Paketfilter-Firewalls

Transkript

1 Kapitel 8 Paketfilter-Firewalls Eine Paketfilter-Firewall verhält sich, vereinfacht dargestellt, wie ein IP-Router, der alle ankommenden Pakete entsprechend einem vorgegebenen Regelwerk filtert. Erlaubte Pakete leitet er aufgrund seiner (normalerweise statisch) konfigurierten Routen an den Empfänger weiter. Auf IP-Ebene kommunizieren Client und Server direkt miteinander, die dazwischen liegende Firewall überwacht diese Kommunikation nur. Die Paketfilter-Firewall arbeitet auf den OSI-Schichten drei und vier. 1 Sie überprüft alle ankommenden und ausgehenden Datenpakete auf bestimmte Eigenschaften, die dem jeweiligen Protokollheader entnommen werden (vgl. Abbildungen 3.5, 3.8, 3.11 und 3.12 in Kapitel 3). Die Filterung kann dabei auf verschiedenen Feldern aus den Headern der Pakete basieren: IP-Adressen: Quelladresse, Zieladresse Protokoll-Identifikator: TCP, UDP, ICMP Flags: bei TCP für den korrekten Verbindungsaufbau, Datenübertragung und Verbindungsabbau Ports: Quell-Port, Ziel-Port bei UDP und TCP, z.b. TCP-Ziel-Port 80 für HTTP, 23 für Telnet, 22 für SSH, UDP-Ziel-Port 123 für NTP usw. ICMP-Type und Code bei ICMP Möglich wäre auch eine Filterung auf Basis des Optionen-Feldes im IP- und TCP- Header, was wir aber nicht weiter erörtern werden. Paketfilter-Firewalls werten nur die Header-Informationen bis zur Transportschicht aus. Höhere Schichten, insbesondere die von den Anwendungsprotokollen abgesetzten Kommandos und die in den Paketen enthaltenen Daten, werden von reinen Paketfilter-Firewalls nicht berücksichtigt. 1 Ein Ethernet-Switch kann schon auf OSI-Schicht zwei über die MAC-Adressen eine Paketfilterung durchführen. Diese Art von Filterung wird aber hier nicht weiter berücksichtigt.

2 190 8 Paketfilter-Firewalls Einige Paketfilter-Firewalls erlauben auch noch die Filterung von RPC-Diensten (siehe /etc/rpc). RPC (Remote Procedure Call) ist ein Dienst, der den Aufruf von (Betriebssystem-)Funktionen übers Netz erlaubt. Er wird u.a. für NFS (Network Filesystem), und für NIS (Network Information System) verwendet. RPC gehört jedoch schon zur Anwendungsschicht. Die Paketfilter-Firewall kann über die Flags auch die Richtung des TCP- Verbindungsaufbaus unterscheiden (siehe Abbildung 3.9 auf Seite 51). So ist es z.b. möglich, festzulegen, dass zwar Rechner A über SSH auf Rechner B zugreifen darf, jedoch Rechner B keine SSH-Verbindung zu A aufbauen kann. Aufgrund der vom Administrator konfigurierten Regeln (so genannte Rules ) entscheidet die Firewall darüber, wie mit dem Datenpaket umzugehen ist. Bei den gängigsten Paketfilter- Implementierungen werden die Regeln in der Regelliste (Regelwerk, Ruleset) von oben nach unten linear abgearbeitet. In Spezialfällen, die wir hier nicht weiter beachten wollen, kann es auch Abweichungen von der linearen Abarbeitung geben. Sobald eine Regel auf das zu untersuchende Datenpaket passt, wird die in der Regel definierte Aktion ausgeführt. Alle nachfolgenden Regeln, welche eventuell auch auf das Datenpaket passen würden, werden nicht weiter berücksichtigt. Beim pessimistischen Ansatz (siehe Abschnitt 7.3) muss das Firewall-Regelwerk immer mit einer Default-Regel enden, die sämtliche Kommunikation verbietet. Eine Regel kann das Passieren (ACCEPT) oder Zurückweisen der Pakete durch die Firewall bewirken. Eine ACCEPT-Regel bewirkt ein Weiter-Routen des Datagramms. Bei zurückweisenden Regeln kann als Aktion REJECT oder DROP angegeben werden. Bei beiden Aktionen wird das Datenpaket verworfen. Bei REJECT wird dem Absender jedoch eine entsprechende Meldung zugeschickt. Diese Meldung ist abhängig vom Firewall-Produkt oder auch konfigurierbar. Möglich sind verschiedene ICMP-Meldungen oder bei TCP ein Paket mit gesetztem RST-Flag (TCP-Reset). Bei DROP unterbleibt eine Rückmeldung. Zusätzlich kann für jede Regel festgelegt werden, ob die Anwendung der Regel auf ein Datenpaket mit protokolliert werden soll (LOG) oder nicht. Bei der Erstellung des Regelwerkes ist immer darauf zu achten, dass die Regeln konsistent sind und Regeln sich nicht gegenseitig widersprechen. Insbesondere kann es vorkommen, dass auf ein Paket oder eine Verbindung prinzipiell mehrere Regeln passen. Dann ist die Reihenfolge der Abarbeitung der Regeln genau zu beachten. Dabei gibt es von Produkt zu Produkt Unterschiede. Einige Firewall-Produkte führen vor Aktivierung eines neuen Regelwerkes eine Konsistenzprüfung durch, welche zumindest grobe Fehler erkennt (z.b. Regeln, welche von einer vorangestellten Regel verdeckt werden). Die Konsistenzprüfung von Firewall-Regeln ist allerdings kein triviales Problem und kann daher sehr schwer automatisiert werden. Bei historisch gewachsenen Firewall-Policies ist es Aufgabe des Administrators, Regeln sinnvoll zusammenzufassen und logisch richtig anzuordnen. Durch ein möglichst kompaktes und übersichtliches Regelwerk wird sowohl die Verarbeitungsgeschwindigkeit der Firewall erhöht als auch die Gefahr von unbeabsichtigten Löchern in der Firewall verringert.

