Dotaz: Jak nastavit iptables pro filtrování privátních adres

[nyc.zc]

Ahoj. Konfiguruju si firewall. Pro generování pravidel používám Shorewall 4.5.0. Firewall (v tomto případě by se také dalo říct router) má 3 rozhraní - do internetu s veřejnou ip, do DMZ se routujou veřejné ip, do "místní sítě" privátní (z té se natuje). Jak se zajišťuje, aby se neroutovaly privátní ip z internetu dovnitř? Kontroluje se to vůbec nějak v praxi? Mám zakázat takové ip adresy z internetu, které se rovněž nacházejí i ve vnitřní síti nebo mám zakázat zvenku rovnou všechny rezervované rozsahy? Zatím mám zaplý jen routefilter v jádře, ale pokud to správně chápu, ten jen kontroluje zdrojové adresy u paketů vstupujících ze svých rozhraní a porovnává to z rozsahy s ostatních svých rozhraní.

Odpovědi

[NN]

Myslis rp_filter, jinak muzes na vnejsim rozhraji jeste blokovat standartni privatni bloky adres.

NN

[nyc.zc]

Ano, doufám že jsem pochopil jak funguje. Co se týče té blokace privátních adres právě nevím, protože co když má někdo od stejného internet providera jako já připojení s privátní adresou? Pak by se ke mě nedostal. Nicméně nejsem si jistý, jestli tohle není v nějakém rfc přímo zakázané (routování privátní zdrojová->cílová veřejná)? Podle mě by to mělo být privátní zdrojová -> router poskytovatele s veřejnou ip -> moje veřejná, nicméně nevím, jak se to dělává, proto se to tu snažím také zjistit. Jinak jak zajistím nějaké automatické blokování privátních bloků? Pro firehol býval kdysi skript get-iana.sh, ale ten už nefunguje a také se asi nejedná jen o privátní bloky, ale i o ip adresy speciálního významu. U Shorewallu jsem nic podobného ani nenašel.

[edoras]

Tak standartne by se ti tam nemely objevit privatni adresy. Mas pravdu, ze pri urcitych specifickych a nepravdepodobnych konfiguracich routeru tveho poskytovatele by to nastat teoreticky mohlo.
Pokud chces mit jistotu, tak to blokni na firewallu takto (doufam ze si pamatuju syntaxi dobre, delam uz spise s mikrotikem):

iptables -a FORWARD -d 192.168.0.0/16 -j DROP
iptables -a FORWARD -d 10.0.0.0/8 -j DROP
iptables -a FORWARD -d 172.16.0.0/11 -j DROP
iptables -a FORWARD -s 192.168.0.0/16 -j DROP
iptables -a FORWARD -s 10.0.0.0/8 -j DROP
iptables -a FORWARD -s 172.16.0.0/11 -j DROP

Tim zakazes privatni rozsahy v obou smerech, od tebe i k tobe.

[rADOn]

…tim ale zabrani i komunikaci z privatni site do DMZ. Jeste by to chtelo zahazovani omezit na vnejsi rozhrani pomoci -i ethX

[nyc.zc]

Tak jsem do teď logoval provoz a zjistil jsem bohužel, že z venku jde i komunikace z rozsahu 10.0.0.0/8, takže blokovat můžu jen to, co mám ve vnitřní síti také já.