Joan: /* Permetre Tràfic d'Entrada en Ports Específics */

2014-02-18T18:46:34Z

Permetre Tràfic d'Entrada en Ports Específics

Pàgina nova

=Referències=
*https://help.ubuntu.com/community/IptablesHowTo
Manual IpTables
*pdf: http://www.netfilter.org/documentation/HOWTO/packet-filtering-HOWTO.html
*web: http://es.tldp.org/Manuales-LuCAS/doc-iptables-firewall/doc-iptables-firewall.pdf

*http://www.pello.info/filez/firewall/iptables.html

=iptables=
Iptables és un tallafoc/firewall, instal.lat per defecte en les distribucions Linux. Quan instal.les Ubuntu, iptables ja hi és, però està configurat per defecte per permetre tot el tràfic. A més, Ubuntu ve amb ufw, ja vist en la pràctica anterior, que treballa amb iptables d'una manera més fàcil.

Igual que en la pràctica anterior, treballaràs amb dos ordinadors: el que farà de firewall i on corren diferents serveis, i el que fa de màquina que es vol connectar. En aquest tutorial l'ordinador servidor-firewall del professor és el 192.168.1.130, i ho hauràs de substituir per la teva IP. Treballareu per parelles i s'aniran fent les proves que es comenten en aquest tutorial.
===Comandes bàsiques===
Per llistar les regles que hi ha definides a iptables:
<pre>
$ sudo iptables -L
</pre>
Si acabes d'instal.lar un servidor no tindràs regles, i senzillament veuràs:
<pre>
Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination
</pre>
En realitat el professor (i l'alumne) obtindrà un llistat d'informació molt més gran, relacionat amb ufw. Com que nosaltres venim de la pràctica anterior, on hem estat treballant amb el firewall '''ufw''', seria bo resetejar i deshabilitar aquest firewall.
<pre>
$ sudo ufw reset

$ sudo ufw disable
Firewall stopped and disabled on system startup
</pre>
<pre>
$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ufw-before-logging-input all -- anywhere anywhere
ufw-before-input all -- anywhere anywhere
ufw-after-input all -- anywhere anywhere
ufw-after-logging-input all -- anywhere anywhere
ufw-reject-input all -- anywhere anywhere
ufw-track-input all -- anywhere anywhere

Chain FORWARD (policy ACCEPT)
target prot opt source destination
ufw-before-logging-forward all -- anywhere anywhere
ufw-before-forward all -- anywhere anywhere
ufw-after-forward all -- anywhere anywhere
ufw-after-logging-forward all -- anywhere anywhere
ufw-reject-forward all -- anywhere anywhere

Chain OUTPUT (policy ACCEPT)
target prot opt source destination
ufw-before-logging-output all -- anywhere anywhere
ufw-before-output all -- anywhere anywhere
ufw-after-output all -- anywhere anywhere
ufw-after-logging-output all -- anywhere anywhere
ufw-reject-output all -- anywhere anywhere
ufw-track-output all -- anywhere anywhere

Chain ufw-after-forward (1 references)
target prot opt source destination

Chain ufw-after-input (1 references)
target prot opt source destination

Chain ufw-after-logging-forward (1 references)
target prot opt source destination

Chain ufw-after-logging-input (1 references)
target prot opt source destination

Chain ufw-after-logging-output (1 references)
target prot opt source destination

Chain ufw-after-output (1 references)
target prot opt source destination

Chain ufw-before-forward (1 references)
target prot opt source destination

Chain ufw-before-input (1 references)
target prot opt source destination

Chain ufw-before-logging-forward (1 references)
target prot opt source destination

Chain ufw-before-logging-input (1 references)
target prot opt source destination

Chain ufw-before-logging-output (1 references)
target prot opt source destination

Chain ufw-before-output (1 references)
target prot opt source destination

Chain ufw-reject-forward (1 references)
target prot opt source destination

Chain ufw-reject-input (1 references)
target prot opt source destination

Chain ufw-reject-output (1 references)
target prot opt source destination

Chain ufw-track-input (1 references)
target prot opt source destination

Chain ufw-track-output (1 references)
target prot opt source destination
</pre>
Veiem que continuem tenint informació relacionada amb la pràctica de la setmana passada (encara que totes les regles relacionades amb ''ufw'' són permissives). Si realment volem deixar les taules iptables netes del tot i resetejades, hem d'utilitzar l'opció -F (flush):
<pre>
$ sudo iptables -F
</pre>
o millor -X (--delete-chain):
<pre>
$ sudo iptables -X
</pre>

===Opcions d'Iptables bàsiques===
A continuació es mostren les comandes bàsiques que s'utilitzen amb '''iptables'''. No et preocupis si no ho entens tot ara mateix, però repassa aquesta llista d'opcions a mesura que te les vagis trobant.

