FireWall no Linux

FIREWALL COM IPTABLES www.iptablesbr.cjb.net by Joo Eriberto Mota Filho

Arquivo elaborado por LinuxClube.com http://www.linuxclube.com

1. ROTEAMENTO DINMICO

Consideraes iniciais O roteamento dinmico estabelecido quando colocamos uma mquina entre duas ou mais sub-redes diferentes e h a livre passagem de pacotes entre elas, quando necessrio. importante ressaltar que o roteamento s ir funcionar quando for feito entre SUB-REDES DIFERENTES. No se pode colocar um roteador entre duas sub-redes iguais. O roteamento tambm til para diminuir o trfego na rede como um todo, pois s deixa o pacote mudar de sub-rede se isso for realmente necessrio. Veja um esquema de roteamento:

Para fazer o roteamento, o micro roteador deve possuir uma placa de rede em cada sub-rede. Tambm deveremos informar em cada mquina quem ser o micro responsvel pelo roteamento. O nome tcnico desse micro gateway.

No caso do esquema anterior, temos as seguintes situaes: * Gateway para 10.0.0.1, 10.0.0.2 e 10.0.0.3: 10.0.0.10 * Gateway para 172.20.0.1, 172.20.0.2 e 172.20.0.3: 172.20.0.10 importante que, nos dois lados, todos os micros saibam quem o seu gateway pois, do contrrio, os pacotes podero se perder na ida ou na volta. Exemplo: A mquina 10.0.0.1 sabe que 10.0.0.10 o seu gateway. A mquina 172.20.0.1 no sabe quem o seu gateway. Um ping de 10.0.0.1 para 172.20.0.1 sair de 10.0.0.1, passar por 10.0.0.10, seguir por 172.20.0.10 e chegar em 172.20.0.1. Como o 172.20.0.1 no sabe quem o seu gateway para a rede 10.0.0.0, no conseguir responder. O ping vai morrer por timeout. Houve o icmp echo request, mas ser impossvel gerar o icmp echo reply.

Fazendo o roteamento dinmico Para estabelecermos o roteamento dinmico entre duas sub-redes, basta: * inserir um micro com duas placas de rede entre as duas sub-redes, configurando cada placa de acordo com cada sub-rede; * definir, em cada mquina, de cada sub-rede, quem o seu gateway; * ativar o roteamento dinmico via kernel.

Definindo o gateway Para definirmos o gateway em cada cliente, devemos: --> No Linux Editar o arquivo /etc/sysconfig/network e inserir a linha: GATEWAY=ip_do_gateway Em seguida, devemos reiniciar a rede: #/etc/rc.d/init.d/network restart --> No Windows Nas Propriedades do protocolo TCP/IP, h uma seo gateway. Basta inserir o IP do gateway nessa seo. Exemplo:

Ativando o roteamento via kernel O roteamento via kernel ser ativado com o comando: #echo 1 > /proc/sys/net/ipv4/ip_forward Esse roteamento ser perdido se a rede (e, em conseqncia, a mquina) for reinicializada (#/etc/rc.d/init.d/ network restart). Poderamos inserir a regra no fim do arquivo /etc/rc.d/rc.local, para que a mesma seja ativada a cada reinicializao do sistema. No entanto, um reincio da rede mataria o roteamento novamente. Uma forma de deixar a regra de roteamento permanentemente ativada, resistindo a qualquer tipo de reinicializao, seria a alterao do arquivo /etc/sysctl.conf: net.ipv4.ip_forward = 1 Teste do roteamento O teste do roteamento pode ser feito por intermdio do comando ping. Basta pingar uma mquina que esteja aps o roteador. Caso no haja resposta, faa um teste progressivo para tentar deduzir o problema: --> pingue a placa do roteador que esteja dentro da sua sub-rede; --> pingue a placa do roteador que esteja na outra sub-rede; --> pingue uma mquina da outra sub-rede. Roteamento mltiplo possvel fazer um roteamento mltiplo, entre mais de duas sub-redes. Basta acrescer mais placas de rede no roteador e executar os mesmos procedimentos aqui descritos. Cabe ressaltar que nem todo micro, dependendo do seu hardware, aceita mais de duas placas de rede.

