🚀 go-pugleaf

jurgen@david.silesia.pik-net.pl (Jerzy Hodor) writes:

> Wydaje sie, ze uwazasz sie za osobe znajaca sie na firewallach. Twoje
> publiczne wypowiedzi sa na temat, wykorzystuja poprawna terminologie itd.
> Zatem (wybacz bezposredniosc, przypadek jest czysto hipotetyczny, 
> acz typowy):

Wydaje mi sie, ze cos o nich wiem - przypuszczalnie wystarczajaca duzo do
zabezpieczenia sie przed potencjalnymi atakami, ale na pewno istnieja
zagadnienia zwiazane z firewallami, o ktorych nie wiem lub wiem czesciowo.

> Co polecalbys firmie XYZ ktora przychodzi do Ciebie i mowi: "Panie, mamy 
> siec lokalna oparta o serwery Netware/NT, koncowki pod Win3.x/Win95 
> (mieszanka). W sieci dziala TCP/IP, routuje ja Netware. Mamy (zalozmy)
> 3 nitki ethernetu. Wyjscie na swiat poprzez modem na linii stalej 
> obslugiwany (zalozmy) przez Linuxa (wariant optymistyczny), badz
> przez NT (wariant pesymistyczny). Chcemy zabezpieczyc siec przed
> niepowolanym dostepem z zewnatrz. Jakie uslugi maja byc dostepne?
> Wewnatrz sieci lokalnej - wszystkie. Na zewnatrz: poczta na 1 lub dwa
> serwery w firmie, Netscape + FTP z koncowek, ew. WinTalk.
> Jakie propozycje (Linux kontra reszta swiata) przy zalozeniach:
> 1. wzglednie niewielkie koszty przedsiewziecia
> 2. stawia sie maszyne jako bezobslugowa (cos jak MS Plug'n'Play)
>
> Interesuje mnie, co bys polecil ze sprzetu, jakie reguly odnosnie transportu
> TCP/IP oraz jakie ewentualne dodatkowe oprogramowanie darmowe/komercyjne?

Moze napisze o mojej glownej instalacji w PM... Cos takiego normalnie polecam
(nawet czystym Windosowcom, ktorym nie polecam normalnej maszyny pracujacej
pod Linuxem).

Sprzet.
Wszystko zalezy od wymagan, ale biorac pod uwage mala ilosc $$$ postawilbym
PC - np. u mnie pod stolem stoi i386DX-33 z herkulesem, 4MB RAM, dyskietka
startowa zawierajaca odpowiednio spreparowany kernel Linuxa i 5 kartami
sieciowymi. Poza tym karta SDL Communications N2 - interface HDLC (160 kbps)
do Warmana (trudno chyba jeszcze bardziej zmniejszyc koszty hardware -
wynoszace tu pewnie < US$1000).
Ten komputer zajmuje sie wylacznie routingiem TCP/IP, ruch Novellowy idzie
w calosci przez Novella.
Oczywiscie, mozna uzyc Novella jako wewnetrznego routera TCP/IP, ale ja musze
miec ochrone nie tylko przed zewnetrzna siecia (Warman), ale takze przed
wewnetrznymi - wysylanie pakietow z nieswojego IP dzieci cwicza codziennie.

Oczywiste jest, ze w przypadku, gdy linie zewnetrzna obsluguje Linux lub
Windos (Linux=komputer, a nie tylko router na Linux'ie), to nie bedzie tego
dluzej robil, bo zajmie sie tym nasz router. Teoretycznie Linux (komputer)
moglby byc jednoczesnie routerem/firewallem, ale w praktyce brakuje mu
wolnych slotow (wtedy raczej PCI, bo szkoda czasu CPU), a i userzy pracujacy
na nim zwiekszaja ryzyko.

Software.
Na routerze odpalamy odpowiednie jadra Linux'a - u mnie uzywa ono dysku przez
NFS (NFS root filesystem) - nalezy zwrocic uwage, by przed ustawieniem
firewall'i nasz router mial skonfigurowane tylko bezpieczne interface sieciowe
- w przeciwnym przypadku router moze przepuscic jakies niewlasciwe pakiety
podczas swojego startu, co w powiazaniu z np. jakims nowym bugiem powodujacym
restart routera (z zewnatrz - podobnie jak ostatnio wykryty i poprawiony bug
z dlugimi pakietami) moze byc niebezpieczne dla bezbronnych maszyn firmy.

Mozna startowac Linuxa z dyskietki, NFS+TFTP, HDD czy cokolwiek. Mozna
oczywiscie uzyc dysku lokalnego a nie NFS'a jako / filesystem.