3 8.1 Statische und dynamische Paketfilterung Statische und dynamische Paketfilterung Grundsätzlich gibt es zwei Arten von Paketfiltern: statische und dynamische. Die statische Paketfilterung arbeitet zustandslos, das heißt, die Filterregeln arbeiten unabhängig von vorangegangenen Paketen. Auf jedes Paket wird immer derselbe Satz von Filterregeln angewandt. Für eine TCP-Verbindung werden also mindestens zwei Regeln benötigt, eine für die Hin- und eine für die Rückrichtung. Die dynamische Paketfilterung, auch Statefull Inspection genannt, ist zustandsabhängig und erweitert das Regelwerk temporär um zusätzliche Regeln. Für eine erlaubte Verbindung wird also bei Bedarf die benötigte Rückrichtung für die Dauer der Verbindung freigeschaltet. Die Firewall muss sich dazu jeden Verbindungsaufbau merken, um Folgepakete als zu einer bestehenden Verbindung gehörig zuordnen zu können. Dynamische Firewalls überwachen auch die Sequenznummern der TCP-Datenpakete. Liegt diese außerhalb eines bestimmten, von der Fenstergröße (siehe Abbildung 3.8) abhängigen Bereiches, wird das Paket verworfen. Des Weiteren können viele Firewall-Produkte mit dynamischer Paketfilterung bei FTP- Verbindungen die Datenkanäle automatisch erkennen und freischalten. FTP hat die Eigenheit, dass es Server-seitig zusätzlich zum TCP-Port 21 auch dynamisch vergebene TCP-Ports verwendet (passives FTP) oder vom Server, TCP-Port 20, Verbindungen zurück zum Client aufbaut (aktives FTP). Details dazu siehe Abschnitt 6.3 auf Seite 130. Topologie Server Internet m net.arbornet.org /29 eth1 Firewall eth / SSH Kommunikation : / Client :5046 Abbildung 8.1: SSH-Kommunikation über eine Paketfilter-Firewall

4 192 8 Paketfilter-Firewalls Abbildung 8.1 zeigt eine einfache Installation zur geschützten Anbindung von zwei internen Netzen ( /25, /24) ans Internet. Die internen Netze sind mit offiziellen IP-Adressen ausgestattet, da die Rechner eine direkte Verbindung ins Internet aufbauen sollen. An der Firewall müssen in dieser Konstellation folgende statische Routen eingetragen werden: Route zum Netz /24 über die Default-Route über die IP-Adresse des externen Routers. Die Routen zu den direkt angebundene Netzen ( /25, /29) werden implizit durch die Interface-Konfiguration vorgegeben und müssen nicht explizit konfiguriert werden. Tabelle 8.1: Filtertabelle für SSH bei statischer Paketfilterung Nr. Quelle Ziel Prot. Quell-Port Ziel-Port Flags Action Log 1 Client Server TCP > any ACCEPT 2 Server Client TCP 22 >1023!syn ACCEPT Ô 3 any any any any any any DROP Die Tabellen 8.1 und 8.2 zeigen das Regelwerk für eine SSH-Freischaltung mit einseitigem Verbindungsaufbau vom Client (IP: , Port: 5046) zum Server (IP: , Port: 22). In beiden Beispielen darf der Client eine SSH-Sitzung zum Server initiieren, ein Verbindungsaufbau in Rückrichtung ist nicht möglich. Die erste Zeile des statischen Regelwerkes aus Tabelle 8.1 erlaubt alle TCP-Pakete vom Client mit Quell-Port größer 1023 auf den Server, Port 22, und protokolliert sie mit. Die TCP-Flags können beliebig gesetzt sein (Eintrag any in der Spalte Flags ). Regel 2 erlaubt alle Antwort-Pakete vom Server, Port TCP/22, aus auf Client-TCP- Ports größer Dem Server soll es aber nicht erlaubt sein, Verbindungen zum Client aufzubauen. Dazu müsste der Server das SYN-Flag setzen und alle anderen Flags nicht. Durch den Eintrag!syn (nicht SYN-Flag gesetzt) in der Flags-Spalte wird verhindert, dass solche Pakete die Firewall passieren dürfen. Alle anderen Flag- Kombinationen sind erlaubt. Die Policy wird von einer Regel abgeschlossen, die alle Pakete, die nicht zur freigeschalteten SSH-Verbindung gehören, verwirft und protokolliert. Tabelle 8.2: Filtertabelle für SSH bei dynamischer Paketfilterung Nr. Quelle Ziel Prot. Quell-Port Ziel-Port Action Log 1 Client Server TCP > ACCEPT 2 any any any any any DROP Ô Ô Ô Bei der dynamischen Paketfilterung aus Tabelle 8.2 muss die Rückrichtung für die Pakete vom Server zum Client nicht explizit freigeschaltet werden, auch eine Angabe der Flag-Filterung entfällt, da die Firewall diese Filterung automatisch aufgrund der angegebenen Freischaltungsrichtung (von der Quelle zum Ziel) durchführt.