*-A - Append this rule to a rule chain. Valid chains for what we're doing are INPUT, FORWARD and OUTPUT, but we mostly deal with INPUT in this tutorial, which affects only incoming traffic.
*-L - List the current filter rules.
*-m conntrack - Allow filter rules to match based on connection state. Permits the use of the --ctstate option.
*--ctstate - Define the list of states for the rule to match on. Valid states are:
**NEW - The connection has not yet been seen.
**RELATED - The connection is new, but is related to another connection already permitted.
**ESTABLISHED - The connection is already established.
**INVALID - The traffic couldn't be identified for some reason.
*-m limit - Require the rule to match only a limited number of times. Allows the use of the --limit option. Useful for limiting logging rules.
**--limit - The maximum matching rate, given as a number followed by "/second", "/minute", "/hour", or "/day" depending on how often you want the rule to match. If this option is not used and -m limit is used, the default is "3/hour".
*-p - The connection protocol used.
*--dport - The destination port(s) required for this rule. A single port may be given, or a range may be given as start:end, which will match all ports from start to end, inclusive.
*-j - Jump to the specified target. By default, iptables allows four targets:
**ACCEPT - Accept the packet and stop processing rules in this chain.
**REJECT - Reject the packet and notify the sender that we did so, and stop processing rules in this chain.
**DROP - Silently ignore the packet, and stop processing rules in this chain.
**LOG - Log the packet, and continue processing more rules in this chain. Allows the use of the --log-prefix and --log-level options.
*--log-prefix - When logging, put this text before the log message. Use double quotes around the text to use.
*--log-level - Log using the specified syslog level. 7 is a good choice unless you specifically need something else.
*-i - Only match if the packet is coming in on the specified interface.
*-I - Inserts a rule. Takes two options, the chain to insert the rule into, and the rule number it should be.
**-I INPUT 5 would insert the rule into the INPUT chain and make it the 5th rule in the list.
*-D elimina una regla
-R reemplaça una regla
*-v - Display more information in the output. Useful for if you have rules that look similar without using -v.
*-s --source - address[/mask] source specification
*-d --destination - address[/mask] destination specification
*-o --out-interface - output name[+] network interface name ([+] for wildcard)
*-F, --flush [chain]. Flush the selected chain (all the chains in the table if none is given). This is equivalent to deleting all the rules one by one.

===Permetre Sessions Establertes (Established)===
Podem permetre sessions ''establertes'' per tal de permetre la rebuda de tràfic:
<pre>
$ sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
</pre>
(Important no ficar espais als dos costats de la coma a ''ESTABLISHED,RELATED'')

Si la línia de dalt no funciona, podries estar en una VPS castrada el proveïdor de la qual no ha habilitat l'extensió, i aleshores et podria funcionar:
<pre>
$ sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
</pre>

===Permetre Tràfic d'Entrada en Ports Específics===
Podríem començar blocant tot el tràfic, però és una pràctica habitual connectar-se als servidors via SSH, i així doncs haurem de permetre SSH abans de bloquejar tots els altres serveis.

Per permetre el tràfic d'entrada en el port per defecte de SSH (22), podem escriure a les iptables de permetre el tràfic TCP en aquest port:
<pre>
$ sudo iptables -A INPUT -p tcp --dport ssh -j ACCEPT
</pre>
Referint-los a la llista d'opcions de més amunt, podem veure que li estem dient a les iptables:
*afegir aquesta regla a la cadena d'entrada (-A INPUT), i així mirarem el tràfic d'entrada.
*mirem si és el protocol TCP (-p tcp).
*si és el cas, mirem si l'entrada va la port SSH (--dport ssh).
*si és el cas, acceptem l'entrada (-j ACCEPT).

Anem a mirar com han quedat les regles: (només es mostren les primeres)
<pre>
$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
</pre>
Ara anem a habilitar tot el tràfic web:
<pre>
$ sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
</pre>
<pre>
$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
ACCEPT tcp -- anywhere anywhere tcp dpt:www
</pre>
Hem permès explícitament el tràfic TCP en els ports SSH i WEB, però com que no hem blocat res, de fet tot el tràfic d'entrada encara pot entrar.

