Paketové filtry

Typy Firewallov

Packet-filtering firewall

Tabuliek môže (a zvyčajne aj je) viacero, každá sa aplikuje na pakety, ktoré chodia z určitého smeru. Napríklad na zariadenie zo siete, von zo zariadenia, z lokálnej aplikácie atď.

Riadky tabuľky obsahujú jednotlivé pravidlá, kde môžme definovať čo sa má diať s paketmi ktoré vyzerajú tak a tak. Napríklad zakázať všetky pakety z určitej IP adresy, ktoré sa snažia nadviazať spojenie na porte 80.

Stateful inspection firewall

Linux Firewally

1. jadrá 2.0.x : ipfwadm
2. jadrá 2.2.x : ipchains
3. jadrá 2.4.x : Netfilter (iptables)

Pre tích, ktorí sa nemôžu vzdať ipfwadm a ipchains existujú skripty, ktoré používajú syntax týchto nástrojov a fungujú nad ipchains alebo iptables (ipfwadm-wrapper a podobne). Paketový filter je na Linuxe zabudovaný do jadra, vďaka čomu je celý proces rýchlejší, keďže sa nemusí ísť do uživateľského priestoru. Pre zachovanie nastavenia firewallu je nutné dať príkazy pre nastavnie do štartovacích skriptov, poslúžiť môžu aj utiliky ipchains-save (iptables-save) a ipchains-restore (iptables-restore). Použitie:

    # ipchains-save > /etc/ipchains.rules

Pomocou nástrojov na firewalling vieme v Linuxe robiť aj NAT, Maškarádu alebo port-forwading.

IP Chains

• INPUT : Pre pakety prichádzajúce zo sieťového zariadenia.
• FORWARD : Pre pakety, ktoré sa preposielajú ďalej.
• OUTPUT : Pre pakety, ktoré odchádzajú cez sieťové zariadenie von. (je jedno či sa preposielajú alebo pochádzajú z lokálnej aplikácie)

Pravidlá (rules) v príslušnom reťazci sa prechádzajú jedno po druhom a keď sa nájde vyhovujúce uplatní sa na paket akcia v danom pravidle. Ak žiadne pravidlo nevyhovuje použije sa implicitná politika pravidla. Obrázok:

                         +---->( Local Process )->---+
                         ^                           |
      +-------------+    |     +---------------+     v    +--------------+
----->| INPUT Chain |-+--+---->| FORWARD Chain |-----+-+->| OUTPUT Chain |--->
      +-------------+ |        +------+--------+       |  +--------------+
            |         |               |                ^         |
        Deny/Reject   |           Deny/Reject          |    Deny/Reject
                      |                                |
                      +------->( Demasquerading )->----+

Netfilter

               Deny/Reject                          Deny/Reject
                    |                                    |
                +---+---+                           +----+---+
                | INPUT |->---( Local Process )--->-| OUTPUT |
                +---+---+                           +----+---+
                    |                                    |
                    ^                                (routing)
                    |                                    |
   +------------+   |         +---------+         +------+------+
-->| PREROUTING |-(routing)-->| FORWARD |->------>| POSTROUTING |-->-
   +-----+------+             +----+----+         +------+------+
         |                         |                     |
     Deny/Reject               Deny/Reject          Deny/Reject

Základná syntax príkazu iptables je:

    # iptables [table] <command> <match> <target/jump>

table	: tabuľka s ktorou manipulujeme
command	: čo chceme s tabuľkou/pravidlom robiť
match	: popis paketu, pre ktorý pravidlo vyhovuje
target/jump	: čo sa má urobiť s paketom

Table

nat	Používa sa pre NAT (Network Address transalation). Nemala by sa používať na filtrovanie. Obsahuje reťazce PREROUTING pre pakety príchodzie na zariadenie, OUTPUT pre pakety z lokálnych aplikácií a POSTROUTING pre pakety odchádzajúce na zariadenie.
mangle	Používa sa na zmeny v hlavičkách paketov (TTL, TOS a podobe), ale nie na NAT alebo maškarádovanie, na to slúži tabuľka nat Obsahuje reťazce PREROUTING pre pakety, ktoré práve prišli zo zariadenia a ešte sa neviem kam ďalej pôjdu (routing decision) a OUTPUT pre pakety, ktoré sa generovali lokálne a opäť ešte smerovaním.
filter	Používa sa na filtrovanie paketov všeobecne, teda na akcie typu DROP, LOG, ACCEPT, REJECT a iné. Obsahuje reťazce FORWARD pre pakety, ktoré neboli generované lokálne a nie sú určené pre localhost. INPUT pre pakety určené pre lokálnu aplikáciu a OUTPUT pre lokálne vygenerované pakety.

