6. Entendendo alguns conceitos de rede no Linux

6.2.1. Principais opções das regras de filtragem - Tabela "filter"

Essa seção é praticamente uma cópia dos sites http://eriberto.pro.br/iptables/3.html e http://www.samueldiasneto.com/doc/iptables.html.

As regras (rules) de fitragem, geralmente, são compostas com a seguinte sintaxe:

# iptables [-t tabela] [opção] [chain] [dados] [-j ação]

Exemplo:

# iptables -A FORWARD -d 192.168.1.1 -j DROP

No comando acima não foi especificada a tabela -t tabela e neste caso é usada a tabela filter (padrão). A opção -A significa Append (anexar) e neste caso está acrescentando uma nova regra à chain FORWARD. A opção -d 192.168.1.1 está definindo que a regra deve ser aplicada aos pacotes destinados ao host com endereço 192.168.1.1. E finalmente a opção -j define a ação que deve ser tomada. Neste caso -j DROP está definindo que devem ser descartados os pacotes que se enquadrarem nos critérios da regra.

Em resumo, a regra acima determina que todos os pacotes destinados à máquina 192.168.1.1 devem ser descartados.

Principais opções que podem ser usadas na criação de regras:

• -P -> Policy (política). Altera a política da chain, ou seja, especifica a ação que deve ser executada com todos os pacotes que trafegarem na chain . A política inicial de cada chain é ACCEPT. Isso faz com que o filtro, inicialmente, aceite qualquer pacote nas chains INPUT, OUTPUT ou FORWARD. A política pode ser alterada para DROP, que irá negar o serviço da chain, até que uma opção -A entre em vigor. O -P não aceita REJECT ou LOG. Exemplos:

  #iptables -P FORWARD DROP

  Define que todos os pacotes da chain FORWARD sejam descartados.

  #iptables -P INPUT ACCEPT

  Define que todos pacotes da chain INPUT sejam aceitos.

• -A -> Append (anexar). Acresce uma nova regra à chain. Tem prioridade sobre a opção -P. Geralmente, como buscamos segurança máxima, colocamos todas as chains em política DROP, com o -P e depois abrimos o que é necessário com o -A. Exemplos:

  #iptables -A OUTPUT -d 172.20.5.10

  Aceita os pacotes na chain OUTPUT com destino para o endereço 172.20.5.10

  A tabela filter poderia ser declarada explicitamente com a opção -t. Por exemplo:

  #iptables -t filter -A OUTPUT -d 172.20.5.10

  #iptables -A FORWARD -s 10.0.0.1 -j DROP

  Descarta todos os pacotes na chain FORWARD com origem no endereço 10.0.0.1.

  #iptables -A FORWARD -d www.chat.com.br -j DROP

  Descarta todos os pacotes na chain FORWARD com destino para o endereço www.chat.com.br.

• -D -> Delete (apagar). Apaga uma regra. Para apagar as regras anteriores, usa-se:

  #iptables -D OUTPUT -d 172.20.5.10

  #iptables -D FORWARD -s 10.0.0.1 -j DROP

  #iptables -D FORWARD -d www.chat.com.br -j DROP

  Também é possível apagar a regra pelo seu número de ordem. Pode-se utilizar o -L para verificar o número de ordem. Por exemplo para apagar a regra 4 da chain FORWARD:

  #iptables -D FORWARD 4

• -L -> List (listar). Lista as regras existentes. Exemplos:

  #iptables -L

  #iptables -L FORWARD

• -F -> Flush (esvaziar). Remove todas as regras existentes. No entanto, não altera a política (-P). Exemplos:

  #iptables -F

  Remove todas as regras existentes.

  #iptables -F FORWARD

  Remove todas as regras existentes referentes à chain FORWARD.

• -I -> Insere uma nova regra ao início da lista de regras (Ao contrário do comando -A, que insere ao final da lista)

  #iptables -I OUTPUT

6.2.2. CHAINS (ou CADEIAS ou CORRENTES) - Tabela "filter".

INPUT -> Refere-se a todos os pacotes destinados à máquina filtro.