2. GENERALIDADES Consideraes iniciais Existem vrios tipos de firewall. Entende-se por firewall como sendo qualquer mquina capaz de tomar decises em relao ao trfego de rede. Podemos citar como tipos de firewall, as mquinas que executam os seguintes servios: --> roteamento controlado por regras de anlise de cabealho IP (filtro de pacotes ou firewall de passagem); --> roteamento mascarado controlado por regras de anlise de cabealho IP (filtro de pacotes mascarado ou firewall de mascaramento); --> roteamento controlado por regras de anlise de contedo de pacotes (filtro de anlise de pacotes ou firewall de contedo); --> roteamento mascarado controlado por regras de anlise de URL (proxy). Falarei sobre o filtro de pacotes existente no Linux. Ele verifica apenas o cabealho de cada pacote, definindo o que ocorrer com tais pacotes. Basicamente, s entende endereo IP, mscara de sub-rede, portas e tipos de protocolos. No analisa o contedo do pacote. Todas as expresses firewall, quando utilizadas daqui por diante, referir-se-o ao filtro de pacotes do Linux. A filtragem de pacotes uma atividade interna do kernel. Os filtros Linux O firewall, na maioria das vezes, atua como um roteamento dinmico controlado. uma atividade interna, uma propriedade, do kernel. So os seguintes, os filtros existentes: --> kernel 2.0.x: ipfwadm --> kernel 2.2.x: ipchains --> kernel 2.4.x: iptables Obs: um kernel estvel quando o algarismo existente entre os dois pontos par. Exemplo: x.2.x estvel. J o x.3.x no estvel. O Kernel 2.4, por questes de compatibilidade, mantm os filtros ipfwadm e ipchains. No entanto, eles no funcionam completamente com esse kernel. Alm disso, se o ipchains estiver ativo, o iptables no ir funcionar. Assim, no Red Hat, torna-se necessrio entrar no #setup e: --> habilitar o iptables --> desabilitar o ipchains Se a distribuio utilizada no possuir o comando #setup, utilize o comando #rmmod ipchains. Cabe ressaltar que o iptables ter os seus mdulos bsicos carregados quando for utilizado pela primeira vez.

Como funciona um firewall ? O FILTRO DE PACOTES do Linux funciona mediante regras estabelecidas. Todos os pacotes entram no kernel para serem analisados. As CHAINS (correntes) so as situaes possveis dentro do kernel. Quando um pacote entra no kernel, este verifica o destino do pacote e decide qual chain ir tratar do pacote. Isso se chama roteamento interno. Os tipos de chains iro depender da tabela que estaremos utilizando no momento. Existem 3 tabelas possveis: --> filter: a tabela default. Quando no especificarmos a tabela, a filter ser utilizada. Refere-se s atividades normais de trfego de dados, sem a ocorrncia de NAT. Admite as chains INPUT, OUTPUT e FORWARD. --> nat: utilizada quando h NAT. Exemplo: passagem de dados de uma rede privada para a Internet. Admite as chains PREROUTING, OUTPUT e POSTROUTING. --> mangle: h referncias de que a mesma utilizada para alteraes especiais em pacotes. Raramente utilizada.

3. TABELAS Tabela Filter Vejamos o funcionamento da tabela filter (default) e as suas respectivas chains: Esquema da Tabela Filter

So trs, as possveis chains: --> INPUT: utilizada quando o destino final a prpria mquina firewall; --> OUTPUT: qualquer pacote gerado na mquina firewall e que deva sair para a rede ser tratado pela chain OUTPUT; --> FORWARD: qualquer pacote que atravessa o firewall, oriundo de uma mquina e direcionado a outra, ser tratado pela chain FORWARD. Regras de firewall As regras (rules) de firewall, geralmente, so compostas assim: #iptables [-t tabela] [opo] [chain] [dados] -j [ao] Exemplo: #iptables -A FORWARD -d 192.168.1.1 -j DROP A linha acima determina que todos os pacotes destinados mquina 192.168.1.1 devem ser descartados. No caso: tabela: filter ( a default) opo: -A chain: FORWARD dados: -d 192.168.1.1 ao: DROP Existem outras possibilidades que fogem sintaxe mostrada anteriormente. o caso do comando #iptables -L, que mostra as regras em vigor.

