Wykład 3 Filtracja i modyfikacja pakietów za pomocą iptables.

Transkrypt

1 Wykład 3 Filtracja i modyfikacja pakietów za pomocą iptables. mechanizm trawersacji pakietów w jądrze Linux części składowe iptables: reguły, łańcuchy, tablice kryteria dopasowania (ang. matching) pakietu, operacje na łańcuchach, decyzje. przykłady działania iptables firewalling dobre praktyki

2 iptables/netfilter co to takiego? iptables Jądro Linuksa netfilter Netfilter ogólny szkielet operacji na pakietach zaimplementowany w jądrze Linuksa (od 2.4.x). Na podstawie wczytanych kryteriów sprawdza nagłówki (i ew. zawartość) pakietów decydując o ich dalszym losie (akceptacja, odrzucenie, modyfikacja). Iptables narzędzie do manipulacji regułami w mechanizmie filtracji pakietów (netfiltrze) w jądrze. Dodaje reguły do netfiltra w oparciu o poprawną składnię przekazaną z linii poleceń.

3 Firewalling po co? Kontrola i bezpieczeństwo Modyfikacja danych na poziomie IP i TCP/UDP Optymalizacja ruchu

4 Iptables podstawowe pojęcia Reguła zestaw warunków determinujący dalszy los pakietu. Łańcuch zbiór reguł pod kątem których sprawdzany jest pakiet. Tablica zestaw łańcuchów zapewniający konkretną funkcjonalność systemu (filter, nat, mangle)

5 Reguły, łańcuchy, tablice - przykład Chain INPUT (policy DROP 301K packets, 24M bytes) pkts bytes target prot opt in out source destination K ACCEPT icmp -- * * / / ACCEPT all -- lo * / /0 reguła Chain FORWARD (policy DROP 143K packets, 9024K bytes) pkts bytes target prot opt in out source destination 3850K 727M DROP all -- eth0 * / /0 4389K 3334M ACCEPT all -- ppp0 * / /0 łańcuch Chain OUTPUT (policy ACCEPT 45M packets, 43G bytes) pkts bytes target prot opt in out source destination 221K 31M DROP all -- * ppp / /0 2825K 3655M DROP all -- * * / /8 tablica

6 Trawersacja pakietu przez mechanizm netfiltra PREROUTING mangle nat (DNAT) POSTROUTING mangle nat (SNAT) FORWARD DECYZJA RUTINGU filter mangle INPUT filter mangle PROCES LOKALNY OUTPUT filter mangle nat

7 iptables ogólna składnia iptables komenda łańcuch kryteria -j cel,decyzja Przykłady: iptables -A INPUT -i eth0 -j DROP iptables -I FORWARD -s p tcp -j ACCEPT

8 iptables - Operacje na łańcuchach, spis komend (fragment) Komenda Opis Przykład -A, --append -D, --delete -I, --instert -L, --list -F, --flush Dodanie reguły do łańcucha (na końcu) Usunięcie podanej reguły z łańcucha Wstawienie reguły do łańcucha (na początek) Wypisanie wszystkich reguł w łańcuchu Opróżnienie łańcucha ze wszystkich reguł -A INPUT -i eth0 -j DROP -D INPUT -i eth0 -j DROP -D INPUT 1 -I INPUT -i eth0 -j DROP -L INPUT -F INPUT -P INPUT DROP -P, --policy Ustawienie polityki dla łańcucha -P OUTPUT ACCEPT -Z, --zero Zerowanie licznika łańcucha -Z FORWARD -N, --new Tworzenie nowego łańcucha -N test

9 iptables - Kryteria dopasowania pakietu (fragment) Kryterium Opis Przykład -p protokół -p tcp -p! icmp -s Adres źródłowy -s s! /8 -d Adres docelowy -d i Interfejs przychodzący -i eth0 -i! ppp0 -o Interfejsc wychodzący -o wlan0 --dport Port docelowy --dport 80 --dport! 22 --sport Port źródłowy --sport syn Pakiet rozpoczynający sesje TCP --tcp-flags Rodzaj flag tcp --tcp-flags SYN,ACK --icmp-type Rodzaj komunikatu ICMP --icmp-type echo-reply --fragment Pakiet fragmentu