5 8.2 Paketfilterung mit Netfilter/iptables unter Linux 193 Ein weiterer Vorteil der dynamischen Filterung liegt darin, dass die Rückrichtung für die Antwort-Pakete vom Server nur eine definierte Zeit lang offen gehalten wird. Kann der Verbindungsaufbau aus irgendwelchen Gründen nicht vervollständigt werden oder bleibt eine Verbindung eine gewisse Zeit inaktiv, werden die dynamisch geöffneten Ports nach einem definierbaren Timeout wieder geschlossen und die Verbindung aus den internen Tabellen gelöscht. Antwortet der Server nicht auf die Verbindungsanfrage, bleibt die Rückrichtung ganz gesperrt. Ebenso wird bei beendeter SSH-Sitzung die Rückrichtung durch den TCP-Verbindungsabbau wieder geschlossen. Die dynamische Firewall wird zudem nur den Port für die Rückrichtung öffnen, welchen der Client beim Verbindungsaufbau ausgewählt hat (Port 5046 im Beispiel), und keinen weiteren. Bei der statischen Paketfilterung sind alle Client-Ports >1023 vom Server-Port 22 aus immer erreichbar. Diesen Umstand macht sich z.b. Nmap (siehe Abschnitt 4.4.1, Seite 67) zu Nutze, um IP-Adressen hinter statischen Paketfiltern auf offene TCP-Ports zu scannen, obwohl der Paketfilter keinen regulären Verbindungsaufbau erlaubt (!syn). Alle Firewall-Produkte sollten mittlerweile die dynamische Paketfilterung beherrschen. Statische Filterung findet man aber als einfache Verkehrsfilterung auf vielen Routern, hier als ACL (Access Control List) bezeichnet. 8.2 Paketfilterung mit Netfilter/iptables unter Linux Im Linux-Kernel 2 sind ab Version mit Netfilter umfangreiche Firewall- Funktionalitäten enthalten. Wir werden uns im Folgenden genauer mit dieser Firewall beschäftigen. Netfilter ist ein sehr mächtiges Werkzeug mit dementsprechend großem Funktionsumfang. Wir werden uns daher auf die wichtigsten Funktionen beschränken. Eine Netfilter-Firewall unterscheidet im Wesentlichen drei Gruppen von Firewall- Regeln, die als Tabellen ( Tables ) bezeichnet werden. filter enthält die eigentlichen Paketfilter-Regeln, also die Definition der erlaubten und verbotenen Kommunikationsbeziehungen. nat nimmt alle NAT-Regeln für die Umsetzung von IP-Adressen und Port- Nummern auf (siehe Abschnitt 8.5). mangle erlaubt zusätzliche Paket-Modifikationen für hier nicht behandelte Spezialfälle, insbesondere Modifikation der Paket-Header, z.b. der TCP-Flags oder des IP-Type of Service. Innerhalb der Tabellen gibt es verschiedene Ketten oder Chains. Sie teilen die von der Tabelle zu bearbeitenden Datenpakete in drei Gruppen ein. 2 Als Kernel wird der Kern eines Betriebssystems bezeichnet, der grundlegende Funktionen wie Prozessverwaltung, Speicherzugriffe, Geräteverwaltung usw. zur Verfügung stellt. 3 Frühere Versionen hatten mit ipfwadm und ipchains deutlich andere Mechanismen.