===Bloquejar tot el tràfic===
Un cop s'ha pres la decisió d'acceptar un paquet, no hi ha altres regles que l'afectin. Les regles d'acceptar SSH i WEB són les primeres de totes, i la regla per bloquejar tot la resta de tràfic ha de venir després. El que hem de fer és posar la regla de bloquejar-ho tot al final de tot:
<pre>
$ sudo iptables -A INPUT -j DROP
$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
ACCEPT tcp -- anywhere anywhere tcp dpt:www
DROP all -- anywhere anywhere
</pre>
No hem especificat cap interfície ni protocol, i així doncs es bloqueja tot el tràfic per qualsevol port i interfície (excepte per web i ssh).

Resumint, estic acceptant SSH i WEB (que de fet ja estaven permesos), i estic blocant la resta. Per exemple, un dels serveis que tenim en el servidor i que ara es veurà afectat per aquesta política restrictiva és telnet:
<pre>
$ telnet 192.168.1.130
</pre>
No ens podem connectar. Com que la regla és un DROP, el missatge que obtenim és un ''timed out'' (no hi ha resposta del servidor). Si haguéssim fet un ''REJECT'' en comptes d'un ''DROP'' el missatge hagués sigut diferent.

De fet, ens hem quedat sense connexió a Internet (per la wireless, eth1). Llegir l'apartat següent per tornar a recuperar la connexió a Internet.

===Editing iptables===

The only problem with our setup so far is that even the loopback port is blocked. We could have written the drop rule for just eth0 by specifying -i eth0, but we could also add a rule for the loopback. If we append this rule, it will come too late - after all the traffic has been dropped. We need to insert this rule before that. Since this is a lot of traffic, we'll insert it as the first rule so it's processed first.
<pre>
$ sudo iptables -I INPUT 1 -i lo -j ACCEPT

$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
ACCEPT tcp -- anywhere anywhere tcp dpt:www
DROP all -- anywhere anywhere
</pre>
La primera línia és la que acabem d'afegir, però de fet no veiem massa la diferència amb la línia última, així que utilitzarem l'opció -v per veure més detall i veure com la primera línia fa referència a ''loopback''.
<pre>
$ sudo iptables -L -v

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- lo any anywhere anywhere
0 0 ACCEPT all -- any any anywhere anywhere state RELATED,ESTABLISHED
0 0 ACCEPT tcp -- any any anywhere anywhere tcp dpt:ssh
0 0 ACCEPT tcp -- any any anywhere anywhere tcp dpt:www
0 0 DROP all -- any any anywhere anywhere
</pre>
You can now see a lot more information. This rule is actually very important, since many programs use the loopback interface to communicate with each other. If you don't allow them to talk, you could break those programs!

Després d'això que acabem de llegir, si volem recuperar la connexió a Internet per la interfície wireless farem:
<pre>
$ sudo iptables -I INPUT 2 -i eth1 -j ACCEPT
</pre>
(serà la regla número 2). '''Nota important'''. De fet, aquesta regla està malament doncs torna a habilitar tot per la interfície eth1, i concretament ara podem tornar a fer telnet.

===Logging===
In the above examples none of the traffic will be logged. If you would like to log dropped packets to syslog, this would be the quickest way:
<pre>
$ sudo iptables -I INPUT 5 -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7
</pre>
See Tips section for more ideas on logging.

Veurem en el ''syslog'' una sortida similar a:
<pre>
$ dmesg
...
[ 6645.831770] iptables denied: IN=eth0 OUT= MAC=ff:ff:ff:ff:ff:ff:10:bf:48:0d:2c:61:08:00 SRC=192.168.7.22 DST=255.255.255.255 LEN=140 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=UDP SPT=17500 DPT=17500 LEN=120
...
</pre>

===Saving iptables===
If you were to reboot your machine right now, your iptables configuration would disappear. Rather than type this each time you reboot, however, you can save the configuration, and have it start up automatically. To save the configuration, you can use iptables-save and iptables-restore.
<pre>
$ man iptables-save
NAME
iptables-save - dump iptables rules to stdout

SYNOPSIS
iptables-save [-M modprobe] [-c] [-t table]
...
</pre>
<pre>
$ sudo iptables-save -c > /etc/iptables-rules.txt