Anlise de regras com a tabela filter Opes As principais opes so: -P --> Policy (poltica). Altera a poltica da chain. A poltica inicial de cada chain ACCEPT. Isso faz com que o firewall, inicialmente, aceite qualquer INPUT, OUTPUT ou FORWARD. A poltica pode ser alterada para DROP, que ir negar o servio da chain, at que uma opo -A entre em vigor. O -P no aceita REJECT ou LOG. Exemplos: #iptables -P FORWARD DROP #iptables -P INPUT ACCEPT -A --> Append (anexar). Acresce uma nova regra chain. Tem prioridade sobre o -P. Geralmente, como buscamos segurana mxima, colocamos todas as chains em poltica DROP, com o -P e, depois, abrimos o que necessrio com o -A. Exemplos: #iptables -A OUTPUT -d 172.20.5.10 -j ACCEPT #iptables -A FORWARD -s 10.0.0.1 -j DROP #iptables -A FORWARD -d www.chat.com.br -j DROP -D --> Delete (apagar). Apaga uma regra. A regra deve ser escrita novamente, trocando-se a opo para -D. Exemplos: Para apagar as regras anteriores, usa-se: #iptables -D OUTPUT -d 172.20.5.10 -j ACCEPT #iptables -D FORWARD -s 10.0.0.1 -j DROP #iptables -D FORWARD -d www.chat.com.br -j DROP Tambm possvel apagar a regra pelo seu nmero de ordem. Pode-se utilizar o -L para verificar o nmero de ordem. Verificado esse nmero, basta citar a chain e o nmero de ordem. Exemplo: #iptables -D FORWARD 4 Isso deleta a regra nmero 4 de forward. -L --> List (listar). Lista as regras existentes. Exemplos: #iptables -L #iptables -L FORWARD -F --> Flush (esvaziar). Remove todas as regras existentes. No entanto, no altera a poltica (-P). Exemplos: #iptables -F #iptables -F FORWARD

Chains As chains j so conhecidas: INPUT --> Refere-se a todos os pacotes destinados mquina firewall. OUTPUT --> Refere-se a todos os pacotes gerados na mquina firewall. FORWARD --> Refere-se a todos os pacotes oriundos de uma mquina e destinados a outra. So pacotes que atravessam a mquina firewall, mas no so destinados a ela. Dados Os elementos mais comuns para se gerar dados so os seguintes: -s --> Source (origem). Estabelece a origem do pacote. Geralmente uma combinao do endereo IP com a mscara de sub-rede, separados por uma barra. Exemplo: -s 172.20.0.0/255.255.0.0 No caso, vimos a sub-rede 172.20.0.0. Para hosts, a mscara sempre ser 255.255.255.255. Exemplo: -s 172.20.5.10/255.255.255.255 Agora vimos o host 172.20.5.10. Ainda no caso de hosts, a mscara pode ser omitida. Caso isso ocorra, o iptables considera a mscara como 255.255.255.255. Exemplo: -s 172.20.5.10 Isso corresponde ao host 172.20.5.10. H um recurso para simplificar a utilizao da mscara de sub-rede. Basta utilizar a quantidade de bits 1 existentes na mscara. Assim, a mscara 255.255.0.0 vira 16. A utilizao fica assim: -s 172.20.0.0/16 Outra possibilidade a designao de hosts pelo nome. Exemplo: -s www.chat.com.br Para especificar qualquer origem, utilize a rota default, ou seja, 0.0.0.0/0.0.0.0, tambm admitindo 0/0. -d --> Destination (destino). Estabelece o destino do pacote. Funciona exatamente como o -s, incluindo a sintaxe. -p --> Protocol (protocolo). Especifica o protocolo a ser filtrado. O protocolo IP pode ser especificado pelo seu nmero (vide /etc/protocols) ou pelo nome. Os protocolos mais utilizados so udp, tcp e icmp. Exemplo: -p icmp -i --> In-Interface (interface de entrada). Especifica a interface de entrada. As interfaces existentes podem ser vistas com o comando #ifconfig. O -i no pode ser utilizado com a chain OUTPUT. Exemplo: -i ppp0