6 194 8 Paketfilter-Firewalls Linux Netfilter Firewall INPUT FORWARD OUTPUT Abbildung 8.2: Die drei unterschiedlichen Ketten (Chains) der Tabelle filter. Die in diesem Abschnitt betrachtete Tabelle filter hat folgende Standard-Ketten für die Unterscheidung der Datenpakete nach Quelle und Ziel (vgl. Abbildung 8.2) definiert: Die INPUT-Kette wird auf alle IP-Pakete angewandt, welche für die Firewall selbst bestimmt sind, welche also als Ziel-IP-Adresse eines der Firewall- Interfaces eingetragen haben. Durch die Regeln der OUTPUT-Chain werden all jene Pakete überprüft, welche die Firewall selbst erzeugt hat. Alle Pakete von anderen Rechnern, die von der Firewall nur weitergeleitet werden, passieren die FORWARD-Chain. Zusätzlich können auch neue Ketten, so genannte User-defined Chains, definiert werden. Dies kann nötig sein, um gewisse logische Verknüpfungen im Regelwerk zu realisieren oder um an vielen Stellen verwendete Regeln zu einer Gruppe zusammenzufassen. User-defined Chains können gleich wie die Standard-Ketten mit Regeln gefüllt werden. Ein Beispiel für die Anwendung solcher selbst definierter Ketten finden Sie in Listing 8.5, Seite 206. In jeder Regel muss angegeben werden, was mit den Paketen, auf welche die Regel passt, geschehen soll. Dies wird mit der Angabe einer der folgenden Aktionen (Ziel, Target) festgelegt: ACCEPT: Das Paket darf die Firewall passieren. DROP: Das Paket wird verworfen. REJECT: Das Paket wird verworfen, der Absender erhält aber eine entsprechende Rückmeldung, standardmäßig ICMP-Port-unreachable. Diese Rückmeldung ist über die iptables-option --reject-with konfigurierbar. LOG: Für das Paket wird ein entsprechender Eintrag ins System-Log erzeugt. Dieses wird vom syslogd-daemon verwaltet, der die Meldungen standardmäßig in Dateien unter /var/log schreibt. Näheres zum Logging- Mechanismus finden Sie in Abschnitt 8.8 oder mit man syslogd.

7 8.2 Paketfilterung mit Netfilter/iptables unter Linux 195 RETURN: Die Abarbeitung der aktuellen Kette wird hier abgebrochen. Handelt es sich bei dieser um eine User-defined Chain, so geht die Abarbeitung des Regelwerkes an der Stelle weiter, wo die Verzweigung in die User-defined Chain stattgefunden hat. Wird RETURN in einer Standard-Kette verwendet, so wird auf das Datenpaket ohne Beachtung der Folgeregeln sofort die Default-Policy (siehe unten) angewandt. user-defined chain: Als Target kann auch der Name einer User-defined Chain angegeben werden. An dieser Stelle wird dann in diese Chain verzweigt. Ein weiteres Target wäre QUEUE, die Weitergabe des Paketes in den Userspace für eine Verarbeitung durch Prozesse außerhalb des Kernels. Alle Regeln der Tabelle filter werden sequenziell abgearbeitet. Sobald eine ACCEPT-, DROP- oder REJECT-Regel auf das zu untersuchende Paket passt, wird die Aktion ausgeführt und die Abarbeitung der Kette beendet. Für ein auf eine LOG- Regel passendes Paket wird ein Eintrag ins System-Log gemacht, die Abarbeitung der Kette wird jedoch fortgesetzt, da eine LOG-Regel noch keine Informationen über die weitere Behandlung des Paketes beinhaltet. Aus diesem Verhalten geht hervor, dass eine LOG-Regel immer vor einer auch auf die Kommunikationsbeziehung passenden Freischaltungsregel eingetragen sein muss, da sie sonst bei der Abarbeitung des Regelwerkes nicht erreicht werden kann. Während bei anderen Firewall-Produkten das Logging nur eine Option zu einer Freischaltungsregel ist und keine eigenen Regeln benötigt, sind bei Netfilter dedizierte Logging-Regeln erforderlich. Der Vorteil dieser Methode besteht darin, dass das Logging unabhängig von den Filterregeln konfiguriert werden kann. Passt keine der explizit konfigurierten ACCEPT-, DROP- oder REJECT-Regeln wird die so genannte Default-Policy (Default-Target) der Kette auf das Paket angewendet. Beim pessimistischen Konfigurationsansatz muss diese Default-Policy auf RE- JECT oder DROP gestellt sein. Einen guten Überblick über die Reihenfolge der Abarbeitung der Regeln in der Tabelle filter in Bezug auf die Tabellen nat und mangle sowie deren Ketten finden Sie in Abbildung Statische Paketfilterung mit Netfilter Zentrales Kommando für das Erstellen eines Netfilter-Regelwerks ist iptables. Dieses und alle anderen Netfilter-spezifischen Kommandos können nur als User root benutzt werden. iptables dient dem Anlegen und Löschen von Regeln in den Tabellen und deren Ketten im laufenden System. Um das Regelwerk nach einem Neustart des Systems automatisch zu aktivieren, muss ein Start-Skript erzeugt werden (siehe Seite 199). Eine genauere Beschreibung von iptables finden Sie in den Man- oder Info-Pages (man iptables bzw. info iptables), die HowTo- Seiten liegen bei SuSE unter /usr/share/doc/packages/iptables, bei Debian im Verzeichnis /usr/share/doc/iptables.

