Skripty pro firewall

8.6.2010 19:00 | Přečteno: 1855× | Počítače | | poslední úprava: 8.6.2010 17:40

Soubor skriptů pro nastavení pravidel firewallu

Pro nastavování pravidel do firewallu jsem si udělal sadu jednoduchých a přehledných skriptů. Pravidla mohou být u velké sítě dost složitá. Častý bývá požadavek snadného přenosu těchto pravidel na jiný počítač, například na pobočce. Pravidla bývají v takovém případě podobná, mění se pouze nastavení ip adres a podobně.

Nastavovat pravidla přes klikací prostředí samozřejmě je možné (například kmyfirewall), ale i zde se ztrácí přehlednost, nastavit složitější věci je extrémně pracné, a v neposlední řadě nelze taková pravidla spravovat v nějakém verzovacím systému - nelze se snadno vrátit k předchozímu stavu.

Klikadla pro nastavení všeho možného navíc všeobecně trpí dvěma neduhy: nic nelze zdokumentovat přímo na místě (příklad: registr windows) a odstranění nějakého pravidla "na zkoušku" s tím, že když se to neosvědčí, obnoví se původní stav, není možné (příklad: registr windows). V textových skriptech je možná jak dokumentace, tak podmíněné zpracování kusu kódu, případně zakomentování kódu.

V dobách dřevěných jsem nastavoval pravidla v jenom velkém souboru. Přehlednost s rostoucí složitostí vzala rychle za své. Časem jsem vypracoval systém podobný systému popsanému v tomto článku, jeho nevýhodou však byla filosofie "Jedno pravidlo - jeden soubor". Protože například transparentní přístup na IMAP server je potřeba nastavovat v NAT (dvakrát - jednou pro vnitřní síť a jednou pro internet) a ve FORWARD pravidlech taky dvakrát (zvenku dovnitř a zevnitř dovnitř), každá podobná služba se i v případě jednoduchého firewallu se dvěma síťovými kartami nastavovala ve čtyřech souborech. Pokud se k tomu přidala ještě demilitarizovaná zóna, pravidel a souborů ještě přibylo.

Přepracovaný systém pro tvorbu pravidel firewallu změnil filosofii na "jedna služba - jeden soubor". Transparentní přístup na IMAP v přepracované verzi se tak nastavuje v jediném souboru (zapisuje se do více pravidel najednou).

Jednoduchou verzi pro dvě síťové karty vám nyní nabízím.

Download: http://bravenec.org/cs/howto/firewall/FW-1.0.tgz

Popis skriptů pro tvorbu pravidel firewallu

V hlavním adresáři FW je několik souborů:

firewall - spustitelná dávka, která projde a nastaví všechna pravidla přímo do kernelu. Na konci se volá uložení pravidel do systému (určeno pro Gentoo Linux).

nastaveni - textový soubor s nastavením. Zde musíte zadat IP adresy svých síťových karet. Také zde máte možnost povolit a přesměrovat některé služby přístupné z internetu (například poštu) a vyřizované v počítači někde ve vnitřní síti (ideálně v demilitarizované zóně, ale to se v tomto jednoduchém příkladě neřeší).

rules - podadresář se samotnými pravidly. V tomto adresáři jsou další podadresáře uvedené čísly (podle čísel se řídí pořadí volání).

Podadresář rules

V adresáři jsou další podadresáře. Každý podadresář shromažďuje příbuzná pravidla:

000.common - pravidla jako defaultní policy, antispoofing, synflood, icmp a podobně. Tato pravidla jsou vždy volaná z jiných pravidel.