OUTPUT -> Refere-se a todos os pacotes gerados na máquina filtro, tanto com destino local como remoto.

FORWARD -> Refere-se a todos os pacotes oriundos de uma máquina e destinados a outra. São pacotes que atravessam a máquina filtro, mas não são destinados a ela.

6.2.3. Opções relativas aos pacotes de dados - Tabela "filter".

• -s -> Source (origem). Estabelece a origem do pacote. Geralmente é uma combinação do endereço IP com a máscara de sub-rede, separados por uma barra. Exemplo:

  #iptables -A FORWARD -s 10.0.0.1 -j DROP

  Descarta todos os pacotes na chain FORWARD com origem no endereço 10.0.0.1.

  -s 172.20.0.0/255.255.0.0

  Neste exemplo, 172.20.0.0, se refere a um endereço de rede.

  -s 172.20.5.10/255.255.255.255

  Neste exemplo, 172.20.5.10, se refere a um endereço de host, pois para hosts a máscara sempre será 255.255.255.255!

  Há um recurso para simplificar a utilização da máscara de sub-rede. Basta utilizar a quantidade de bits 1 existentes na máscara. Assim, a máscara 255.255.0.0 vira 16. A utilização fica assim:

  -s 172.20.0.0/16

  Lembrar que cada campo corresponde a 1 byte ou 8 bits, e portanto 255.255.0.0 é representado em binário como 11111111.11111111.00000000.00000000 e por isso possui 16 bits "1". (Ver http://www.hardware.com.br/termos/mascara-de-sub-rede)

  É recomendável sempre que possível a especificação de endereços IP's nas regras, pois além de serem muito rápidos (pois não precisar de resolução DNS) são mais seguros para evitar que nosso firewall seja enganado por um ataque de IP spoofing.(Fonte: www.guiafoca.org)

  Outra possibilidade é a designação de hosts pelo nome. Exemplo:

  -s www.chat.com.br

  Para especificar qualquer origem, utilize a rota default, ou seja, 0.0.0.0/0.0.0.0, também admitindo 0/0.

• -d -> Destination (destino). Estabelece o destino do pacote. Funciona exatamente como o -s, incluindo a sintaxe.

  #iptables -A OUTPUT -d 192.168.1.1/24

  Aceita os pacotes na chain OUTPUT com destino para o endereço de rede 192.168.1.1/24

• -p -> Protocol (protocolo). Especifica o protocolo a ser filtrado. O protocolo IP pode ser especificado pelo seu número (Ver uma lista no arquivo: /etc/protocols) ou pelo nome. Os protocolos mais utilizados são udp, tcp e icmp. Exemplo:

  -p icmp

• -i -> In-Interface (interface de entrada). Especifica a interface de entrada. As interfaces existentes podem ser vistas com o comando ifconfig.

  -i ppp0

  O sinal + pode ser utilizado para simbolizar várias interfaces. Por exemplo eth+ refere-se à eth0, eth1, eth2 etc. Exemplo:

  -i eth+

  A opção -i não pode ser utilizado com a chain OUTPUT

• -o -> Out-Interface (interface de saída). Especifica a interface de saída. Similar a -i, inclusive nas flexibilidades.

  O -o não pode ser utilizado com a chain INPUT.

• ! -> Exclusão. Utilizado com -s, -d, -p, -i, -o e outros, para excluir o argumento. Exemplo:

  -s ! 10.0.0.1

  Isso refere-se a qualquer endereço de entrada, exceto o 10.0.0.1.

  -p ! tcp

  Todos os protocolos, exceto o protocolo TCP.

• --sport -> Source Port. Porta de origem. Só funciona com as opções -p udp e -p tcp. Exemplo:

  -p tcp --sport 80

  #iptables -t filter -A OUTPUT -o eth0 -p tcp --sport 6881 -j DROP

• --dport -> Destination Port. Porta de destino. Só funciona com as opções -p udp e -p tcp. Similar a --sport.

