UF3-NF1. Introducció als tallafocs - Historial de revisió

Alex a 17:45, 10 gen 2012

2012-01-10T17:45:37Z

Alex: /* iptables (StateFull) */

2012-01-10T17:44:50Z

‎iptables (StateFull)

Alex: /* Filtre d'informació. Nivell de Xarxa (i/o Transport) */

2012-01-10T17:00:28Z

‎Filtre d'informació. Nivell de Xarxa (i/o Transport)

Alex: /* Filtre d'informació. Nivell de Xarxa (i/o Transport) */

2012-01-10T16:10:59Z

‎Filtre d'informació. Nivell de Xarxa (i/o Transport)

Alex: /* Filtre d'informació. Nivell de Xarxa (i/o Transport) */

2012-01-10T15:53:29Z

‎Filtre d'informació. Nivell de Xarxa (i/o Transport)

Alex a 15:32, 10 gen 2012

2012-01-10T15:32:21Z

Alex: /* Filtre d'informació. Regles */

2012-01-10T15:29:05Z

‎Filtre d'informació. Regles

Alex a 15:27, 10 gen 2012

2012-01-10T15:27:23Z

Alex: /* iptables */

2012-01-05T16:07:42Z

‎iptables

Alex: /* iptables */

2012-01-05T15:54:54Z

‎iptables

←Versió més antiga		Revisió del 17:45, 10 gen 2012
Línia 115:		Línia 115:
	* <font>Firewall i proxy caché</font>		* <font>Firewall i proxy caché</font>
	\|}		\|}
−
−
−	~~== Filtre d'informació. Nivell de Xarxa (i/o Transport) ==~~
−
−	~~Els filtres s'implementen amb '''política per defecte''' + '''Llista de Regles'''~~
−
−	~~Les polítiques per defecte depenen del paradigma de seguretat:~~
−	*Permissiu. Política per defecte ACCEPTAR
−	*Restrictiu. Política per defecte NEGAR
−
−	~~En els tallafocs de nivell de xarxa, una regla simplement és una '''condició''' sobre el paquet, origen, destí, port, protocol, etc... i una '''acció''' associada (ACCEPT, DENY, DROP).~~
−
−	~~En general per a cada paquet, es repassa la llista de regles de manera seqüencial, si una compleix s'executa l'acció associada. Si no compleix cap s'executa la política per defecte.~~
−
−	~~Tipus de tràfec:~~
−	* Connexions d' '''entrada''', seguretat del propi firewall. Molt important, el firewall és un punt calent de la xarxa, si la seva seguretat es veu compromesa el perímetre es trenca.
−	* Connexions de '''sortida''', en general no cal controlar la sortida.
−	* Connexions '''reenviades''' (xarxa interna <-> Internet), tant d'entrada com de sortida
−	** Entrada, control de l'accés als serveis de xarxa que ofereix la LAN.
−	** Sortida, accés a dels ordinadors de la zona de confiança a recursos externs (no confiables)
−
−
−	~~=== iptables (StateLess) ===~~
−
−	En Linux la majoria de tallafocs es basen en ''iptables''. Aquesta eina permet implementar les polítiques de filtre típiques dels tallafocs, però a més afegeix altres funcionalitats com traducció d'adreces o modificació dels paquets.
−
−	~~Forma part del framework NetFilter integrat en el nucli de Linux i per tant funciona a molt baix nivell, per tant és ràpida i segura.~~
−
−	~~S'estructura en '''taules''', cada taula té unes '''cadenes''' (Chains) associades, a partir de les quals es creen les regles que s'apliquen als paquets que passen pel tallafocs.~~
−
−	~~S'organitza en taules:~~
−	*'''FILTER''': Filtre, taula per defecte (Firewall)
−	** Cadenes: ''INPUT'', ''OUTPUT'', ''FORWARD''
−	*'''NAT''': Traducció d'adreces i reenviament
−	** Cadenes: ''POSTROUTING'', ''PREROUTING'' (També OUTPUT)
−	*MANGLE: Modificació de paquests, afinament
−	*RAW: Intercepta paquets en cru (abans que cap altre taula)
−
−
−	~~A les regles se'ls assigna una '''acció''' (target).~~
−	* '''ACCEPT'''
−	* '''DROP'''
−	* Target extensions
−	** REJECT, només a INPUT, UTPUT, FORWARD, en alguns casos pot retornar un error (ICMP), en qualsevol altre idèntica a DROP
−	** '''LOG''', no finalitza, continua a la següent (Per tant en cas de refusar cal indicar 2 regles LOG + DROP)
−
−
−	~~El resultat de les regles es mostra als missatges del nucli~~
−
−	~~<pre>~~
−	~~/var/log/messages~~
−	~~</pre>~~
−
−	~~Sintaxi bàsica~~
−
−	~~<pre>~~
−	~~iptables -A {CADENA} [options de filtre] -j {ACCIÓ}~~
−
−	~~#iptables -A INPUT -s 192.168.10.0/24 -i eth1 -j ACCEPT~~
−
−
−	~~Algunes opcions:~~
−
−	~~-A : Afegir una regla~~
−	~~-D : Esborrar una regla~~
