Linuxové DMZ - VII

19. 3. 2003 | Martin Pavlíček | Bezpečnost | 16059×

Paketové filtry s pomocí IPTABLES. Nastavování pravidel. Spouštění firewallu.

V minulém díle jsme si pověděli něco obecně o firewallech. Dnes se podrobněji zaměříme na zřejmě nejčastěji využívanou část a to na paketové filtry.

Co je paketový filtr?

Paketový filtr je software, který zkoumá hlavičky paketů a podle nastavených pravidel rozhoduje, jestli je pustí dál nebo zahodí (nebo třeba rozhodne, zda bude paket routován, zda informace o něm bude zapsána do systémového logu, atd.). Filtrování probíhá na úrovni síťové vrstvy.

Firewall v Linuxu 2.4 se jmenuje NETFILTER (mimo jiné je to první "oficiální" stavový firewall v Linuxu). Je přímo součástí jádra (může být i jako modul). Pokud používáte originální jádro z vaší distribuce, tak zřejmě nebude třeba cokoliv měnit. V případě, že si jádro kompilujete sami, tak je potřeba zahrnout minimálně tohle:

• CONFIG_PACKET
• CONFIG_NETFILTER
• CONFIG_IP_NF_IPTABLES

Konfigurační utilita pro NETFILTER se jmenuje IPTABLES a měla by být součástí všech běžných distribucí, pokud ne tak si ji můžete stáhnout např. zde.

Trocha historie

První generace paketového filtru se v Linuxu objevila v roce 1994, když Alan Cox portoval ipfw z BSD do jádra řady 1.1. Později se v řadě 2.0 objevil nástroj ipfwadmin. V polovině roku 1998 se v jádrech 2.2 po poměrně rozsáhlých změnách objevil program ipchains. No a nakonec se v nejnovějších jádrech řady 2.4 začal používat netfilter/iptables.

Základní princip IPTABLES

Nejdříve si řekněme podle čeho se mohou paketové filtry rozhodovat o tom, co vlastně filtrovat (netýká se jen iptables):

• typ protokolu: TCP, UDP, ICMP atd.
• číslo portu u protokolů TCP, UDP
• typ datagramu, např. SYN/ACK
• data
• zdrojová adresa datagramu
• cílová adresa datagramu

Jak fungují IPTABLES

Obecný tvar příkazu iptables:

iptables příkaz specifikace_pravidel rozšíření

Základní pojmy:

chain

[čejn], česky řetězec, většinou se ale používá anglický termín. Je to soubor pravidel, které jsou na paket aplikovány ve chvíli, kdy paket daným chainem prochází.

Základní ("vestavěné") chainy jsou INPUT, OUTPUT a FORWARD. Můžeme si samozřejmě vytvářet a pojmenovávat vlastní. Vestavěné, narozdíl od těch vlastních, nemůžeme smazat (můžeme vymazat pouze jejich obsah).

Další "vestavěné", které se používají při routování s NAT jsou třeba PREROUTING a POSTROUTING.

pravidlo

jsou sdruženy v chainech podle typu paketů, o kterých rozhodují, např. pravidla rozhodující o příchozích paketech jsou přidávány do chainu INPUT atd.

policy

pravidlo, které se použije v případě, že na paket nelze použít žádné jiné.

Nyní si pojďme vysvětlit, jak vlastně filtrování paketů probíhá. Pro ilustraci použijeme obrázek:

Co se tedy děje?

1. Ve chvíli, kdy do našeho počítače dorazí paket (např. skrze ethernetovou síť či přes modem), jádro se nejdříve podívá na cílové určení paketu (což je routing).
2. Jestliže je cílovým místem náš stroj, pak paket putuje přes chain INPUT, pokud projde je předán do příslušného procesu (aplikace), který běží na našem počítači.
3. Pokud není paket určen pro náš stroj, pak záleží na tom, zda je v jádře povoleno forwardování (a to defaultně není) paketů. Pokud není nebo jádro neví, kam ho forwardovat, pak je paket zahozen a do chainu se vůbec nedostane. V opačném případě jím paket prochází a jestliže projde, je odeslán dál.
4. No a poslední varianta. Program běžící na našem stroji vyšle paket, který může být filtrován v chainu OUTPUT (schválně píšu "může", protože teoreticky, zvláště v menších a jednodušších sítích není filtrování v chainu OUTPUT potřeba).