  #iptables -t filter -A INPUT -i eth0 -p tcp --dport 6881 -j ACCEPT

6.2.4. As "ações" (ou alvos) executadas sobre os pacotes - Tabela "filter"

• ACCEPT: Este alvo faz com que o Netfilter aceite a passagem do pacote. O significado prático disto depende da situação (chain) em que é feita esta aceitação. Por exemplo, um pacote que é aceito numa situação de entrada (INPUT chain) terá permissão para ser recebido pelo host, já um pacote que é aceito numa situação de saída (OUTPUT chain) terá permissão para ser enviado pelo host, assim como um pacote que é aceito numa situação de encaminhamento (FORWARD chain) terá permissão para ser roteado através da rede.

• DROP: Este alvo faz com que o Netfilter descarte o pacote referenciado sem processamento prévio deste. Este pacote simplesmente desaparece sem nenhuma indicação do fato de ter sido descartado ao host ou aplicação que o enviou. Frequentemente é enviada para o emissor de tal pacote uma indicação de tempo de comunicação esgotado (timeout), o que pode gerar uma certa confusão.

• REJECT: Este alvo tem o mesmo efeito da alvo DROP exceto pelo fato de que ela envia, ao remetente do pacote, um outro pacote de erro (envia pacote icmp unreachable).

• LOG: Cria um log referente à regra, em /var/log/messages. Muito útil para análise de quais pacotes estão sendo descartados. Usar antes de outras ações.

6.2.5. Exemplos comentados de regras baseadas na tabela filter

#iptables -L

Lista todas as regras existentes.

#iptables -F

Apaga todas as regras sem alterar a política.

#iptables -P FORWARD DROP

Estabelece uma política de proibição inicial de passagem de pacotes entre sub-redes.

#iptables -A FORWARD -j ACCEPT

Todos os pacotes oriundos de qualquer sub-rede e destinados a qualquer sub-rede deverão ser aceitos.

#iptables -A FORWARD -s 10.0.0.0/8 -d www.chat.com.br -j DROP

Os pacotes oriundos da sub-rede 10.0.0.0 (máscara 255.0.0.0) e destinados aos hosts cujos endereços IP respondem pelo nome www.chat.com.br deverão ser descartados. Note que se a máquina possuir domínios virtuais, todos esses serão bloqueados.

#iptables -A FORWARD -s 10.0.0.0/8 -d www.chat.com.br -j REJECT

Os pacotes oriundos da sub-rede 10.0.0.0 (máscara 255.0.0.0) e destinados aos hosts cujos endereços IP respondem pelo nome www.chat.com.br deverão ser descartados. Deverá ser enviado um ICMP avisando à origem (ao contrário do comando anterior que não envia ICMP avisando à origem.

#iptables -A FORWARD -d www.chat.com.br -j DROP

Os pacotes oriundos de qualquer lugar e destinados aos hosts cujos endereços IP respondem pelo nome www.chat.com.br deverão ser descartados.

#iptables -A FORWARD -d 10.0.0.0/8 -s www.chat.com.br -j DROP

Os pacotes destinados à sub-rede 10.0.0.0 (máscara 255.0.0.0) e oriundos de hosts cujos endereços IP respondem pelo nome www.chat.com.br deverão ser descartados.

#iptables -A FORWARD -s www.chat.com.br -j DROP

Os pacotes oriundos de hosts cujos endereços IP respondem pelo nome www.chat.com.br e destinados a qualquer lugar deverão ser descartados.

6.2.6. Principais opções - Tabela "nat"

-A --> Append (anexar) uma regra.

-D --> Deletar uma regra.

-F --> Flush (esvaziar). Remove todas as regras existentes, mas não altera a política (-P).

#iptables -t nat -L

Mostra as regras de NAT ativas.

#iptables -t nat -F

Apaga todas as regras de NAT existentes.