O sinal + pode ser utilizado para simbolizar vrias interfaces. Exemplo: -i eth+ eth+ refere-se eth0, eth1, eth2 etc. -o --> Out-Interface (interface de sada). Especifica a interface de sada. Similar a -i, inclusive nas flexibilidades. O -o no pode ser utilizado com a chain INPUT. ! --> Excluso. Utilizado com -s, -d, -p, -i, -o e outros, para excluir o argumento. Exemplo: -s ! 10.0.0.1 Isso refere-se a qualquer endereo de entrada, exceto o 10.0.0.1. -p ! tcp Todos os protocolos, exceto o TCP. --sport --> Source Port. Porta de origem. S funciona com as opes -p udp e -p tcp. Exemplo: -p tcp --sport 80 Refere-se porta 80 sobre protocolo TCP. --dport --> Destination Port. Porta de destino. S funciona com as opes -p udp e -p tcp. Similar a --sport. Aes As principais aes so: ACCEPT --> Aceitar. Permite a passagem do pacote. DROP --> Abandonar. No permite a passagem do pacote, descartando-o. No avisa a origem sobre o ocorrido. REJECT --> Igual ao DROP, mas avisa a origem sobre o ocorrido (envia pacote icmp unreachable). LOG --> Cria um log referente regra, em /var/log/messages. Usar antes de outras aes.

Exemplos comentados de regras de firewall (tabela filter) --------------------------------------#iptables -L Lista todas as regras existentes. --------------------------------------#iptables -F Apaga todas as regras sem alterar a poltica. --------------------------------------#iptables -P FORWARD DROP Estabelece uma poltica de proibio inicial de passagem de pacotes entre sub-redes. --------------------------------------#iptables -A FORWARD -j DROP Todos os pacotes oriundos de qualquer sub-rede e destinados a qualquer sub-rede devero ser descartados. --------------------------------------#iptables -A FORWARD -j ACCEPT Todos os pacotes oriundos de qualquer sub-rede e destinados a qualquer sub-rede devero ser aceitos. --------------------------------------#iptables -A FORWARD -s 10.0.0.0/8 -d www.chat.com.br -j DROP Os pacotes oriundos da sub-rede 10.0.0.0 (mscara 255.0.0.0) e destinados ao host www.chat.com.br devero ser descartados. --------------------------------------#iptables -A FORWARD -s 10.0.0.0/8 -d www.chat.com.br -j REJECT Os pacotes oriundos da sub-rede 10.0.0.0 (mscara 255.0.0.0) e destinados ao host www.chat.com.br devero ser descartados. Dever ser enviado um ICMP avisando origem. --------------------------------------#iptables -A FORWARD -d www.chat.com.br -j DROP Os pacotes oriundos de qualquer lugar e destinados ao host www.chat.com.br devero ser descartados. --------------------------------------#iptables -A FORWARD -d 10.0.0.0/8 -s www.chat.com.br -j DROP Os pacotes destinados sub-rede 10.0.0.0 (mscara 255.0.0.0) e oriundos do host www.chat.com.br devero ser descartados. --------------------------------------#iptables -A FORWARD -s www.chat.com.br -j DROP Os pacotes oriundos do host www.chat.com.br e destinados a qualquer lugar devero ser descartados. --------------------------------------#iptables -A FORWARD -s 200.221.20.0/24 -j DROP Os pacotes oriundos da sub-rede 200.221.20.0 (mscara 255.255.255.0) e destinados a qualquer lugar devero ser descartados. --------------------------------------#iptables -A FORWARD -s 10.0.0.5 -p icmp -j DROP Os pacotes icmp oriundos do host 10.0.0.5 e destinados a qualquer lugar devero ser descartados. --------------------------------------#iptables -A FORWARD -i eth0 -j ACCEPT Os pacotes que entrarem pela interface eth0 sero aceitos. --------------------------------------#iptables -A FORWARD -i ! eth0 -j ACCEPT Os pacotes que entrarem por qualquer interface, exceto a eth0, sero aceitos. --------------------------------------#iptables -A FORWARD -s 10.0.0.5 -p tcp --sport 80 -j LOG O trfego de pacotes TCP oriundos da porta 80 do host 10.0.0.5 e destinados a qualquer lugar dever ser gravado em log. No caso, /var/log/messages. ---------------------------------------

#iptables -A FORWARD -p tcp --dport 25 -j ACCEPT Os pacotes TCP destinados porta 25 de qualquer host devero ser aceitos. ---------------------------------------