8 196 8 Paketfilter-Firewalls Wir werden uns zunächst mit der statischen Paketfilterung befassen und später die Erweiterungen von Netfilter für eine dynamische Filterung behandeln. Die wichtigsten Optionen des Befehls für eine statische Paketfilterung sind im Folgenden aufgelistet. Für die meisten Optionen gibt es eine lange und eine verkürzte Schreibweise (z.b. --table oder -t). -h Gibt für die zusammen mit -h angegebenen Optionen einen kurzen Hilfetext aus. --table, -t table table wählt die Tabelle (filter, nat, mangle) aus. Ohne Angabe dieser Option wird standardmäßig die Tabelle filter ausgewählt. --policy, -P chain target Auswahl der Default-Policy für die angegebene Chain. --list, -L [chain] Listet alle Regeln der Kette chain oder, ohne Angabe von chain, aller Ketten in absteigender Reihenfolge auf. Wird keine Tabelle (mit der Option --table bzw. -t) angegeben, bezieht sich das Kommando auf die Tabelle filter. Die zusätzliche Option --verbose bzw. -v macht die Ausgabe ausführlicher, --line-numbers zeigt auch die Regelnummern an. --flush, -F [chain] Löscht alle Regeln oder die Regeln der angegebenen Chain aus der Tabelle. Ohne die Angabe der Tabelle mit der Option --table bzw. -t werden nur die Regeln der Tabelle filter gelöscht. --new-chain, -N chain Erzeugt eine neue User-defined Chain mit dem Namen chain. --delete-chain, -X [chain] Löscht die User-defined Chain chain. Ohne Angabe von chain werden alle Userdefined Chains gelöscht. --append, -A chain Hängt die neue(n) Regel(n) ans Ende der angegebenen Chain an. --delete, -D chain [rulenum] Löscht die angegebene Regel aus der angegebenen Chain. Die Regel kann dabei durch Angabe der Regelnummer oder der gesamten Filterspezifikation ausgewählt werden. --insert, -I chain [rulenum] Hängt die Regel an die Stelle rulenum in die angegebene Chain. Ohne Angabe von rulenum wird 1 angenommen, also der Beginn des Regelwerkes. --replace, -R chain rulenum Die Regel mit Nummer rulenum in chain wird durch die neue Regel ersetzt.

9 8.2 Paketfilterung mit Netfilter/iptables unter Linux 197!! Kann bei vielen Optionen verwendet werden und negiert die angegebene Auswahl. --source, -s [!] address[/mask] Auswahl der Quell-IP-Adresse oder des Netzes address mit Netzmaske mask. Die Maske kann im Dezimalformat oder als Bitmaskenlänge angegeben werden. --destination, -d [!] address[/mask] Auswahl der Ziel-IP-Adresse oder des Zielnetzes. --protocol, -p [!] protocol Auswahl des Schicht-4-Protokolls. Mögliche Werte für protocol sind tcp, udp, icmp oder alle Protokollnamen aus /etc/protocols sowie alle gültigen Protokollnummern. all oder 0 ist die Standardeinstellung und bezeichnet alle Protokolle. Die für die entsprechenden Protokolle benötigten Module werden automatisch geladen. --source-port, --sport [!] port[:port] Auswahl des Quell-Ports oder Port-Bereichs (bei TCP und UDP). --destination-port, --dport [!] port[:port] Auswahl des Ziel-Ports oder Port-Bereichs (bei TCP und UDP). --tcp-flags [!] mask comp Angabe der TCP-Flags. mask bezeichnet die zu untersuchenden Flags, comp die Flags aus mask, welche gesetzt sein müssen. Alle Flags, die in mask enthalten sind, in comp jedoch nicht, dürfen nicht gesetzt sein. Bei beiden Argumenten werden mehrere Flags durch Komma getrennt. Mögliche Werte sind SYN, ACK, FIN, RST, URG, PSH; ALL für alle Flags und NONE für keines der Flags. [!] --syn Auswahl von Paketen mit gesetztem SYN-Bit und nicht gesetzten ACK- und FIN- Bits (Verbindungsaufbau). Äquivalent zu --tcp-flags SYN,FIN,ACK SYN. --icmp-type [!] typename Auswahl des ICMP-Codes. iptables -p icmp -h gibt die Liste aller möglichen Codes aus. --jump, -j target Auswahl der Aktion (Target) für die auf die Regel passenden Pakete. --zero, -Z [chain] Setzt alle Paketzähler in der angegebenen Chain oder in allen Chains auf Null. Angezeigt werden die Zähler mit iptables --list --verbose. --match, -m module Laden des Moduls module für weitere Kommandooptionen (z.b. für die dynamische Paketfilterung, siehe Seite 200). Alle auf dem System verfügbaren iptables-module sind unter /lib/iptables oder /usr/lib/iptables

