kristofer fyrir 21 árum, 4 mánuðum Fjöldi lestra: 1196

JR Firewall - uppástungur og bögg :-)

Ég var að flakka um Hugann, lesa eina og eina grein, bara af rælni, og datt inn á að lesa um eldvegginn hans félaga JR.
Leiddist út í að renna glyrnunum yfir verkið sjálft, en nokkrir punktar í því stingu mig dálítið í augun.

Í fyrsta lagi langar mig til að efast um þá stefnu að loka á öryggisholur á netleveli, þegar rétta leiðin (að mínu mati)
er að loka öryggisholunum sjálfum, frekar en að hindra að nokkur komist inn að þeim…

Í öðru lagi, þá vantar path að iptables binary'inu, það er ekki víst að $PATH breytan sé rétt stillt þegar scriptan er
keyrð, gott practise að gefa upp fullt path.

Í þriðja lagi…reglurnar í scriptinu sjálfu. :-)

a)
> # Notum ekki “ICMP redirect móttöku”. Hægt er að nota slíkt til að
> # breyta “routing töflunni”, ekki sniðugt.
> /bin/echo “0” > /proc/sys/net/ipv4/conf/all/accept_redirects
> /bin/echo “0” > /proc/sys/net/ipv4/conf/$IFACE/accept_redirects

Þarna finnst mér hrópandi vitleysa vera í gangi…ICMP redirects eru notuð til að stýra pökkum rétta leið ef þeir, af
einhverjum ástæðum, eru ekki að fara rétt. Til dæmis ef pakki er að fara frá Landssímanum til Íslandssíma, ætlar yfir
RIX, RIX er bilaður, fær ICMP redirect á að fara á útlandasambönd í staðinn, fer þangað yfir, allir sáttir…en að loka
á ICMP redirect finnst mér silly.

b)
> #Port forwarding á identd.
> iptables -t nat -A PREROUTING -i $IFACE -p tcp –destination-port 113 -j DNAT –to `echo $LOCALNET | sed
's/.0$/.1/g'`-`echo $LOCALNET | sed ‘s/.0$/.253/g’`

Þetta er svosem fín regla. Hún forwardar ident…en heddnah…ykkur hefur ekki hugkvæmt að sumir séu kannski með net
hvers network addressar endar *ekki* á 0, og síðasta talan er ekki 253? T.d. ef ég ákvæði að nota 192.168.24.128/29 á
mitt innra net. Þá væri netið 192.168.24.128, maskinn 255.255.255.248 og síðasta usable talan í netinu 192.168.24.134.
Þessi regla myndi verða gagnslaus. Það er hvergi varað við þessu í commentum.

c)

> #Hjálpar að localhost megi tengjast :)
>
> iptables -A FORWARD -s 127.0.0.1/255.0.0.0 -j ACCEPT
> iptables -A FORWARD -d 127.0.0.1/255.0.0.0 -j ACCEPT
> iptables -A OUTPUT -s 127.0.0.1/255.0.0.0 -j ACCEPT

Fínt, já, auðvitað á localhost að mega tengjast…en af hverju að setja þá reglu svona seint í scriptip? Þetta er án
efa sú regla sem mest reynir á, IP tables notar first match wins, setja þessa reglu efst, svo kjarninn þurfi ekki að
fara í gegnum allan reglulistann í hvert sinn sem localhost vill tala við sjálfan sig.

Svona, sem sidenote, þá er þetta ekki localhost, heldur localnet, þegar maskinn er svona. Þetta er host address, og svo
maski…nokkuð skrýtið, rétt syntax væri network address, svo maski…en, já, skiptir svosem engu máli, nema að það
eyðir nokkrum CPU tikkum.

d)
> ## FRAGMENTS
> # Fragments eru slæmar…banna og logga!
> iptables -A INPUT -i $IFACE -f -j LOG –log-prefix “IPTABLES FRAGMENTS: ”
> iptables -A INPUT -i $IFACE -f -j DROP

Öhmm…hvaðan hefur þú það, að fragments séu slæmar? Mig grunar að vandamálið sé skortur á skilningi á því hvað
fragments eru. Fragments eru pakkar sem hafa verið bútaðir niður til að sýna að MTU (Maximum Transmission Unit), eða
hámarks pakkastærð, sendingarinnar er of stórt fyrir einhvern legg leiðarinnar. Ef ég myndi t.d. senda pakka með MTU
1500 frá tölvu 1 til tölvu 2, og pakkinn myndi fara í gegnum routera A, B og C á leiðinni:

Tölva 1 (MTU 1500) -> (MTU 1500) Router A (MTU 1500) -> (MTU 1500) Router B (MTU 1300) -> (MTU 1300) Router C (MTU 1500)
-> Tölva 2.

