plik

Dla początkujących

Firewall w Linuksie

styczeń 2009

Dla początkujących

Firewall w Linuksie

www.lpmagazine.org

lin

ftw

Firewall w Linuksie

Aby zrozumieć pojęcie firewalla należy poznać podstawy działania sieci, jako, że najpopularniejszym
transportem w Internecie jest dzisiaj protokół IPv4 (jednakże większość informacji tu zawartych jest
analogicza do IPv6), zajmę się właśnie nim i warstwami zbudowanymi na nim, czyli TCP i UDP.

Piotr Podusowski

ażda  sieć  komputerowa  (w  tym  także  In-
ternet)  składa  się,  prócz  części  infrastruk-
tury jak routery czy kable, z hostów, które
w  dużym  uproszczniu  możemy  traktować

jak pojedyncze komputery. Hosty posiadają tzw. adres sie-
ciowy (adres IP) dzięki któremu są rozpoznawane i możli-
wa jest komunikacja między nimi poprzez protokół IP.

TCP i UDP pracują na wyższej warstwie i wzboga-

cają  pakiety  o  tzw.  numery  portów  (zwanych  niekiedy
zakończeniami)  dzięki  którym  pod  jednym  adresem  IP
może  pracować  wiele  usług.  Oznacza  to,  że  każdy  pa-
kiet TCP  lub  UDP  jest  klasyfikowany,  np.  port  80  pro-
tokołu TCP  używany  jest  do  transferów  HTTP,  a  portu
27960 protokołu UDP używa gra Quake 3 Arena. Nale-
ży zaznaczyć, że powyższe dwa protokoły mają oddziel-
ne zakresy portów, tj. port 323 w TCP nie koliduje z por-
tem 323 w UDP.

Istnieje zasadnicza różnica między TCP a UDP po-

legająca na tym, że ten pierwszy jest protokołem stru-
mieniowym, co znaczy, że po pierwsze - aby przesyłać
dane musi zostać ustanowione połączenie (czasami zwa-
ne też sesją TCP), po drugie – protokół gwarantuje do-

starczenie danych w kolejności w jakiej zostały wysłane,
a po trzecie – jeżeli pakiet zostanie utracony, zostaje on
w sposób automatyczny ponownie przesłany, a programi-
sta zostaje powiadomiony wyjątkiem o ewentualnym ze-
rwaniu połącznia. UDP jest przeciwieństwem wszystkich
tych cech, tzn. nie mamy pewności czy wysłane pakiety
dojdą w kolejności ich wysłania, a co więcej, nie wiemy
nawet czy pakiety zostaną dostarczone.

Każdy host w sieci może pełnić rolę klienta bądź ser-

wera, dla TCP znaczy to, że pewien host musi zacząć ak-
ceptować połączenia po to, aby inny host, lub grupa ho-
stów mogła ustanowić połączenie z nim, w UDP również
istnieje pojęcie nasłuchiwania i działa analogicznie z tą
różnicą, że hosty nie muszą czekać na ustanowienie po-
łączenia.

Rodzaje ataków sieciowych

Ataki można podzielić na kilka grup:

• Oprogramowanie typu trojan – atak tego typu jest

najprostszy do zrealizowania i jednocześnie najpro-
ściej jest się przed nim ochronić, polega on na za-

Dla początkujących

Firewall w Linuksie

styczeń 2009

Dla początkujących

Firewall w Linuksie

www.lpmagazine.org

aplikowaniu  dedykowanego  oprogra-
mowania  na  komputerze-ofierze,  które
pozwala  hakerowi/krakerowi  na  zdal-
ną  kontrolę.  Z  reguły  takie  konie  tro-
jańskie  po  uruchomieniu  nasłuchują
połączeń  przychodzących  od  agresora,
aczkolwiek  nic  nie  stoi  na  przeszko-
dzie, aby komunikowały się one w inny
sposób – choćby przez IRCa czy Gadu-
Gadu – wtedy są onę klientami w rozu-
mowaniu sieciowym;

• Ataki typu DoS – jest to rodzaj zapy-

chania  łącza  w  przypadku  użycia  kil-
ku maszyn agresorów (często są to tzw
komputery zombie – np. zdalnie stero-
wane  przez  oprogramowanie  typu  tro-
jan)  lub  samych  zasobów  komputera
(przez  ciągły  dostęp  np.  do  skompli-
kowanego  skryptu  preparującego  stro-
nę  WWW)  poprzez  zalewanie  kompu-
tera-ofiary  dużą  ilością  pakietów  sie-
ciowych;

