Конфигурирование IPFW


Автор : Kuzmich

Введение


Кроме высокой надежности и производительности, операционная система FreeBSD славится и своим firewall'ом - удобным и понятным средством работы с протоколом TCP/IP. Далее по тексту я буду довольно свободно кидаться словами "адрес", "порт", "icmp" и т.д., поэтому тем, для кого эти слова звучат уж очень непонятно, рекомендую сначала ознакомиться с TCP/IP (http://book.itep.ru/4/44/inter_44.htm). Для нас же будет важно, в основном, только то, что в заголовке каждого ip-пакета имеются 32-битные адреса источника и назначения, а в пакетах протоколов UDP и TCP так же номера портов источника и назначения пакета. Из вышеперечисленных только TCP является протоколом с установлением соединения, и требует пересылки нескольких специальных пакетов для установления соединения перед началом полезной передачи данных.

Firewall - это система, управляющая прохождением пакетов данных через систему на основе заданных администратором правил и информации, содержащейся в заголовках пакетов. Обычное использование firewall - запрещение прохождения нежелательных пакетов, например, отключение абонента, не оплатившего услуги связи, или закрытие части сервисов локальной сети от внешнего мира. В системе FreeBSD firewall - это гораздо больше, чем просто турникет в метро - это мощный инструмент управления сетью, позволяющий, например, подсчитывать трафик по любым разумным правилам, основывающимся на данных заголовков пакетов протоколов стека TCP/IP, обрабатывать пакеты внешними программами, прятать за одним компьютером целую сеть и т.п.

В отличие от разнообразных систем firewall для операционных систем семейства Windows, во FreeBSD firewall является частью самой операционной системы, поэтому работает значительно быстрее и надежнее своих не-UNIX конкурентов (исключая, конечно, системы, созданные специально для обработки сетевого трафика, такие как Cisco IOS). Но т.к. firewall нужен далеко не на каждом компьютере с FreeBSD (ведь FreeBSD - это еще и высокопроизводительный файл-сервер, быстрый и надежный сервер приложений, мощная рабочая станция), то поддержка firewall не включена в ядро FreeBSD по умолчанию.

Мы уже собирали ядро с поддержкой firewall в первой главе, но теперь остановимся на опциях ядра подробнее:

IPFIREWALL -Включение поддержки firewall в ядро FreeBSD. Если нужны только простейшие функции, вроде запрета или разрешения прохождения пакетов, то эту опцию можно не включать - FreeBSD загрузит соответствующий модуль автоматически, если в /etc/rc.conf разрешено использование firewall, но поддержка возможностей будет минимальной.

IPFIREWALL_VERBOSE - При включении данной опции firewall может записывать все "происшествия" в лог-файл. Полезно для анализа работы системы и слежения за попытками взлома. Некоторые особо одаренные личности даже делают на этом системы учета трафика, хотя для этого есть и менее винчестероемкие технологии.

IPFIREWALL_VERBOSE_LIMIT - Ограничение числа попадающих в лог сообщений. При отсутствии лимита хакер или просто сбойный компьютер в сети способны в считанные минуты сгенерировать столько пакетов, что лог-файл firewall'а займет все имеющееся дисковое пространство.

IPFIREWALL_DEFAULT_TO_ACCEPT - По умолчанию при загрузке системы firewall находится в режиме "никому ничего нельзя", т.е. весь трафик блокируется. Данная опция заставляет firewall загружаться в режиме "всем можно все". Не рекомендуется, если Вы точно не знаете, зачем оно Вам нужно, и не можете без этой опции обойтись. Примером необходимости такой опции может быть использование FreeBSD как операционной системы для бездисковых рабочих станций - в этом случае при отсутствии указанной опции в ядре FreeBSD весь трафик будет заблокирован до того, как FreeBSD сможет подмонтировать сетевые диски и загрузить с них настоящий набор правил для firewall.

IPDIVERT - Поддержка возможности передать пакет на обработку внешней программе. Примером такой программы служит natd - демон, маскирующий локальную сеть и переписывающий заголовки IP-пакетов. Программа обработки обязательно должна быть запущена на этой-же машине.

