Перед всеми, кто пользуется сетевыми коммуникациями, встает достаточно серьезная задача сетевой безопасности. Если компьютер подключен к Интернету, то пользователя всегда волнует вопрос: будут или нет взламывать систему? Но подобная формулировка, пожалуй, неверна. Точнее было бы спросить: когда же попытаются ее взломать? Ответ таков: сразу же, как только вы подключитесь к Интернету. Низкий моральный уровень определенного слоя обитателей Сети, доступность автоматизированных программных средств исследования и взлома систем, а также самостоятельные сетевые «черви» и вирусы, охотники за корпоративными секретами, войны, развязываемые хакерами, — все это и многое другое превращает Интернет в довольно небезопасное место, некое подобие мегаполиса, где новейшие технологии используются в бандитских разборках.
Проект Iptables
Основателем и идейным вдохновителем этого проекта стал Пауль Рассел. Сейчас проект развивается и поддерживается группой из пяти разработчиков, задающих основное направление, и множеством энтузиастов Linux. Основная часть функций пакетной фильтрации Iptables, вошедшая в код ядра операционной системы, может быть скомпилирована либо как часть ядра, либо в виде отдельных модулей. Брандмауэр распространяется бесплатно, по условию соблюдения GNU GPL (GPL, General Public License — стандартная публичная лицензия). Web-сайт разработчиков — www.iptables.org.
Использование Iptables предоставляет возможности:
- пакетной фильтрации сетевого трафика - функции брандмауэра;
- маскировки или преобразования IP-адресов (DNAT, SNAT, MASQUERADE);
- прозрачного проксирования трафика;
- изменения параметров IP-заголовка сетевого пакета (например, изменение параметра TOS - Type Of Service - позволяет установить определенный вариант маршрутизации).
Получение и установка
Последняя доступная на момент публикации статьи версия Iptables 1.2.7a была обнародована 26 августа 2002 г. Переписать дистрибутив брандмауэра, файл с цифровой подписью и PGP-ключом можно по ссылкам: http://www.iptables.org/files/iptables-1.2.7a.tar.bz2 (брандмауэр), http://www.iptables.org/files/iptables-1.2.7a.tar.bz2. sig (цифровая подпись), http://www.iptables.org/files/coreteam-gpg-key.txt (PGP-ключ).
Чтобы установить брандмауэр, включите поддержку Iptables в ядре, а также те опции Iptables, которые вы собираетесь использовать в составе ядра или отдельных модулей. Нужно обратить внимание на перечисленные ниже параметры сборки ядра:
CONFIG_PACKET — требуется для приложений, работающих непосредственно с сетевыми устройствами, например tcpdump или snort.
CONFIG_NETFILTER — необходим тогда, когда компьютер служит сетевым экраном (firewall) или шлюзом (gateway) в Интернете.
CONFIG_IP_NF_CONNTRACK — модуль для трассировки соединений, также используется при трансляции сетевых адресов и маскарадинге (NAT и Masquerading). Так что если вы решили строить сетевой экран — брандмауэр для локальной сети, то вам определенно потребуется эта опция.
CONFIG_IP_NF_FTP — модуль трассировки FTP-соединений. Обмен по FTP происходит слишком интенсивно, чтобы можно было использовать обычные методы трассировки.
CONFIG_IP_NF_IPTABLES — необходим для выполнения операций фильтрации, преобразования сетевых адресов (NAT) и маскарадинга (masquerading).
CONFIG_IP_NF_MATCH_LIMIT — модуль не обязателен. Он предоставляет возможность ограничения количества проверок для некоторого правила. Например, -m limit -limit 3/minute указывает, что заданное правило может пропустить не более трех пакетов в минуту. Таким образом, данный модуль способен защитить от нападений типа Отказ в обслуживании.