# Generated by iptables-save v1.4.4 on Mon Feb 6 14:26:08 2012
*filter
:INPUT ACCEPT [10620:8396175]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [11735:2283398]
...
[0:0] -A INPUT -i lo -j ACCEPT
[735:530653] -A INPUT -i eth1 -j ACCEPT
...
</pre>

<pre>
$ man iptables-restore
IPTABLES-RESTORE(8) IPTABLES-RESTORE(8)

NAME
iptables-restore - Restore IP Tables

SYNOPSIS
iptables-restore [-c] [-n]
</pre>
<pre>
$ sudo iptables-restore -c < /etc/iptables-rules.txt
</pre>
===Configuració en l'inici del sistema===
L'enllaç de referència que estem seguint es va escriure per a la versió 8.04 d'Ubuntu, que ara ja queda lluny en el temps. Hi ha una sèrie de warnings sobre la incompatibilitat d'iptables (que es restrictiu per defecte), i el Network Manager de Gnome (que és permissiu per defecte). Ha passat el temps i s'ha de veure si aquests warnings encara són aplicables.

Es comenten tres mètodes per fer que les regles que hem guardat en un fitxer estiguin disponibles en l'inici del sistema. La més senzilla és la primera, es tracta d'editar el fitxer /etc/network/interfaces.
<pre>
...
iface eth1 inet dhcp
pre-up iptables-restore < /etc/iptables.rules
post-down iptables-restore < /etc/iptables.downrules
</pre>
En aquest cas tenim un fitxer amb regles que s'han d'executar just abans que la interfíce eth1 arrenqui, i un altre fitxer amb regles que s'han d'executar just després de què la interfície s'aturi.

Recordatori: Per aturar i arrencar (reconfigurar) totes les targetes de xarxa farem:
<pre>
$ /etc/init.d/networking restart
</pre>
o bé també ho puc fer manualment per a la interfície eth1:
<pre>
$ sudo ifdown eth1
There is already a pid file /var/run/dhclient.eth1.pid with pid 5630
killed old client process, removed PID file
Internet Systems Consortium DHCP Client V3.1.3
Copyright 2004-2009 Internet Systems Consortium.
All rights reserved.
For info, please visit https://www.isc.org/software/dhcp/

Listening on LPF/eth1/00:13:ce:82:8b:b0
Sending on LPF/eth1/00:13:ce:82:8b:b0
Sending on Socket/fallback
DHCPRELEASE on eth1 to 192.168.1.1 port 67
</pre>
<pre>
$ sudo ifup eth1
Internet Systems Consortium DHCP Client V3.1.3
Copyright 2004-2009 Internet Systems Consortium.
All rights reserved.
For info, please visit https://www.isc.org/software/dhcp/

Listening on LPF/eth1/00:13:ce:82:8b:b0
Sending on LPF/eth1/00:13:ce:82:8b:b0
Sending on Socket/fallback
DHCPDISCOVER on eth1 to 255.255.255.255 port 67 interval 6
DHCPDISCOVER on eth1 to 255.255.255.255 port 67 interval 15
DHCPOFFER of 192.168.1.130 from 192.168.1.1
DHCPREQUEST of 192.168.1.130 on eth1 to 255.255.255.255 port 67
DHCPACK of 192.168.1.130 from 192.168.1.1
bound to 192.168.1.130 -- renewal in 113365 seconds.
ssh stop/waiting
ssh start/running, process 5673
</pre>
===Deshabilitar el firewall===
If you need to disable the firewall temporarily, you can flush all the rules using
<pre>
$ sudo iptables -F
</pre>
or create a script:
<pre>
$ sudo joe -w /root/fw.stop

echo "Stopping firewall and allowing everyone..."
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
</pre>
Fem el script executable:
<pre>
$ sudo chmod +x /root/fw.stop
</pre>
i ja el podem executar:
<pre>
$ sudo /root/fw.stop
</pre>

=Entrega=
Recorda la '''normativa''' per entregar les pràctiques al Moodle: [[ASIX-M11-SAD#Normativa_d.27entrega_de_les_pr.C3.A0ctiques_al_Moodle]].

Entregaràs al Moodle les captures de pantalla necessàries i suficients per demostrar la realització de la pràctica, així com el fitxer ''LLEGEIX-ME.txt'' amb les teves notes.

{{Autor}}, febrer 2012
[[Categoria: IES Jaume Balmes]]
[[Categoria: ASIX-M11-SAD]]

Tallafoc/Firewall: iptables - Historial de revisió

Joan: /* Permetre Tràfic d'Entrada en Ports Específics */