Eins og sjá má er MTU alls staðar 1500, nema á milli routeranna B og C. Þetta þýðir að pakkar sem fara á milli tölvu 1
og 2 komast ekki á milli, séu þeir stærri en 1300. Bömmer. TCP/IP bjargar þessu með því að fragmenta pakkana á
leiðinni, fragments berast á leiðarenda, leiðarendinn sendir ICMP_need_fragment til baka, sendandi minnkar MTU á
pökkunum sínum þangað til samskiptin virka. Æði. Allir ánægðir.

Ef annar hvor aðilinn lokar á fragments og/eða ICMP_need_fragment, hvað haldið þið að gerist? Mjújú, bara mjög litlar
sendingar komast á milli, t.d. vefsíðufyrirspurnir berast til servers, en hann getur ekki svarað með síðunum sem beðið
er um…svoleiðis freaky vandamál. Í besta falli veldur þetta pakkatapi og töfum.

Ég vil taka það skýrt fram, að svona þrengingar koma bandvídd ekkert við, það er allt annað dæmi.

e)
> #Þessar línur athuga hvort tengingarnar eigi erindi hingað inn
> #Ef þú villt líka loka á ICMP þá geturðu sleppt -p færslunum
> iptables -A INPUT -d $STATICIP -p tcp -m state –state ESTABLISHED,RELATED -j ACCEPT
> iptables -A INPUT -d $STATICIP -p udp -m state –state ESTABLISHED,RELATED -j ACCEPT
> iptables -A FORWARD -m state –state NEW -i ! $IFACE -j ACCEPT

Þessar línur leyfa TCP og UDP sem tilheyrir tengingum í gangi…fínt. En það sem fellur ekki undir þessar reglur…því
er hafnað??? Ég leyfi mér að gera athugasemd við það. Traceroute, sem margir kannast við, notar UDP á sérstökum
portum, þetta lokar á það.

Ef notandi scriptsins asnast svo til að álíta það sniðugt að loka á ICMP, eins og commentarnir virðast ýta undir, þá
lokar hann t.d. á ICMP_need_fragment, sem ég minntist á áðan, ICMP unreachable skilaboð, og margt fleira.

Ef maður er staddur bak við eldvegg sem neitar ICMP þýðir það að öll status skilaboð á tengingum manns komast *ekki* til
skila. Ef maður reynir að tengjast við vél á porti sem er ekki actívt (t.d. reynir að tengjast við vefþjón sem er ekki
að svara), þá verður maður að bíða eftir því að tengingin tími út hjá manni sjálfum, því að ICMP
host/network/protocol/port unreachable skilaboðin berast ekki. Einnig tefur þetta fyrir fólki sem ætlar að tengjast við
mann (ef maður hefur t.d. einhverjar þjónustur sjálfur).

Segjum að mig langi til að keyra FTP þjón bak við JR Firewall. Það er alls ekki óvenjulegt að mann langi til að keyra
slíkt til að skiptast á leikjapötchum, kortum eða whatever…

Einhver tengist við FTP'inn. FTP'inn spyr hann um ident. Hann er ekki að keyra ident, svo hann svarar með ICMP
unreachable. Eldveggurinn minn blokkar það. Ég fæ skilaboðin ekki. Ég bíð enn…bara þangað til það tímar út.
Niðurstaða: tengingar við FTP'inn minn taka lágmark 30 sek. Æði, ha?

Jæja, þetta er bara svona, það sem stakk helst í augun við að renna yfir scriptið. Annars er þetta fínt framtak, fínt
að hjálpa fólki að setja þetta upp, og ég vona að ég sé ekki að móðga neinn með þessu smáböggi mínu. :-)

–
Kristó

add1 fyrir 21 árum, 4 mánuðum

allveg efni í góða umræðu :)

Addi

Fyrra álit

valligu fyrir 21 árum, 4 mánuðum

já, ég skildi ekki helminginn af því sem þú skrifaðir en allt virðist vera vel rökstutt.