CONFIG_IP_NF_MATCH_MAC — модуль позволяет строить правила, основанные на MAC-адресации. Поскольку каждая сетевая карта имеет собственный уникальный Ethernet-адрес, то можно блокировать пакеты, поступающие с определенных MAC-адресов, или выполнять привязку IP-адреса к MAC-адресу карты.
CONFIG_IP_NF_MATCH_MARK — необязательная функция маркировки пакетов (MARK). С ее помощью можно помечать требуемые пакеты, а затем в других таблицах в зависимости от значения метки принимать решение о маршрутизации такого пакета.
CONFIG_IP_NF_MATCH_MULTIPORT — модуль позволяет строить правила с проверкой на принадлежность пакета к диапазону номеров портов источника/приемника.
CONFIG_IP_NF_MATCH_TOS — модуль помогает строить правила на основе состояния поля TOS (Type Of Service) в пакете, а также устанавливать или сбрасывать биты этого поля в правилах таблицы mangle.
CONFIG_IP_NF_MATCH_TCPMSS — опция добавляет возможность проверки поля MSS для TCP-пакетов.
CONFIG_IP_NF_MATCH_STATE — одно из самых серьезных усовершенствований по сравнению с ipchains. Этот модуль предоставляет возможность управления TCP пакетами на основе их состояния (state).
CONFIG_IP_NF_MATCH_UNCLEAN — модуль реализует проведение дополнительной проверки IP-, TCP-, UDP- и ICMP-пакетов для обнаружения в них несоответствий, «странностей», ошибок.
CONFIG_IP_NF_FILTER — модуль реализации таблицы filter, где в основном и происходит фильтрация и где находятся цепочки INPUT, FORWARD и OUTPUT. Он обязателен, если вы планируете осуществлять фильтрацию пакетов.
CONFIG_IP_NF_TARGET_REJECT — добавляется действие REJECT, обеспечивающее передачу ICMP-сообщения об ошибке в ответ на входящий пакет, отвергаемый заданным правилом. TCP-соединения, в отличие от UDP и ICMP, всегда завершаются или отвергаются пакетом TCP RST.
CONFIG_IP_NF_TARGET_MIRROR — возможность отправки обратно полученного пакета, поменяв местами адреса отправителя и получателя (отражение).
CONFIG_IP_NF_NAT — NAT, т. е. трансляция сетевых адресов в различных ее видах. С помощью этой опции вы сможете предоставить выход в Интернет всем компьютерам локальной сети при наличии лишь одного уникального IP-адреса.
CONFIG_IP_NF_TARGET_MASQUERADE — маскарадинг, в отличие от NAT используемый тогда, когда IP-адрес в Интернете неизвестен заранее, т.е. для DHCP, PPP, SLIP или какого-либо другого способа подключения, подразумевающего динамическое получение IP-адреса. Маскарадинг несколько повышает высокую нагрузку на компьютер по сравнению с NAT, однако он работает в таких ситуациях, когда нельзя заранее указать собственный внешний IP-адрес.
CONFIG_IP_NF_TARGET_REDIRECT — перенаправление. Вместо того чтобы просто пропустить пакет дальше, это действие перенаправляет его на другой порт сетевого экрана. Обычно это действие применяется совместно с proxy. Иными словами, есть возможность выполнять «прозрачное проксирование».
CONFIG_IP_NF_TARGET_LOG — модуль добавляет действие LOG в iptables, фиксирует отдельные пакеты в системном журнале (syslog), что бывает весьма полезно при отладке сценариев.
CONFIG_IP_NF_TARGET_TCPMSS — опция, помогающая преодолевать ограничения, накладываемые отдельными провайдерами (Internet Service Providers), блокирующими пакеты ICMP Fragmentation Needed.
CONFIG_IP_NF_COMPAT_IPCHAINS — добавляет совместимость с более старой технологией ipchains. Вполне возможно, что совместимость подобного рода будет сохранена и в ядрах серии 2.6.x.