IPFIREWALL_FORWARD - Возможность перенаправления пакетов другому адресату. С помощью этой возможности можно организовать, например, transparent proxy (http-прокси сервер, работающий для всех клиентов в принудительном режиме в не зависимости от того, обращаются они к какому-то сайту напрямую, или "просят" его у прокси-сервера), или перенести web-сервер внутрь закрытой nat'ом сети так, чтобы он был доступен из внешнего мира по адресу сервера доступа.

DUMMYNET - Система ограничения пропускной способности определенных соединенй, основанная на задержке прохождения пакетов через роутер. Для многих системных администраторов именно эта возможность стала определяющей при выборе операционной системы - форвардинг пакетов и nat можно организовать на практически любой сетевой операционной системе, но с ограничением пропускной способности мало кто справится так же хорошо, как FreeBSD. HZ= dummynet работает, просматривая очередь поставленных на ожидание пакетов с некоторой частотой (по умолчанию - 100 раз в секунду). Вы можете увеличить или уменьшить этот параметр, соответственно повысив точность ограничения скорости ценой повышения нагрузки на процессор, либо уменьшить нагрузку на процессор за счет уменьшения точности ограничения пропускной способности. Имеет смысл менять этот параметр в сторону увеличения только если при нормальной работе Ваш процессор нагружен не более чем на 10%. Уменьшение этого параметра обычно не дает сильного выигрыша при перегруженном процессоре, разве что ограничение полосы пропускания - это основная выполняемая сервером задача. Увеличение этого параметра, кстати, увеличивает нагрев процессора. Чрезмерное увеличение может наоборот приводить к понижению точности работы dummynet, т.к. процессор может не успевать отрабатывать сигналы от таймера.
И несколько опций, не относящихся к firewall напрямую, но чтобы уже больше не возвращаться:

TCP_DROP_SYNFIN - Отбрасывать редко встречающиеся при нормальной работе TCP-пакеты с одновременно установленными флагами начала и завершения соединения. Польза от таких пакетов крайне мала (есть всего несколько случаев, когда такие пакеты реально используются), но такими пакетами часто пользуются хакеры в своих гнусных целях.

ICMP_BANDLIM - Ограничение числа генерируемых машиной сообщений об ошибках TCP/IP. На нормальную работу не влияет, но может помочь в отбивании некоторых DoS-атак.

BRIDGE - Превращает Ваш сервер в обычный Ethernet-коммутатор, только очень хорошо управляемый.


Как работает firewall


Firewall - это защитная стена, стоящая между сетевым адаптером и операционной системой. Любой IP-пакет, прежде чем попасть на обработку операционной системой (например, для маршрутизации или передачи его web-серверу) проходит через строгий контроль. Любой исходящий пакет так-же наталкивается на эту стену, и может быть пропущен, отброше2н, сосчитан или изменен. Если пакет проходит через операционную систему насквозь (маршрутизируется), то его проверка происходит как на входе, так и на выходе. При сложной обработке пакета он может проходить через firewall и большее число раз.

Проверка пакета производится по упорядоченному списку правил, которые задаются администратором. Каждому правилу присваивается номер (либо вручную администратором, либо автоматически), и правила проверяются строго в порядке возрастания номеров. Несколько правил могут иметь один и тот же номер - в этом случае они проверяются в том порядке, в котором они были занесны в список. Каждое правило содержит условие и действие. Вот общий вид правила firewall: [prob ] [log [loamount ]] from to
где: - целое число в диапазоне от 1 до 65535. Правило с номером 65535 вседа существует, его нельзя удалить, и оно определяется параметром ядра IPFIREWALL_DEFAULT_TO_ACCEPT, разрешая или запрещая весь IP-трафик в зависимости от наличия этого параметра. Правила с другими номерами полностью управляются администратором. prob - Действие применяется с некоторой вероятностью. Данная возможность используется весьма редко. С помощью этого указания можно симулировать, например, нестабильную линию, или разное время прохождения пакетов. в данном случае - вещественное, в диапазоне от 0 до 1 (0-правило не исполняется никогда, 1 - всегда). - одна из следующих команд:

allow, pass, accept, permit Синонимы. Разрешение дальнейшего прохождения пакета. Последующие правила не рассматриваются, т.е. пакет выходит из firewall (пакет, проходящий компьютер "насквозь", может вновь попасть в firewall на "выходе" из системы) unreach Запрещение прохождения пакета. Отправителю пакета отправляется уведомление (по протоколу ICMP) о неудаче. Вид уведомления задается параметром "тип": * net - сеть адресата не доступна * host - адресат не доступен * needfrag - необходима фрагментация пакета * host-unknown - нет такого адреса * и др.