−	~~-F : Esborrar totes les regles d'un tipus~~
−
−	~~-P : política per defecte per una cadena~~
−
−	~~-v : (Verbose) Permet veure els paquets tractats per cada regla~~
−
−	~~-Z : Inicialitza els contadors~~
−
−
−	~~Filtres. Es poden negar amb el caràcter "!"~~
−
−	~~-p tcp/udp: A quin protocol s'aplica: tcp, udp, icmp o all~~
−	~~-s IP: IP origen (Source)~~
−	~~-s IP/MASK: 0.0.0.0/0 per qualsevol xarxa~~
−	~~-d IP: IP destí~~
−	~~-j DROP/ACCEPT # (Jump) Acció que cal fer si el paquet compleix les especificacions~~
−	~~-o eth0: Output interfase~~
−	~~-i eth0: Input interfase~~
−	~~--dport numero~~
−
−
−	~~Cadenes personals~~
−
−	~~-N : crear una cadena personal~~
−
−	~~-X : Esborrar una cadena personal~~
−	~~</pre>~~
−
−
−	~~==== traducció d'adreces, NAT ====~~
−
−
−	~~La taula '''nat''' de iptables permet gestionar la traducció d'adreces (sortida) i el reenviament (entrada).~~
−
−	~~Aquesta taula modifica la informació dels paquets i es basa en les cadenes~~
−	* ''POSTROUTING'', per als paquets que passen a través del sistema de '''sortida''', els modifica just abans de sortir. Després d'aplicar les regles FORWARD per exemple.
−	** Serveix per configurar el NAT dinàmic. Ordinadors de la xarxa local sortint a Internet amb una adreça pública per exemple.
−	* ''PREROUTING'', per als paquets que passen a través del sistema d' '''entrada''', els modifica tant bon punt entren. Abans d'aplicar les regles FORWARD per exemple.
−	** Serveix per gestionar els reenviaments. Clients d'Internet, que només tenen accés a l'adreça pública de la xarxa, són reenviats a màquines concretes de la xarxa local per exemple.
−	* OUTPUT, generats pel propi sistema.
−
−
−	~~Aquestes cadenes tenen nous Targets:~~
−	*DNAT --> PREROUTING (També OUTPUT), canvia IP destí
−	*MASQUERADE --> POSTROUTING, nat dinàmic PAT, canvia IP origen
−	*SNAT --> POSTROUTING, nat estàtic, canvia IP origen (igual que MASQUERADE però permet un pool d'adreces externes)
−
−	~~<pre>~~
−	~~Exemples~~
−	~~# NAT de sortida, eth0 és la interfase de sortida dels paquets. Activació del bit de forward (enrutament entre interfases)~~
−	~~echo 1 > /proc/sys/net/ipv4/ip_forward~~
−	~~iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j MASQUERADE~~
−	~~# Redirecció del tràfec al port 80 entrant a la interfase eth0, al port 80 de la màquina 192.168.10.12~~
−	~~iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.10.12:80~~
−	~~# SNAT de sortida~~
−	~~iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 --to-source 194.236.50.155-194.236.50.160:1024-32000 -j SNAT~~
−	~~</pre>~~
−
−
−
−	~~=== iptables (StateFull) ===~~
−
−
−	~~Addicionalment, iptables permet el tractament de l'estat de les connexions.~~
−
−	~~Les comunicacions client-servidor es poden veure com:~~
−	* Nivell de xarxa, intercanvi de paquets
−	* Nivell de transport (TCP), establiment d'una connexió, una connexió passa per diferents estats.
−
−	~~Amb el mòdul (match) '''state''' es pot diferenciar entre aquests estats~~
−
−	* '''NEW''', comença nova connexió
−
−	* '''ESTABLISHED''', paquet associat a una connexió existent
−
−	* '''RELATED''', comença nova connexió secundària, associada a una existent
−
−
−	Pot interessar per exemple deixar sortir connexions noves (NEW) però només deixar entrar connexions establertes o secundàries (ESTABLISHED - RELATED), d'aquesta manera impedir l'inici de connexions contra el servidor o altres màquines de la xarxa.
−
−	~~<pre>~~
−	~~iptables -A FORWARD -i eth1 -m state ! --state INVALID -j ACCEPT~~
−	~~iptables -A FORWARD -i eth0 -m state --state ESTABLISHED, RELATED -j ACCEPT~~
−	~~iptables -A FORWARD -j DROP~~
−	~~</pre>~~
−
−	~~=== Altres ===~~
−
−	~~Tutorial molt complet~~
−
−	~~http://www.frozentux.net/iptables-tutorial/iptables-tutorial.html~~
−
−	~~Alguns exemples per a protocols concrets~~
−
−	~~http://ocw.uv.es/ingenieria-y-arquitectura/seguridad/3Seguridad_perimetrica.pdf~~
−
−	~~http://www.mmc.igeofcu.unam.mx/LuCAS/Manuales-LuCAS/doc-unixsec/unixsec-html/node252.html~~