6.2.7. CHAINS (ou CADEIAS ou CORRENTES) - Tabela "nat".

• PREROUTING -> utilizada para analisar pacotes que estão entrando no kernel para sofrerem NAT. O PREROUTING pode fazer ações de NAT com o endereço de destino do pacote. Isso é conhecido como DNAT (Destination NAT).

• POSTROUTING -> utilizada para analisar pacotes que estão saindo do kernel, após sofrerem NAT. O POSTROUTING pode fazer ações de NAT com o endereço de origem do pacote. Isso é conhecido como SNAT (Source NAT).

• OUTPUT -> utilizada para analisar pacotes que são gerados na própria máquina e que irão sofrer NAT. O OUTPUT pode fazer ações de NAT com o endereço de destino do pacote. Também é DNAT.

6.2.8. Opções relativas aos pacotes de dados - Tabela "nat"

• -t -> Table (tabela). Estabelece a tabela a ser utilizada. A tabela default, por omissão, é filter. Para o mascaramento ou NAT será nat. Exemplo:

  #iptables -t nat -A ...

• --to -> utilizado para definir IP e porta de destino, após um DNAT, ou de origem, após um SNAT. Deve ser utilizado após uma ação (-j ação). Assim:

  -j DNAT --to 10.0.0.2

  -j DNAT --to 10.0.0.2:80

  -j SNAT --to 172.20.0.2

• --dport -> assim como -d define um host de destino, --dport define uma porta de destino. Deve ser utilizado antes de uma ação (-j ação). Antes de --dport, deve ser especificado um protocolo (-p). Exemplo:

  -d 172.20.0.1 -p tcp --dport 80 -j DNAT --to 10.0.0.2

• -sport -> assim como -s define um host de origem, --sport define uma porta de origem. Deve ser utilizado antes de uma ação (-j ação).

• --to-port -> define uma porta de destino, após uma ação REDIRECT.

Obs: A maioria das opções relacionadas aos pacotes de dados para a tabela filter continuam valendo para a tabale nat. Exemplo: -p servirá para definir um protocolo de rede; -d define um host de destino.

6.2.9. As "ações" (ou alvos) executadas sobre os pacotes - Tabela "nat"

• SNAT: Este alvo faz com que o pacote tenha seu endereço de origem alterado. Utilizamos a flag "--to-source" para indicar o novo endereço de origem do pacote. Este alvo só é válido para situações (chains) de POSTROUTING dentro da tabela NAT.

• DNAT: Este alvo faz com que o pacote tenha seu endereço de destino alterado. Utilizamos a flag "--to-destination" para indicar o novo endereço de destino do pacote. Este alvo é válido apenas para situações (chains) de OUTPUT e PREROUTING dentro da tabela NAT.

• MASQUERADE: Este alvo é uma forma especial restrita de SNAT para conexões com IP's dinâmicos. Ao invés de ter que alterar a uma alvo SNAT toda vez que o IP for alterado, esta alvo calcula o endereço IP de origem para fazer o NAT analizando o endereço IP da interface de saída quando um pacote encontra esta regra.

• REDIRECT: Este alvo é responsável pelo redirecionamento de portas. Utilizamos a flag "--to-port" para especificar a porta para a qual o tráfego da regra será redirecionado.

Em resumo, SNAT é feito quando o pacote está saindo da rede interna em direção à Internet modificando o endereço de origem e o DNAT é feito quando o pacote está chegando da Internet em direção a uma máquina da rede interna modificando o endereço de destino.

E MASQUERADE é um tipo especial de SNAT usado para conectar a sua rede interna à internet quando você recebe um IP dinâmico de seu provedor (como em conexões ppp). Todas as operações de IP Masquerading são realizadas no chain POSTROUTING.

Se você tem um IP fixo, deve usar o SNAT.

