a partir de uma conexão original ESTABLISHED = Checam os pacotes com conexões já estabelecidas (Ex: FTP). ATENÇÃO RELATED = Checam os pacotes relacionados indiretamente a uma conexão. INVALID = Checam os pacotes que não puderam ser identificados por algum motivo qualquer e com resposta de conexões desconhecidas. NAT e Mascaramento Utilizada quando queremos colocar toda uma Intranet atrás de um Firewall, utilizando IPs falsos ou frios (ex: ou ). Esta técnica habilita uma simples máquina a traduzir através de um endereço IP toda uma rede. 5

6 NAT e Mascaramento NAT = Netware Address Translation. Muito utilizado em roteadores, o NAT é uma espécie de mascaramento só que desempenha funções de encaminhamento de pacotes (packet forwarding). Quem cuida disso no Linux (não é nativo) é o ipmasqadm portfw. NAT e Mascaramento Este tipo de recurso é extremamente útil quando desejamos colocar um servidor web, ou até de correio, atrás de um firewall utilizando endereços flasos, com o intuito de evitar invasões ou quando temos poucos IPs para endereçamento de servidores e roteadores. NAT Roteamento com ROTEADOR Roteadores traduzem um endereço falso dentro de uma rede interna (Intranet) para um endereço válido para a Internet ou para outra rede. Roteamento com SERVIDOR Servidor Linux contendo 2 placas de rede, fazendo o redirecionamento da rede interna para a Internet. Mascaramento Exemplo 1 iptables t nat A POSTROUTING o ppp0 j MASQUERADE iptables A FORWARD i ppp0 j ACCEPT iptables A INPUT p TCP m state state ESTABLISHED, RELATED j ACCEPT 6

7 Mascaramento Exemplo 1 Na primeira linha utilizamos a tabela nat, ou seja, o tratamento de POSTROUTING. Neste caso, tudo que vier da rede interna deverá sair mascarado pela interface ppp0 (em ADSL seria pppoe0). Na segunda linha FORWARD é feito para a interface ppp. Estudo de Caso Criando o Firewall de uma Empresa Exemplo 1 Todos os pacotes vindos da rede com máscara destinados a devem ser descartados: iptables A FORWARD s /24 d -j DROP Exemplo 2 Os pacotes oriundos de rede destinados ao host deverao ser descartados: iptables A FORWARD d -j DROP Exemplo 3 Todos os pacotes vindos de destinados a com máscara devem ser descartados: iptables A FORWARD d /24 s -j DROP Exemplo 4 Todos os pacotes ICMP vindos de e destinados a qualquer rede deverão ser descartados: iptables A FORWARD s /24 p icmp -j DROP 7

8 Tabela Mangle Regular o tipo de serviço, ou seja, regulamentar de certa forma o tráfego da rede. Se um FTP está consumindo os recursos de sua rede, podemos regular a entrada e a saída de pacotes com a mesma: iptables t mangle A OUTPUT o ppp0 p tcp dport 21 j TOS set-tos 0x10 Tabela Mangle Espera mínima = 0x10 Máximo processamento = 0x08 Máxima confiança = 0x02 Custo mínimo = 0x02 Prioridade padrão = 0x00 Bibliografia MARCELO, A., Firewalls em Linux. São Paulo: Brasport,