Projeto e Instalação de Servidores Servidores Linux Aula 6 Firewall e Proxy

Transcrição

1 Projeto e Instalação de Servidores Servidores Linux Aula 6 Firewall e Proxy Prof.: Roberto Franciscatto

2 Introdução FIREWALL

3 Introdução Firewall Tem o objetivo de proteger um computador ou uma rede de computadores, seguindo regras estabelecidas

4 Introdução O que faz um Firewall? Um firewall examina o tráfego enquanto ele entra em uma das suas interfaces e aplica regras ao tráfego... Essencialmente: permitindo ou impedindo o tráfego baseado nestas regras

5 Introdução Portas mais usadas para serviços de internet 22 = SSH 21 = FTP 25 = SMTP 53 TCP e 53 UDP = DNS 80 = HTTP 110 = POP3 143 = IMAP 443 = HTTPS 1194 UDP = OpenVPN 5901 = VNC

6 Implementando Firewall com IPTABLES IPTABLES Serviço de firewall nativo do linux Possui uma grande variedade de recursos Baseia-se no conceito de regras de entrada e saida

7 Implementando Firewall com IPTABLES Entendendo as regras do firewall (Iptables) Escrever regras do firewall é como que aprender um novo dialeto... Imagine que ao escrever uma nova regra, você está explicando uma ideia, tente ser claro para que seja entendido...

8 Implementando Firewall com IPTABLES Entendendo as regras do firewall (Iptables) Parâmetros do Iptables: -A INPUT: especifica que a regra se aplica a pacotes de entrada, ou seja, pacotes recebidos pelo servidor, em qualquer interface -A OUTPUT: a regra se aplica a pacotes de saída, transmitidos pelo próprio servidor.

9 Implementando Firewall com IPTABLES Entendendo as regras do firewall (Iptables) Parâmetros do Iptables: -A FORWARD: este parâmetro é usado para compartilhar a conexão com a internet, permitindo que os micros da rede local acessem através do servidor. Os pacotes dos outros micros, encaminhados pelo servidor, são tratados como FORWARD, diferente dos pacotes transmitidos pelo próprio servidor, que são tratados como OUTPUT.

10 Implementando Firewall com IPTABLES Entendendo as regras do firewall (Iptables) Parâmetros do Iptables: -p tcp: especifica que a regra se aplica a pacotes TCP -p udp: especifica que a regra se aplica a pacotes UDP Ex.: iptables A INPUT p udp --dport 53 j ACCEPT Importante: é necessário sempre especificar o protocolo, caso contrário, ERRO!

11 Implementando Firewall com IPTABLES Entendendo as regras do firewall (Iptables) Parâmetros do Iptables: Caso seja preciso bloquear os três protocolos para um determinado endereço, pode-se usar: iptables A INPUT p ALL s j DROP

12 Implementando Firewall com IPTABLES Entendendo as regras do firewall (Iptables) Parâmetros do Iptables: É comum bloquear as portas 0 a 1023 UDP, autorizando apenas as portas que devem ficar abertas como: iptables A INPUT p udp --dport 53 j ACCEPT iptables A INPUT p udp --dport 0:1023 j DROP

13 Implementando Firewall com IPTABLES Entendendo as regras do firewall (Iptables) Parâmetros do Iptables: -p icmp: bloquear o pedido de pings Ex.: iptables A INPUT p icmp --icmp-type echo-request j DROP

14 Implementando Firewall com IPTABLES Entendendo as regras do firewall (Iptables) Parâmetros do Iptables: -i eth0: a opção -i permite definir a interface onde os pacotes devem ser recebidos ou enviados. Exemplos: iptables A INPUT p tcp j REJECT iptables A INPUT i eth2 p tcp j REJECT iptables A INPUT i eth0 p tcp --dport 22 j ACCEPT

15 Implementando Firewall com IPTABLES Entendendo as regras do firewall (Iptables) Parâmetros do Iptables: --dport ou --destination-port: especifica uma porta. O uso mais comum para esta opção é para abrir portas de entrada e depois aplicar uma regra que feche as demais.

16 Implementando Firewall com IPTABLES Entendendo as regras do firewall (Iptables) Parâmetros do Iptables: -d (destiny): destinado ao endereço IP ou domínio citado. Bastante utilizado para bloquear o acesso a determinados sites a partir dos micros da rede local. Ex.: iptables A FORWARD d dominio.com j REJECT

17 Implementando Firewall com IPTABLES Entendendo as regras do firewall (Iptables) Parâmetros do Iptables: -m mac --mac-source 00:11:D8:76:59:2E: esta é a regra que permite especificar endereços MAC dentro das regras do Iptables. Ex.: iptables A INPUT --dport 22 m mac --mac-source 00:11:D8:76:59:2E j ACCEPT