10 iptables - Kryteria rozszerzone (-m moduł) Kryterium Opis Przykład --mac-source Adres sprzetowy MAC --mac-source 00:60:08:91:cc:b7 --limit Limit predkości przesyłania --limit 1/s pakietów --limit 30/m --ttl-eq Wartość pola TTL --ttl-eq 64 --uid-owner UID procesu do którego należy gniazdo --uid-owner days Dzień tygodnia --days mon,tue --src-cc Kraj z którego pochodzi pakiet (baza GEOIP) --src-cc pl,uk --average Średnie prawdopodobieństwo --average 33

11 iptables - Decyzja (cel, Cel 'target') Opis -j ACCEPT Akceptacja pakietu -j DROP Odrzucenie pakietu -j LOG Logowanie pakietu (bez podjęcia decyzji) -j REJECT Odrzucenie pakietu z wysłaniem informacji do nadawcy(icmp) -j RETURN Brak podjęcia decyzji (przydatne jako funkcja licznika pakietów) -j MASQUARADE Dokonanie operacji SNAT -j MIRROR Zamiana adresu źródłowego z docelowym -j QUEUE Kolejkowanie pakietu dla programu zewnętrznego

12 iptables Inne tablice (-t nat) Tablica NAT Używana gdy istnieje potrzeba skorzystania z mechanizmu sieciowej translacji adresów iptables t nat A POSTROUTING o ppp0 j SNAT to source iptables t nat A POSTROUTING o ppp0 j MASQUERADE iptables t nat A PREROUTING i ppp0 p tcp dport j DNAT \ to :46629 iptables t nat A PREROUTING i eth0 p tcp dport 80 j REDIRECT\ to port 8192 Tablica Mangle Używana gdy istnieje potrzeba zaawansowanej modyfikacji pakietów (np. pola TTL, TOS, mark,flag TCP, itp.) iptables t mangle A POSTROUTING p icmp j ROUTE oif eth1 iptables t mangle A POSTROUTING p icmp j TTL ttl inc 1 iptables t mangle A POSTROUTING p icmp j TOS set tos 0x10

13 Trawersacja pakietu przez mechanizm netfiltra iptables N test iptables A INPUT <kryteria> j test iptables nl <-- tworzenie nowego łańcucha <-- skok do nowego łańcucha <-- wyświetlenie reguł we wszystkich łańcuchach Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT icmp / /0 test tcp / /0 ACCEPT udp / /0 Chain test (1 references) target prot opt source destination DROP all /0 ACCEPT all / Koniec trawersacji! [1] [2] [3] Pakiet TCP SRC= DST=

14 Trawersacja pakietu przez mechanizm netfiltra - c.d. iptables N test iptables A INPUT <kryteria> j test iptables nl <-- tworzenie nowego łańcucha <-- skok do nowego łańcucha <-- wyświetlenie reguł we wszystkich łańcuchach Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT icmp / /0 test tcp / /0 ACCEPT udp / /0 Chain test (1 references) target prot opt source destination DROP all /0 ACCEPT all / Koniec trawersacji! [1] [2] [3] Pakiet UDP SRC= DST=

15 Trawersacja pakietu przez mechanizm netfiltra - c.d. iptables N test iptables A INPUT <kryteria> j test iptables nl <-- tworzenie nowego łańcucha <-- skok do nowego łańcucha <-- wyświetlenie reguł we wszystkich łańcuchach Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT icmp / /0 test tcp / /0 ACCEPT udp / /0 Chain test (1 references) target prot opt source destination DROP all /0 ACCEPT all / Koniec trawersacji! [6] [1] [2] [3] [4] Pakiet TCP SRC= DST=

16 Firewalling dobre praktyki Utrzymuj możliwie jak najmniejszą liczbę reguł Nie dubluj kryteriów w kolejnych regułach Nastawiaj reguły na odp. komputerach Reguły o największym prawdopodobieństwie trafienia ustawiaj najwcześniej Używaj własnych łańcuchów dla przejrzystości zapisu

17 Tematyka wykładu 3 podsumowanie mechanizm trawersacji pakietów w jądrze Linux części składowe iptables: reguły, łańcuchy, tablice kryteria dopasowania (ang. matching) pakietu, operacje na łańcuchach, decyzje. przykłady działania iptables firewalling dobre praktyki