←Versió més antiga		Revisió del 17:44, 10 gen 2012
Línia 245:		Línia 245:
	Addicionalment, iptables permet el tractament de l'estat de les connexions.		Addicionalment, iptables permet el tractament de l'estat de les connexions.

		+	Les comunicacions client-servidor es poden veure com:
		+	* Nivell de xarxa, intercanvi de paquets
		+	* Nivell de transport (TCP), establiment d'una connexió, una connexió passa per diferents estats.

		+	Amb el mòdul (match) '''state''' es pot diferenciar entre aquests estats
		+
		+	* '''NEW''', comença nova connexió
		+
		+	* '''ESTABLISHED''', paquet associat a una connexió existent
		+
		+	* '''RELATED''', comença nova connexió secundària, associada a una existent
		+
		+
		+	Pot interessar per exemple deixar sortir connexions noves (NEW) però només deixar entrar connexions establertes o secundàries (ESTABLISHED - RELATED), d'aquesta manera impedir l'inici de connexions contra el servidor o altres màquines de la xarxa.
		+
		+	<pre>
		+	iptables -A FORWARD -i eth1 -m state ! --state INVALID -j ACCEPT
		+	iptables -A FORWARD -i eth0 -m state --state ESTABLISHED, RELATED -j ACCEPT
		+	iptables -A FORWARD -j DROP
		+	</pre>

	=== Altres ===		=== Altres ===

@@ Línia 241: / Línia 241: @@
 === iptables (StateFull) ===
 Addicionalment, iptables permet el tractament de l'estat de les connexions.
@@ Línia 246: / Línia 247: @@
+=== Altres ===
 Tutorial molt complet