18 Implementando Firewall com IPTABLES Entendendo as regras do firewall (Iptables) Parâmetros do Iptables: --syn: cria uma regra válida apenas para novas conexões, não impedindo que o outro micro responda a conexões iniciadas pelo servidor, como em: Ex.: iptables A INPUT p tcp --syn j DROP

19 Implementando Firewall com IPTABLES Entendendo as regras do firewall (Iptables) Parâmetros do Iptables: -j: é usado no final de cada regra, especificando uma ação, que pode ser: -j ACCEPT: aceita o pacote. Ele é encaminhado ao destino sem passar pelas demais regras. -j REJECT: rejeita educadamente o pacote, enviando um pacote de resposta ao emissor. Ex.: connect to host port 22: Connection refused

20 Implementando Firewall com IPTABLES Entendendo as regras do firewall (Iptables) Parâmetros do Iptables: -j DROP: o DROP é mais enfático. O pacote é simplesmente descartado, sem aviso. O emissor fica um longo tempo esperando, até que eventualmente recebe um erro de time-out. -j LOG: permite logar conexões. É interessante usar estas regras principalmente em regras muito visadas, como a SSH.

21 Implementando Firewall com IPTABLES Entendendo as regras do firewall (Iptables) Parâmetros do Iptables: (continuação) -j LOG: para ativar o log, é necessário duplicar a regra que abre a porta, usando a opção -j LOG na primeira e -j ACCEPT na segunda, como em: iptables A INPUT p tcp --dport 22 j LOG iptables A INPUT p tcp --dport 22 j ACCEPT

22 Implementando Firewall com IPTABLES Entendendo as regras do firewall (Iptables) Parâmetros do Iptables: (continuação) -j LOG: as mensagens são gravados no arquivo /var/log/messages. é possível ver as mensagens com o comando dmesg

23 Escrevendo um script completo (IPTABLES) Entendendo as regras do firewall (Iptables) # Abre para a faixa de endereços da rede local: iptables A INPUT s / j ACCEPT # Faz a mesma coisa, só que especificando a interface: iptables A INPUT i eth0 j ACCEPT # Abre uma porta: iptables A INPUT p tcp --dport 22 -j ACCEPT # Ignora pings: iptables A INPUT p icmp-type echo-request -j DROP

24 Escrevendo um script completo (IPTABLES) Entendendo as regras do firewall (Iptables) (Continuação) # Protege contra IP spoofing: echo 1 > /proc/sys/net/ipv4/conf/default/rp_filter # Descarta pacotes mal formados, protegendo contra ataques diversos: iptables A INPUT m state --state INVALID j DROP # Abre para a interface de loopback: iptables A INPUT i lo j ACCEPT

25 Escrevendo um script completo (IPTABLES) Entendendo as regras do firewall (Iptables) (Continuação) # Protege contra IP spoofing: echo 1 > /proc/sys/net/ipv4/conf/default/rp_filter # Descarta pacotes mal formados, protegendo contra ataques diversos: iptables A INPUT m state --state INVALID j DROP # Abre para a interface de loopback: iptables A INPUT i lo j ACCEPT

26 Escrevendo um script completo (IPTABLES) Entendendo as regras do firewall (Iptables) (Continuação) # Impede a abertura de novas conexões, bloqueando acesso # externo ao servidor, com exceção das regras anteriores: iptables A INPUT p tcp --syn j DROP

27 Escrevendo um script completo (IPTABLES) Entendendo as regras do firewall (Iptables) (Continuação) Após incluir todas as regras do firewall, é necessário salvar e dar permissão de execução. Ex.: # cd /etc/init.d/ # chmod +x firewall

28 Escrevendo um script completo (IPTABLES) Entendendo as regras do firewall (Iptables) Para desativar o firewall e voltar a aceitar conexões, use o comando iptables F, que limpa as regras do Iptables: # iptables -F

29 Escrevendo um script completo (IPTABLES) Forwarding de Portas Ao compartilhar uma conexão via NAT, apenas o servidor recebe conexões vindas da internet. Os micros da rede local acessam através do servidor e recebem apenas pacotes de resposta. Entretanto existem casos em que você realmente deseja que alguns dos hosts fique diretamente acessível a internet

30 Escrevendo um script completo (IPTABLES) Forwarding de Portas Exemplo: Um servidor web, escutando na porta 80 do micro da rede local, fique disponível na internet. A única forma de fazer isso é o servidor passar a bola para este micro A limitação é que continua existindo uma única porta 80, uma única porta 22, etc...

