Guía de configuración de Firewalls con Scientific Linux 5.0 Elaborada para Carmen Alicia Puppo Fernández Carmen A. Puppo Fernandez 1
Guía de Configuración de Firewalls Scientific Linux 5.0 Para la presente guía asumiremos que en nuestro firewall se encuentra ya instalada la versión 5.0 de la distribución de Scientific Linux, y se domina la forma de conectarse mediante una consola al equipo. Asimismo, el usuario deberá tener conocimientos generales sobre el trabajo con archivos en Linux y la edición de archivos de texto. Es recomendable que se tengan conocimientos sobre TCP/IP y enrutamiento para entender el funcionamiento del firewall. Configuración de direcciones IP: En el directorio /etc/sysconfig/network-scripts se encuentra un archivo de configuración para cada una de las interfaces de red llamado ifcfg-dev donde DEV se sustituye por el nombre del archivo de dispositivo de la interfaz de red correspondiente, para nuestro caso se cuenta con 2 interfaces de red: 1. eth0 2. eth1 Para el ejemplo actual asumiremos que el firewall se encuentra conectado a la red 192.168.5.254, con la interfaz, eth0 con la IP 192.168.5.254. El archivo de configuración quedaría como sigue: Archivo: /etc/sysconfig/network-scripts/ifcfg-eth0 # 3Com Corporation 3c905 100BaseTX [Boomerang] DEVICE=eth0 BOOTPROTO=none HWADDR=00:60:97:A1:73:BB ONBOOT=yes NETMASK=255.255.248.0 IPADDR=192.168.5.254 GATEWAY=192.168.0.1 TYPE=Ethernet USERCTL=no IPV6INIT=no PEERDNS=no Carmen A. Puppo Fernandez 2
La interfaz eth1 se encuentra conectada a la red local 172.16.1.0/24 por lo que el archivo de configuración quedaría como sigue: Archivo: /etc/sysconfig/network-scripts/ifcfg-eth1 # Intel Corporation 82544GC Gigabit Ethernet Controller (LOM) DEVICE=eth1 BOOTPROTO=none HWADDR=00:0F:1F:66:46:3F ONBOOT=yes NETMASK=255.255.255.0 IPADDR=172.16.1.254 TYPE=Ethernet USERCTL=no IPV6INIT=no PEERDNS=yes Configuración de DHCP: Primeramente se debe indicar cual interfaz se encuentra conectada a la red local 172.16.1.0/24 la cual en este caso es eth1, por lo que el archivo de parámetros de dhcpd, Archivo: /etc/sysconfig/dhcpd Deberá quedar de esta manera: DHCPDARGS = eth1 Para configurar de manera automática los clientes de la red interna (172.16.1.0/24) es necesario habilitar un servidor dhcp mediante el daemon dhcpd el archivo quedaría como sigue: Archivo: /etc/dhcpd.conf # DHCP Server Configuration file. # see /usr/share/doc/dhcp*/dhcpd.conf.sample # ddns-update-style ad-hoc; subnet 172.16.1.0 netmask 255.255.255.0 { range 172.16.1.1 172.16.1.253; default-lease-time 21600; max-lease-time 43200; option subnet-mask 255.255.255.0; option broadcast-address 172.16.1.255; option domain-name "itlp.edu.mx"; option domain-name-servers 148.208.162.6; Carmen A. Puppo Fernandez 3
option routers 172.16.1.254; } Para que los cambios surtan efecto deberemos reiniciar el demonio dhcpd mediante el comando: service dhcpd restart Habilitación del reenvío de paquetes: Para que el firewall enrute paquetes entre las interfaces activas, debemos prender el bit de configuración de reenvío de paquetes en los archivos de configuración del kernel cada vez que arranque el equipo, por lo que debe agregarse la línea marcada con negritas en el archivo /etc/rc.local. Archivo: /etc/rc.local #!/bin/sh # # This script will be executed *after* all the other init scripts. # You can put your own initialization stuff in here if you don't # want to do the full Sys V style init stuff. touch /var/lock/subsys/local /bin/echo 1 > /proc/sys/net/ipv4/ip_forward Configuración de IPTABLES: La configuración de iptables puede hacerse mediante el comando iptables desde una terminal común; iptables es la herramienta que nos permitirá configurar las reglas del sistema de filtrado en la red. Para crear nuestro firewall, necesitaremos ejecutar algunos comandos, como: #Habilitar nat en la interface local iptables t nat A POSTROUTING -s 172.16.1.0/24 D 0.0.0.0/ -j MASQUERADE # bloquear el puerto 4199 en tcp y udp (subida y bajada en tcp y udp) iptables -I FORWARD -p udp -s 0/0 -d 0/0 --source-port 4199 -j DROP iptables -I FORWARD -p tcp -s 0/0 -d 0/0 --source-port 4199 -j DROP iptables -I FORWARD -p udp -s 0/0 -d 0/0 --destination-port 4199 -j DROP iptables -I FORWARD -p tcp -s 0/0 -d 0/0 --destination-port 4199 -j DROP #bloquear youtube iptables -I FORWARD -d 208.65.152.0/22 -j DROP #bloquear metacafe iptables -I FORWARD -d 72.32.103.176/28 -j DROP #bloquear puertos mas comunes de descargas P2P iptables -I FORWARD -p tcp --dport 6346:6347 -j DROP iptables -I FORWARD -p udp --dport 6346:6347 -j DROP Carmen A. Puppo Fernandez 4
