Firewall v Linuxe

Obsah

• Úvod
  • Typy firewallov
  • NAT
• Firewally v Linuxe
• Netfilter/iptables
  • Konfigurácia jadra
  • Ako funguje iptables
  • Konfigurácia
• Odkazy

Úvod

Firewall je hardware alebo software, ktorého úlohou je kontrolovať tok dát v sieti medzi zónami s rozdielnou dôveryhodnosťou (napr. vnútorná sieť podniku vs. Internet). Musí zamedziť takej komunikácii, ktorá je v rozpore s bezpečnostnou politikou.

Typy firewallov

Firewally sa dajú rozdeliť podľa viacerých kritérii:

• či medzi sebou komunikujú dve alebo viaceré siete, alebo jeden stroj komunikuje so sieťou:
  • osobné firewally kontrolujú tok dát na jednom počítači pripojenom do siete
  • sieťové firewally je umiestnený na spoji dvoch alebo viacerých sietí a má pod kontrolou tok dát vo všetkých pripojených sieťach.
• či je komunikácia odchytávaná na sieťovej vrstve, alebo aplikačnej vrstve ISO/OSI modelu:
  • na sieťovej vrstve - napr. iptables.
  • na aplikačnej vrstve - pracuje s obsahom paketov patriacich konkrétnemu aplikačnému protokolu (napr. http). Proxy servery (môže zakázať prístup k webovým stránkam s určitým obsahom a pod.)
  • aplikačné firewally - riadenie prístupu v konkrétnej aplikácii, napr. súbor /etc/ftpaccess.
• či firewall sleduje stav pripojenia alebo nie (stavové, bezstavové firewally):
  • stavové firewally - sledujú stav spojenia (nové spojenie, existujúce spojenie...)
  • bezstavové firewally - nedokážu sledovať stav spojenia, čo býva často problém (napr. ftp).

NAT

Network adress translation je prepisovanie zdrojovej alebo cieľovej adresy (príp. aj portov) v IP paketoch pri ich prechode cez router alebo firewall. Väčšinou sa používa, aby sa stroje v privátnej sieti (192.168.x.x, 10.x.x.x a pod.) mohli pripojiť k Internetu pomocou jedinej verejnej IP adresy. Čiastočne sa takto rieši nedostatok verejných IP adries. Nevýhodou je, že takéto riešenie poskytuje len jednosmernú konektivitu, a to zvnútra privátnej siete von (čo ale zas v určitých prostrediach poskytuje vyššiu bezpečnosť).

Firewally v Linuxe

V kerneli rady 2.0 2.0 sa používal ipfwadm. Ipfwadm obsahovalo štyri moduly (input, output, forward a accounting), v ktorých boli jednotlivé pravidlá, podľa ktorých sa riadil tok dát. Keďže ipfwadm neumožňovalo pracovať s jednotlivými fragmentami paketov a inými protokolmi ako TCP, UDP a ICMP, v jadre rady 2.2 bol prepísaný a nahradený ipchains. Okrem toho má ipchains jednoduchšiu konfiguráciu a umožňuje reťaziť pravidlá.

Problém s ipchains je v tom, že je to stále bezstavový firewall. Toto rieši netfilter/iptables, ktorý je v jadre prítomný od verzie 2.4. netfilter má tiež prepracovanejší NAT subsystém a vylepšil mechanizmus reťazení pravidiel tým, že reťazce pravidiel sú uložené v tabuľkách.

V BSD systémoch je situácia jednoduchšia. V OpenBSD sa používa PF (Packet Filter), v minulosti sa používal IPFilter Darrena Reeda, ktorý bol ale nahradený kvôli licenčným problémom. Vo FreeBSD systémoch sa dnes používa ipfw (ipfirewall).

Netfilter/iptables

Netfilter je názov projektu a zároveň názov celej sady kernel modulov a user-space programov umožňujúcich manipuláciu s paketmi. Iptables je názov user-space programu, ktorým sa celý firewall konfiguruje. Ako iptables sa tiež často označuje celý balík netfilter/iptables.

Konfigurácia jadra

Aby sme mohli používať iptables, musí byť v jadre zakompilovaná podpora pre netfilter, a to buď priamo v jadre alebo ako moduly. Hlavný modul má názov ip_tables a na ňom závisia ostatné moduly (napr. ip_conntrack, ipt_state, iptable_filter...).

