Configurare Netfilter con Shorewall: differenze tra le versioni

Si utilizza il comando <tt>iptables</tt> per specificare le politiche predefinite, le regole di <tt>INPUT</tt>, quelle di <tt>OUTPUT</tt> e quelle di <tt>FORWARDING</tt>. Solitamente si raccoglie la serie di comandi in uno shell script destinato quasi sempre a crescere nel tempo man mano che le politiche di firewalling divengono più specifiche o devono descrivere nuove esigenze. Spesso ci si trova ad amministrare un firewall descritto da uno shell script anche complesso, ma sicuramente lungo, il che oggettivamente può creare difficoltà nella manutenzione del firewall. Inoltre è sicuramente più difficile stabilire, leggendo lo script, se le politiche di firewalling sono implementate correttamente.

Questo tipo di strumenti permette di specificare regole di firewalling ad un livello d'astrazione più elevato di quello offerto da un semplice shell script iptables, utilizzando un linguaggio spesso vicino al modo in cui si definisce la politica di firewalling.

{{Box|Nota|<tt>shorewall</tt> viene installato senza alcuna configurazione predefinita. In <tt>/usr/share/doc/shorewall/examples</tt> sono presenti alcuni file di configurazione a cui è possibile riferirsi per iniziare la configurazione del firewall.}}

Sono state dichiarate due interfacce: l'interfaccia pubblica sta sulla <tt>eth0</tt>, mentre la ''LAN'' sulla <tt>eth1</tt>.

; <code>blacklist</code>: all'interfaccia è associato il file <tt>/etc/shorewall/blacklist</tt>, in cui si specificano gli indirizzi IP da bloccare;

; <code>norfc1918</code>: l'interfaccia non deve accettare pacchetti il cui indirizzo sorgente è specificato nell'RFC1918 (principalmente indirizzi privati;

; <code>nosmurfs</code>: filtra i pacchetti per gli ''smurfs'', cioè quelli che hanno come sorgente un indirizzo di broadcast;

; <code>routefilter</code>: contro misura per spoofing.

Sono dichiarate una zona <code>''firewall''</code>, <code>''net''</code> (internet) e <code>''loc''</code> (la rete locale).

Il campo <code>''TYPE''</code> individua il tipo di zona:

; <code>firewall</code>: è il firewall stesso e deve essere presente una sola zona di questo tipo;

; <code>ipv4</code>: è il tipo standard predefinito;

; <code>ipsec</code>: la comunicazione con gli host presenti in questa zona è criptata.

Per maggiori informazioni riferirsi a [http://www.shorewall.net/3.0/manpages/shorewall-zones.html zones(5)].

; <code>zone</code>: un nome di zona definito nel file <tt>/etc/shorewall/zones</tt>;

; <code>$FW</code>: è il firewall stesso;

; <code>all</code>: tutte le zone.

; <code>ACCEPT</code>: la connessione viene accettata;

; <code>DROP</code>: la connessione viene ignorata silenziosamente;

; <code>REJECT</code>: per le connessioni <code>''TCP''</code> il firewall risponde con <code>''RST''</code> (reset), per le altre connessioni il firewall risponde con un <code>''ICMP - unreacheable''</code>.

Se il campo <code>''LOG''</code> è impostato, la connessioni sono registrate secondo il <code>''log level''</code> dichiarato. È possibile anche l'utilizzo di <code>''ULOG''</code> per l'invio dei log del firewall all'infrastruttura <code>''ULOG''</code>. Per l'utilizzo di <code>''ULOG''</code> è necessario anche modificare il file <tt>/etc/shorewall/shorewall.conf</tt>.

Impostando il campo <code>''BURST:LIMIT''</code> si specifica il rateo massimo di connessioni <code>''TCP''</code> e la misura di un <code>''burst''</code> accettabile.

Per utilizzare nelle regole una variabile occorre specificarla nella forma <code>''$VARIABILE''</code>, esattamente come avviene negli shell script.

L'utente può aggiungere macro a quelle già disponibili definendole in file tipo <tt>macro.*</tt> da creare in <tt>/etc/shorewall</tt>. Supponendo di voler cambiare la porta su cui ascolta <code>''sshd''</code> da <tt>22</tt> a <tt>2222</tt>, possiamo definire la seguente macro:

Il file <tt>/etc/shorewall/blacklist</tt> è utilizzato per il ''blacklisting'' statico. Si possono specificare indirizzi IP e MAC. Quando un pacchetto giunge sull'interfaccia in cui è abilitata l'opzione <code>'''blacklist'''</code>, il firewall controlla se l'indirizzo IP sorgente e MAC (se disponibile) sono inclusi nella blacklist e quindi se il pacchetto va bloccato.

; <code>shorewall drop <ipaddresslist></code>: inserisce gli IP nella blacklist dinamica con politica DROP

; <code>shorewall reject <ipaddresslist></code>: inserisce gli IP nella blacklist dinamica con politica REJECT

; <code>shorewall allow <ipaddresslist></code>: toglie gli IP dalla blacklist dinamica

; <code>shorewall show dynamic</code>: mostra gli elementi presenti nella blacklist dinamica

; <code>shorewall save</code>: salva la configurazione della blacklist dinamica, in modo che al prossimo riavvia sia ripristinata

In <tt>/etc/shorewall/shorewall.conf</tt> l'opzione <code>'''IP_FORWARDING'''</code> va impostata su <code>'''On'''</code>.

I casi in cui l'<code>'''IP_FORWARDING'''</code> non va attivato sono due:

L'<code>''IP Masquerading''</code> è una forma di <code>''NAT''</code> che permette di far condividere una connessione internet ad una LAN

<code>''DNAT''</code> è l'acronimo di ''Destination network address translation''. È una tecnica per cambiare l'indirizzo IP di destinazione di un pacchetto e tenere traccia dei pacchetti di risposta. Detto in altre parole facciamo <code>''DNAT''</code> quando "giriamo una porta verso una macchina interna al firewall".

; <code>safe-restart</code>: salva la configurazione attuale, quindi applica quella nuova e chiede conferma per mantenere le nuove regole; se la conferma non è data entro 60 secondi sono riapplicate le regole precedenti;

; <code>try configuration-directory [timeout]</code>: riavvia shorewall utilizzando la configurazione presente nella directory specificata e se sono rilevati errori o se il timeout è raggiunto, le regole precedenti sono riapplicate;

; <code>show check</code>: esegue la validazione sintattica della configurazione;

; <code>logwatch</code>: simile a <tt>tail -f $LOGFILE</tt>;

; <code>ipcalc [<address> <mask> | <address/vlsm>]</code>: dato un indirizzo di rete, mostra i corrispondenti indirizzi di network, broadcast e netmask.