Подробнее см. man ipfw После этого действия другие правила не рассматриваются, и пакет прекращает свое существование. reject Действие аналогично unreach host deny, drop Пакет отбрасывается без уведомления отправителя. reset Запрещение прохождения пакета. Действует только для протокола TCP. По адресу отправителя пакета посылается сообщение TCP RST, информирующее отправителя о закрытии TCP-сессии - в данном случае удаленный абонент сразу "понимает", что ему отказали, и может корректно завершить соединение без лишнего ожидания и сообщений об ошибках. На практике применяется довольно редко. skipto Перейти к рассмотрению правила с заданным номером. Все правила, находящиеся между текущим и целевым не проверяются. Пакет не покидает пределов firewall и продолжает проверяться другими правилами. count Не производит никаких действий. Но, как и для любого правила в firewall, в счетчики заносится количество и суммарный объем пакетов, удовлетворяющих этому правилу, поэтому единственное логичное применение этому правилу - подсчет трафика, что соответствует и названию действия - count. Пакет не выходит из firewall и переходит под власть следующего по порядку правила. fwd, forward Перенаправление пакета по указанному адресу. Заголовок пакета изменяется. Если подразумевается, что на данный пакет ожидается ответ, то он придет уже с "нового" адреса - это может вызвать проблему в работе некоторых программ, которые проверяют адрес отправителя в ответном пакете. Тем не менее, это очень полезное свойство часто используется для организации "transparent-proxy" или при переносе каких-то сервисов на другой компьютер, при этом обращаться к этим сервисам можно и по старому адресу. divert Перенаправление пакета на дополнительную обработку программе, запущенной на том же компьютере, что и firewall. Внешняя программа может изменить пакет по своему разумению, уничтожить его, вернуть в firewall для продолжения обработки со следующего правила или ввести его в firewall заново для проверки с самого первого правила. Используя данную возможность firewall'а работают такие программы, как natd (который мы уже настраивали в первой главе) и ipacctd (программа "интеллектуального" подсчета трафика). tee Аналогичен действию divert, но на обработку посылается копия пакета. Сам пакет продолжает движение по списку правил. Может применятья для подсчета трафика, анализа состояния сети, протоколирования и т.п. Возврат пакета в firewall при такой обработке не желателен, но возможен. pipe , queue Прохождение пакета через "канал" или "очередь" dummynet. Используется для ограничения пропускной способности, внесения задержек в прохождение пакетов. После "выхода" из dummynet пакет может продолжить путешествие по списку правил, или выйти из firewall в зависимости от установок sysclt net.inet.ip.fw.one_pass (подробнее о sysctl - несколько позже). По умолчанию пакет выходит из firewall (т.е. действует как allow).