100.pravidla - základní rozdělení do pravidel. Pravidla jsou pojmenovaná podle směru:

• out-loc: přístup z vnější sítě na firewall
• out-in: přístup z vnější síte do vnitřní sítě
• in-out: přístup z vnitřní sítě do vnější sítě
• in-loc: přístup z vnitní sítě na firewall
• loc-out: přístup z firewallu do vnější sítě
• loc-in: přístup z firewall do vnitřní sítě
• mg-in: pravidlo pro značkování paketů přicházejících z vnitřní sítě
• mg-out: pravidlo pro značkování paketů přicházejících z vnější sítě
• pre-in: pravidlo pro prerouting paketů přicházejících z vnitřní sítě
• pre-out: pravidlo pro prerouting paketů přicházejících z vnější sítě
• in-post: pravidlo pro postrouting paketů odcházejících do vnitřní sítě
• out-post: pravidlo pro postrouting paketů odcházejících do vnější sítě

Pravidla jsou minimalistická, obsahují jen nezbytná nebo obvyklá nastavení. Počítá se s tím, že další pravidla se budou přidávat v následujících souborech.

300.zevnitr - soubory s pravidly pro přístupy z vnitřní sítě. Namátkou:

• 300.mg-in-zakazy: kompletní zákaz některých vnitřních IP adres
• 305.in-out-zakaz-win: zákaz "sdílení" disků windowsových počítačů přes internet
• 315.in-loc-ntp: povolení synchronizace času pracovních stanic s firewallem
• 330.smtp-povolit: povolení protokolu SMTP pro vybrané počítače (servery)
• 333.smtp-zakaz: zákaz protokolu SMTP (kvůli potenciálním virům)
• 350.proxy: transparentní proxy (squid musí běžet na firewallu, pokud by běžel jinde, pravidla by vypadala jinak)

400.zvenku - soubory s pravidly pro přístupy z vnější sítě. Namátkou:

• 400.mg-in-zakazy: kompletní zákaz některých vnějších IP adres (vpn a podobě)
• 425.out-in-ping: povolený ping z vnější sítě

500.sluzby - Soubory pro zpřístupnění služeb. Služby zde uvedené mají dvě věci společné - server obsluhující službu je umístěný ve vnitřní síti a přístup na tuto službu musí být stejný jak z vnitřní sítě, tak z vnější sítě. Typickým příkladem je například http server. Ten může běžet ve vnitřní síti (počítač je z internetu nedostupný), ale stránky musejí být přístupné svou url adresou (například http://bravenec.org/) jak z vnitřní sítě, tak z internetu. Stejným způsobem je nutné přitsupovat typicky k poště (imap.bravenec.org a smtp.bravenec.org).

• 410.ssh: přístup zvenku (a zevnitř) na vnitřní server (adresa je v obou případech stejná).
• 426.imaps: přístup zvenku (a zevnitř) na vnitřní poštovní server (adresa je v obou případech stejná).
• 430.http: přístup zvenku (a zevnitř) na vnitřní poštovní server (adresa je v obou případech stejná).

999.konec - ukončení pravidel vytvořených v adresáři 100.pravidla. Obvykle je zde pouze logování a drop paketů, které prošly až sem.

Struktura souborů s pravidly

Pravidla mohou být velmi jednoduchá. Takto se například povoluje přístup přes ssh na firewall z vnitřní sítě:

IPTABLES -A in-loc -p tcp --dport ssh -j ACCEPT

IPTABLES je skutečně zapsané velkými písmeny - jde o wrapper kolem volání iptables (kvůli výpisům). Syntaxe je jinak stejná.

Složitější pravidla (obvykle služby) mohou být košatější:

if [ "$IMAPS" != "" ]; then

    ###########
    # zvnějšku
    IPTABLES -t nat -A pre-out -p tcp --dport imaps -d $OUTER -j DNAT --to $IMAPS
    IPTABLES        -A out-in  -p tcp --dport imaps -d $IMAPS -j ACCEPT

    ###########
    # zevnitř
    IPTABLES -t nat -A pre-in  -p tcp --dport imaps -d $OUTER  -j DNAT --to $IMAPS
    IPTABLES        -A in-in   -p tcp --dport imaps -d $IMAPS  -j ACCEPT

    IPTABLES -t nat -A in-post \
        -p tcp --dport imaps -d $IMAPS  \
        -j SNAT --to $INNER

    fi

Pro vytvoření dalších pravidel stačí zkopírovat podobný soubor a upravit adresy a porty.