Observaes importantes Impasses e ordem de processamento Se houver impasse entre regras, sempre valer a primeira. Assim, entre as regras: #iptables -A FORWARD -p icmp -j DROP #iptables -A FORWARD -p icmp -j ACCEPT Valer: #iptables -A FORWARD -p icmp -j DROP J entre as regras: #iptables -A FORWARD -p icmp -j ACCEPT #iptables -A FORWARD -p icmp -j DROP Valer: #iptables -A FORWARD -p icmp -j ACCEPT Isso ocorre porque as regras so processadas na ordem em que aparecem. Depois do processamento da regra, pode haver continuidade de processamento ou no. Isso ir depender da ao: ACCEPT --> Pra de processar regras para o pacote atual; DROP --> Pra de processar regras para o pacote atual; REJECT --> Pra de processar regras para o pacote atual; LOG --> Continua a processar regras para o pacote atual;

O retorno Ao se fazer determinadas regras, devemos prever o retorno. Assim, digamos que exista a seguinte situao: #iptables -P FORWARD DROP #iptables -A FORWARD -s 10.0.0.0/8 -d 172.20.0.0/16 -j ACCEPT Com as regras anteriores, fechamos todo o FORWARD e depois abrimos da sub-rede 10.0.0.0 para a sub-rede 172.20.0.0. No entanto, no tornamos possvel a resposta da sub-rede 172.20.0.0 para a sub-rede 10.0.0.0. O correto, ento, seria: #iptables -P FORWARD DROP #iptables -A FORWARD -s 10.0.0.0/8 -d 172.20.0.0/16 -j ACCEPT #iptables -A FORWARD -d 10.0.0.0/8 -s 172.20.0.0/16 -j ACCEPT Roteamento dinmico Caso haja o envolvimento de mais de uma sub-rede, ser necessrio que o roteamento dinmico seja ativado para que o iptables funcione corretamente. O roteamento dinmico, via kernel, pode ser ativado pelo comando: #echo 1 > /proc/sys/net/ipv4/ip_forward Cabe lembrar que a reinicializao do daemon de rede far com que o roteamento dinmico seja perdido. Uma forma de deixar a regra de roteamento permanentemente ativada, resistindo a qualquer tipo de reinicializao, seria a alterao do arquivo /etc/sysctl.conf: net.ipv4.ip_forward = 1 O carregamento Na primeira vez em que o iptables for utilizado, poder surgir a mensagem: ip_tables: (c)2000 Netfilter core team No se preocupe. Isso normal. o carregamento dos mdulos necessrios. Caso surjam mensagens de erro, certifique-se de que o ipchains no esteja carregado. Caso esteja, descarregue-o: #rmmod ipchains

Salvando e recuperando tudo As regras iptables podero ser salvas com o comando: #iptables-save > arquivo A recuperao poder ser feita pelo comando: #iptables-restore < arquivo Um tpico exemplo de carregamento de regras de iptables, aps a inicializao do sistema, seria: #echo 1 > /proc/sys/net/ipv4/ip_forward #iptables-restore < /etc/firewall Isso pode ser inserido no fim do arquivo /etc/rc.d/rc.local. Extenses As extenses permitem filtragens especiais, principalmente contra ataques de hackers. Quando necessrias, devem ser as primeiras linhas do firewall. As mais importantes so: Contra Ping #iptables -A FORWARD -p icmp --icmp-type echo-request -j DROP Contra Ping of Death #iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT Contra ataques Syn-flood #iptables -A FORWARD -p tcp -m limit --limit 1/s -j ACCEPT Contra Port scanners avanados (nmap) #iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST -m limit --limit 1/s -j ACCEPT Mais proteo Existe, ainda, uma regra muito importante que no extenso mas tambm pode ser utilizada como segurana. a proteo contra pacotes danificados ou suspeitos. #iptables -A FORWARD -m unclean -j DROP Network Address Translator (tabela nat) Existem vrios recursos que utilizam NAT. Os mais conhecidos so: --> Mascaramento (masquerading) --> Redirecionamento de portas (port forwarding)--> Redirecionamento de servidores (forwarding) --> Proxy transparente (transparent proxy) --> Balanceamento de carga (load balance)

Mascaramento O mascaramento uma forma de fazer NAT (Network Address Translation). Com isso, possvel fazer uma rede inteira navegar na Internet com segurana. A rede solicita os dados para a mquina que faz o mascaramento. Essa busca tais dados na Internet...