- если ядро скомпилировано в опцией IPFIREWALL_VERBOSE, то в системный журнал будет записан отчет о прохождении пакетом этого правила. Данная возможность может оказаться весьма полезной, если Вы ожидаете атаки хакера или отлаживаете сложный набор правил, разобраться в котором вручную не хватает сил. В журнал записывается время, номер правила и адреса источника и назначения пакета. logamount - максимальное количество пакетов, запись о которых попадает в журнал. По умолчанию устанавливается равным значению опции IPFIREWALL_VERBOSE_LIMIT в ядре операционной системы. Действие будет предпринято, если пакет удовлетворяет следующим условиям: - название протокола, к которому относится данный пакет. Возможные значения - ip или all (для всех протоколов стека TCP/IP), udp, tcp, icmp, igmp и т.д. Полный список доступных для указания протоколов Вы можете посмотреть в файле /etc/protocols. from - IP-адрес источника пакета. Для протоколов TCP и UDP так же может быть указан и порт. Может быть указан IP-адрес, доменное имя компьютера (типа www.hub.ru), или целая подсеть в формате IP:MASK или IP/LEN, например 192.168.0.0:255.255.255.0 или 192.168.0.0/24. Есть так же два специальных слова - any, означающее любой адрес (аналогично 0.0.0.0/0) и me, означающее любой из адресов, принадлежащих локальной системе. Номер порта указывается после адреса через пробел. Несколько номеров портов можно указать через запятую. Перед адресом или номером порта может стоять слово "not", инвертирующее значение адреса или порта, т.е. from not 192.168.0.0/24 означает "все пакеты, пришедшие не из сети 192.168.0.0/24". to - Адрес назначения пакета. Формат адреса аналогичен предыдущему.

Из дополнительных условий самыми нужными и часто используемыми являются направление пакета (входящий или исходящий) и сетевой интерфейс, при прохождении через который был "пойман" пакет. Формат указания направления и интерфейса следующий: [in|out] [via ]
где in или out - направление пакета (входящий и исходящий) по отношению к операционной системе, интерфейс - название устройства (rl0, lo0, etc) или IP-адрес этого устройства (192.168.0.1, 127.0.0.1, etc).

Управление firewall производится с помощью программы /sbin/ipfw, позволяющей удалять и добавлять правила, управлять настройками dummynet, снимать и обнулять статистику. Команда может вызываться со следующими наборами параметров:
/sbin/ipfw [-adetN] list [число...] - показать текущий список правил. Ключи команды имеют следующие значения:
-a Показывать текущие значения счетчиков пакетов. Более короткое и осмысленное выражение для команды /sbin/ipfw -a list выглядит как /sbin/ipfw show. -d Показывать динамические правила. Программы типа natd могут создавать дополнительные правила в firewall, имеющие ограниченное время жизни, и не выводящиеся при обычном просмотре. Данная опция позволяет разобраться в причинах неожиданной неработоспособности на первый взляд нормального набора правил, или глубже вникнуть в суть работы некоторых "инерционных" правил, о которых будет рассказано дальше. -de Опция -d показывает только действующие динамические правила. При добавлении опции -e показываются также и устаревшие динамические правила, еще не удаленные из списка. -N При выводе списка правил ipfw пытается найти доменные имена для IP-адресов, и дать символические имена протоколам, указанным через номер порта. Например, правило allow tcp from any to 195.54.192.86 80 будет выведено в виде allow tcp from ant to jubjub.rinet.ru http -t Показывать время последнего срабатывания правила. Иногда помогает при отладке firewall.

/sbin/ipfw [-q] add правило - добавляет правило в список. Если в теле правила не указан его номер, то он будет вычислен как номер последнего правила в списке + 100. Флаг -q отключает вывод на экран подтверждающего сообщения, что весьма полезно при задании большого количества правил из скрипта (например, при старте системы).

/sbin/ipfw delete номер правила - удалить правило с заданным номером. Если в списке существует несколько правил с данным номером - будут удалены все.

/sbin/ipfw [-q] zero [номер правила] - обнуляет счетчики статистики для выбранного правила, или для всех правил, если номер не указан.

/sbin/ipfw [-i] resetlog [номер правила] - обнуляет счетчик попавших в журнал записей о срабатывании правила (если включена опция IPFIREWALL_VERBOSE_LIMIT=XXX). Если журнал ведется для мониторинга попыток хакерских атак, то полезно периодически выполнять эту команду для продолжения ведения журнала.

/sbin/ipfw [-f | -q] flush - полная очистка списка правил. Опция -f избавляет от вопроса "Действительно ли Вы хотите все удалить", и опция -q, кроме того, подавляет и вывод на экран подтверждающего сообщения.

/sbin/ipfw { pipe | queue } номер config опции - конфигрирование канала или очереди dummynet. О конфигурировании dummynet - попозже.