10 198 8 Paketfilter-Firewalls mit Dateinamen libipt module.so abgelegt. Die vom Modul bereitgestellten Optionen werden mit iptables --match module -h aufgelistet. --in-interface, -i [!] name Die Regel wird nur auf Pakete angewandt, die über das angegebene Interface empfangen werden. Diese Option gilt nur für die Chains INPUT, FORWARD (Tabelle filter) und PREROUTING (Tabelle nat). --out-interface, -o [!] name Äquivalent zu --in-interface für über das Interface name ausgehende Pakete. --log-prefix text Der mit dieser Option angegebene (maximal 29 Zeichen lange) Text wird bei den Log-Einträgen im System-Log mit eingetragen und ist sehr hilfreich bei der Unterscheidung der verschiedenen Meldungen. --log-level level Die von dieser Regel erzeugten Log-Einträge erhalten die Priorität level. Der syslogd, auf dem System für die Verwaltung der Log-Meldungen zuständig, schreibt die Einträge abhängig von der Priorität in unterschiedliche Dateien oder sonstige Ausgabekanäle. Details zum System-Log erhalten Sie mit man syslogd. Mit iptables-save kann die im Kernel laufende Policy auf der Standardausgabe angezeigt oder in eine Datei gespeichert werden, iptables-restore lädt die Regeln aus einer Datei wieder in den Kernel. Für einfache Konstellationen gibt es bei SuSE-Linux die Möglichkeit, mit relativ geringem Aufwand eine Konfiguration für Netfilter zu erstellen (/etc/ sysconfig/susefirewall2), die dann über drei Skripten (/etc/init.d/ SuSEfirewall2 *) aktiviert und deaktiviert wird. Diese Konfiguration eignet sich jedoch nicht für komplexere Umgebungen und ist bei anderen Linux-Distributionen in dieser Form nicht vorhanden. Wir werden uns daher nicht weiter mit dieser Möglichkeit der Konfiguration beschäftigen. Nähere Informationen zur SuSE- Firewall finden Sie in /usr/share/doc/packages/susefirewall2. Als erstes Beispiel wollen wir die Regeln für die SSH-Freischaltung aus der Abbildung 8.1 und Tabelle 8.1 mit Netfilter realisieren. Das Regelwerk dazu zeigt Listing 8.1. Listing 8.1: Statische SSH-Freischaltung aus Abbildung 8.1 mit Netfilter # Die eigentliche SSH-Freischaltung iptables -A FORWARD -p tcp -s d \ --sport 1024: --dport 22 --syn -j LOG iptables -A FORWARD -p tcp -s d \ --sport 1024: --dport 22 -j ACCEPT iptables -A FORWARD -p tcp -s d \ --sport 22 --dport 1024:! --syn -j ACCEPT # Alle unbekannten Pakete loggen und verwerfen

11 8.2 Paketfilterung mit Netfilter/iptables unter Linux 199 iptables -A INPUT -j LOG iptables -A OUTPUT -j LOG iptables -A FORWARD -j LOG iptables -P INPUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP Die Ò-Zeichen am Ende von überlangen Kommandozeilen teilen der ausführenden Shell mit, dass das Kommando in der nächsten Zeile fortgeführt wird. Natürlich kann das Kommando auch in einer einzigen Zeile abgesetzt werden, die Umbrüche erhöhen jedoch die Lesbarkeit des Skripts. Damit die Firewall-Regeln nach einem Neustart automatisch geladen werden, muss ein Init-Skript die Befehle noch ausführen. Dazu wird die Datei /etc/init.d/ firewall angelegt und ausführbar gemacht. Die Befehle werden dann dort eingetragen und die Datei zum Starten der Firewall vor der Konfiguration der Interfaces zu Beginn der Runlevels 3 und 5 folgendermaßen verlinkt: ln -s /etc/init.d/firewall /etc/init.d/rc3.d/s01firewall ln -s /etc/init.d/firewall /etc/init.d/rc3.d/s01firewall Das Init-Skript sollte mindestens die Befehle aus Listing 8.2 enthalten, um alle nicht explizit erlaubten Pakete zu sperren und zu loggen. Beispielhaft wurde in dieser Policy in den Zeilen 22 bis 24 auch eine Regel für den Dienst ident/auth eingetragen, die Pakete auf TCP-Port 113 nicht nur verwirft (DROP, wie in den Default-Regeln festgelegt), sondern auch noch eine entsprechende Rückmeldung an den Absender schickt (REJECT). Dies verhindert Probleme mit über die Firewall laufenden oder von der Firewall ausgehenden SMTP- und FTP-Verbindungen. Viele Server versuchen vor dem Verbindungsaufbau auf Port 25 bzw. 21, die anfragende User-ID des Client-Systems abzufragen. Werden die Pakete auf Port 113 ohne Rückmeldung verworfen, so verzögert sich die Mail-Zustellung bzw. der FTP-Verbindungsaufbau, da der Server noch den TCP-Timeout für die ident/auth-anfrage abwartet. Die Default-Policy (Zeilen 6 bis 8) wird immer an den Anfang des Init-Skripts gestellt, um sicherzustellen, dass sofort nach dem Starten des Skripts keine nicht explizit freigeschalteten Pakete die Firewall passieren. Logisch gesehen kommt die Default-Policy jedoch erst nach Abarbeitung der Freischaltungsregeln zum Zug. In der letzten Zeile wird das Routing des Betriebssystems aktiviert. Hier müssen Sie ggf. darauf achten, dass diese Einstellung nicht mit der permanenten Routing- Einstellung Ihrer Distribution kollidiert. Wenn nur die lokale Maschine mit Netfilter abgesichert werden soll, dann sollte das Routing nicht aktiv sein. Listing 8.2: Pessimistischer Ansatz bei statischer Paketfilterung 1 #!/bin/sh 2 # Firewall-Regeln 3 # 4 5 # Voreinstellung: Unbekannte Pakete duerfen nicht passieren 6 iptables -P INPUT DROP 7 iptables -P OUTPUT DROP

