Praktikum IT-Sicherheit. Firewall

Transkript

1 IT-Sicherheit Praktikum IT-Sicherheit - Versuchshandbuch - Einrichten von Firewallsystemen mit IPtables Firewall In diesem Versuch lernen Sie den Umgang mit Paketfiltern im Zusammenhang von Servern und Routern. Auch der Einsatz von zustandsabhängigen Paketfiltern und ihr Einsatz in einer DMZ wird vorgestellt. Weiterhin lernen sie an einem Beispiel die Anwendung von SSH. M.Sc. AI M.Sc. EB

2 Allgemeines Dieser Versuch ist in mehrere Abschnitte unterteilt, die jeweils andere Netzwerkkonfigurationen und Voreinstellungen benötigen. Zu den jeweiligen Aufgaben befinden sich auf den beteiligten virtuellen Maschinen Konfigurationsskripte. Diese finden Sie in den Ordnern TaskOne für Aufgabe 1, TaskTwo für Aufgabe 2 usw. Vor Beginn jeder Aufgabe müssen sie in den entsprechenden Ordner wechseln. (Bsp: cd TaskOne. Beachten sie hierbei die Grossbuchstaben.) Lassen sie sich den Inhalt des Ordners anzeigen (Bsp: ls ). Führen Sie nun alle Skripte im Ordner mit dem Befehl sh aus. (Bsp: sh config.sh ). Zu den einzelnen Aufgaben finden sie ab Aufgabe 2 Screenshots zu den Routingtabellen.Vor Beginn einer Aufgabe ist zu prüfen, ob die Routingtabellen ihrer virtuellen Maschinen mit den Screenshots übereinstimmen. Die Routingtabellen lassen sich über den befehl route anzeigen. (Bsp: route -n ). Login: root Passwort: root Aufgabe 1 - Paketfiltereinsatz für Serverfunktionen a) Ist der Server vom Client aus zu erreichen? 2

3 b) Modifizieren Sie die chain INPUT und chain OUTPUT so, dass der Server vom LAN aus erreicht werden kann und überprüfen Sie diese Änderung (Lösungshinweis: entsprechende Protokollparameter verwenden). c) Versuchen Sie mit dem Programm Links auf den Server zuzugreifen ( q zum beenden des Programms). d) Modifizieren Sie die chain INPUT und chain OUTPUT so, dass der SERVER HTTP- Anfragen beantwortet (Lösungshinweis: entsprechende Protokollparameter verwenden, Zielports und Quellports beachten). e) Versuchen Sie nun erneut auf den Server zuzugreifen. 3

4 f) Führen Sie einen Portscann am Server durch. Ist Port 80 offen? 4

5 Aufgabe 2 - Paketfiltereinsatz auf Router 5

6 a) Ist das Internet vom Client aus erreichbar? b) Ändern Sie die Default-Policy der chain FORWARD von ACCEPT auf DROP. 6

7 c) Ist das Internet vom Client aus erreichbar? Sehen Sie sich die letzten Log-Einträge auf ROUTER_1 mittels tail /var/log/messages an: Die von LAN gesendeten Pings werden nicht angezeigt, weil keine entsprechende rule definiert wurde. Lassen Sie sich den Inhalt von task.sh mit more task.sh anzeigen. (mit Enter zeilenweise scrollen, mit q beenden). d) Es soll mit iptables eine benutzerdefinierte chain (Name: LOG_CHAIN ) angelegt werden, mit der man alle verworfenen Pakete (INPUT, OUTPUT, FORWARD) protokollieren kann. Gehen sie wie folgt vor: Zuerst werden die rules mit dem target LOG aus den chains INPUT und OUTPUT gelöscht (iptables D...). Hiernach wird die neue chain LOG-CHAIN definiert (iptables N...). Dann muss an die chains INPUT, OUTPUT, FORWARD je eine rule mit dem target LOG_CHAIN angehängt werden (iptables A... Zuletzt fügt man in der neuen chain LOG-CHAIN eine rule mit dem target LOG ein (iptables A...). 7

8 e) Ist das Internet vom Client aus erreichbar? f) Sehen Sie sich die letzten Log-Einträge vom ROUTER_1 an. Welche Pakete wurden nun geloggt und warum? 8

9 Aufgabe 3 - Zustand abhängiger Paketfilter a) Ist der Server vom Client aus zu erreichen? b) Bauen Sie nun von SERVER aus eine SSH-Verbindung zu LAN auf. Befehl: ssh Lassen Sie die Session offen. Wechseln Sie auf SERVER in ein anderes virtuelles Terminal. Sie können mit ALT+F1/ALT+F2 zwischen den virtuellen Terminals umschalten. 9