Hvernig er það, verður eldveggurinn eitthvað uppfærður í framhaldi af þessu? Væri ekki verra ef einhver nennir að sýna núbum eins og mér hvernig á að laga þetta.

;)
kv.
valur@leti.is

Fyrra álit

Hoddi fyrir 21 árum, 4 mánuðum

a)
Það er ekki biðlarans að vita hvaða leið skal fara. Honum er yfirleitt nóg að vita eina sjálfgefna gátt, sem svo sér um að koma pökkunum áfram.

b)
Ætti ekki að vera nóg að flæða þessu á broadcast? Eða jafnvel enn betra, setja upp identd á vélinni sjálfri. Mæli ég þá með oidentd til slíks brúks.

c)
Tja, eru ekki tvær fyrri línurnar óþarfar? Átt allavegana aldrei að fá pakka með 127/8 addressu á forward keðjuna.

d)
Fragments í sjálfu sér eru ekki það slæm. Málið er hinsvegar að netfilter púslar ekki saman fragments fyrir meðhöndlun, heldu fer bara yfir fyrsta pakkan, og áframsendir svo hina blint.

e)
Tja, það er nú ekkert verið að kvetja fólk til að loka á icmp, einungis verið að benda á möguleikan. :)

Þúrt fíbbl Kristó! :=)

Kveðja

Hörður aka Hörðru

Fyrra álit

kristofer fyrir 21 árum, 4 mánuðum

H0ddi,

a) Rétt - oftast. En almennt (að mínu áliti) er tilgangslaust og beinlínis rangt að loka á eitthvað, bara til að loka á það. ICMP redirects hafa fleiri kosti en galla, þau eru til af ástæðu.

b) Sammála, en minni gagnrýni var beint að aðferðinni við að gera þetta, frekar en að aðgerðinni sjálfri.

c) Júmm, myndi segja það. Tók ég það ekki fram í greininni, annars?

d) Það á ekki að púsla saman fragments, þeir eru notaðir til að segja að það þurfi að minnka MTU'ið. Að loka á þá tefur og skemmir fyrir samskiptum.

e) Let's face it - ef maður er nýliði, og les þessa commenta, sérstaklega eins og firewall umræðan er í dag, þá finnst manni mjög sniðugt að fylgja leiðbeiningunum og loka á ICMP. ;)

Er það ekki líka í og með tilgangur veggsins að fræða fólk og benda því á góðar leiðir til að verja sig og sína?

Fíbbl sjálfur (*últramóðg*)! :-)

–
Kristó

Fyrra álit

JReykdal fyrir 21 árum, 4 mánuðum

Ágætis punktar en svaraverðir.

Er það mitt að segja til um hvar iptables er installað? Það gæti vel lent í /usr/local/ ef þeim er bætt við eftirá (ólíklegt en skítur skeður).

Þetta er ekki kennsla í að gera sjálft systemið öruggt. Það væri efni í maaaargar greinar eins og fjöldi bóka um það mál gefur til kynna. Það að loka vel fyrir mögulegar holur er ekki verra en að skilja notendur eftir með allar buxnaklaufar opnar.

Einnig virðist þú vera að gagnrýna meira en ársgamla útgáfu því í lið b) er efni sem er farið út auk þess sem það var sett inn með fyrirvara um virkni.

Það eru að vísu til betri leiðir en að banna alla fragmenta eins og að gera það á kernel level og er án efa vert að breyta því.

Einnig er ekki verið að loka fyrir ICMP, bara verið að gefa sénsinn á því ef einhver er þannig þenkjandi.

Varðandi accept_redirects þá lokar þetta ekki á _alla_ redirects heldur eingöngu það sem ekki er tengt þessari tölvu. Því router routerar öllu og jafnvel icmp redirect boðum sem fara á flakk (gerist víst oft) og koma þinni vél ekkert við. Þetta kallast “Reverse Path Filtering”. Það mætti bæta við nokkrum línum tengdu þessu við ellegar að malla sérstakt apparat sem fiktar í /proc/sys/net… og halda því fyrir utan Iptables. Seinni tíma vandamál :).