12 200 8 Paketfilter-Firewalls 8 iptables -P FORWARD DROP 9 10 # Eventuell bereits existierende Regeln aus der Tabelle filter loeschen 11 iptables -F 12 iptables -X # Die Freischaltungsregeln # Alles von/zu localhost erlauben 17 iptables -A INPUT -i lo -j ACCEPT 18 iptables -A OUTPUT -o lo -j ACCEPT 19 Q 20 # ident/auth TCP/113 auf REJECT setzen, um Timeouts zu 21 # verhindern (Mail, FTP), ohne Logging 22 iptables -A INPUT -p tcp --dport 113 -j REJECT 23 iptables -A OUTPUT -p tcp --dport 113 -j REJECT 24 iptables -A FORWARD -p tcp --dport 113 -j REJECT # Alle sonstigen nicht erlaubten Pakete loggen 27 iptables -A INPUT -j LOG 28 iptables -A OUTPUT -j LOG 29 iptables -A FORWARD -j LOG # Routing ein 32 echo 1 > /proc/sys/net/ipv4/ip_forward Natürlich sind hier auch komplexere Konfigurationen z.b. zur Verwaltung mehrerer Policies oder ein intelligenteres Laden 4 der Policy denkbar Dynamische Paketfilterung mit Netfilter Für die dynamische Paketfilterung steht bei Netfilter das Modul state zur Verfügung. Das Modul stellt die Option --state mit folgenden Argumenten bereit: NEW bezeichnet Pakete, welche zu keiner bereits bestehenden Verbindung gehören. ESTABLISHED-Pakete sind Teil einer bereits bestehenden Verbindung. Unter RELATED werden alle Pakete zusammengefasst, die mit einer bestehenden Verbindung verwandt sind, beispielsweise ICMP-Meldungen oder die Datenkanäle einer bestehenden FTP-Sitzung. Als INVALID werden Pakete klassifiziert, die zu keiner bestehenden Verbindung gehören und ungültige Daten oder einen ungültigen Header aufweisen. Bei der Option NEW ist zu beachten, dass sie bei TCP-Paketen nicht überprüft, ob das Paket auch eine neue Verbindung aufbaut. Die Option erachtet also auch Pakete mit nicht gesetztem SYN-Flag als gültig. Es wird nur überprüft, ob die im Paket enthaltene IP-Adress- und Port-Kombination schon von einer bestehenden Verbindung verwendet wird oder nicht. Ist dies nicht der Fall, wird das Paket unabhängig von der TCP-Flag-Kombination als NEW erkannt und darf die Firewall bei einer 4 Bis zum Erreichen der Freischaltungsregeln sind nämlich kurzzeitig alle Verbindungen verboten.

