Trabalho 3 Firewalls

Transcrição

1 IST MEIC/MERC Segurança Informática em Redes e Sistemas 2008/2009 Trabalho 3 Firewalls Objectivos Introduzir a configuração de uma firewall utilizando as ferramentas iptables e fwbuilder. 1 Introdução A rede que é fornecida tem a seguinte configuração: 2 iptables A ferramenta iptables (man iptables) permite administrar as regras para filtrar pacotes e para traduzir endereços (NAT) 2.1 Algumas regras simples Teste algumas regras simples na Máquina Recusar pacotes ICMP Usar o comando: iptables A INPUT p icmp j DROP Isto permite recusar todos os pacotes icmp recebidos Para ver a regra gerada fazer: iptables L Testar a ligação fazendo ping de outra máquina para a Máquina 2. Nota: Para apagar a regra usar: iptables D INPUT 1 ou 1

2 iptables D INPUT p icmp j DROP Recusar ligações telnet Verificar que a ligação telnet funciona. Em seguida fazer: iptables A INPUT p tcp -dport 23 j DROP Verificar agora a ligação telnet. Para apagar a regra anterior fazer: iptables D INPUT p tcp -dport 23 j DROP iptables D INPUT Recusar ligações telnet de endereços específicos Para recusar ligações telnet da Máquina 1 fazer: iptables A INPUT p tcp s dport 23 j DROP Testar ligações telnet de todas as máquinas para verificar que apenas a Máquina 1 não consegue estabelecer ligação Recusar ligações telnet de uma sub-rede Para recusar ligações de uma sub-rede fazer: iptables A INPUT p tcp s /24 -dport 23 j DROP Testar as ligações telnet. 2.2 Redireccionar ligações Para redireccionar pacotes vamos alterar as regras na tabela nat. Fazer: iptables -t nat -A PREROUTING --dst p tcp --dport 23 j DNAT --to-destination Testar agora a ligação telnet entre a Máquina 1 e a Máquina 2: telnet Verificar que a ligação é estabelecida entre a Máquina 1 e a 3: Fazer netstat t nas várias máquinas. Para redireccionar as ligações http para a Máquina 3 fazer: iptables -t nat -A PREROUTING --dst p tcp --dport 80 -j DNAT --to-destination Testar com um browser na Máquina 1 e ver a seguinte página: Fazer netstat t para verificar que a ligação é entre a Máquina 1 e a 3. 3 Fwbuilder A ferramenta fwbuilder permite configurar e administrar uma firewall para um conjunto de plataformas 3.1 Algumas regras Para começar a gerar as regras de novo comece por apagar as regras anteriores usando o comando: iptables [ t tabela] D #regra Para utilizar o fwbuilder necessita instalar, em primeiro lugar, as extensões para iptables de acordo com os passos descritos no Anexo. Em seguida corra o fwbuilder Criar uma nova firewall Em firewalls fazer new firewall 2

3 Configurar a firewall para iptables e para linux Introduzir as interfaces e escolher uma como management interface Aceitar ligações ssh Para o fwbuilder conseguir instalar as regras de uma firewall é necessário que a máquina aceite ligações ssh Criar novo serviço tcp no porto de destino 22 Criar nova regra fazendo insert rule em policy Colocar o novo serviço no campo Service Mudar o campo Action para Accept Fazer rules install para instalar a firewall Testar ligações ssh Aceitar ligações telnet Verificar ligação telnet. Funciona? Porquê? Verificar as regras com iptables L. Como estão as regras? Criar novo serviço tcp no porto de destino 23 Criar nova regra e aceitar ligações do novo serviço Instalar a firewall Testar ligações telnet Redireccionar ligações telnet Configurar eth0 com external Acrescentar o ip da Máquina 3 em addresses Acrescentar regra na tabela NAT Alterar o endereço de origem, o serviço original e endereço a traduzir 3.2 Rede interna + dmz Usando o fwbuilder criar a seguinte configuração (figura acima): Máquina 1 é uma máquina externa o Apenas pode fazer pedidos ssh (porto 22) ou http (porto 80) para a Máquina 2 Máquina 2 é a firewall o Apenas aceita pedidos ssh (porto 22) vindos da rede interna 3

4 o Redirecciona pedidos http (porto 80) para a Máquina 3 o Redirecciona pedidos ssh (porto 22) da rede externa para a Máquina 4 o Todo o resto dos pedidos vindos da rede externa são rejeitados Máquina 3 é um web server numa DMZ: o Aceita pedidos http (porto 80) da rede externa ou interna o Aceita pedidos ssh (porto 22) da rede interna o Não efectua pedidos nenhuns Máquina 4 é um cliente interno o Aceita pedidos externos de ssh o Pode efectuar pedidos ssh para o exterior e para a DMZ 4

5 Anexo 1 Instalação das extensões fwbuilder Para utilizar devidamente o fwbuilder para configurar firewalls iptables, é necessário efectuar os seguintes passos: 1. Carregar ISO no Virtual PC: o CD Capture ISO Image o Seleccionar fwbuilder-extensions.iso 2. Montar CDROM na Máquina Virtual: mount /media/cdr0 3. Instalar extensão fwbuilder para iptables: rpm i /media/cdr0/fwbuilder-ipt pm.1.i586.rpm 5