Brandvägg i Linux

Från Unix.se, den fria unixresursen.

Inledning

Målet med denna artikel är att visa hur man enkelt sätter upp en dator med två nätverkskort, en bredbandsuppkoppling med dynamisk adresstilldelning samt Linux, få datorn att agera brandvägg och ge klienterna i det interna nätverket åtkomst till internet, samt installation och konfiguration av ett par praktiska nätverkstjänster.

Val av programvara

Då vi vill ha ett någorlunda enkelt sätt att hantera brandväggsreglerna så kommer vi använda Shorewall, både pga. av den omfattande dokumentationen och av hur pass enkel den är att hantera, även för en person som inte är helt insatt i hur TCP- och UDP-stackarna fungerar. Utöver det hade vi tänkt använda oss av en DHCP-server , no-ip för smidig hantering av no-ip-DNS samt vnstat för en grundläggande trafikloggning.

Vad du väljer att använda dig av för Linux distribution är ganska irrelevant - dock måste du se till att se till att alla nödvändiga paket är installerade innan du försöker dig på det här. Alla paket är dock inte nödvändiga - t.ex. no-ip och vnstat, även om dhcpd är trevligt i längden om du inte vill uppdatera alla inställningar på alla datorer så fort du ändrar något i nätverket.

Programvara

Shorewall
iptables
iproute2
dhcp
no-ip
vnstat

Kärna

Det spelar ingen större roll om du väljer att använda dig av en 2.4- eller 2.6-kärna, men 2.2-kärnor kommer garanterat inte att fungera!

För att du ska kunna översätta trafiken från internet till ditt interna nätverk behöver du iptables i din kärna - om du vill kompilera dem som moduler eller direkt in i kärnan är ditt val.

Networking options  --->
   [*] TCP/IP networking
      [*] IP: advanced router
   [*] Network packet filtering (replaces ipchains)
If you use 2.4.x, you have to enable the following for DHCP:
   [*] Socket Filtering

   IP: Netfilter Configuration  --->
      [*] Connection tracking (required for masq/NAT)
         [M] FTP protocol support
         [M] IRC protocol support
      [*] IP tables support (required for filtering/masq/NAT)
         [*] IP range match support
         [M] MAC address match support
         [*] Multiple port match support
         [*] Packet filtering
            [*] REJECT target support
            [M] REDIRECT target support
         [*] Full NAT
            [*] MASQUERADE target support
         [M] LOG target support

Exakt vart du hittar dessa inställningar i din kärna kan vara olika om du kör 2.4 eller 2.6. Hur du sedan kompilerar och installerar din kärna hittar du i artikeln Kärnkompilering_i_Linux.

Systeminställningar

Innan brandväggen kan fungera som den ska behöver ett par förändringar i systemets inställningar ske, och detta är i högsta graden distributionsspecifikt - så hur du löser detta hänvisas till din distributions dokumentation.

Det du i måste ställa in, permanent, är:

En fast IP-adress för det nätverkskort som är kopplat till det interna nätverket
Inställningar för det nätverkskort kopplat mot internet

Förhoppningsvis kan du ställa in detta med hjälp av init-systemet i din distribution.

Shorewall

Konfiguration av Shorewall

Det finns en mängd exempel, färdiga konfigurationer och andra matnyttiga dokument på Shorewalls hemsida, dock så skriver vi ut allt man behöver för att komma igång här.

Gå till mappen /etc/shorewall, och skapa dessa filer (det ska ligga en fil som heter shorewall.conf i mappen redan):

touch interfaces masq policy routestopped rules zones

När du sedan ändrar i dessa filer är det väldigt viktigt att du inte tar bort den nedersta raden som ser ut såhär:

#LAST LINE -- ADD YOUR ENTRIES ABOVE THIS LINE -- DO NOT REMOVE

Fil för fil

Som sagt, det är vitalt att du kontrollerar att du verkligen kopierar allt från denna sida och ser till att inget konstigt händer med innehållet när du sedan klistrar in det i filen - för saker kan lätt bli fel, och det är jobbigt (och tråkigt) att felsöka när det bara handlar om en liten typo. Kom ihåg att alla dessa filer ska ligga i /etc/shorewall/ !

zones

I denna fil namnger du de olika zonerna i ditt nätverk - t.ex. WAN, LAN och DMZ kan få heta helt andra saker - dock väljer vi ett par neutrala namn, för enkelhetens skull.