• Exploity – są to metody wykorzystujące

dziury w oprogramowaniu, które często
pozwalają  na  wstrzyknięcie  i  urucho-
mienie  obcego  kodu.  Ataki  tego  typu
należą  do  najniebezpieczniejszych,  bo-
wiem  teoretycznie  narażone  są  aplika-
cje uruchomione z konta roota, z regu-
ły  jednak  serwisy  działają  pod  ograni-
czonymi uprawnieniami, co więcej zna-
lezienie  takiej  luki  jest  trudne,  a  jeśli
do  tego  dojdzie,  to  wadliwe  oprogra-
mowanie  jest  szybko  łatane,  zwłaszcza
w świecie open source;

• Phishing – atak ten w odróżnieniu od

poprzednich  nie  polega  na  wywołaniu
bezpośredniej  szkody  w  komputerze-
ofiary,  lecz  na  podszyciu  się  pod  nią,
polega  on  na  preparowaniu  pakietów
sieciowych  w  ten  sposób,  aby  wyglą-
dały one jak wysłane z innego, konkret-
nego  hosta.  Host  pod  którego  podszy-
wa się agresor może być hostem atako-
wanym  (np.  gdy  ten  posiada  dostęp  do
jakiejś usługi na podstawie IP) lub ho-
stem usługi do której atakowany komp-
ter chce uzyskać dostęp;

• Sniffing – polega na przechwyceniu

pakietów sieciowych przez agresora.
W przypadku nieszyfrowanych protoków
może to oznaczać np. przechwycenie ha-
sła lub innych poufnych informacji.

Czym jest zapora sieciowa?

Najczęstszym rodzajem zapory sieciowej
jest program filtrujący niepożądane pakie-
ty, analizując je na podstawie wprowadzo-
nych reguł. Podstawowe zapory działają już

na  warstwie  TCP  i  UDP  wykrywając  nie-
autoryzowane próby komunikacji z danym
komputerem. Taka zapora może być w po-
staci  dedykowanego  sprzętu  (niezależnego
od  jednego  bądź  kilku  komputerów,  któ-
re chroni) lub oprogramowania oraz zesta-
wu reguł.

Wprowadzenie do iptables

Jądro linuksa już od wersji 2.4 posiada mecha-
nizm o nazwie iptables (w wersji 2.2 podob-
ny mechanizm nosił nazwę ipchains a w wer-
sji 2.0 - ipfwadm), jest to program działający
pomiędzy stosem sieciowym, a tzn. warstwą
gniazdek której bezpośrednio używają progra-

Rysunek 1.

Wizualizacja komunikacji protokołem UDP i TCP

��

Listing 1.

Przykład przechwytywania pakietów PING

[wolverine@piotrek:~] sudo iptables -A INPUT -p icmp -j LOG
[wolverine@piotrek:~] ping 127.0.0.1
PING 127.0.0.1 (127.0.0.1) 56(84) bytes of data.
64 bytes from 127.0.0.1: icmp_seq=1 ttl=64 time=0.055 ms
[wolverine@piotrek:~] dmesg | tail -n 1

IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:08:00 SRC=127.0.0.1
DST=127.0.0.1 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=11000 PROTO=ICMP TYPE=0
CODE=0 ID=30731 SEQ=1

Rysunek 2.

Program netstat pokazujący aktywne połączenia typu TCP (przełącznik -t). W przykładzie uru-

chomiona jest przeglądarka WWW z dwiema kartami

Firewall w Linuksie

styczeń 2009

Dla początkujących

www.lpmagazine.org

Firewall w Linuksie

Dla początkujących

my użytkowe. Pozwala on na modyfikowanie
i filtrowanie pakietów wychodzących i przy-
chodzących na danej maszynie.

Aby używać iptables potrzebne są dwie rze-

czy, pierwsza to odpowiednio skonfigurowane
jądro linuksa, a druga to narzędzia userspace.

Infrastruktura jądra nazywa się netfilter

i większość popularnych dystrybucji ją posia-
da, narzędzia userspace zazwyczaj znajdują się
w paczce o nazwie iptables. Dla Debiana polece-
nie ich instalacji będzie wyglądało:

aptitude install iptables

Struktura iptables zorientowana jest wokół tzw.
łańcuchów, przy czym istnieją trzy wbudowane
łańcuchy – INPUT, OUTPUT oraz FORWARD,
dwa pierwsze zawierają reguły dotyczące filtro-
wania pakietów przychodzących (czyli tych któ-

re wpływają do serwera, np. próby nawiązywania
połączenia TCP) i wychodzących, a na podstawie
ostatniej filtrowane są pakiety, które nie są prze-
znaczone dla danego komputera i zostaną prze-
słane do innej podsieci (jeśli jądro ma ustawioną
opcje routowania).