CONFIG_IP_NF_COMPAT_IPFWADM — обеспечивает совместимость с ipfwadm, несмотря на то, что это очень старое средство построения брандмауэров.
Информация по конфигурированию и установке брандмауэра находится в файле INSTALL. В данном случае установка выглядит так:
$ bzip2 -cd iptables-1.2.7a.tar.bz2 | tar -xvf - $cd iptables-1.2.7a $make KERNEL_DIR=/usr/src/linux $/bin/su root # make install KERNEL_DIR=/usr/src/linux
В переменной KERNEL_DIR следует указать путь к исходнным текстам ядра.
Если требуется установить файлы для разработчика: дополнительные библиотеки и документацию, выполните:
# make install-devel
Хотите использовать статическую компиляцию библиотек Iptables к ядру, что освобождает от необходимости загружать модули при запуске, выполните:
$make NO_SHARED_LIBS=1
Если нужно установить систему по определенному пути, отличному от используемого по умолчанию (/usr/local/bin, /usr/local/lib, /usr/local/man), то:
$make BINDIR=/usr/bin LIBDIR=/usr/lib MANDIR=/ usr/man $make BINDIR=/usr/bin LIBDIR=/usr/lib MANDIR=/ usr/man install
После изменения конфигурации ядра его необходимо перекомпилировать и установить.
Методика работы
Когда пакет приходит на брандмауэр, то сначала он попадает на сетевое устройство, перехватывается соответствующим драйвером и направляется в ядро. Далее пакет проходит ряд таблиц (Mangle, Nat, Filter) и цепочек в составе этих таблиц (например, предопределенные цепочки PREROUTING, OUTPUT, POSTROUTING в таблице Nat) и либо передается локальному приложению, либо переправляется на другую машину. Порядок следования пакета приведен в табл. 1.
Значит, прежде чем пакет будет перенаправлен далее, он пройдет несколько этапов. Причем на каждом из них пакет может быть остановлен, будь то цепочка Iptables или что-либо еще, но нас интересует Iptables. Заметьте, что нет никаких цепочек, специфичных для отдельных интерфейсов или чего-либо подобного. Цепочку FORWARD проходят все пакеты, перемещающиеся через наш брандмауэр/роутер. Не используйте цепочку INPUT для фильтрации транзитных пакетов, они туда просто не попадают. Через эту цепочку движутся только те пакеты, которые предназначены данному хосту!
А теперь рассмотрим порядок движения пакета, предназначенного локальному процессу/приложению (он приведен в табл. 2).
Важно помнить, что на этот раз пакеты идут через цепочку INPUT, а не через FORWARD. И в заключение рассмотрим порядок движения пакетов, созданных локальными процессами (табл. 3).
Более подробную информацию о видах таблиц и цепочек можно получить из документации, поставляемой с системой, или из приведенных ниже источников.
Вопросы и примеры
?Каким образом с помощью одного внешнего сетевого адреса могут работать в Интернете все клиенты локальной сети?
Это классический случай применения SNAT. Использовать действие MASQUERADE целесообразно лишь в случае получения динамического IP-адреса.
#!/bin/sh IPTABLES="/usr/local/sbin/iptables" INET_IFACE = eth0 INET_IP_1="XXX.XXX.XXX.XXX" ...
#включить здесь или в sysctl.conf разрешение на пересылку пакетов — необходимо для шлюза
echo "1">/proc/sys/net/ipv4/ip_forward ... $IPTABLES -t nat -A POSTROUTING -o $INET_IFACE -j SNAT -to-source $INET_IP_1
?Как поступить, если один адрес из локальной сети ($INNER) нужно транслировать во внешнюю сеть отдельно от остальных в случае, когда есть несколько внешних IP-адресов?