@@ Línia 222: / Línia 222: @@
-Nous Targets
+Aquestes cadenes tenen nous Targets:
+*DNAT --> PREROUTING (També OUTPUT), canvia IP destí
-DNAT --> PREROUTING (També OUTPUT), canvia IP destí
+*MASQUERADE --> POSTROUTING, nat dinàmic PAT, canvia IP origen
+*SNAT --> POSTROUTING, nat estàtic, canvia IP origen (igual que MASQUERADE però permet un pool d'adreces externes)
 iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j MASQUERADE
-# Todo lo que venga por el exterior y vaya al puerto 80 lo redirigimos
+# Redirecció del tràfec al port 80 entrant a la interfase eth0, al port 80 de la màquina 192.168.10.12
 iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.10.12:80

@@ Línia 125: / Línia 125: @@
 *Restrictiu. Política per defecte NEGAR
-Una regla simplement és una condició sobre el paquet, origen, destí, port, protocol, etc... i una acció associada (ACCEPT, DENY, DROP).
+En els tallafocs de nivell de xarxa, una regla simplement és una '''condició''' sobre el paquet, origen, destí, port, protocol, etc... i una '''acció''' associada (ACCEPT, DENY, DROP).
-En general per a cada paquet, es repassa la llista de regles seqüencialment, si una compleix s'executa l'acció associada. Si no compleix cap s'executa la política per defecte.
+En general per a cada paquet, es repassa la llista de regles de manera seqüencial, si una compleix s'executa l'acció associada. Si no compleix cap s'executa la política per defecte.
 Tipus de tràfec:
-* Connexions d'entrada, seguretat del propi firewall. Molt important, el firewall és un punt calent de la xarxa, si la seva seguretat es veu compromesa el perímetre es trenca.
+* Connexions d' '''entrada''', seguretat del propi firewall. Molt important, el firewall és un punt calent de la xarxa, si la seva seguretat es veu compromesa el perímetre es trenca.
-* Connexions de sortida, en general no cal controlar la sortida.
+* Connexions de '''sortida''', en general no cal controlar la sortida.
-* Connexions reenviades (xarxa interna <-> Internet), tant d'entrada com de sortida
+* Connexions '''reenviades''' (xarxa interna <-> Internet), tant d'entrada com de sortida
 ** Entrada, control de l'accés als serveis de xarxa que ofereix la LAN.
 ** Sortida, accés a dels ordinadors de la zona de confiança a recursos externs (no confiables)
@@ Línia 209: / Línia 209: @@
 -t nat -A POSTROUTING .... -o eth0 -j MASQUERADE # NAT de sortida
 -t nat -A PREROUTING ... -j DNAT --to IP:port # PAT d'entrada, redirecció

@@ Línia 6: / Línia 6: @@
 Firewall és un dispositiu que té un conjunt de regles que especifiquen el tràfec de xarxa que s'accepta i el que es denega ('''Filtre'''), addicionalment poden tenir una tercera regla per indicar si es registre el tràfec ('''Log''').
 El funcionament bàsic d'un tallafocs és
-# Examinar els paquets que rep o envia. Informació de xarxa, protocols, adreces, ports, interfases, estat de la connexió ...
+# Examinar els paquets que rep o envia. Informació de xarxa, protocols, adreces, ports, interfases, estat de la connexió, dades d'aplicació ...
 # Aplicar les regles definides
 # Decidir si el paquet passa o no
@@ Línia 114: / Línia 119: @@
 == Filtre d'informació. Nivell de Xarxa (i/o Transport) ==
-Existeixen dos paradigmes de seguretat:
+Els filtres s'implementen amb '''política per defecte''' + '''Llista de Regles'''
+Les polítiques per defecte depenen del paradigma de seguretat:
-Els filtres s'implementen amb '''política per defecte''' + '''Llista de Regles'''
+*Permissiu. Política per defecte ACCEPTAR
 Una regla simplement és una condició sobre el paquet, origen, destí, port, protocol, etc... i una acció associada (ACCEPT, DENY, DROP).