Narzędzie do operacji na regułach nosi od-

krywczą nazwę iptables i jest konsolowym pro-
gramem pracującym w trybie niewymagającym
standardowego wejścia, co oznacza, że wszelkie
modyfikacje łańcuchów iptables można przepro-
wadzić za pomocą odpowiednich parametrów
programu w linii komend.

Jako przykład, ustawimy regułę zabrania-

jącą dostępu do danego komputera z kompute-
ra lokalnego:

[wolverine@piotrek:~] sudo iptables
-A OUTPUT -d 207.46.197.32 -j DROP

[wolverine@piotrek:~] ping
microsoft.com
PING microsoft.com (207.46.197.32)
56(84) bytes of data
ping: sendmsg: Operation not
permitted

Oprócz usuwania pakietów możemy naka-
zać, aby były one logowane, służy do tego
cel o nazwie LOG (Listing 1). Należy tutaj
zauważyć, że nie możemy podać dwóch ce-
lów (np. LOG i DROP), aby tego dokonać
musimy stworzyć dwie reguły – pierwszą,
wysyłającą pakiet do sysloga i drugą – usu-
wającą go.

Dodatkowe moduły

Oprócz  rozpoznawania  pakietów  poprzez  ją-
dro  iptables,  istnieje  możliwość  uruchomie-
nia  dodatkowych  modułów,  schemat  używa-
nia modułów wygląda tak:

iptables ... -m moduł –moduł-
parametry_modułu ...

Liczba modułów jest za duża, aby opisać wszyst-
kie w tym artykule, dlatego przedstawię tylko te
najczęściej używane, pełną listę można znaleźć
w podręczniku systemowym pod hasłem

man iptables

addrtype

Pozwala na ropoznawanie pakietów po typie
adresu. Typem adresu może być np. BRO-
ADCAST, UNICAST, LOCAL itp.

connbytes

Udostępnia możliwość rozpoznawania pa-
kietów za pomocą ilości przesłanych bajtów
w jednej sesji TCP. Pozwala to np. na rozpo-
znanie pobierania dużych plików i ustaleniu
dla nich niższego priorytetu.

Rysunek 3.

Program tcpdump

Rysunek 4.

Gufw

Tabela 1.

Podstawowe parametry programu iptables

-L nazwa_łańcucha

Wylistowanie reguł z łancucha

-A nazwa_łańcucha reguła opcje

Dodawanie reguły na końcu łancucha

-D nazwa_łańcucha reguła opcje
-D nazwa_łańcucha numer_reguły

Usuwanie istniejącej reguły

-F nazwa_łańcucha

Usuwanie wszystkich reguł w łańcuchu

-s ! xx.xx.xx.xx / -d ! xx.xx.xx.xx

Odpowiednio adres IP komputera źródłowego i docelowego.
Znak „!” oznacza wszystkie adresy oprócz wpisanego.

-j cel

Oznacza cel do którego powinien wpadać pasujący do regu-
ły pakiet. Celem może być zdefiniowany przez użytkownika
łańcuch bądź jeden z celów wbudowanych, jak DROP (usu-
wa pakiet) czy ACCEPT (pozostawia pakiet w nienaruszo-
nym stanie pozwalając mu na dotarcie do odbiorcy)

-p ! port

Oznacza port pod jaki skierowany jest pakiet który chce-
my wyłapać. Znak „!” działa analogicznie jak przy przełącz-
niku „-s” i „-d”.

-m moduł

Pozwala na użycie przy rozpoznawaniu pakietów dodatko-
wego modułu.

-h

Krótka pomoc

Firewall w Linuksie

styczeń 2009

Dla początkujących

www.lpmagazine.org

Firewall w Linuksie

Dla początkujących

connlimit

Pozwala na rozpoznanie ilości równocze-
snych połączeń danego typu. Zastosowa-
niem tego modułu może być serwer klastro-
wy – jeśli serwer nie jest w stanie obsłużyć
pewnej ilości połączeń, może je przekiero-
wać na inny np. używając NAT.

hashlimit

Moduł  pozwala  na  rozpoznanie  liczby  pa-
kietów,  których  parametry  określiliśmy
wcześniej,  przychodzących  do  naszej  ma-
szyny:

[wolverine@piotrek:~] sudo iptables
-A INPUT -p icmp -m hashlimit
--hashlimit-name ping_flood --
hashlimit-above 2/second -j DROP

length

Dostarcza możliwość rozpoznawania pakie-
tów po ich rozmiarze.

owner

Udostępnia możliwość rozpoznawania pa-
kietów po lokalnym użytkowniku do które-
go należy proces korzystający z sieci.