#ZONE   DISPLAY         COMMENTS
net     Net             Internet
loc     Local           Local Networks
#LAST LINE -- ADD YOUR ENTRIES ABOVE THIS LINE -- DO NOT REMOVE

Nu har vi precis definierat och namnget de två olika zonerna i vårt nätverk - net, som symboliserar WAN (eller internet som vanliga människor kallar det) och loc, som i sin tur symboliserar LAN.

Det kan vara ganska bra att lägga dessa två namn på minnet.

interfaces

Här berättar vi för shorewall vilket nätverksgränsnitt som är vilket, och vilken zon som tillhör vilket kort.

#ZONE   INTERFACE       BROADCAST       OPTIONS
net     eth0            detect          dhcp,routefilter,norfc1918,tcpflags
loc     eth1            detect          dhcp,tcpflags
#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE

Det här säger att eth0 är ansluten till WAN, och att vi får en dynamisk adress tilldelad från vår ISP - och att vårt interna nätverk är anslutet till eth1, och att vi ger ut adresser till våra klienter mha dhcpd.

masq

#INTERFACE              SUBNET          ADDRESS         PROTO   PORT(S) IPSEC
eth0                    eth1
#LAST LINE -- ADD YOUR ENTRIES ABOVE THIS LINE -- DO NOT REMOVE

Här fastställer vi att eth0 ska hantera NAT mellan eth0 (WAN) och eth1 (LAN).

policy

Här kan man göra en hel del inställningar som får en hel del inverkan på brandväggen och nätverket bakom den.
Nu har vi en väldigt öppen och fri konfiguration, som tillåter både brandväggen och användarna på LAN att komma åt precis vad de vill - om du vill begränsa deras möjligheter får du ta en titt i dokumentationen, länkar bifogas längst ner i artikeln.

#SOURCE         DEST            POLICY          LOG LEVEL       LIMIT:BURST
#Nu låter vi klienterna på LAN komma åt precis vad de vill på WAN
loc             net             ACCEPT

#Vi vill att brandväggen ska komma åt WAN
fw              net             ACCEPT

#Klienterna på LAN kommer åt brandväggen på alla portar
loc             fw              ACCEPT

#Detta skickar REJECT på allt som inte specifikt tillåts i rules
net             all             REJECT          info

# THE FOLLOWING POLICY MUST BE LAST
all             all             REJECT          info
#LAST LINE -- ADD YOUR ENTRIES ABOVE THIS LINE -- DO NOT REMOVE

rules

Nu gäller det att ha tungan rätt i mun - notera noga vad varje kolumn gör - sedan är det bara att skriva regler. Det man inte tillåter i denna fil kommer automatiskt att svaras med ett REJECT-paket!

Du behöver inte öppna portar för att hantera ident eller ftp - detta sköter shorewall automatiskt (dock behöver du ha kompilerat in stöd för ftp i kärnan).

#ACTION         SOURCE          DEST            PROTO   PORT #

#Detta låter folk använda ssh till brandväggen, från WAN
ACCEPT          net             fw              tcp     22

#Det här öppnar port 80 mot nätet
ACCEPT          net             fw              tcp     80

#
#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE

Det är i denna fil man lägger till t.ex. en port-forward. För att skicka all trafik på port 80 till en intern dator med adressen 192.168.0.100 kan man göra såhär:

DNAT net loc:192.168.0.100 tcp 80

routestopped

#INTERFACE      HOST(S)
eth1            -
#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE

Den här filen är först användbar om man har flera zoner man vill hantera.

DHCP

Om du inte hade några problem med Shorewall och fick igång den, så ska vi nu börja konfigurera DHCP, så att vi slipper springa runt och ställa in fast IP för alla datorer i nätverket.