...e os entrega aos solicitantes:

No entanto, um host da Internet, por vontade prpria, no consegue ultrapassar o firewall que faz mascaramento, em direo rede:

O nico endereo IP que ir circular na Internet ser o do firewall. O mascaramento tambm possui um esquema de funcionamento. Como haver trocas de endereos, deveremos utilizar a tabela NAT para fazer isso. Redirecionamento de portas O redirecionamento de portas ocorre quando desejamos alterar a porta de destino de uma requisio. Exemplo: tudo que for destinado porta 23 de qualquer mquina, quando passar pela mquina firewall, ser redirecionado para a porta 10000 de outro server. Redirecionamento de servidores Todos os pacotes destinados a um servidor ou porta do mesmo, sero redirecionados para outro servidor ou porta de outro servidor. Proxy transparente a tcnica que fora o uso de um servidor proxy na rede. Balanceamento de carga O balanceamento de carga (load balance) uma tcnica utilizada para distribuir carga em clusters servidores. Entende-se por cluster, uma srie de servidores grupados e sincronizados, a fim de conterem os mesmos dados. O load balance o ato de distribuir os clientes aos servidores mais desocupados. Esse trabalho tambm pode ser feito por servidores DNS.

A tabela NAT A tabela NAT funciona da seguinte forma:

O NAT dividido em: --> SNAT: aplica-se quando desejamos alterar o endereo de origem do pacote. Somente a chain POSTROUTING faz SNAT. O mascaramento um exemplo de SNAT. --> DNAT: aplica-se quando desejamos alterar o endereo de destino do pacote. As chains PREROUTING e OUTPUT fazem DNAT. O redirecionamento de porta, o redirecionamento de servidor, o load balance e o proxy transparente so exemplos de DNAT. Regras de NAT Para fazer o mascaramento, deveremos, antes, carregar o mdulo de NAT: #modprobe iptable_nat As regras mais utilizadas, alm da maioria dos recursos descritos para uso com a tabela filter, contm o seguinte: Chains Existem as seguintes chains: --> PREROUTING: utilizada para analisar pacotes que esto entrando no kernel para sofrerem NAT. O PREROUTING pode fazer aes de NAT com o endereo de destino do pacote. Isso conhecido como DNAT (Destination NAT); --> POSTROUTING: utilizada para analisar pacotes que esto saindo do kernel, aps sofrerem NAT. O POSTROUTING pode fazer aes de NAT com o endereo de origem do pacote. Isso conhecido como SNAT (Source NAT); --> OUTPUT: utilizada para analisar pacotes que so gerados na prpria mquina e que iro sofrer NAT. O OUTPUT pode fazer aes de NAT com o endereo de destino do pacote. Tambm DNAT. Opes -A --> Append (anexar). -D --> Deletar.

Dados -t --> Table (tabela). Estabelece a tabela a ser utilizada. A tabela default, por omisso, filter. Para o mascaramento ou NAT ser nat. Exemplo: #iptables -t nat -A ... --to --> utilizado para definir IP e porta de destino, aps um DNAT, ou de origem, aps um SNAT. Deve ser utilizado aps uma ao (-j ao). Assim: -j DNAT --to 10.0.0.2 -j DNAT --to 10.0.0.2:80 -j SNAT --to 172.20.0.2 --dport --> assim como -d define um host de destino, --dport define uma porta de destino. Deve ser utilizado antes de uma ao (-j ao). Antes de --dport, deve ser especificado um protocolo (-p). Exemplo: -d 127.20.0.1 -p tcp --dport 80 -j DNAT --to 10.0.0.2 --sport --> assim como -s define um host de origem, --sport define uma porta de origem. Deve ser utilizado antes de uma ao (-j ao). --to-port --> define uma porta de destino, aps um REDIRECT. Obs: A maioria dos dados bsicos apresentados para a tabela filter continuam valendo. Exemplo: -p servir para definir um protocolo de rede; -d define um host de destino. Aes SNAT --> Utilizado com POSTROUTING para fazer aes de mascaramento da origem. DNAT --> Utilizado com PREROUTING e OUTPUT para fazer aes de redirecionamento de portas e servidores, balanceamento de carga e proxy transparente. Caso a porta de destino no seja especificada, valer a porta de origem. No firewall, a porta que ser redirecionada no pode existir ou estar ocupada por um daemon. MASQUERADE --> Faz mascaramento na sada de dados. REDIRECT --> Redireciona uma requisio para uma porta local do firewall.