iptables -I FORWARD -p tcp --dport 4660:4666 -j DROP iptables -I FORWARD -p udp --dport 4660:4666 -j DROP iptables -I FORWARD -p tcp --dport 1214 -j DROP iptables -I FORWARD -p udp --dport 1214 -j DROP Cuando tengamos el firewall funcionando a nuestro gusto, se ejecuta el comando service iptables save para guardar la configuración en los archivos de configuración de arranque de iptables /etc/sysconfig/iptables. Archivo: /etc/sysconfig/iptables # Generated by iptables-save v1.3.5 on Tue Aug 28 12:19:41 2007 *filter :INPUT ACCEPT [1393:178268] :FORWARD ACCEPT [4543:1536829] :OUTPUT ACCEPT [301:23205] -A FORWARD -d 208.65.153.251 -j DROP -A FORWARD -d 208.65.153.238 -j DROP -A FORWARD -d 208.65.153.253 -j DROP COMMIT # Completed on Tue Aug 28 12:19:41 2007 # Generated by iptables-save v1.3.5 on Tue Aug 28 12:19:41 2007 *nat :PREROUTING ACCEPT [2210:277350] :POSTROUTING ACCEPT [19:1176] :OUTPUT ACCEPT [17:1080] -A POSTROUTING -s 172.16.1.0/255.255.255.0 -j MASQUERADE COMMIT # Completed on Tue Aug 28 12:19:41 2007 Tabla Mangle En nuestro caso la tabla Mangle se encuentra vacía debido a que no hacemos transformaciones a los paquetes reenviados. Tabla Filter La tabla Filter incluye todas las reglas de filtrado de paquete y actualmente prohibe todos los paquetes entrantes al firewall, a excepción de aquellos que se encuentren dirigidos al puerto 22 (SSH2) -A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT -A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited y los dirigidos hacia el protocolo ICMP (esta línea puede eliminarse si no se necesita hacer ping al firewall y se desean evitar ataques de DDOS (Como Smurfing). -A RH-Firewall-1-INPUT -p icmp -m icmp --icmp-type any -j ACCEPT Carmen A. Puppo Fernandez 5
La Tabla NAT La tabla NAT permite la configuración de la traducción de direcciones de red, tanto para compartir una salida a internet con una sola ip homologada, como para la redirección de paquetes entrantes hacia un servidor de nuestra red local. Asimismo las computadoras en la red local podrán acceder a internet mediante esa ip homologada -A POSTROUTING -o eth0 -j SNAT --to-source 192.168.5.254 Agregando filtros a iptables Si queremos filtar paquetes de la red local hacia internet tenemos varias opciones, por ejemplo, para filtrar los paquetes dirigidos a la ip 172.16.10.1 podemos ejecutar el comando: iptables -I FORWARD -d 172.16.10.1 -j DROP para filtrar los paquetes provenientes de la ip 172.16.10.1 podemos ejecutar el comando: iptables -I FORWARD -s 172.16.10.1 -j DROP Para filtrar los paquetes dirigidos a puertos específicos podemos hacerlo mediante comandos que utilicen las directivas dport (puerto destino del socket) y -sport (puerto fuente del socket), por ejemplo, para filtrar el rango de puertos que utilza emule ejecutaríamos los comandos: iptables -I FORWARD -p tcp --dport 4660:4670 -j DROP iptables -I FORWARD -p tcp --sport 4660:4670 -j DROP a continuación se incluye un ejemplo que deshabilita varios programas de comparición peer to peer: #cutoff emule/torrent iptables -I FORWARD -p tcp -m multiport --dports 6881,6882,6883,6884,6885,6886,6887,6888,6889,1214 -j REJECT iptables -I FORWARD -p udp -m multiport --dports 6881,6882,6883,6884,6885,6886,6887,6888,6889,1214 -j REJECT iptables -I FORWARD -p tcp -m multiport --dports 6346,6347 -j REJECT iptables -I FORWARD -p udp -m multiport --dports 6346,6347 -j REJECT iptables -I FORWARD -p tcp -m multiport --dports 4711,4665,4661,4672,4662,8080,9955 -j REJECT iptables -I FORWARD -p udp -m multiport --dports 4711,4665,4661,4672,4662,8080,9955 -j REJECT iptables -I FORWARD -p tcp --dport 4242:4299 -j REJECT iptables -I FORWARD -p udp --dport 4242:4299 -j REJECT Carmen A. Puppo Fernandez 6
iptables -I FORWARD -p tcp --dport 6881:6999 -j REJECT iptables -I FORWARD -p udp --dport 6881:6999 -j REJECT Las líneas que incluyen listas de puertos aparecen en dos partes por cuestiones de espacio, recuerde siempre que para guardar las reglas en el archivo de arranque puede hacerlo mediante el comando service iptables save Le recomendamos hacer una copia del archivo de configuración /etc/sysconfig/iptables antes de efectuar cualquiera de estas operaciones, de tal forma que pueda recuperarlo en casos de corrupción del mismo. Si desea una referencia completa sobre el funcionamiento de iptables, le recomendamos consultar la guía hecha por Xabier Altadill Izura que puede descargarse desde http://www.pello.info/filez/firewall/iptables.pdf Carmen A. Puppo Fernandez 7