Jako pozn. k bodu 3 a pro zopakování si připomeňme, že forward v kernelu "zapnete" pomocí příkazu:

# echo "1" > /proc/sys/net/ipv4/ip_forward

Zde bych zmínil jeden z největších rozdílů oproti ipchains. Každý paket je porovnáván (filtrován) jen s jedním chainem, takže pokud paket patří do chainu FORWARD, je porovnán pouze s jeho pravidly. V ipchains by v tomto případě paket putoval skrz všechny chainy, což by celý skript dělalo delším, složitějším a méně přehledným.

Základní operace, které můžeme provádět s chainy:

1. vytvořit nový chain -N
2. smazat prázdný chain -X
3. změnit policy pro vestavěný chain -P
4. zobrazit pravidla v chainu -L
5. vymazat pravidla z chainu -F
6. vynulovat počítadla paketů a bajtů ve všech pravidlech v chainu -Z

Základní pravidla pro manipulaci v rámci chainu

-A (--append) přidá pravidlo na konec chainu.

# iptables -A INPUT ...

-D (--delete) smaže pravidlo z chainu, buď můžete uvést pravidlo, které chcete vymazat, nebo číslo pozice pravidla v chainu.

# iptables -D INPUT -dport 80 -j DROP
# iptables -D INPUT 3

-P (--policy) tento příkaz nastavuje defaultní akci, která se s paketem provede v případě, že nebude vyhovovat žádnému pravidlu.

# iptables -P INPUT DROP

-N (--new-chain) vytvoří nový chain, který si nějak pojmenujete.

# iptables -N novy_chain

-F (--flush) pokud specifikujeme jméno chainu, pak vymaže všechny pravidla, která jsou uvnitř, pokud ho neuvedeme, pak smaže všechny pravidla ve všech chainech.

# iptables -F FORWARD # iptables -F

-L (--list) vypíše všechna pravidla v daném chainu.

# iptables -L INPUT

Základní parametry

Někdy je vhodné specifikovat opak pravidla, tedy popisovat paket, který pokud pravidlu nevyhoví, tak na něj bude pravidlo aplikováno. Proto některá pravidla podporují negaci svého argumentu pomocí znaku ! (vykřičník), příklady viz. dále.

-p (--protocol) pomocí tohoto pravidla můžete specifikovat protokol, např. TCP, UDP, ICMP nebo ALL (pro všechny protokoly), hodnota ALL je defaultní.

# iptables -A INPUT -p TCP ...
# iptables -A INPUT -p ! ICMP ...

-s (--source) definice zdrojové adresy - může být ve formátu jmenném i číselném, můžeme použít negaci, za IP adresou můžeme specifikovat masku podsítě.

# iptables -A INPUT -s 192.168.2.1 ...
# iptables -A OUTPUT -s 192.168.1.1/24 (nebo ... 192.168.1.1/255.255.255.0 ...)

-d (--destination) opak parametru "-s", zde určujeme cílovou adresu paketu, opět můžeme použít negaci.

# iptables -A OUTPUT -d ! 192.168.1.22 ...

Co můžeme s paketem provést?

-j (jump target) tento parametr slouží k nastavení "akce", kterou s paketem chceme provést, máme následující možnosti:

ACCEPT

paket je přijat

DROP

paket je zahozen

REJECT

paket je zahozen, ale počítač, ze kterého pocházel, je informován pomocí zprávy ICMP port unreacheable.

LOG

záhlaví paketu je zapsáno do systémového logu

Aby to nebylo pořád jen nudná teorie, můžeme si vyzkoušet jednoduchý příklad:

# iptables -A INPUT -s 127.0.0.1 -p ICMP -j DROP

Co jsme provedli? Do vstupního chainu jsme přidali pravidlo, které způsobí, že všechny pakety se zdrojovou adresou 127.0.0.1 využívající protokol ICMP, budou zahozeny. Takže pokud nyní zkusíte příkaz:

# ping 127.0.0.1

tak vám nebude fungovat (resp. on fungovat bude, ale žádného výsledku se nedočkáte ), což se nám nelíbí, takže pravidlo zase, třeba takto, smažeme:

# iptables -D INPUT 1

Spouštění firewallu

Pravidla můžete zapisovat přímo na příkazový řádek (a ona budou hned fungovat), ale po restartu se všechno ztratí. Je proto vhodné vše zapisovat do souboru, který pak nastavíte, aby byl spustitelný a necháte jej spouštět např. ze souboru /etc/rc.local.

