Firewall na połączeniu modemowym w FreeBSD

1. Wstęp

Firewall na połączeniu modemowym w FreeBSD

Niniejszy artykuł opisuje konfigurację firewalla w FreeBSD w przypadku, gdy adres IP przydzielany jest dynamicznie przez dostawcę usług internetowych. Dołożono wszelkich starań, aby artykuł zawierał przydatne informacje i był wolny od błędów, jednakże wszelkie uwagi i sugestie są mile widziane, proszę kierować je do <marcs@draenor.org>.

2. Opcję jądra

Na początek będziemy musieli przekompilować jądro. Wiecej informacji na temat kompilowania jądra znaleźć można w części Podręcznika poświęconej konfiguracji jądra. Do pliku konfiguracyjnego jądra dopisujemy następujące opcje:

Można dopisać jeszcze kilka wierszy opcjonalnych, które zwiększają poziom bezpieczeństwa. Firewall pracuje poprawnie również bez nich, jednakże bardziej ostrożni użytkownicy mogą zechcieć z nich skorzystać.

Po kompilacji jądra nie trzeba od razu przeładowywać systemu. Jeśli wszystko pójdzie zgodnie z planem, wystarczy jedno przeładowanie po ukończeniu konfiguracji firewalla.

3. Uruchamianie firewalla w /etc/rc.conf

Trzeba teraz wprowadzić pewne zmiany w /etc/rc.conf, by uwzględniał on firewalla. Dodajemy następujące linijki:

firewall_enable="YES"
firewall_script="/etc/firewall/fwrules"
natd_enable="YES"
natd_interface="tun0"
natd_flags="-dynamic"

Informacje na temat działania powyższych poleceń można znaleźć w /etc/defaults/rc.conf oraz rc.conf(5).

4. Wyłączenie tłumaczenia adresów przez PPP

Jeżeli wykorzystywane jest tłumaczenie adresów sieciowych wbudowane w PPP, trzeba będzie je wyłączyć. W naszych przykładach tłumaczeniem zajmuje się natd(8).

Fragment pliku odpowiedzialny za automatyczne uruchomienie PPP wygląda zapewne tak:

ppp_enable="YES"
ppp_mode="auto"
ppp_nat="YES"
ppp_profile="profile"

Jeśli tak właśnie jest, trzeba będzie wyłączyć ppp_nat wpisując ppp_nat="NO" w /etc/rc.conf. Ponadto należy usunąć wpisy nat enable yes lub alias enable yes w /etc/ppp/ppp.conf.

5. Reguły firewalla

Większość pracy mamy już za sobą. Pozostało już tylko ustalenie reguł firewalla, po czym będzie można dokonać przeładowania systemu i powinniśmy otrzymać działającego firewalla. Zdaję sobie sprawę, że zbiór reguł zależy od indywidualnych potrzeb, starałem się jednak przygotować reguły odpowiednie dla większości użytkowników łącz komutowanych. Można je oczywiście dostosować samodzielnie, traktując poniższe reguły jako punkt wyjścia. Zacznijmy od zamkniętego firewalla: z założenia wszystkie pakiety są blokowane, przepuszczać będziemy jedynie to, co jest nam rzeczywiście potrzebne. Reguły powinny najpierw określać, co jest przepuszczane, potem co jest blokowane. Podajemy więc wszystkie reguły przepuszczające, a potem nakazujemy blokować całą resztę. :)

Stwórzmy teraz katalog /etc/firewall. W nim utwórzmy plik fwrules, zgodnie z tym, co napisaliśmy w rc.conf. Możemy oczywiście nazwać ten plik jak nam się żywnie podoba, proponowana tu nazwa jest jedną z możliwości.

Spójrzmy teraz na przykładowy plik firewalla, opatrzony komentarzami.

# Reguły firewalla
# Autor: Marc Silver (marcs@draenor.org)
# http://draenor.org/ipfw
#

# Definicja komendy firewalla (jak w /etc/rc.firewall) upraszcza
# jej wywoływanie i czyni plik bardziej czytelnym.
fwcmd="/sbin/ipfw"

# Wyczyszczenie aktualnie obowiązujących reguł.
$fwcmd -f flush

# Przekierowanie wszystkich pakietów przez interfejs tun0.
$fwcmd add divert natd all from any to any via tun0

# Przepuszczanie danych przesyłanych przez kartę sieciową i lokalnie.
# Upewnij się, że wpisałeś tu właściwą kartę (w moim przypadku fxp0)
# zanim przeładujesz system. :)
$fwcmd add allow ip from any to any via lo0
$fwcmd add allow ip from any to any via fxp0

# Przepuszczanie wszystkich połączeń nawiązywanych przez nas.
$fwcmd add allow tcp from any to any out xmit tun0 setup

# Pozwalamy, by połączenia nawiązane mogły pozostać otwarte.
$fwcmd add allow tcp from any to any via tun0 established

# Zezwolenie na połączenia z zewnątrz z określonymi usługami na
# naszej maszynie. Przykładowo dopuszczamy połączenia z ssh i apache.
$fwcmd add allow tcp from any to any 80 setup
$fwcmd add allow tcp from any to any 22 setup

# Wysyłamy RESET w odpowiedzi na pakiety ident.
$fwcmd add reset log tcp from any to any 113 in recv tun0

# Pozwalamy na wychodzące zapytania DNS do wybranych serwerów.
$fwcmd add allow udp from any to x.x.x.x 53 out xmit tun0

# I oczywiście pozwalamy im odpowiedzieć... :)
$fwcmd add allow udp from x.x.x.x 53 to any in recv tun0

# Dopuszczenie pakietów ICMP (dzięki którym działają ping i traceroute).
# Można zdecydować się na ich blokowanie, ja jednak myślę, że mi się
# przydadzą.
$fwcmd add allow icmp from any to any

# Odrzucenie całej reszty.
$fwcmd add deny log ip from any to any

Zbudowaliśmy w pełni sprawny firewall zezwalający na połączenia z portami 80 i 22, oraz rejestrujący próby połączenia z czymkolwiek innym. Po przeładowaniu systemu powinien już należycie funkcjonować. Jeżeli jakiekolwiek z podanych tu informacji okażą się błędne, bądź będą powodować problemy, proszę o zawiadomienie emailem. Mile widziane są również pomysły na ulepszenie niniejszej strony.

6. Pytania

	    % cd /etc/firewall
	    /etc/firewall% su
	    Password:
	    /etc/firewall# mv fwrules fwrules_tun0
	    /etc/firewall# cat fwrules_tun0 | sed s/tun0/ppp0/g > fwrules
	  

	    % ifconfig
	    (nieistotne...)
	    ppp0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1524
                    inet xxx.xxx.xxx.xxx -************-> xxx.xxx.xxx.xxx netmask 0xff000000
	    (nieistotne...)
	    

	    % ifconfig
	    (nieistotne...)
	    ppp0: flags=8010<POINTOPOINT,MULTICAST> mtu 1500
	    (nieistotne...)
	    tun0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1524
	            (nieistotne IPv6...)
                    inet xxx.xxx.xxx.xxx -************-> xxx.xxx.xxx.xxx netmask 0xffffff00
                    Opened by PID xxxxx
            (nieistotne...)