13 8.2 Paketfilterung mit Netfilter/iptables unter Linux 201 passenden NEW/ACCEPT-Regel passieren. Dieses Verhalten ermöglicht, dass eine bestehende Verbindung ohne Unterbrechung von einer anderen Firewall übernommen werden kann, und macht somit eine Hochverfügbarkeitskonfiguration mehrerer Firewall-Rechner mit Netfilter möglich. Leider führt dieses Verhalten gleichzeitig dazu, dass auch TCP-Pakete ohne vorangegangenen 3-Wege-Handshake die Firewall passieren dürfen. Um dies zu verhindern, können folgende Regeln an den Anfang des Firewall-Regelwerkes gestellt werden: iptables -I INPUT -p tcp! --syn -m state --state NEW -j DROP iptables -I OUTPUT -p tcp! --syn -m state --state NEW -j DROP iptables -I FORWARD -p tcp! --syn -m state --state NEW -j DROP Diese Regeln verwerfen alle als NEW erkannten TCP-Pakete, welche keine neue Verbindung aufbauen. Ohne diese Regel muss bei TCP zur Option -m state --state NEW immer auch die Option --syn angegeben werden. Bei einem SuSE-System mit deaktivierter SuSE-Firewall muss zur Aktivierung der Verbindungserkennung für FTP-Datenverbindungen noch das Kernel-Modul ip conntrack ftp geladen werden (Kommando modprobe ip conntrack ftp). Weitere nützliche Kernel-Module für Netfilter finden sich mit modprobe -l grep ipv4/netfilter. Das Modul state wird mit folgendem Befehl z.b. für alle von der Firewall ausgehenden Verbindungen aktiviert: iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT So können alle Pakete passieren, die zu einem Verbindungsaufbau gehören, der in einer Freischaltungsregel erlaubt wurde. Unsere SSH-Freischaltung für die dynamische Paketfilterung ist in Listing 8.3 dargestellt. Listing 8.3: Dynamische Konfiguration der SSH-Freischaltung # Die eigentliche SSH-Freischaltung iptables -A FORWARD -p tcp -s d \ --sport 1024: --dport 22 --syn -j LOG iptables -A FORWARD -p tcp -s d \ --sport 1024: --dport 22 --syn -m state --state NEW -j ACCEPT # Alle unbekannten Pakete loggen und verwerfen iptables -A INPUT -j LOG iptables -A OUTPUT -j LOG iptables -A FORWARD -j LOG iptables -P INPUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP Das Init-Skript aus Listing 8.2 würde bei dynamischer Paketfilterung wie in Listing 8.4 dargestellt aussehen. Hinzu gekommen sind die Einträge in den Zeilen 14 bis

14 202 8 Paketfilter-Firewalls 26: Das Laden des FTP-Moduls sowie das Erlauben aller Pakete zu freigeschalteten Verbindungen. Listing 8.4: Pessimistischer Ansatz bei dynamischer Paketfilterung 1 #!/bin/sh 2 # Firewall-Regeln 3 # 4 5 # Voreinstellung: Unbekannte Pakete duerfen nicht passieren 6 iptables -P INPUT DROP 7 iptables -P OUTPUT DROP 8 iptables -P FORWARD DROP 9 10 # Eventuell bereits existierende Regeln aus der Tabelle filter loeschen 11 iptables -F 12 iptables -X # Kernel-Modul fuer FTP-Datenkanaele 15 modprobe ip_conntrack_ftp 16 # Neue Pakete, die keine Verbindung aufbauen, loggen und verwerfen 17 iptables -A INPUT -p tcp! --syn -m state --state NEW -j LOG 18 iptables -A OUTPUT -p tcp! --syn -m state --state NEW -j LOG 19 iptables -A FORWARD -p tcp! --syn -m state --state NEW -j LOG 20 iptables -A INPUT -p tcp! --syn -m state --state NEW -j DROP 21 iptables -A OUTPUT -p tcp! --syn -m state --state NEW -j DROP 22 iptables -A FORWARD -p tcp! --syn -m state --state NEW -j DROP 23 # state-modul aktivieren fuer alle freigeschalteten Verbindungen 24 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 25 iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 26 iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT # Die Freischaltungsregeln # Alles von/zu localhost erlauben 31 iptables -A INPUT -i lo -j ACCEPT 32 iptables -A OUTPUT -o lo -j ACCEPT 33 Q 34 # ident/auth TCP/113 auf REJECT setzen, um Timeouts zu 35 # verhindern (Mail, FTP), ohne Logging 36 iptables -A INPUT -p tcp --dport 113 -j REJECT 37 iptables -A OUTPUT -p tcp --dport 113 -j REJECT 38 iptables -A FORWARD -p tcp --dport 113 -j REJECT # Alle sonstigen nicht erlaubten Pakete loggen 41 iptables -A INPUT -j LOG 42 iptables -A OUTPUT -j LOG 43 iptables -A FORWARD -j LOG # Routing ein 46 echo 1 > /proc/sys/net/ipv4/ip_forward Das neue Skript in Listing 8.4 schaut zwar auf den ersten Blick komplizierter aus als bei der statischen Paketfilterung aus Listing 8.2. Die neuen Kommandos müssen jedoch nur einmal eingegeben werden und vereinfachen dann alle Freischaltungsregeln, da immer nur der Verbindungsaufbau freigeschalten werden muss. Alle folgenden zur Verbindung gehörigen Pakete werden automatisch erlaubt. Außerdem wird die Sicherheit der Firewall, wie in Abschnitt 8.1 beschrieben, deutlich erhöht.