Ég get ekki stjórnað því hvaða þjónustur notendur keyra á sínum vélum og því verða þeir sem vilja keyra ftp að bjarga sér að mestu sjálfir.

Jæja…þarf að halda áfram að vinna og þakka fyrir ábendingar og umræður um “reykvegginn” :)

JReykdal

Fyrra álit

kristofer fyrir 21 árum, 4 mánuðum

JReykdal,

> Er það mitt að segja til um hvar iptables er installað? Það gæti vel lent í /usr/local/ ef þeim er bætt við eftirá (ólíklegt en skítur skeður).

Mér finnst reyndar /usr/local mjög lógísk staðsetning fyrir iptables, undir ákveðnum kringumstæðum. ;)

Sko, ég hefði sett einhverju breytu efst með þessu, t.d.:

IPTABLES=/usr/sbin/iptables

$IPTABLES -A FORWARD -s ble -d ble -j bla

> Þetta er ekki kennsla í að gera sjálft systemið öruggt. Það væri efni í maaaargar greinar eins og fjöldi bóka um það mál gefur til kynna. Það að loka vel fyrir mögulegar holur er ekki verra en að skilja notendur eftir með allar buxnaklaufar opnar.

Jahh…já og nei…mér finnst það rangt approach, en það er kannski fyrir utan þetta mál. Það er auðvitað rétt að það er mun auðveldara að loka aðgangi að öryggisholum en að loka holunum sjálfum. Það bara sker mig svakalega í augun að sjá þetta, vegna þess að mér finnst sú stefna svo röng. :-)

> Varðandi accept_redirects þá lokar þetta ekki á _alla_ redirects heldur eingöngu það sem ekki er tengt þessari tölvu. Því router routerar öllu og jafnvel icmp redirect boðum sem fara á flakk (gerist víst oft) og koma þinni vél ekkert við. Þetta kallast “Reverse Path Filtering”. Það mætti bæta við nokkrum línum tengdu þessu við ellegar að malla sérstakt apparat sem fiktar í /proc/sys/net… og halda því fyrir utan Iptables. Seinni tíma vandamál :).

Athyglisverður punktur. En þar sem þú virðist alltaf miða við að þetta sé NAT eldveggur, þá eiga ICMP redirect pakkarnir einmitt frekar erindi við hann en clientana, þeir fara því til hans, og enda í þessum blokk.

> Ég get ekki stjórnað því hvaða þjónustur notendur keyra á sínum vélum og því verða þeir sem vilja keyra ftp að bjarga sér að mestu sjálfir.

Ég tók FTP nú bara sem dæmi - þetta gildir um öll samskipti, en sérstaklega ef einhver er að tengjast við mann einhverra hluta vegna. Þú hefur stuðning fyrir vefþjóna í scriptinu, af hverju ekki FTP? :-)

Að lokum vil ég nú minnast á að þetta orð, “reykveggur”, er ekki frá mér komið, og ætlun mín er alls ekki að skíta yfir þig eða projectið þitt, þvert á móti. ;)

–
Kristó

Fyrra álit

iar fyrir 21 árum, 4 mánuðum

“Jahh…já og nei…mér finnst það rangt approach, en það er kannski fyrir utan þetta mál. Það er auðvitað rétt að það er mun auðveldara að loka aðgangi að öryggisholum en að loka holunum sjálfum. Það bara sker mig svakalega í augun að sjá þetta, vegna þess að mér finnst sú stefna svo röng. :-)”

Tjah.. er það svo rangt? Þetta er spurning um að hafa fleiri en eina varúðarráðstöfun.

Þó ekki væri nema ef öryggishola kemur upp tveimur tímum eftir að þú ert farinn í mánaðarlangt frí til Síberíu.

Einnig er gott að hafa eldvegg ef þú ræsir upp þjónustu (óvart eða í tilraunaskyni) sem er uppfærð í botn en á eftir að stilla svo hún gefi ekki upp viðkvæmar upplýsingar. Hvað ef þú ert búinn að setja MySQL grunninn þinn upp þannig að hann keyri eingöngu á loopback og svo keyrirðu inn uppfærslu á honum sem resettar þetta og allt í einu er MySQL grunnurinn þinn opinn fyrir alla til að reyna við lykilorðin þín.