Вышеперечисленных возможностей достаточно для конфигурирования работоспособного firewall'а (но посмотреть man ipfw все-же рекомендую ), поэтому предлагаю перейти к рассмотрению примера, конфигурирующего наш сервер для предоставления пользователям сети 192.168.0.0/24 доступа в сеть Интернет, защищающего сервер от нежелательных соединений из внешнего мира, и предоставляющего доступ администратору сервера для конфигурирования системы из любой точки мира. Итак, попробуем переписать содержимое нашего файла /usr/local/billing/rc.firewall пользуясь имеющимися знаниями:

Код:
#!/bin/sh ipfw='/sbin/ipfw -q'
ournet='192.168.0.1/24'
uprefix='192.168.0'
ifout='rl0'
ifuser='rl1'
${ipfw} flush
${ipfw} add 100 check-state
${ipfw} add 200 deny icmp from any to any in icmptype 5,9,13,14,15,16,17
${ipfw} add 210 reject ip from ${ournet} to any in via ${ifout}
${ipfw} add 300 allow ip from any to any via lo
${ipfw} add 310 allow tcp from me to any keep-state via ${ifout}
${ipfw} add 320 allow icmp from any to any
${ipfw} add 330 allow udp from me to any domain keep-state
${ipfw} add 340 allow udp from any to me domain
${ipfw} add 350 allow ip from me to any
${ipfw} add 400 allow tcp from any to me http,https,ssh
${ipfw} add 410 allow tcp from not ${ournet} to me smtp
${ipfw} add 500 fwd 127.0.0.1,3128 tcp from ${ournet} to any http out via ${ifout}
${ipfw} add 510 divert natd ip from ${ournet} to any out via ${ifout}
${ipfw} add 1002 allow ip from ${uprefix}.2 to any via ${ifuser}
${ipfw} add 1002 allow ip from any to ${uprefix}.2 via ${ifuser}
${ipfw} add 1003 allow ip from ${uprefix}.3 to any via ${ifuser}
${ipfw} add 1003 allow ip from any to ${uprefix}.3 via ${ifuser}
${ipfw} add 1004 allow ip from ${uprefix}.4 to any via ${ifuser}
${ipfw} add 1004 allow ip from any to ${uprefix}.4 via ${ifuser}
#${ipfw} add 65535 deny ip from any to any


Пример, скорее, иллюстративный, чем "промышленный", однако волне работоспособный, и на его основе мы попытаемся разобраться с общими принципами построения списков правил firewall.

Рассмотрим предложенный пример по порядку, опустив пока строки 100,310 и 330, содержащие пока не известные нам слова ckeck-state и keep-state. В первых строках задаются значения переменных командного интерпретатора, описывающие соответвенно, клиентскую сеть (ournet), общую часть всех адресов наших клиентов (uprefix), название "внешнего" и "внутреннего" интерфейсов (ifout и ifuser) Такие переменные позволят избежать случайных опечаток, и позволят легко изменить настроку firewall в случае, например, выхода из строя сетевой карты, и замены ее на сетевую карту другого производителя (в этом случае название внешнего интерфейса может смениться, например, на fxp0 для карт Intel EtherExpress).

Правила с номерами 200 и 210 служат для повышения хакероустойчивости системы: правило 200 запрещает появление пакетов с адресом, принадлежащим внутреней сети, на "внешнем" интерфейсе, т.к. любимое оружие хакера - представить свой "смертельный" пакет как-бы пришедшим из локальной сети, для которой степень доверия выше. Правило 210 запретит прохождения некоторых ICMP-пакетов: icmptype 5 - это пакет ICMP-REDIRECT, которй может быть использован при атаке типа "фальшивый маршрутизатор", остальные icmptype - просто раскроют хакеру некоторую "лишнюю" с нашей точки зрения информацию... Сюда же можно добавить другие защитные правила - любой "гуру" насыпет их Вам с три короба.

Правила 300-350 обеспечивают работоспособность самой системы. Правило 300 разрешает прохождение любых пакетов внутри системы (lo - локальный интерфейс системы, имеющий адрес 127.0.0.1. Используется системой для обращения к себе самой). 320 правило разрешает прохождение любых ICMP-пакетов, т.к. их возникновение плохо предсказуе