Uma etapa importante para permitir o redirecionamento de pacotes através do firewall é habilitar o conteúdo do arquivo /proc/sys/net/ipv4/ip_forward para o valor "1" com o comando: #echo 1 >/proc/sys/net/ipv4/ip_forward Para tornar essa configuração permanente é possível editar o arquivo /etc/sysctl.conf alterando para "1" a opção abaixo: # Controls IP packet forwarding net.ipv4.ip_forward = 1

6.2.10. Exemplos comentados de regras baseadas na tabela nat

#iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Todos os pacotes que saírem pela interface ppp0 (modem) serão mascarados. Isso dá um nível de segurança elevado à rede que está atrás da ppp0. É uma boa regra para navegação na Internet. Note que esse tipo de mascaramento não usa SNAT.

#iptables -t nat -A POSTROUTING -s 192.168.1.2/32 -o ppp0 -j MASQUERADE

O comando acima faz IP Masquerading de todo o tráfego da máquina com IP 192.168.1.2 indo para a interface ppp0. O endereço IP dos pacotes vindos de 192.168.1.2 são substituídos pelo IP oferecido pelo provedor de acesso no momento da conexão, quando a resposta é retornada a operação inversa é realizada para garantir que a resposta chegue ao destino. Nenhuma máquina da internet poderá ter acesso direto à máquina conectada via Masquerading.

E para fazer o IP Masquerading de todas as máquinas da rede 192.168.1.* :

#iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp0 -j MASQUERADE

#iptables -t nat -A POSTROUTING -d 0/0 -j MASQUERADE

Tem o mesmo efeito da regra anterior. No entanto, parece ser menos segura, pois estabelece que qualquer pacote destinado a qualquer outra rede, diferente da interna, será mascarado. A regra anterior refere-se aos pacotes que saem por determinada interface. A opção -d 0/0 poderia ser -d 0.0.0.0/0 também. É uma outra regra para navegação na Internet.

# iptables -t nat -A POSTROUTING -p tcp -d 10.0.0.2 --dport 80 -j DNAT --to 127.20.0.1

Redireciona todos os pacotes destinados à porta 80 da máquina 10.0.0.2 para a máquina 172.20.0.1. Esse tipo de regra exige a especificação do protocolo. Como não foi especificada uma porta de destino, a porta 80 será mantida como destino.

# iptables -t nat -A OUTPUT -p tcp -d 10.0.0.10 -j DNAT --to 10.0.0.1

Qualquer pacote TCP, originado na máquina filtro, destinado a qualquer porta da máquina 10.0.0.10, será desviado para a máquina 10.0.0.1 .

# iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 200.20.0.1

Essa regra faz com que todos os pacotes que irão sair pela interface eth0 tenham o seu endereço de origem alterado para 200.20.0.1.

# iptables -t nat -A PREROUTING -i eth0 -j DNAT --to 172.20.0.1

Todos os pacotes que entrarem pela eth0 serão enviados para a máquina 172.20.0.1.

# iptables -t nat -A PREROUTING -i eth0 -j DNAT --to 172.20.0.1-172.20.0.3

Aqui haverá o load balance. Todos os pacotes que entrarem pela eth0 serão distribuídos entre as máquinas 172.20.0.1 , 172.20.0.2 e 172.20.0.3.

# iptables -t nat -A PREROUTING -s 10.0.0.0/8 -p tcp --dport 80 -j REDIRECT --to-port 3128

Todos os pacotes TCP que vierem da rede 10.0.0.0, com máscara 255.0.0.0, destinados à porta 80 de qualquer host, não sairão; serão redirecionados para a porta 3128 do filtro. Isso é o passo necessário para fazer um proxy transparente. O proxy utilizado deverá aceitar esse tipo de recurso. No caso, o Squid, que aceita transparência, deverá estar instalado na máquina filtro, servindo na porta 3128.

# iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth1 -j SNAT 200.20.5.0/24

Uma situação interessante: todos os pacotes que saírem da rede 192.168.1.0 serão transformados em 200.20.5.0.

Use o comando cat /proc/net/ip_conntrack para listar todas as conexões atuais tratadas pelo módulo nat!

6.3.1. Módulos

Para o sistema se conectar com outras máquinas em uma rede primeiramente é necessário configurar a interface de rede (placa de rede) para que o kernel (núcleo do sistema) consiga "conversar" com esse dispositivo físico.