31 Escrevendo um script completo (IPTABLES) Forwarding de Portas Exemplo de Forwarding: # Redireciona uma única porta para um micro da rede local echo 1 > /proc/sys/net/ipv4/ip_forward iptables t nat A PREROUTING p tcp i eth1 --dport 22 j DNAT --to iptables t nat A POSTROUTING d j SNAT --to

32 Escrevendo um script completo (IPTABLES) Forwarding de Portas É possível ainda indicar uma lista de portas (usando a opção m multiport), como em: # Redireciona um conjunto de portas echo 1 > /proc/sys/net/ipv4/ip_forward iptables t nat A PREROUTING p tcp i eth1 m multiport --dport 21,22,80 j DNAT --to-dest iptables t nat A POSTROUTING d j SNAT --to

33 EXERCÍCIOS Exercícios Construa um firewall básico para uso em um servidor web, contendo as seguintes regras: Abrir para a interface de loopback Bloqueie um determinado IP (hosts específicos) Abra as portas referentes aos seguintes serviços usados: SSH, DNS, HTTP, HTTPS Bloqueie as conexões nas demais portas

34 EXERCÍCIOS Exercícios (cont.) Construa um firewall básico para uso em um servidor web, contendo as seguintes regras: Garanta que o firewall permitira pacotes de conexões já iniciadas Bloqueie as portas UDP de 0 a 1023 Crie este script na forma de um arquivo executável Adicione este arquivo na inicialização do Linux

35 EXERCÍCIOS Exercícios (cont.) Teste de um cliente linux se as regras estão funcionando Utilize o site ( para verificar o que seu firewall está protegendo...

36 EXERCÍCIOS Exercícios (2) Você deve detectar possíveis rootkits em seu servidor. Para isso faça os seguintes passos: Instale o software chkrootkit Execute o software Armazene os resultados em um arquivo teste Faça a análise dos resultados e explique o que o software encontrou.

37 Proxy PROXY

38 Introdução Proxy O Proxy é um servidor que atende a requisições repassando os dados do cliente à frente: um usuário (cliente) conecta-se a um servidor proxy, requisitando algum serviço: como um arquivo, conexão, página web, ou outro recurso disponível em outro servidor.

39 Introdução Proxy Serviços providos por um proxy: Cache Cache Proxy transparente Proxy aberto Proxy Anônimo

40 Squid Filtragem de pacotes via ACL Access Control ACL => Lista de Controle de Acesso Solução de Proxy para Linux => Squid

41 Squid Filtragem de pacotes via ACL Access Control Implementando um servidor proxy com o Squid Para colocar em funcionamento: # apt-get install squid # mv /etc/squid/squid.conf /etc/squid/squid.conf.orig

42 Introdução Filtragem de pacotes via ACL Access Control Arquivo /etc/squid/squid.conf contendo as seguintes linhas: http_port 3128 visible_hostname servidor acl all src / http_access allow all

43 Introdução Filtragem de pacotes via ACL Access Control Implementando um servidor proxy com o Squid Ex.: permissões

44 Introdução Filtragem de pacotes via ACL Access Control Bloqueando por dominios ou palavras Bloqueando por dominios ou palavras (com ou sem www)

45 Introdução Filtragem de pacotes via ACL Access Control Esearegraficarmuitogrande?

46 Introdução Filtragem de pacotes via ACL Access Control É possível nestes casos criar um arquivo externo, inserir os dominios, linha-a-linha e posteriormente fazer uma chamada a este arquivo Ex.: Problema: Cada novo endereço descoberto deve ser inserido na lista

47 Introdução Filtragem de pacotes via ACL Access Control Solução: OSargpodeajudarbastanteO ajudar

48 Introdução Filtragem de pacotes via ACL Access Control É possível também inverter a regra, de forma que eu possa bloquear tudo e ir liberando acesso a determinados sites Ex.: Nos proxys mais atuais tem-se o bloqueio de dominios associado aos respectivos Ips, evitando assim que o usuario digite diretamente o IP de um site...

49 Introdução Filtragem de pacotes via ACL Access Control É possível bloquear também por endereços IP Descobrir o endereço IP associado a um dominio: # host (dominio)

50 Introdução Filtragem de pacotes via ACL Access Control Bloqueando por palavras (incluidas na URL de acesso) Criar um arquivo texto com as palavras a serem bloqueadas orkut, xxx, sexo, teens... Adicionar a regra contendo a localização do arquivo

51 Introdução Filtragem de pacotes via ACL Access Control Mensagens de erro Adicionar a seguinte linha no squid "error_directory /usr/share/squid/errors/portuguese/ " É possivel alterar os arquivos HTML de cada mensagem de forma personalizada...

52 EXERCÍCIOS Instalar o squid Efetuar os seguintes bloqueios: lista de palavras inapropriadas (criar arquivo) lista de sites bloqueados pela instituição (criar arquivo) bloquear acesso durante o período da aula do prof. Roberto bloquear acesso a arquivos com a extensão (avi, exe, mp3, mov, wmv, etc...)

53 EXERCÍCIOS (2) Ainda no squid... Configure uma cache de paginas e arquivos Tanto cache de RAM como de HD Proxy com autenticação Instalar pacote apache2-utils Cadastrar 5 usuarios diferentes Instalar o Sarg Gerar os relatorios e monitorar acessos

54 Dúvidas, sugestões ou questionamentos???