Необходимо создать фиктивный внешний интерфейс (например, когда имеется реальный интерфейс eth0, то фиктивный будет eth0:0) и присвоить ему требуемый IP-адрес ($INET_IP_2). Дальнейшие действия в Iptables:
$IPTABLES -t nat -A POSTROUTING -s $INNER -j SNAT -to-source $INET_IP_2 $IPTABLES -t nat -A POSTROUTING -o $INET_IFACE -j SNAT —to-source $INET_IP_1
?Как перенаправить сетевой трафик на локальный порт?
Все это выполняется действием Redirect. Перенаправление производится на другой порт той же самой машины. Действие может выполняться только в цепочках и подцепочках PREROUTING и OUTPUT таблицы Nat.
Действие REDIRECT очень удобно для прозрачного проксирования (transparent proxying), когда машины в локальной сети даже не подозревают о существовании прокси. В частности, пакеты, поступающие на HTTP-порт можно перенаправить на порт HTTP proxy, например:
$IPTABLES -t nat -A PREROUTING -p tcp —dport 80 -j REDIRECT —to-ports 3128
Можно произвести перенаправление на диапазон портов, указываемый ключом, например:
-to-ports 40000-40100.
В этом случае необходимо указать используемый протокол (TCP или UDP) ключом -protocol.
?Как перенаправить сетевой трафик на порт удаленного сервера?
Для выполнения данной операции следует в цепочке PREROUTING таблицы Nat изменить адрес и порт получателя полученного сетевого пакета (действие DNAT). Затем нужно разрешить прохождение транзитного трафика между отправителем и новым получателем в цепочке FORWARD. И наконец, требуется заменить адрес отправителя пакета (действие SNAT) в цепочке POSTROUTING таблицы Nat.
В приведенном отрывке скрипта показан пример перенаправления smtp- и pop-трафика с одного сервера на другой.
$cat rc.add2mail #!/bin/sh # IPTABLES="/usr/local/sbin/iptables" MAILEXT="XXX.XXX.XXX.XXX" MAILINT="YYY.YYY.YYY.YYY" # для сети 192.168.1.0/24 # pop3-сервис $IPTABLES -t nat -I PREROUTING -i eth1 -s 192.168.1.0/24 -d $MAILEXT -p tcp -dport 110 -j DNAT -to $MAILINT:110 $IPTABLES -I FORWARD -s 192.168.1.0/24 -d $MAILINT -i eth1 -o eth1 -p tcp -dport 110 -j ACCEPT # smtp-сервис $IPTABLES -t nat -I PREROUTING -i eth1 -s 192.168.1.0/24 -d $MAILEXT -p tcp -dport 25 -j DNAT -to $MAILINT:25 $IPTABLES -I FORWARD -s 192.168.1.0/24 -d $MAILINT -i eth1 -o eth1 -p tcp -dport 25 -j ACCEPT # общая часть $IPTABLES -t nat -I POSTROUTING -o eth1 -s 192.168.1.0/24 -d $MAILINT -j SNAT -to 192.168.1.5
Поддержка
Если в процессе работы возник сложный вопрос по Iptables, то, вероятно, вас с удовольствием просветит ближайший Linux-гуру, а Linux-сайты часто являются местными фан-клубами Iptables. В сети выложено множество материалов, тематически связанных с Iptables, так что прежде чем изобретать велосипед, проверьте, вдруг он уже придуман, отлажен и выпускается серийно. Если же ваша задача так и не разрешилась, обратитесь к разработчикам. Посмотрите, кто был автором того модуля, с которым связаны ваши затруднения, и обращайтесь прямо к нему.
Заключение
Сетевая безопасность — комплексный вопрос. После настройки брандмауэра не стоит забывать об уязвимости сетевых сервисов. Можно проверить надежность, исследовав защиту с внешней стороны и попробовав ее взломать. Если взлом не увенчается успехом, то все равно рано радоваться. Не исключено, что просто вам не хватило квалификации. Кроме того, не забывайте про пользователей в вашей локальной сети и социальную инженерию. Бывает, деятельность отдельных самонадеянных индивидов просто приводит всех в изумление. Так что, возможно, установка и настройка брандмауэра будут самыми несложными задачами.
