Microsoft PowerPoint - Janiszewski

NASK

Firewall bez adresu IP

Jak to zrobić

Janusz Janiszewski

Janusz.Janiszewski@nask.pl

NASK

Agenda

• Wstęp
• Jak to działa?
• Implementacja w oparciu o FreeBSD
• Kiedy stosować?
• Wady i zalety
• Inne rozwiązania
• Pytania?

NASK

Typy firewalli

• Filtry pakietów

oparte o adres źródłowy i docelowy oraz port pojedynczego pakietu decydują, czy
dana przesyłka może zostać przesłana dalej, czy też nie

• Circuit Level

przyporządkowują pakiety do istniejących połączeń TCP i dzięki temu są wstanie
kontrolować cały ruch, obecnie większość firewalli tego typu potrafi kontrolować stan
połączeń również dla protokołu UDP

• Aplication Level

serwery proxy pośredniczące w połączeniach pomiędzy klientem i serwerem

NASK

Typy firewalli (cd.)

• Transparent(Ethernet Bridge +

Packet Filter

)

nie posiada adresu IP ale potrafi filtrować pakiety ze względu na ten protokół z
uwzględnieniem zapamiętywania stanu połączeń

NASK

Jak to działa?

Ethernet

driver

ether_input

()

Protokoły warstwy 3

bridge_input()

All frames

Broadcast and
Non-local frames

Frame

queued

soft

interupt

scheduled

Broadcast and
local frames

Schemat przepływu ramek ethenetowych poprzez bridge

NASK

Jak to działa?(cd.)

Bridgeintr

()

Schemat przepływu ramek wewnątrz

bridgeintr

()

Record

source

MAC

address

Drop same segment

frames

Multicast

handling

Non

handling

Filtrowanie w

warstwie 3 (IP)

Filtrowanie w

warstwie 2 (

input

)

Filtrowanie w

warstwie 2 (

output

)

Filtrowanie w

warstwie 2 (

output

)

Queued

interface

Queued

interface

Ethernet

NASK

Implementacja w oparciu o

FreeBSD

Implementacja w oparciu o

FreeBSD

• Konfiguracja i kompilacja jądra

systemu

• Uruchomienie bridge’a
• Przygotowanie zasad filtracji

pakietów

• Umieszczenie w strukturze sieci

NASK

Schemat układu

Router

Bridge

Firewall

fxp0

xl0

Serwer

192.168.1.254

80/

tcp

22/

tcp

53/

udp

192.168.1.0/24

PC1

PC2

PC3

PC1

–

192.168.1.251

PC2

–

192.168.1.252

PC3

–

192.168.1.253

NASK

Implementacja w oparciu o

FreeBSD (cd.)

Implementacja w oparciu o

FreeBSD (cd.)

• Konfiguracja i kompilacja jądra systemu

• Uruchomienie bridge’a
• Przygotowanie zasad filtracji pakietów
• Umieszczenie w strukturze sieci

NASK

Implementacja w oparciu o

FreeBSD(cd.)

Implementacja w oparciu o

FreeBSD(cd.)

•

Konfiguracja i kompilacja jądra systemu(cd.)

W pliku konfiguracyjnym musimy dopisać:

options BRIDGE
options IPFIREWALL
options IPFIREWALL_VERBOSE
options IPFIREWALL_FORWARD

# cd /usr/src/sys/i386/conf
# cp GENERIC BRIDGE
# vi BRIDGE

NASK

Implementacja w oparciu o

FreeBSD(cd.)

Implementacja w oparciu o

FreeBSD(cd.)

•

Konfiguracja i kompilacja jądra systemu(cd.)

# /usr/sbin/config BRIDGE
# cd ../../compile/BRIDGE
# make depend
# make
# make install
reboot

NASK

Implementacja w oparciu o

FreeBSD (cd.)

Implementacja w oparciu o

FreeBSD (cd.)

• Konfiguracja i kompilacja jądra systemu

• Uruchomienie bridge’a

• Przygotowanie zasad filtracji pakietów
• Umieszczenie w strukturze sieci

NASK

Implementacja w oparciu o

FreeBSD (cd.)

Implementacja w oparciu o

FreeBSD (cd.)

• Uruchomienie bridge’a

W pliku konfiguracyjnym /etc/sysctl.conf musimy dopisać poniższe linie by po każdym restarcie
systemu operacyjnego wszystko działało poprawnie

Po zapamiętaniu zmian zrestartujemy system:

net.link.ether.bridge=1
net.link.ether.bridge_ipfw=1
net.link.ether.bridge_cfg=fxp0,xl0

#reboot

NASK

Implementacja w oparciu o

FreeBSD (cd.)

Implementacja w oparciu o

FreeBSD (cd.)

• Uruchomienie bridge’a (cd.)

net.link.ether.bridge_cfg: x -> lfxp0,xl0
net.link.ether.bridge_ipfw:0 -> 1
net.link.ether.bripdge: 0 -> 1

NASK

Implementacja w oparciu o

FreeBSD (cd.)

Implementacja w oparciu o

FreeBSD (cd.)

• Konfiguracja i kompilacja jądra

systemu

• Uruchomienie bridge’a

• Przygotowanie zasad filtracji

pakietów

• Umieszczenie w strukturze sieci

NASK

Schemat układu

Router

Bridge

Firewall

fxp0

xl0

Serwer

192.168.1.254

80/

tcp

22/

tcp

53/

udp

192.168.1.0/24

PC1

PC2

PC3

PC1

–

192.168.1.251

PC2

–

192.168.1.252

PC3

–

192.168.1.253

NASK

Implementacja w oparciu o

FreeBSD (cd.)