V některých distribucích můžete narazit na příkazy iptables-save a iptables-restrore, které vám mohou pomoci s nastavováním pravidel, kdo chce nechť si přečte jejich manuálové stránky. Mnohde jsou ještě zároveň nainstalovány starší ipchains, které můžete klidně odinstalovat.

Pár tipů při tvorbě pravidel

Firewall se většinou vytváří podle pravidla, že "co není výslovně dovoleno, je zakázáno". Lze jej samozřejmě vytvářet i opačně, tedy "co není zakázáno, je dovoleno", ale první varianta bývá většinou bezpečnější.

Pokud se budeme držet prvního pravidla, pak "firewallový skript" bychom měli začít takto:

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP


Je to důležité uvést, protože defaultně jsou policy nastaveny na ACCEPT.

Filtrování ICMP paketů

Tyto pakety jsou tak trošku zvláštní případ, nepřenáší data jako takové, ale používají se pro přenos diagnostických a chybových zpráv. V některých sítích jsou tyto pakety úplně blokovány (zahazovány), ale to myslím není úplně nejlepší nápad. Je dobré pouštět alespoň ty, které zajistí fungování utilit ping a traceroute, tzn.:

ICMP 3 "destination unreachable"
ICMP 0 "echo reply"
ICMP 8 "echo request"
ICMP 11 "time exceeded"


Logování

Tady se dá říci, že v běžném provozu může "méně být více". Logování všech zahozených paketů může způsobit znatelné zpomalení firewallu a docela rychle vám bude mizet místo na disku. Logování všeho je výhodné jen ze začátku než firewall odladíte, poté je můžete omezit např. takto:

# iptables -A INPUT -m limit -limit 15/h -j LOG

Ještě pro zpřehlednění (při procházení logu) můžeme přidat parametr --log-prefix s nějakým popiskem.

Podrobnosti o analyzování logů (včetně popisu několika užitečných programů) se dozvíte v příštím díle.

Tolik tedy z dnešního dílu. Vím, že na tak malé ploše není možno paketové filtry popsat do nějakých podrobností. Pokud vás ale zaujaly, můžete pokračovat ve studiu s pomocí odkazů pod článkem.

Související články

Linuxové DMZ - I (Úvod do problematiky)
Linuxové DMZ - II (Zařízení v DMZ)
Linuxové DMZ - III (Modelové topologie)
Linuxové DMZ - IV (Protokoly rodiny TCP/IP)
Linuxové DMZ - V (Routery a minidistribuce LRP)
Linuxové DMZ - VI (Firewally)

Odkazy a zdroje

Iptables HOWTO (vyčerpávající popis)
man iptables
Packet Filtering in kernel 2.4
Netfilter.org

       

Komentáře

[polish]

Ahoj, nejak vam nefacha ten odkaz na 6. dil tohoto serialu, misto toho to skace na 5. dil Mejte se fajn Polish

[Robert Krátký]

diky. moje chyba. uz je to napraveno.

[Als]

Chybi tu naprosto zakladni vec! A to informace, ze iptables je stavovy firewall.

[Michal Vymazal]

Chyba lavky. V clanku je jasne uvedeno, ze IPTABLES je konfiguracni utilita k modulu NETFILTER, kde NETFILTER je stavovy firewall.

[Peter Black]

Opravdu je to takhle? Přesněji viz. http://www.netfilter.org/documentation/HOWTO//netfilter-hacking-HOWTO-3.html

[Martin Pavlíček]

Ja si myslim, ze je to spravne, jen tam nejsou zahrnuty chainy PREROUTING, POSTROUTING atd.

[kolisko]

To tu zase chybi mne, ze popisujes tabulku filter a ze jsou jeste jine tabulky (nat, mangle). To by asi mel user vedet jeste pred vysvetlovanim syntaxe a prikladu, ne? Asi to budes vysvetlovat v jednom z dalsich dilu. kolisko

[Vrana]

Můžete mi poradit nějakou vhodnou distribuci pro vystavbu routeru/FW s DHCP blokovaným na registrované MAC adresy, a možnosti dělení pásma (např. 128kB pro mne a 64 pro ostatní v síti)?

[b0dYn]

Zkus slackware. Ted zrovna vysla verze 9.0