Shorewall - snazší cesta k tvorbě firewallu (diskuse)

[houska]

HTTP=10.10.1.100        # adresa vnitřního HTTP serveru
OUTER=93.231.291.257    # adresa vnějšího (internetového) síťového rozhraní

za pul roku nebudes vedet co je "OUTER" - jestli rozhrani, ipcko, nejakej server... o "HTTP" ani nemluvim ;)

[Petr Bravenec]

Pravděpodobně to vědět budu, protože to jsou zkratky, které v iptables pravidlech používám nějakých deset let. Jsem na ně zvyklý.

[CEST]

Takze hrajes na vendor lock-in? Pokud by to mel nekdo po tobe prevzit nebo za tebe zakocit, tak pro nej bude jednodussi a zrejme i rychlejsi z vypisu iptables -nvL udelat v nejakym obecnym nastroji (at uz to bude fwbuilder, pfSense nebo IPcop) novej firewall, nez zjistovat, co ktera promenna vlastne dela a jestli muze zmenit tamtu promennou tak, aby to udelalo to, co opravdu chce a ne tisic dalsich veci, ktery nechce.

Proto mam taky radsi cisty iptables, protoze to je proste standard. Kazdej, kdo dela FW na linuxu bude iptables na 99% umet. Kdyz neco ubastlim ve fwbuilderu/pfSense/m0n0wall/IPcop, bude si to ten nekdo muset trosku nastudovat, ale tyhle nastroje jsou urceny k tomu, aby se s tim delalo jednoduse, takze udelat zmenu by melo byt pro FW odbornika i bez znalosti konkretniho produktu jednoduche. Ale pochopeni ciziho skriptu bude asi slozitejsi.

[Petr Bravenec]

Proměnné a jiné různé symbolické hodnoty se používají poměrně běžně a s oblibou. Všude. V programech, ve skriptech, v parametrech. I v iptables. Rozhodně je čitelnější napsat https než 443. Co je na tom špatně? Navíc takový FW napsaný pomocí proměnných v shorewall nebo přímo v iptables je pružnější. Při přenosu na jiný počítač stačí přepsat pár proměnných (komentovaných) a restartovat. Při přesunu služby stačí přepsat proměnnou a restartovat. Nemusím hledat, kde všude se IP adresa vyskytuje. Přímo v iptables by to bylo v pravidlech out-in, in-in, pre-in, pre-out, in-post, dmz-in, in-dmz... je jedno co to znamená, jen tak z hlavy jsem si vzpomenul na sedm míst pro nastavení jediné služby.

Shorewall jsem zdědil. Uvažoval jsem o nahrazení čistě iptables. Ale nemá to smysl, shorewall je výhodnější - dobře zdokumentovaný, rozšířený, poměrně přehledný a ve srovnání s iptables nepoměrně pružnější.

[Petr Bravenec]

Člověče, tak mě napadá... ty jsi viděl shorewall nebo víš aspoň vůbec, o čem je řeč, když - cituji - "pochopení cizího skriptu bude asi složitější"? Shorewall není "cizí" není "skript". Takto se dalo argumentovat u mého včerejšího zápisku:

http://www.abclinuxu.cz/blog/Bravenec/2010/6/skripty-pro-firewall

[KluceoveSlova]

Jednoznacne PfSense je najlepsi hned po IPCop...

[Petr Bravenec]

Jenže PfSense je klikací a IPCop je něco úplně jiného.

[Visgean Skeloru]

Hmm a co říkáte na Vuurmuur? Osobně s ním mám dobré zkušenosti ale zas tak se v tomhle nevyznám...

[Petr Bravenec]

Klikací

Tedy abych nekřivdil - GUI je v ncurses, pravděpodobně to myší nebude ovladatalné.

Kde se bere má nechuť ke klikacím nástrojům:

Plusy GUI:

• Snadné nastavení i pro lamu.
• Odborník si nemusí pamatovat nebo studovat příkazy iptables.

Minusy GUI:

• Snadné nastavení i pro lamu.
• Odborník si musí pamatovat nebo studovat příkazy iptables.
• Odborník musí vědět, jak přečurat gui.
• Obvykle nelze rozumně komentovat (jako například registry windows).
• Obvykle nelze kus "zakomentovat", je potřeba celý kus smazat (jako například registry windows).
• Jsem zvyklý číst písmenka, nerozumím obrázkům.
• Nefunguje na systémech z roku 2003 s Pentiem a 64MB RAM

Mám na starosti více serverů a je pro mě výhoda překopírovat na server šablonu (s komentáři a s návodem), upravit pár proměnných (OUTER, OUTER_DEV, HTTP....) a spustit. Pro archivaci změn a testování nových funkcí mohu snadno nasadit git (verzovací systém). Minusů má GUI jednoznačně více.

[Visgean Skeloru]

Tak to 'klikátko' (ono to není klikátko) pouze edituje nějaké svoje soubory a ty pak můžete taky synchronizovat podle libosti.. Vuurmuur toho umí docela hodně, někdy to zkuste :) (a nebo třeba nezkoušejte :)) )

Mimochodem, dobrý nápad synchronizovat konfiguráky pomocí gitu.

[SPM]

Tak jsem si to teď zkusil nainstalovat, akorát jak se tak koukám do jejich roadmapy, tak to vypadá, že neumí IPv6 a ještě asi docela dlouho umět nebude... :-/

[Petr Bravenec]

V první chvíli jsem se vyděsil, že by se to snad mělo týkat shorewall. Koukal jsem do repozitáře, balík shorewall6 tam mám... pak mi došlo, že se to týká zřejmě vuurmuur.

[SPM]

Přesně tak; u shorewallu bych nepředpokládal, že by tam nebyla :) Btw nezkoušel jste to? Jde mi o to, jestli configy shorewallu jsou pro IPv4 a IPv6 stejné nebo je to také striktně oddělené?

[Petr Bravenec]

Nezkoušel jsem to. Já s IPv6 zatím jen tak laškuju...

[Petr Bravenec]

Ještě jsem tam objevil chybu. V nastavení služeb bylo původně uvedeno:

# Služby
DNAT    net     loc:$HTTP   tcp   80    80    $OUTER
DNAT    loc     loc:$HTTP   tcp   80    80    $OUTER

Není to vyloženě špatně, ale uvedená služba (HTTP) by pracovala pouze v případě, že by byl zdrojový port také 80, což obecně nebývá. Opravil jsem to na:

# Služby
DNAT    net     loc:$HTTP   tcp   80    -    $OUTER
DNAT    loc     loc:$HTTP   tcp   80    -    $OUTER