В общей сложности нужно контролировать не только сетевой трафик (пакетная фильтрация), но и содержимое потоков обмена данными на уровне приложений (например, для Web и трафика e-mail это элементы ActiveX, Java-аплеты, cookies и т. д.), а также сетевую активность системных сервисов и пользовательских приложений (возможные «троянские» программы и вирусы). В общем, задача обеспечения сетевой безопасности насколько интересная, настолько и сложная. Она требует постоянного внимания, и вряд ли удастся ее окончательно решить, не предприняв такие кардинальные меры, как отключение от сети, выключение питания, разбивка жесткого диска и установка охраны.
Об авторе
Александр Красоткин — программист, системный администратор, начальник отдела предоставления Интернет-услуг ОАО «ТМБЦ».
С автором можно связаться по адресу: shura@tibc.ru
Ссылки и дополнительные материалы
В рамках одной ознакомительной статьи нельзя подробно осветить обширную тему, затрагивающую построение межсетевых экранов, фильтрацию и операции с сетевыми пакетами. Поэтому имеет смысл обратить внимание на следующие ресурсы и документы.
С этого нужно начинать
http://www.tldp.org/LDP/solrne/ Securing-Optimizing-Linux-TheUltimate-Solution-v2.0.pdf
Руководство по Iptables. Автор Oskar Andreasson
http://www.iptables.org/documentation/ tutorials/blueflux/
Часто задаваемые вопросы по Iptables
http://www.iptables.org/documentation/ FAQ/netfilter-faq.html
Packet Filtering HOWTO
http://www.iptables.org/documentation/ HOWTO//packet-filtering-HOWTO.html
Networking Concepts HOWTO
http://www.iptables.org/documentation/ HOWTO/networking-concepts-HOWTO.html
NAT HOWTO
http://www.iptables.org/documentation/ HOWTO/NAT-HOWTO.html
Разное
Securing & Optimizing Linux: The Ultimate Solution
http://www.tldp.org/LDP/solrhe/ Securing-Optimizing-Linux-The-Ultimate-Solution-v2.0.pdf
Сайты
http://www.linuxguruz.org/iptables/
Другие брандмауэры
Ipchains
Ipfw
IPFilter для OpenBSD
Packet Filter
Дополнительные программы
Наряду с продуктами, рассмотренными в статье, рекомендую обратить внимание на несколько достаточно важных и интересных программ.
Nessus — сетевой сканер вторжения. Предназначен для поиска уязвимых и слабо защищенных сетевых сервисов. Сканер разработан по технологии клиент — сервер. Применяется модульная архитектура, расширяющая функциональность сканера. Для описания уязвимых мест используется специальный язык NASL (Nessus attack script language). Материал о сетевом сканере Nessus см.в «Мире ПК», №3/03. Сайт разработчика: www.nessus.org.
Nmap — сетевой сканер портов. Рекомендуется для определения доступных и закрытых брандмауэром сетевых сервисов. В процессе работы доступны несколько оригинальных методик сканирования. Позволяет с высокой степенью точности произвести оценки типа и версии операционной системы сканируемого хоста. Изначально разработанный для UNIX-систем, сканер был портирован на Windows-платформу. Сайт разработчика: www.nmap.org. Существует локализованная версия nmap с некоторыми дополнениями на русском языке (www.nmap.ru).
Snort — система анализа сетевого трафика системы. Позволяет по характерным признакам распознавать попытки проведения сетевых атак, сканирования системы и сетевой активности «троянских» программ. Имеется возможность оповещения администратора в случае обнаружения атаки. На базе snort можно построить свою систему IDS (Intrusion Detection System — система обнаружения вторжения). Сайт разработчика: www.snort.org
Все рассмотренные программные продукты распространяются свободно, в исходных кодах на условиях лицензии GNU GPL (General Public License).
