Csomagszűrés

Célom az ebben a fejezetben bemutatott beállításokkal, hogy a belső hálózatból csak a meghatározott forgalom juthasson ki az Internetre. De nem csak a forgalom ,,milyensége'' legyen korlátozva, hanem az is, hogy mely gépek érhetik el egyáltalán a belső hálózaton kívüli gépeket. Valamint az, hogy a VPN-en kapcsolódó felhasználók csak a számukra engedélyezett szolgáltatásokat tudják használni. Nagyon hasznos, alapos és jó (bár angol nyelvű) olvasmány a csomagszűrés témában: [4], amely többféle formátumban is letölthető az oldalról.

Egy szkriptben készítettem el a csomagszűrőnk beállításait, hogy egyszerűen használhassak változóneveket is. Viszont semmi sem akadályoz meg bennünket abban, hogy ha egyszer betöltöttük a szabályainkat, akkor az iptables-save parancs segítségével kimentsük azokat egy fájlba, és a rendszer indulásakor az iptables-restore parancs segítségével abból a fájlból töltsük őket vissza.

Önkényesen választott elnevezéseket használok a saját láncok neveként, illetve a változók neveiként, de bízom benne, hogy érthető. A feltételezés az, hogy a tűzfal egy dhcp szervertől kapja az IP címét, amely dinamikusan változik, tehát nem fix a cím.^15.3 Ha ftp elérést is szeretnénk a tűzfalon keresztül engedélyezni, akkor javasolt a megfelelő kernelmodulok betöltése (a 2.6-os sorozatnál az ip_conntrack_ftp és az ip_nat_ftp modulok). Az alábbi szkriptet a magyarázatok feldarabolták, de egyetlen fájlba kell beírnunk!

A később használt változókat definiáltam a szkript elején.

#!/bin/sh

BelsoInterface=eth1
KulsoInterface=eth0
KulsoIPCim=a.tuzfal.kulso.cime
BELSO_PROXY=192.168.10.251
BELSO_MAIL=192.168.10.252
BELSO_SLAVEDNS=192.168.10.252
BELSO_DNS=192.168.10.253
BELSO_NTP=192.168.10.253
BELSO_WEB=192.168.10.247
ADMIN=192.168.10.10
VPN1NET=10.10.1.0

Itt az látható, hogy először kitöröljük a jelenlegi szabályokat a filter és nat táblákat, majd töröljük az általunk létrehozott láncokat. Ezekre a sorokra azért van szükség, hogy ha újra lefuttatjuk ezt a szkriptet, akkor nulláról jöjjenek létre a szabályaink, ne maradhasson bent régi szabály. A szkript első futtatásakor emiatt hibaüzenet fogunk kapni, mely szerint nem léteznek a törölni kívánt láncok, de ez természetes, hiszen valóban nem léteznek, a törlés után fogjuk őket létrehozni.

iptables -t nat -F
iptables -t filter -F
iptables -X icmpk
iptables -X belso
iptables -X kulso
iptables -X DROPINVALID

Ezen sorok segítségével beállítjuk a filter és nat táblák alapértelmezett szabályait.

iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP
iptables -t filter -P OUTPUT ACCEPT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT

Annak biztosítása, hogy a belső hálózat proxy-jától érkező csomagok úgy jussanak ki az Internetre, hogy a tűzfal címével látszódjanak. Megtehetjük, hogy ezt a szabályt úgy írjuk meg, hogy csak megadott portokra menő csomagokra legyen érvényes, de a FORWARD láncban is szabályozhatjuk, hogy mit engedünk át magunkon. Most ez utóbbit mutatom be.^15.3

iptables -t nat -A POSTROUTING -s $BELSO_PROXY -o eth0 -j MASQUERADE
#iptables -t nat -A POSTROUTING -s $BELSO_PROXY -o eth0 -j SNAT --to-source $KulsoIPCim

Az alábbi két szabály a tűzfal két megadott külső portjára érkező kapcsolatokat berakja a belső hálózat megadott gépeire. Ne felejtsük, hogy a FORWARD lánc erre vonatkozó szabályai is szükségesek ahhoz, hogy a belső gépeink a megadott portokon valóban elérhetőek legyenek a külvilág számára!

iptables -t nat -A PREROUTING -i $KulsoInterface -p tcp --dport 80 -j DNAT --to-destination $BELSO_WEB:80
iptables -t nat -A PREROUTING -i $KulsoInterface -p tcp --dport 993 -j DNAT --to-destination $BELSO_MAIL:993

A saját láncaink létrehozása.

iptables -N icmpk
iptables -N belso
iptables -N kulso
iptables -N DROPINVALID

Az első szabály azt biztosítja, hogy a loopback interfészen minden forgalom lehetséges legyen. A második szabály a tűzfalra érkező ICMP csomagok sorsáról rendelkezik (betereli őket az icmpk néven létrehozott saját láncunkba). A harmadik szabály az iptables állapottartó lehetőségét használja ki. Ily módon arról ,,értesítettük'' a kernelünket, hogy a már kiépült kapcsolatokhoz tartozó csomagokat engedélyezze. A negyedik szabály a DROPINVALID nevű saját láncunkba tereli a kernel által INVALID állapotúnak érzékelt csomagokat. Az utolsó sor szintén a DROPINVALID láncba küldi a csomagokat, de csak azokat, amelyek NEW állapotúak ugyan, de nincs bekapcsolva bennük a SYN bit.

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p icmp -j icmpk
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state --state INVALID -j DROPINVALID
iptables -A INPUT -p tcp -m state --state NEW ! --syn -j DROPINVALID

A forgalom átirányítása a saját láncainkra attól függően, hogy a tűzfal melyik hálózati kártyáján érkezik.

iptables -A INPUT -i $BelsoInterface -j belso
iptables -A INPUT -i $KulsoInterface -j kulso