Možnost dalšího rozšíření

Pravidla jsou určená pro jednoduchý firewall se dvěma síťovými kartami. Pokud byste potřebovali oddělit demilitarizovanou zónu od vnitřní sítě (typicky http server nebo poštovní server), můžete firewall rozšířit o další síťovou kartu a o další pravidla (dmz-in, dmz-out, out-dmz, in-dmz, dmz-dmz). Pravidlo pro IMAPS by pak mohlo vypadat například takto:

if [ "$IMAPS" != "" ]; then

    ###########
    # zvnějšku
    IPTABLES -t nat -A pre-out -p tcp --dport imaps -d $OUTER -j DNAT --to $IMAPS
    IPTABLES        -A out-dmz -p tcp --dport imaps -d $IMAPS -j ACCEPT

    ###########
    # zevnitř
    IPTABLES -t nat -A pre-in  -p tcp --dport imaps -d $OUTER  -j DNAT --to $IMAPS
    IPTABLES        -A in-dmz  -p tcp --dport imaps -d $IMAPS  -j ACCEPT

    ###########
    # z dmz (kvůli webmailu)
    IPTABLES -t nat -A pre-dmz -p tcp --dport imaps -d $OUTER  -j DNAT --to $IMAPS
    IPTABLES        -A dmz-dmz -p tcp --dport imaps -d $IMAPS  -j ACCEPT

    IPTABLES -t nat -A dmz-post \
        -p tcp --dport imaps -d $IMAPS  \
        -j SNAT --to $INNER

    fi

       

Komentáře

[Shadow]

Shorewall nevyhovuje?

[Petr Bravenec]

Nevím. Už jsem na to narazil, takže si to asi stejně budu muset nastudovat.

[houska]

znas shorewall?

[Petr Bravenec]

Vím o něm, neznám. Díky za pošťouchnutí. Nastuduju si to.

[Petr Bravenec]

Tak si hraji se shorewall... je to docela ulehčení, ale člověk aby stejně znal iptables a navíc k tomu shorewall. Nakonec jsem stejně skončil u pravidel jako:

SSH/DNAT  net   loc:10.10.1.106
SSH/DNAT  loc   loc:10.10.1.106

Když takhle přesměruji zvenku dovnitř a zevnitř dovnitř port, návod mi vůbec nepomůže a shorewall vyrobí paskvil, který mě nepustí ven, vždy mě přesměruje dovnitř.

Nutné je vyrábět pravidla takto:

SSH/DNAT  net   loc:10.10.1.106
DNAT      loc   loc:10.10.1.106 tcp  22  22  83.214.293.13

A už zase dělám stejnou věc dvěma různými způsoby. Pokud teď ještě zjistím, že IP adresu nelze nahradit nějakou symbolickou hodnotou, budu shorewallem poněkud zklamaný. Znamenalo by to totiž, že každý počítač bych musel konfigurovat víceméně ručně.

[jahor]

/etc/shorewall/params je co hledas ... tam presne nadefinujes symbolicka jmena pro ip, zaroven je muzes ruzne seskupit a tak si vytvori promennou ktera obsahuje napriklad vice serveru zaroven.

[Petr Bravenec]

Díky.

[CEST]

Nema nejaky takovyhle dynamicky IP fwbuilder 4? Zatim jsem se v nim vic nehrabal, ale ma krome firewallu uz i cluster.

[Petr Bravenec]

Zabrousil jsem na web http://www.fwbuilder.org/ - chápu dobře, že to je klikací? To by ovšem dost významně snižovalo použitelnost takového udělátka...

[Non_E]

Ano, je to klikací. Vygenerovaný skript se nahrává přes ssh na server. Ozkoušel jsem to v domácí síti a jsem spokojen.