10 Im virtuellen Terminal auf SERVER überprüfen Sie mit cat /proc/net/ip_conntrack, ob die SSH Verbindung angezeigt wird. c) Erläutern Sie kurz das Prinzip von Stateful Firewalling unter iptables: 10

11 Aufgabe 4 - Paketfiltereinsatz in DMZ 11

12 a) Konfigurieren Sie ROUTER_2 so, dass alle Default-Policies auf DROP stehen (iptables P...) 12

13 b) Fügen Sie auf ROUTER_2 am Ende jeder chain eine geeignete rule hinzu, um alle Pakete zu protokollieren. c) Ist der Server vom Internet aus zu erreichen? d) ROUTER_2 soll so konfiguriert werden, dass INTERNET den Web-Server erreichen kann (iptables I ). e) Prüfen Sie mit Links, ob sie den Web-Service auf SERVER erreichen können. (Falls dies nicht möglich ist, behebend und kommentieren sie das Problem.) 13

14 f) ROUTER_2 soll so konfiguriert werden, dass INTERNET den FTP-Server auf SERVER auf Port 21 ansprechen kann. Nur der FTP-Steuerkanal soll angesprochen werden können. (Lösungshinweis: task.sh auf ROUTER_1 ansehen). g) Ist der Server vom Internet aus zu erreichen (benutzen sie nmap)? h) Fügen Sie die auf ROUTER_1 in task.sh benutzten Stateful-Firewalling-Regeln für aktives FTP auf ROUTER_2 ein (iptables I...). 14

15 i) Versuchen Sie von LAN aus den FTP-Server auf SERVER mit dem FTP-Client ncftp zu erreichen. Die Ausführung kann einige Zeit in Anspruch nehmen, da ncftp standardmäßig per Passive Mode versucht auf den Server zuzugreifen. Erklären Sie die unterschiedlichen Übertragungsmethoden von ftp: j) Führen Sie die folgenden Befehle aus: ncftp / > ls ncftp / > get README.TXT ncftp / > bye k) Fügen Sie die auf ROUTER_1 in task.sh benutzten Stateful-Firewalling-Regeln für passives FTP auf ROUTER_2 ein (iptables I...). l) Wiederholen sie den Punk i. Begründen Sie, was Ihnen auffällt. Da ROUTER 2 nun für passiv FTP eingerichtet ist, erfolgt die Ausführung mittels des ftp Clients spürbar schneller. 15

16 Aufgabe 5 - Paketfilterumgehung mit Tunneling 16

17 17

18 a) Welche Ports sind auf SERVER offen? b) Welche Ports sind auf INTERNET offen? c) Ist ein HTTP-Server auf LAN aktiv (Lösung mit nmap)? d) Welche Ports sind nun auf INTERNET offen? (Dieser Vorgang kann einige Minuten in Anspruch nehmen. Führen Sie parallel dazu die nächsten zwei Punkte durch) 18

19 e) Welche Ports sind nun auf SERVER offen? f) Führen Sie nun einen Portscann von SERVER auf INTERNET aus (Port 8, 10 und 11). g) Überlegen Sie anhand der Erkenntnisse der ersten Fragen, wie das Ergebnis von links :300 zu erklären ist. Analysieren Sie dazu ggf. die Paketfilter auf ROUTER_1/ROUTER_2 19

20 Aufgabe 6 Firewallkonfiguration mit FWBuilder a. Ihre Aufgabe ist nun, die Filterregeln einer Dual-Homed-Firewall einzurichten. Starten Sie FWBuilder, öffnen Sie die Datei Firewall, die sich auf auf dem Desktop befindet, und erstellen Sie Regeln anhand folgender Vorgaben: I. Erstellen Sie eine Anti-Spoofing-Regel, welche Verbindungen von ausserhalb des eigenen Netzes, die sich mit interner Adresse ausgeben, blockt. Tritt ein solcher Fall auf, soll dies in eine Logdatei geschrieben werden II. Direkter Zugriff auf die Firewall zur Konfiguration nur aus dem internen Netz mit dem Adressbereich mittels SSH III. Anderweitige Versuche des Zugriffs auf die Firewall sollen geblockt und in eine Logdatei geschrieben werden IV. Gestatten Sie der Firewall, DNS Anfragen in das externe Netz zu senden als auch zu empfangen V. Gestatten Sie Zugriff auf den Mail-Server aus dem externen sowie dem internen Netz mit dem Adressbereich VI. Zugriff auf das Internet aus dem internen Netz nur über die Firewall b. Welche Funktion erfüllt die letzte Regel (block all)? Was wäre das Resultat wenn diese Regel an erster Stelle platziert werden würde? 20