Network Address Translation

Istnieją  dwa  powody  dla  których  technologia
NAT  jest  powszechnie  używana.  Pierwszy  to
brak możliwości połączenia się z komputerem,
który jest w wewnętrznej sieci (oczywiście kom-
puter ten może pełnić rolę klienta łącząc się z ho-
stami z zewnątrz), drugi, w tej chwili mniej dla
nas  ważny,  ograniczenie  kończącej  się  liczby
adresów  sieciowych  IPv4. Aby  zbudować  bra-
mę  NAT  można  użyć  oczywiście  iptables.  Po-
niżej przedstawiam prosty skrypt realizujący to
zadanie:

iptables -A FORWARD -i $EXTIF
-o $INTIF -m state --state
ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i $INTIF -o
$EXTIF -j ACCEPT

iptables -t nat -A POSTROUTING -o
$EXTIF -j MASQUERADE

Netstat i Tcpdump

Narzędzia te nie są częścią firewalla, jednak
umożliwiają  zdiagnozowanie  ruchu  w  sie-
ci dzięki  czemu w razie ewentualnego ata-
ku będziemy mogli uzyskać garść informa-
cji na temat jego techniki  i przy odrobinie
szczęścia poznamy jego źródło.

Netstat jest programem służącym do

wyświetlenia aktywnych połączeń TCP na

lokalnym  komputerze.  Po  wydaniu  polece-
nia, na ekranie konsoli pojawia się lista z ta-
kimi  informacjami  jak  adres  hosta  do  któ-
rego nasz komputer jest podłączony, numer
portu  czy  nazwa  lub  identyfikator  procesu
który ustanowił połączenie oraz użytkowni-
ka, który ten proces uruchomił.

Tcpdump służy do monitorowania prze-

pływu  pakietów  na  komputerze,  na  któ-
rym jest uruchomiony.  W programie mamy
możliwość ustawienia interfejsu, na którym
chcemy  nasłuchiwać  sposobu  prezentacji
ruchu i co najważniejsze, możemy ustawić
filtr składający się z warunków, które mo-
gą być wiązane ze sobą za pomocą warun-
ków logicznych.

Przykładowo chcąc prześledzić ruch ge-

nerowany przez przeglądanie stron WWW
możemy użyć polecenia:

tcpdump -i eth0 tcp port 80

gdzie

eth0

oznacza interfejs z którego łą-

czymy się z Internetem.

Wysokopoziomowe narzędzia

Prócz podstawowego narzędzia konsolowe-
go iptables, istnieją również wysokopoziomo-

we konfiguratory, dzięki którym konfiguracja
firewalla jest prostsza i zorientowana na kon-
kretne rodzaje ataków. Większość dystrybu-
cji linuksa posiada własny konfigurator ipta-
bles dedykowany do wersji jądra i iptables, nic
jednak nie stoi na przeszkodzie, aby wypróbo-
wać tzw. zewnętrzne rozwiązania, należy jed-
nak pamiętać, że większość tego typu aplikacji
działa schematycznie umożliwiając tworzenie
własnych reguł do mechanizmu netfilter.

Gufw

Aplikacja jest domyślnym konfiguratorem li-
nuksowego firewalla w systemie Ubuntu.
Dzięki Gufw możemy w prosty sposób zablo-
kować ruch na wybranych przez nas portach
czy aktywować predefiniowane reguły dla po-
pularnych programów sieciowych.

Arno's iptables firewall

Aplikacja jest skryptem konfiguracyjnym do ip-
tables, po zainstalowaniu na systemie Debian,
użytkownik jest proszony o udzielenie odpowie-
dzi na kilka pytań dotyczących sposobu łączenia
się z Internetem oraz dostępu do lokalnej sieci, po
czym tworzone są domyślne reguły dla iptables,
które w późniejszym czasie można edytować
w pliku konfiguracyjnym.

Rysunek 5.

Plik konfiguracyjny Arno's iptables firewall

Student informatyki na Politechnice Wrocławskiej, programista grupy ContriV.eu specjali-
zującej się w tworzeniu aplikacji webowych. Linux od kilku lat towarzyszy mu na kompute-
rze osobistym oraz serwerze grupy.
Kontakt z autorem: podusowski@gmail.com

O autorze

• http://www.netfilter.org/ – projekt iptables;
• http://gufw.tuxfamily.org – Gufw.

W Sieci