Networking -->
    Networking options -->
       [*] Network packet filtering (replaces ipchains) -->
           IP: Netfilter Configuration -->
                <M> Connection tracking (required for masq/NAT) 
                    (+ moduly, ktoré potrebujeme)
                <M> IP tables support (required for filtering/masq/NAT)  
                    (+ moduly, ktoré potrebujeme)

Ako funguje iptables

Riadenie toku paketov prebieha v sieťovej vrstve na úrovni jadra. V jadre sú uložené tabuľky (tables) filter, nat, mangle a raw. Každá tabuľka obsahuje reťazce pravidiel (chains), ktoré sú buď preddefinované, alebo užívatelom definované. Preddefinované reťazce má každá tabuľka svoje (napr. INPUT, OUTPUT, FORWARD v tabuľke filter, PREROUTING, OUTPUT, POSTROUTING v tabuľke nat). Okrem nich si užívateľ môže definovať svoje vlastné reťazce pravidiel, ktoré môže volať z preddefinovaných podobne ako subrutinu v programe. Každý reťazec obsahuje zoznam pravidiel (rules), ktoré určujú, čo sa bude s paketmi robiť.

Každý paket, ktorý chce byť odoslaný alebo prijatý z/na sieťové rozhranie počítača, musí prejsť cez proces overovania v príslušnej tabuľke a reťazci pravidiel. Pravidlá sa vyberajú sekvenčne v poradí, v akom sa nachádzajú v tabuľke. Ak paket vyhovie nejakému pravidlu, ďalej sa nepokračuje a vykoná sa definovaná operácia (target), napr. prijatie/zahodenie paketu. Ak paket nevyhovie žiadnemu pravidlu v reťazci, vykoná sa implicitná operácia, ktorú má každý reťazec definovanú (policy).

Konfigurácia

Netfilter/iptables nemajú žiadny konfiguračný súbor v tradičnom zmysle. Na konfiguráciu slúži program iptables, pomocou ktorého sa manipuluje s pravidlami jednotlivých tabuliek. Pri používaní programu iptables sa ako parameter uvádza tabuľka a reťazec pravidiel, s ktorými chceme pracovať, typ operácie a špecifikácia pravidla.

Príklady tabuliek a reťazcov pravidiel:

Každé pravidlo musí špecifikovať, čo sa má s paketom urobiť, ak vyhovie jeho podmienkam.

Detailná dokumentácia je v iptables(8).

Príklady konfigurácie:

# Zahodí všetky pakety z 10.0.0.1 do 10.0.40.2
$ iptables -t filter -A FORWARD -s 10.0.0.1 -d 10.0.40.2 -j DROP

# Zobrazí tabuľku filter
$ iptables -t filter -L

# Vloží na začiatok reťazca pravidlo o prepúšťaní ICMP paketov
$ iptables -t filter -I FORWARD 1 -p icmp -j ACCEPT

# Vymaže druhé pravidlo z tabuľky filter z reťazca FORWARD 
$ iptables -t filter -D FORWARD 2

# Povolí http protokol
$ iptables -t filter -I FORWARD 2 -s 10.0.0.1 -d 10.0.40.2 -p tcp -m \
state --state NEW,ESTABLISHED -m tcp --dport http -j ACCEPT

# Presmeruje všetky spojenia na port 8080 na 10.0.40.2:80
$ iptables -t nat -A PREROUTING -p tcp  -m tcp --dport 8080  -j DNAT \
--to-destination 10.0.40.2:80

Aby sme tieto príkazy nemuseli písať stále dokola, existujú programy iptables-save a iptables-restore. iptables-save vypíše obsah všetkých tabuliek vo formáte prepínačov programu iptables. Výstup tohoto programu sa dá použiť ako vstup programu iptables-restore, ktorý podľa tohoto súboru nastaví iptables.

Nevýhoda tohoto prístupu je, že ak máme napr. 200 podobných pravidiel, ktoré sa líšia len v nejakom jednom čísle, tak vo výstupe programu iptables-save bude 200 podobných riadkov. Preto je niekedy lepšie napísať si vlastný skript (napr. v bashi), ktorý bude volať program iptables. Takýto skript môže obsahovať rôzne cykly a podmienky, takže tento spôsob konfigurácie je oveľa flexibilnejší.

Odkazy

Domovská stránka netfilter/iptables: http://www.netfilter.org
Pekný článok o firewalloch: http://en.wikipedia.org/wiki/Firewall_(networking)
Ďalší pekný článok o netfilter/iptables: http://en.wikipedia.org/wiki/Netfilter/iptables
Network adress translation: http://en.wikipedia.org/wiki/Network_address_translation