←Versió més antiga		Revisió del 15:29, 10 gen 2012
Línia 112:		Línia 112:


−	== Filtre d'informació. ~~Regles~~ ==	+	== Filtre d'informació. Nivell de Xarxa (i/o Transport) ==

	Existeixen dos paradigmes de seguretat:		Existeixen dos paradigmes de seguretat:

@@ Línia 21: / Línia 21: @@
 ** Programari
 ** Maquinari
@@ Línia 47: / Línia 53: @@
 [[Fitxer: firewall.png]]
 === Implementacions ===
@@ Línia 126: / Línia 125: @@
 En general per a cada paquet, es repassa la llista de regles seqüencialment, si una compleix s'executa l'acció associada. Si no compleix cap s'executa la política per defecte.
-Tipus de Filtres:
+Tipus de tràfec:
-* De paquets o de capa de xarxa, no miren informació de protocols d'aplicació (Estàtics). Són ràpids, p.e. iptables
+* Connexions d'entrada, seguretat del propi firewall. Molt important, el firewall és un punt calent de la xarxa, si la seva seguretat es veu compromesa el perímetre es trenca.
-** Sense estat (Stateless).
+* Connexions de sortida, en general no cal controlar la sortida.
-** Amb estat (StateFul Filtering i StateFull Packet Inspection).
+* Connexions reenviades (xarxa interna <-> Internet), tant d'entrada com de sortida
-* De capa d'aplicació, més complexos doncs entenen els diferents protocols d'aplicació, més específics però més lents (Dinàmics). Generalment s'implementen en proxys i s'enfoquen a protocols concrets com HTTP, p.e. DansGuardian + SQUID, ISA Server
+** Entrada, control de l'accés als serveis de xarxa que ofereix la LAN.

@@ Línia 133: / Línia 133: @@
-=== iptables ===
+=== iptables (StateLess) ===
 En Linux la majoria de tallafocs es basen en ''iptables''. Aquesta eina permet implementar les polítiques de filtre típiques dels tallafocs, però a més afegeix altres funcionalitats com traducció d'adreces o modificació dels paquets.
@@ Línia 143: / Línia 143: @@
 S'organitza en taules:
 *'''FILTER''': Filtre, taula per defecte (Firewall)
-** Cadenes: INPUT, OUTPUT, FORWARD
+** Cadenes: ''INPUT'', ''OUTPUT'', ''FORWARD''
 *'''NAT''': Traducció d'adreces i reenviament
 *MANGLE: Modificació de paquests, afinament
 *RAW: Intercepta paquets en cru (abans que cap altre taula)
-Per a les funcions de tallafocs interessa principalment el filtrat (FILTER) que té 3 cadenes: INPUT, OUTPUT, FORWARD. També interessa NAT que s'utilitza per traducció i redirecció, cadenes: PREROUTING, POSTROUTING.
+<pre>
+/var/log/messages
-Registre connexions entrants des de 192.168.1.215 (Inici de connexió, estat sync, es guarden als missatges del nucli)
+</pre>
 Sintaxi bàsica
 <pre>
-#iptables -A FILTER -p tcp/udp [options] -j ACTION
+iptables -A {CADENA} [options de filtre] -j {ACCIÓ}
 Algunes opcions:
 -v : (Verbose) Permet veure els paquets tractats per cada regla
 -Z : Inicialitza els contadors
 -p tcp/udp: A quin protocol s'aplica: tcp, udp, icmp o all
@@ Línia 176: / Línia 191: @@
 -s IP/MASK: 0.0.0.0/0 per qualsevol xarxa
 -d IP: IP destí
--j DROP/ACCEPT/MASQUERADE # (Jump) Acció que cal fer si el paquet compleix les especificacions
+-j DROP/ACCEPT # (Jump) Acció que cal fer si el paquet compleix les especificacions
--o eth0: Output
+-o eth0: Output interfase
--i eth0: Input
+-i eth0: Input interfase
 --dport numero
 -t nat -A POSTROUTING .... -o eth0 -j MASQUERADE # NAT de sortida
 -t nat -A PREROUTING ... -j DNAT --to IP:port # PAT d'entrada, redirecció
 Exemple 1. NAT