Commands

-A	pridá nové pravidlo na koniec reťazca
-D	zmaže definované pravidlo
-R	zmení definované pravidlo
-L	vypíše všetky pravidlá daného reťazca
-P	definuje implicitnú politiku reťazca
-F	zmaže všetky pravidlá v danom reťazci

Matches

-p	Protokol
-s	Zdrojová IP adresa
-i	Vstupný interface
--sport	Zdrojový port
--tcp-flags	Typ paketu
--icmp-type	Typ ICMP paketu

Target

DROP	Paket sa zahodí
ACCEPT	Paket sa akceptuje
SNAT	Preklad zdrojovej adresy
MASQUERADE	Maškaráda
REDIRECT	Presmerovanie

Príklady použitia iptables:

    # iptables -A INPUT --dport 80 -j DROP
    # iptables -D INPUT 1
    # iptables -R INPUT 1 -s 192.168.0.1 -j DROP
    # iptables -I 1 --dport 80 -j ACCEPT
    # iptables -L OUTPUT
    # iptables -P INPUT REJECT
    # iptables -p tcp --tcp-flags SYN,ACK,FIN ...

Ukážka ako paket "cestuje" tabuľkami a reťazcami pravidiel:

Forwardovaný paket

1. Paket prichádza z Internetu
2. Prichádza na interface
3. mangle PREROUTING
4. nat PREROUTING
5. Rozhodnutie smerovanie (localhost/forwading?)
6. filter FORWARD
7. nat POSTROUTING
8. Paket odchádza na interface
9. Späť do Internetu

Paket určený pre localhost

1. Paket prichádza z Internetu
2. Prichádza na interface
3. mangle PREROUTING
4. nat PREROUTING
5. Rozhodnutie smerovanie (localhost/forwading?)
6. filter INPUT
7. Lokálny proces

Paket generovaný lokálne

1. Lokálny proces
2. mangle OUTPUT
3. nat OUTPUT
4. filter OUTPUT
5. Rozhodnutie smerovanie (localhost/forwading?)
6. nat POSTROUTING
7. Odchádza na interface
8. a do Internetu

Nakoniec doplním, že je možné si vytvárať vlastné reťazce pravidiel, pakety medzi reťazcami presmerovávať alebo robiť účtovanie.

*BSD (Irix, Solaris ...) Firewally

    pass out from any to any
    pass in from any to any
    block in on fxp0 from any to any port = 3306

    pass out from any to any
    block in on fxp0 from any to any port = 3306
    pass in from any to any

     block in quick on fxp0 from any to any port = 3306

    # ipfw [-N] command [index] action [log] protocol addresses [options]

Command

Index

Action

Protocol

Address

    from address/mask [port] to address/mask [port] [via interface]

• address
• address/mask-bits
• address:mask-pattern

Options

Syntax pre výpisy pravidle:

    # ipfw [-a] [-t] [-N] l  

    # ipfw flush

    # ipfw zero [index]

Príklady použitia ipfw:

    # ipfw add deny tcp from evil.crackers.org to nice.people.org 23
    # ipfw add deny log tcp from evil.crackers.org/24 to nice.people.org   
    # ipfw add deny tcp from any to my.org/28 6000 setup 
    # ipfw -a list
    # ipfw -a l 
    # ipfw -at l

    #!/bin/sh
    
    [ -f /etc/ipchains.rules ] || exit 0

    case "$1" in
        start)
            echo -n "Turning on packet filtering:"
            /sbin/ipchains-restore < /etc/ipchains.rules || exit 1
            echo 1 > /proc/sys/net/ipv4/ip_forward
            echo "." ;;
        stop)
            echo -n "Turning off
            packet filtering:"
            echo 0 >
            /proc/sys/net/ipv4/ip_forward
            /sbin/ipchains -F
            /sbin/ipchains -X
            /sbin/ipchains -P input ACCEPT
            /sbin/ipchains -P output ACCEPT
            /sbin/ipchains -P forward ACCEPT
            echo "." ;;
        *)
            echo "Usage: /etc/init.d/packetfilter {start|stop}"
            exit 1 ;;
    esac
    exit
    0

Odkazy