Filesystem / zawiera minimalne oprogramowanie ustawiajace interfaces,
routing oraz firewalling (ifconfig oraz route - standardowo).
Ja robie podstawowy firewalling tak:
- Z sieci wewnetrznych akceptowane sa tylko pakiety IP o adresie source
  mieszczacym sie we wlasciwych granicach (subnet_address & netmask),
  za wyjatkiem adresu interface routera, ktory jest rowniez filtrowany.
  Jesli w danej sieci potrzebne jest bootp, to akceptowany jest rowniez
  adres 0.0.0.0.
- Z sieci zewnetrznej (Warman) akceptowane sa wszystkie pakiety, ktore nie
  pochodza z mojej sieci, nie sa pakietami BOOTP ani zadnymi broadcastami
  (to w sumie nie ma znaczenia), oraz nie pochodza z loopbacka 127.x.x.x.
- Do sieci zewnetrznej nie sa wysylane te pakiety, ktore nie sa routowane
  do sieci wewnetrznych, a naleza do nasz{ej,ych} klas adresowych.

Oczywiscie wylaczamy forwarding wszelkich pakietow z/do interface zewnetrznego.

Kernel Linux'a ma wlaczona opcje "always unfragment IP fragments" (czy cos
takiego), co ma chronic przed atakami fragmentami pakietow IP (nie sprawdzalem,
czy to dziala, mam nadzieje ze tak).

Teraz nalezy sie zastanowic nad dostepem z zewnatrz. Mozliwe sa 2 rozwiazania:
- takie ustawienie firewalla, by akceptowal tylko wychodzace polaczenia
  (niestety nie zabezpiecza to calkowiecie)
- uzycie servera proxy (bezpieczniejsze, ale troszke bardziej klopotliwe).

W pierwszym przypadku po prostu to ustawiamy, nalezy zauwazyc ze poczta dziala
w dwie strony, i nie za bardzo mozna ustawic to dla FTP, poniewaz normalnie
serwer ftp (remote) tworzy polaczenie z nami ze swojego portu ftp-data, z
naszym dowolnym portem (ktory wczesniej podalismy). Mozna oczywiscie uzywac
passive mode, ale to nie zawsze jest mozliwe. Niestety taki firewall nie daje
calkowitego bezpieczenstwa - co prawda normalne metody mlodych hackerow na
pewno zawioda (nie mozna otworzyc polaczenia do chronionych maszyn), ale
kazdemu przypadkowi nalezy sie dokladnie przyjrzec pod katem atakow na
polaczenia wychodzace z firmy (niewykluczone, ze ataki na nasze polaczenia
wychodzace nie sa niebezpieczne, ale moga nastapic rowniez ataki na nasze
polaczenia wewnetrzne - mimo zewnetrznego adresu nadawcy takich pakietow).

Proxy serverow jest przynajmniej kilka. Mozna uzyc wbudowanego w Linuxa proxy
(IP masquerading), socks lub np. TIS toolkit. Kiedys stosowalem socks, teraz
proxy Linux'a - do ochrony bardzo malej liczby maszyn (koncowki w PM - PC
pracujace pod *DOS'em - nie sa chronione przez proxy serwer). Nalezy po prostu
odpowiednio skonfigurowac (ipfwadm) proxy, wszelkie pakiety maja wtedy adresy
routera/firewall'a. Do ftp nalezy zaladowac odpowiedni modul jadra.

Nie wiem, co to jest wintalk - jesli to normalny talk, to trzeba odblokowac
normalny routing do portu talk'a - konieczne jest przyjmowanie polaczen
przychodzacych.

Dobrze jest wlaczyc logowanie odrzuconych pakietow, wiadomo wtedy jakie zdrady
byly usilowane. U mnie logowane sa notoryczne proby wyslania pakietow
z niby - naszego glownego komputera - pakiety pochodza jednak z niewlasciwego
kabla.

"Jednym" slowem - proponuje weryfikacje oryginalnosci pakietow jak opisalem
na poczatku, wylaczenie routingu ze swiatem zewnetrznym (ipfwadm deny).

Nastepnie selektywne wlaczenie routingu pomiedzy swiatem i okreslonymi portami
okreslonych naszych maszyn (oraz okreslonymi portami maszyn zewnetrznych i
okreslonymi naszymi maszynami) - najlepiej z uzyciem filtru na strone
inicjujaca polaczenie, np.:
swiat -> nasz_mail_server(smtp)
nasz_mail_server(tu moze mozliwe porty clienta SMTP) -> swiat(smtp)
{Podobnie talk).

Natomiast do zdalnego dostepu ktores proxy.

Korzystnie jest odciac wszelkie niepotrzebne uslugi, nawet jesli nie sa
grozne.

Moze ktos ma dodatkowe pomysly?

W kazdym razie najbardziej istotne jest, by osoba instalujaca firewall'a
nie robila tego schematycznie, a _myslala_. Najlepiej oczywiscie wynajac
jakiegos speca-wlamywacza, podobnie jak w przypadku klasycznych zamkow :)
-- 
Krzysztof Halasa
Network Administrator of The Palace of Youth in Warsaw