Exemplos comentados de regras de firewall (tabela nat) --------------------------------------#iptables -t nat -L Mostra as regras de NAT ativas. --------------------------------------#iptables -t nat -F Apaga todas as regras de NAT existentes. --------------------------------------#iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE Todos os pacotes que sarem pela interface ppp0 (modem) sero mascarados. Isso d um nvel de segurana elevado rede que est atrs da ppp0. uma boa regra para navegao na Internet. Note que esse tipo de mascaramento no usa SNAT. --------------------------------------#iptables -t nat -A POSTROUTING -d 0/0 -j MASQUERADE Tem o mesmo efeito da regra anterior. No entanto, parece ser menos segura, pois estabelece que qualquer pacote destinado a qualquer outra rede, diferente da interna, ser mascarado. A regra anterior refere-se aos pacotes que saem por determinada interface. A opo -d 0/0 poderia ser -d 0.0.0.0/0 tambm. uma outra regra para navegao na Internet. --------------------------------------#iptables -t nat -A PREROUTING -t nat -p tcp -d 10.0.0.2 --dport 80 -j DNAT --to 172.20.0.1 Redireciona todos os pacotes destinados porta 80 da mquina 10.0.0.2 para a mquina 172.20.0.1. Esse tipo de regra exige a especificao do protocolo. Como no foi especificada uma porta de destino, a porta de origem (80) ser mantida como destino. --------------------------------------#iptables -t nat -A OUTPUT -p tcp -d 10.0.0.10 -j DNAT --to 10.0.0.1 Qualquer pacote TCP, originado na mquina firewall, destinado a qualquer porta da mquina 10.0.0.10, ser desviado para a mquina 10.0.0.1 . --------------------------------------#iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 200.20.0.1 Essa regra faz com que todos os pacotes que iro sair pela interface eth0 tenham o seu endereo de origem alterado para 200.20.0.1 . --------------------------------------#iptables -t nat -A PREROUTING -i eth0 -j DNAT --to 172.20.0.1 Todos os pacotes que entrarem pela eth0 sero enviados para a mquina 172.20.0.1 . --------------------------------------#iptables -t nat -A PREROUTING -i eth0 -j DNAT --to 172.20.0.1-172.20.0.3 Aqui haver o load balance. Todos os pacotes que entrarem pela eth0 sero distribudos entre as mquinas 172.20.0.1 , 172.20.0.2 e 172.20.0.3 . --------------------------------------#iptables -t nat -A PREROUTING -s 10.0.0.0/8 -p tcp --dport 80 -j REDIRECT --to-port 3128 Todos os pacotes TCP que vierem da rede 10.0.0.0, com mscara 255.0.0.0, destinados porta 80 de qualquer host, no sairo; sero redirecionados para a porta 3128 do firewall. Isso o passo necessrio para fazer um proxy transparente. O proxy utilizado dever aceitar esse tipo de recurso. No caso, o Squid, que aceita transparncia, dever estar instalado na mquina firewall, servindo na porta 3128. --------------------------------------#iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth1 -j SNAT 200.20.5.0/24 Uma situao interessante: todos os pacotes que sarem da rede 192.168.1.0 sero transformados em 200.20.5.0 . ---------------------------------------