Para isso, o kernel precisa de um "driver" (chamado de "módulo" no Linux ou carregar dinâmicamente o "módulo".

O comando lsmod serve para listar o módulos que estão carregados na memória pelo kernel.

$ lsmod 
Module                  Size  Used by
sg                     26964  0 
sr_mod                 13316  0 
cdrom                  30176  1 sr_mod
joydev                  8480  0 
usbhid                 35904  0 
hid                    33184  1 usbhid
ff_memless              4392  1 usbhid
option                 10656  0 
usbserial              26472  1 option
...

Para carregar um módulo pose-se usar o comando insmod ou modprobe. A diferença entre os dois é que o comando modprobe resolve e carrega as dependências do módulo, isto é, se o módulo "A" necessita que o módulo "B" esteja carregado, usar modprobe A carregará os dois Exemplo:

# modprobe 8139too

Alguns módulos necessitam de alguns parâmetros ao serem carregados como, por exemplo, IRQ, I/O, opções de velocidade, etc. Para obter mais informações sobre um módulo, utilize o comando modinfo. Por exemplo, para obter a lista de parâmetros de um módulo use modinfo -p módulo.

O comando rmmod serve para remover um módulo que não está mais em uso. Também podemos usar o comando rmmod com a opção "-r", para se obter um efeito análogo ao carregamento de módulos com dependências, mas para remover, é claro.

6.3.2. O comando mii-tool

O comando mii-tool serve para verificar e alterar o estado "Media-Independent-Interface" (MII) de uma interface. O MII é um recurso utilizado pela maioria dos adaptadores "fast ethernet" para negociar a velocidade do link e o full/half duplex.

Mas, nem todos os adaptadores suportam esse recurso!

Por exemplo o meu laptop IBM (X60) retorna a mensagem:

# mii-tool 
SIOCGMIIREG on eth0 failed: Input/output error
SIOCGMIIREG on eth0 failed: Input/output error
  No MII transceiver present!.

6.3.3. O comando ifconfig

O ifconfig é o principal comando para configurarmos interfaces no Linux.

Alguns exemplos de uso do comando ifconfig para configurar a interface de rede.

Para exibir informações sobre as interfaces de rede basta digitar ifconfig (se estiver logado como root) ou /sbin/ifconfig para indicar o caminho completo do comando (se estiver logado como um usuário comum.

$ /sbin/ifconfig 
eth0      Link encap:Ethernet  Endereço de HW 00:16:d3:24:6a:fb  
          UP BROADCASTMULTICAST  MTU:1500  Métrica:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          colisões:0 txqueuelen:1000 
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)
          Memória:ee000000-ee020000 

lo        Link encap:Loopback Local  
          inet end.: 127.0.0.1  Masc:255.0.0.0
          endereço inet6: ::1/128 Escopo:Máquina
          UP LOOPBACKRUNNING  MTU:16436  Métrica:1
          RX packets:868 errors:0 dropped:0 overruns:0 frame:0
          TX packets:868 errors:0 dropped:0 overruns:0 carrier:0
          colisões:0 txqueuelen:0 
          RX bytes:72632 (70.9 KiB)  TX bytes:72632 (70.9 KiB)

Para levantar (ativar) uma interface de rede (por exemplo a interce eth0):

# ifconfig eth0 up

Para configurar e levantar uma interface com um determinado IP (Ex: 10.0.0.1) e uma máscara de rede (netmask) 255.255.255.0:

# ifconfig eth0 10.0.0.1 netmask 255.255.255.0 up

Para mudar a MTU [2] de uma interface: (Fonte: Dica)

# ifconfig eth0 mtu 1440

O ifconfig também pode ser utilizado para se alterar o endereço MAC [3] da placa! Para alterar esse endereço (Ex: para 00:11:22:33:44:55) é necessário que a placa esteja inativa. Exemplo:

# ifconfig eth0 down
# ifconfig eth0 hw ether 00:11:22:33:44:55
# ifconfig eth0 up