Firewall, vel uppfært kerfi og rétt notkun. Þetta eru allt hlutar af öruggu kerfi. Því fleiri því betra.

Fyrra álit

kristofer fyrir 21 árum, 4 mánuðum

Já, annað sem ég gleymdi að svara…varðandi að hafa verið að gagnrýna gamla útgáfu af veggnum, þá eru það alfarið mín mistök…hélt að þetta nýjasta undir eldveggnum væri bara umræða, en ekki ný útgáfa. Sorry. ;)

Flestir punktarnir í greininni minni eiga samt alveg eins við nýjustu útgáfuna sýnist mér, svo þetta sleppur…

–
Kristó

Fyrra álit

Apollos fyrir 21 árum, 4 mánuðum

Hvernig væri þá að fleiri settu fram sínar hugmyndir af eldveggs configgi?
Væri gaman að sjá fleiri möguleika í eldveggjargerðinni.

Apollos

Fyrra álit

Serbinn fyrir 21 árum, 4 mánuðum

www.fwbuilder.org

Fyrra álit

add1 fyrir 21 árum, 4 mánuðum

Mér finnst fólk voðalega fljótt upp á móti öllum hérna.

Ég vill bara nota tækifærið og þakka JReykdal fyrir einfaldlega að hafa -nennt- að standa í að setja upp mjög auðveldan og þæginlegan eldvegg sem held að all margir hérna á íslandi sem eru með heimilsrouter með linux á noti.

Addi

Fyrra álit

CptAhab fyrir 21 árum, 3 mánuðum

Sælir. Þetta er fyrsta greinin sem ég svara og fyrsta skiptið mitt á huga.. víí..

dæmi um aðferð fyrir þá sem eru latir. ( eins og ég (bofh) )

mín leið er að nota hosts.deny (any:any) og hosts.allow (til að opna það sem þarf)

svo eitthvað smá pillerí við iptables eins og masq regla og kanski eitthvað pat v/ ident eða netmeeting .. en þá nota ég altaf source_ip + dest_ip/port . jafnvél einhverjar reglur til að logga einhverja sérstaka umferð ..

annars er hægt að nota scriptur eins og þessi:
http://www.ppgia.pucpr.br/servicos/techdocs/lin ux/securing-redhat/Securing-Optimizing-Linux-RH-Edition -v1.3/chap11sec102.html

ef einhverjum langar að komast inná netkerfi þitt svakalega mikið þá er yfirleittt léttasta leiðin að mæta á svæðið og berja úr þér lykilorð og stela svo tölvur þínar..

friður.

kv, Ahab

Fyrra álit

CptAhab fyrir 21 árum, 3 mánuðum

þessi slóð sem fylgir með hjá mér er eitthvað skrytinn.. reyni aftur

http://www.ppgia.pucpr.br/servicos/techdocs/li nux/securing-redhat/Securing-Optimizing-Linux-RH-Editio n-v1.3/chap11sec102.html

kv, Ahab

Fyrra álit

neonljos fyrir 21 árum, 3 mánuðum

Ég veit nú bara til þess að all margir félagar mínir eru með “reykvegginn” og hann hefur reynst þeim vel, en svo er alltaf gaman að fá comment á alla hluti, bara mismikla aftur á móti.

Fyrra álit

Kwai fyrir 21 árum, 2 mánuðum

Já, ég er búinn að nota þennan eldvegg lengi og er mjög sáttur. Og fyrir svona þumba eins og mig sem gleyma að uppfæra (þrátt fyrir up2date) þá er bara snilld að loka á sem flest.
Go JR! :)

Kwai

Fyrra álit

Lexington fyrir 21 árum, 2 mánuðum

Þetta er bara nokkuð góð grein. Frekar sterkir commentar.
Keep at it!

Fyrra álit

Linux

Linux

Ofurhugar

Stjórnendur

Hverjir eru inni

Greinar

JR Firewall - uppástungur og bögg :-)

Dýr

Dægurmál

Fræði

Leikir

Lífið

Lífsstíll

Margmiðlun

Menning

Skjár

Sport

Tónlist

Tækni

Vélar

Hugi