Execuo do mascaramento destinado Internet Por ser uma atividade perigosa, o acesso Internet deve ser feito com um mximo grau de segurana. Assim, vejamos as regras bsicas para permitir uma navegao adequada. Primeiro exemplo: uma rede na Internet Vamos permitir que a rede 10.0.0.0 navegue na Internet. A mquina firewall ser a 10.0.0.1. Regras: #echo 1 > /proc/sys/net/ipv4/ip_forward #modprobe iptable_nat #iptables -t nat -A POSTROUTING -s 10.0.0.0/8 -o ppp0 -j MASQUERADE O procedimento totalmente seguro, pois discrimina uma origem, que s poder sair pela ppp0, de forma mascarada. Segundo exemplo: alguns hosts na Internet Vamos permitir que alguns hosts, no caso, o 10.0.0.10, o 10.0.0.20 e o 10.5.2.41, naveguem na Internet. A mquina firewall ser a 10.0.0.1. Regras: #echo 1 > /proc/sys/net/ipv4/ip_forward #modprobe iptable_nat #iptables -t nat -A POSTROUTING -s 10.0.0.10 -o ppp0 -j MASQUERADE #iptables -t nat -A POSTROUTING -s 10.0.0.20 -o ppp0 -j MASQUERADE #iptables -t nat -A POSTROUTING -s 10.5.2.41 -o ppp0 -j MASQUERADE Execuo de FTP Para executar sesses de FTP, ser necessrio o carregamento de dois mdulos: #insmod ip_conntrack_ftp #insmod ip_nat_ftp Salvando e recuperando regras As regras de iptables devem ser salvas com o comando iptables-save e carregadas com iptables-restore. O roteamento esttico e o carregamento dos mdulos FTP devem ser feitos separadamente. Apenas para ilustrar, vamos executar o salvamento e a recuperao das regras. --> Criando as regras #iptables -t nat -A POSTROUTING -s 10.0.0.10 -o ppp0 -j MASQUERADE #iptables -t nat -A POSTROUTING -s 10.0.0.20 -o ppp0 -j MASQUERADE #iptables -t nat -A POSTROUTING -s 10.5.2.41 -o ppp0 -j MASQUERADE --> Salvando #iptables-save > /etc/firewall

--> Recuperao Um script de recuperao, inicializado pelo /etc/rc.d/rc.local, poderia ter a seguinte estrutura: #!/bin/bash echo 1 > /proc/sys/net/ipv4/ip_forward modprobe iptable_nat iptables-restore < /etc/firewall insmod ip_conntrack_ftp insmod ip_nat_ftp Aumentando o nvel de segurana Caso deseje aumentar o nvel de segurana, evitando ataques diversos, digite COMO PRIMEIRAS regras: #iptables -A FORWARD -m unclean -j DROP #iptables -A FORWARD -p icmp --icmp-type echo-request -j DROP #iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT #iptables -A FORWARD -p tcp -m limit --limit 1/s -j ACCEPT #iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST -m limit --limit 1/s -j ACCEPT Topologias de firewall O posicionamento de um firewall dentro da rede de extrema importncia para ela. H duas possibilidades bsicas para a utilizao de um firewall: firewall isolado e firewall incorporado, sendo este ltimo o mais inseguro e menos desejvel. O firewall ser isolado quando estiver entre mquinas, com funo exclusiva de firewall:

O firewall ser incorporado quando no houver uma mquina isolada como firewall. Nesse caso, as mquinas da rede devero estabelecer, individualmente, as suas prprias regras de firewall. o sistema mais inseguro:

Nada impede que os dois sistemas sejam utilizados em parceria. Cabe ressaltar que no firewall incorporado h maior nvel de insegurana, uma vez que outros processos rodam junto com o firewall.

4. Segurana do sistema de firewall O sistema de firewall deve ser protegido para que o restante da rede tambm tenha segurana. Assim, algumas regras bsicas devem ser observadas: --> Feche a mquina firewall, de modo que todas os pacotes destinados diretamente a ela sejam descartados: #iptables -P INPUT DROP Em seguida, aos poucos, abra o que for necessrio. --> Prefira topologia de firewall isolado combinado com firewall incorporado; --> Atualize sempre o firewall e o kernel; --> NUNCA rode qualquer servio, principalmente os remotos, como telnet e ftp, na mquina firewall, quando se tratar de firewall isolado; --> Se tiver que administrar remotamente um firewall, utilize ssh; --> Nunca cadastre qualquer usurio na mquina firewall, caso se trate de firewall isolado; --> Utilize TCP Wrappers totalmente fechado (ALL:ALL em /etc/hosts.deny) na mquina de firewall isolado; abra o ssh (em /etc/hosts.allow) apenas para os clientes que forem fazer administrao remota; --> Anule as respostas a ICMP 8 (echo reply) no firewall isolado, para evitar identificao da topologia na rede e ataques de Ping of Death. A melhor forma de se fazer isso atuando sobre regras do kernel, com o comando: #echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all --> No insira referncias ao firewall no DNS; --> No deixe o firewall isolado com cara de firewall. D um nome descaracterizado para ele; --> Faa log de aes suspeitas que estiverem ocorrendo na rede; --> Teste, teste, teste novamente. LINKS - RELATIVOS http://netfilter.samba.org http://netfilter.filewatcher.org

Arquivo elaborado por LinuxClube.com http://www.linuxclube.com