Om du skulle vilja ha en fast adress för en klient men fortfarande vill använda dig av DHCP, så är det lätt ordnat - det du behöver är nätverkskortet i datorns MAC-adress, som man i Microsoft Windows lättast får fram genom att öppna en kommandotolk (skriv "cmd" i "Kör", utan citationstecken), och sedan skriva

ipconfig /all

I Linux / BSD använder man sig av ifconfig, på ett liknande vis:

ifconfig

dhcpd.conf

Denna exempelkonfiguration kommer dela ut adresser från 172.16.0.100 till 172.31.0.200 - dvs väldigt många adresser.

authoritative;
subnet 172.16.0.0 netmask 255.255.255.0 {
        range 172.16.0.100 172.31.0.200;
        default-lease-time 259200;
        max-lease-time 518400;
        option subnet-mask 255.255.255.0;
        option broadcast-address 172.16.0.255;
        option routers 172.16.0.1;
        option domain-name-servers 172.16.0.1;

        host kalle {
                hardware ethernet 00:00:00:00:00:00;
                fixed-address 172.16.0.10;
        }
}

Övrigt programvara

no-ip

Det här är en klient från no-ip.com (http://www.no-ip.com), för att sköta uppdateringen av de domäner man använder från no-ip, om man skulle få en ny adress från sin ISP och istället för att uppdatera uppgifterna på hemsidan kan man med detta program genomföra detta automatiskt - det låter kanske som något svårt, men det är faktiskt ganska enkelt.

Starta konfigurationsguiden:

no-ip -C

Svara sedan på frågorna - och när guiden frågar efter vilket gränsnitt (interface) den ska köras på, ange det nätverkskort som WAN är inkopplat i (eth0, i denna guide).

bind9

bind är en enormt kraftfull DNS-server som man kan göra mycket med - dock är det lite överkurs att gå in på det här, utan vi ska istället använda oss av bind9 för att översätta DNS-adresser och sedan lagra dem (cache), så att vi slipper belasta de stora root-DNSerna och slipper slå upp en adress mer än en gång - detta är inte speciellt svårt att uppnå, då det är precis så bind9 är konfigurerat från början :-)

vnstat

vnstat är ett program som räknar ut och loggar precis hur mycket trafik som har gått igenom det gränsnitt som den övervakar - och man kan producera enklare grafer och statistik i acsii-format. Dock sköter den inte uppdatering själv, men detta kan man lägg åtgärda med ett cron-job, så att den uppdateras t.ex. var 5:e minut.

Skapa databasen

Innan vi kan börja uppdatera måste vi först säga vilket gränsnitt som ska övervakas, och skapa databasen:

vnstat -u -i eth0

Den kommer protestera över att den inte hittar någon databas innan den skapar databasen själv.

cronjob

Detta lägger vi till i /etc/crontab:

0-55/5 * * * * root /usr/bin/vnstat -i eth0 -u

Överkurs

Shorewall är, som sagt, ett väldigt kraftfullt verktyg, men täcker inte allt - med med hjälp av andra verktyg kan man åstakomma mycket.

Om du skulle känna att det kliar i fingrarna, så finns det ett flertal intressanta saker att åstakomma - t.ex. UPnP (för att t.ex. MSN Messenger ska fungera fullt ut) och trafikprioritering - dock kräver detta att du sätter dig ner och patchar shorewall, och fördjupar dig i andra projekt och deras dokumentation...

Om du dock känner dig nöjd med hur din brandvägg fungerar som det är nu behövs du givetvis inte göra någonting.

Vidare läsning

Shorewalls hemsida (http://www.shorewall.net/)
Shorewall och UPnP (http://www.shorewall.net/UPnP.html)
Shorewall och trafikpriortering (http://www.shorewall.net/traffic_shaping.htm)
Bind9 (http://www.bind9.net/)
Drop vs Reject (eng) (http://www.chiark.greenend.org.uk/~peterb/network/drop-vs-reject) - värt att läsa
ISC DHCP (http://www.isc.org/index.pl?/sw/dhcp/)

Hämtad från "http://wiki-old.unix.se/Brandv%E4gg_i_Linux"

Views

Personliga verktyg

Logga in

Navigation

Sök

Verktygslåda

unix.se

relaterat