Implementacja w oparciu o

FreeBSD (cd.)

• Przygotowanie zasad filtracji pakietów

pliku /etc/rc.firewall wpisujemy poniżej zdefiniowane zasady filtracji pakietów

# Pozwalamy serwerowi na dowolne przesyłanie pakietów
ipfw add pass tcp from 192.168.1.254 to any in via xl0 setup keep-state
ipfw add pass udp from 192.168.1.254 to any in via xl0 keep-state
ipfw add pass ip from 192.168.1.254 to any in via xl0
# Zasady dotyczące TCP
# Dostęp do serwera poprzez SSH dla stacji PC1
ipfw add pass tcp from 192.168.1.251 to 192.168.1.254 22 in via fxp0 setup keep-state
# Dostęp do serwera WWW dla stacji PC1,PC2,PC3
ipfw add pass tcp from 192.168.1.251 to 192.168.1.254 80 in via fxp0 setup keep-state
# Dostęp do serwera SMTP dla wszystkich
ipfw add pass tcp from any to 192.168.1.254 25 in via fxp0 setup keep-state
# Przepuszczamy pakiety kierowanych do serwisu IDENT
ipfw add pass tcp from any to any 113 in via fxp0 setup keep-state

NASK

Implementacja w oparciu o

FreeBSD (cd.)

Implementacja w oparciu o

FreeBSD (cd.)

• Przygotowanie zasad filtracji pakietów(cd.)

# Zasady dotyczące UDP
# Pozwalamy na ruch do serwera DNS
ipfw add pass udp from any to 192.168.1.254 53 in via fxp0 keep-state

# Zasady dotyczące ICMP
# Przepuszczamy 'ping'
ipfw add pass icmp from any to any icmptypes 8 keep-state
# Przepuszczamy błędy generowane przez traceroute
ipfw add pass icmp from any to any icmptypes 3
ipfw add pass icmp from any to any icmptypes 11

# Wszystkie inne pakiety są odrzucane
ipfw add drop log all from any to any

NASK

Implementacja w oparciu o

FreeBSD (cd.)

Implementacja w oparciu o

FreeBSD (cd.)

• Konfiguracja dostępu administracyjnego

Do tego celu możemy użyć lokalnie podłączonego monitora i
klawiatury lub użyć portu szeregowego jako konsoli. W zależności od
tego co kto lubi.

• Jak skonfigurować port szeregowy by

mógł być użyty jako konsola we
FreeBSD?

NASK

Implementacja w oparciu o

FreeBSD (cd.)

Implementacja w oparciu o

FreeBSD (cd.)

• Konfiguracja dostępu administracyjnego (cd.)

W pliku /etc/ttys musimy zmienić jeden wpis z off na on w lini:

Po zmianie wpis będzie wyglądał tak:

ttyd0 "/usr/libexec/getty std.9600" dialup off secure

ttyd0 "/usr/libexec/getty std.9600" dialup on secure

NASK

Implementacja w oparciu o

FreeBSD (cd.)

Implementacja w oparciu o

FreeBSD (cd.)

• Konfiguracja dostępu administracyjnego (cd.)

W katalogu „/ „ musimy stworzyć plik o nazwie boot.config w którym
umieszczamy wpis:

Wpis ten pozwala na posiadanie konsoli zarówno na porcie szeregowym jak i
poprzez podłączenie lokalne monitora i normalnej klawiatury do
bridge/firewalla.
W instalacji testowej konsola była poprowadzona poprzez okablowanie
strukturalne na odległość 90,5 m przy prędkości 9600 bps

-Dh

NASK

Kiedy stosować?

•

Gdy potrzebujemy w sposób przezroczysty połączyć dwa lub
więcej segmenty ethernetu

•

W przypadku konieczności separacji stacji/serwisów w tym
samym segmencie ethenetu

•

Wszędzie tam gdzie ilość posiadanych adresów IP nie pozwala na
stosowanie podziału na podsieci

•

Obawiamy się bezpośredniego zdalnego ataku na firewall

•

W przypadku dużego obciążenia ethernetu

•

Ukrycia topologii sieci (nawet przed użytkownikami sieci
wewnętrznej)

•

Do celów testowych lub jako rozwiązanie przejściowe

NASK

Zalety i wady

•

Zalety

Przezroczysty dla warstwy
IP

Łatwa integracja z
istniejącą infrastrukturą
sieciową

Niezastąpione rozwiązanie
w przypadku niemożności
zastosowania podziału na
podsieci

Element „paranoidalny”

•

Wady

Brak możliwości
stosowania zewnętrznych
systemów
uwierzytelnienia

Brak serwisów typu
PROXY

Brak NAT

NASK

Inne rozwiązania

• NetScreen

http://www.netscreen.com/products/fw_vpn_systems.html

• Lucent Technologies

http://www.lucent.com/products/subcategory/0,,CTID+2017-STID+10080-LOCL+1,00.html

• CheckPoint (SecurePlatform lub Linux)

http://support.checkpoint.com/kb/docs/public/firewall1/ng/pdf/bridge-mode.pdf

• FreeBSD

http://www.freebsd.org/doc/en_US.ISO8859-1/articles/filtering-bridges/filtering-bridges-ipfirewall.html

• OpenBSD

http://www.thought.net/jason/bridgepaper/bridgepaper.html

• Linux

http://www.linux.org/docs/ldp/howto/mini/Bridge+Firewall+DSL.html

NASK

Dziękuję

Pytania?

Janusz Janiszewski

Janusz.Janiszewski@nask.pl