ipfminihowto.pdf

FiltrowaniepakietówIP–miniHOWTO

DanielLetkiewicz < dletkiew@pleple.ict.pwr.wroc.pl >

Abstrakt:Dokumentzawierapodstawoweinformacjeoﬁltrowaniupakietów

IPzapomoc¡programuipf.Przedstawionomo»liwo±citegopakietu,popie-

raj¡cjeprzykładamiiopisuj¡csktótowomechanizmdziałania.

ipf–miniHOWTO

Spistre±ci

1Wst¦p 3

2Zasadyﬁltrowania 3

2.1FiltrowanienapodstawieadresuIP............... 4

2.2Filtrowaniewybranegoprotokołu................ 4

2.2.1FiltrowanieprotokołuTCP............... 5

2.2.2FiltrowanieprotokołuICMP............... 6

2.3Filtrowanienapodstawieportu................. 6

2.4Filtrowaniewybranegointerfejsu................. 6

2.5Dodatkowemo»liwo±ciﬁltrowaniapakietówIP......... 7

3Dynamiczneregułyﬁltrowania 8

3.1Utrzymywanieinformacjiostaniepoł¡czenia.......... 8

3.1.1keepstatedlaUDP.................... 8

3.1.2keepstatedlaICMP................... 8

3.1.3keepstatedlaTCP.................... 9

3.2Utrzymywaniedanychofragmentowanychpakietach...... 9

4Generowaniepakietówzwrotnych 9

5Grupowanieregułek 10

6Raportowanieinformacji 11

7Podsumowanie 11

ADodatek 13

ipf–miniHOWTO

Niniejszytekstzostałnapisanynapodstawiedokumentacjiorazwłasnychdo-

±wiadcze«.Stanowionjedyniewprowadzenieiskróconyopismo»liwo±ciﬁltru

pakietówIP(IPF).Dodatkoweinformacjemo»nauzyska¢nastronieIPF:

< http://coombs.anu.edu.au/˜avalon/ip–ﬁlter.html > orazkieruj¡cpytaniedo

autoraniniejszegotekstu.

1Wst¦p

FiltrpakietówIP,stosowanywsystemachBSD,jestwygodnymnarz¦dziem

umo»liwiaj¡cymkontrol¦pakietówpodró»uj¡cych(odbieranych/wysyłanych)

przezinterfejsysieciowe.Bazuj¡cnaprostymzapisiereguł,IPFpotraﬁzaak-

ceptowa¢lubodrzuci¢ka»dywchodz¡cylubwychodz¡cypakietspełniaj¡cy

podanekryteria.Mo»eanalizowa¢pakietynapodstawieinformacjiznajduj¡-

cychsi¦wnagłówkupakietuIP,TCP,UDPiICMP.Potraﬁzapami¦tywa¢

m.in.danedotycz¡ce:fragmentacjipakietówIP,poł¡cze«TCP,przepływu

informacjidlaUDPiICMP.

2Zasadyﬁltrowania

Filtrowaniepakietówodbywasi¦napoziomiej¡drasystemunapodstawie

zdeﬁniowanychprzezadministratoraregułﬁltruj¡cych.Zarz¡dzaniemreguła-

mi(aktywacje,dezaktywacja,usuni¦cie,wstawienieitd.)zajmujesi¦program

ipf(zobaczdodatek).Regułki,którenale»ywstawi¢dosystemuumieszcza

si¦wplikukonﬁguracyjnym,zazwyczajjestto/etc/ipf.rules.Ka»daregułka

rozpoczynasi¦słowemkluczowymokre±laj¡cymakcj¦jak¡nale»ywykona¢

iko«czysi¦znakiemko«calinii.Akcjazostaniewykonanawówczas,gdyana-

lizowanypakietspełniakryteriadanejregułki.

Najcz¦±ciejwykorzystywaneakcjeto:block–odrzu¢pakietipass–akcep-

tujpakiet 1 .Słowakluczoweinioutokre±laj¡odpowiedniopakietodbierany

iwysyłany,allnatomiaststosujesi¦dooznaczeniadowolnegopakietu.

Przykład1.Zablokowaniewszystkichpakietówwysyłanychiakceptowanie

wszystkichpakietówodbieranychnaka»dyminterfejsiesieciowymwsyste-

mie.

blockinall

1 Opróczblokowaniaiprzepuszczaniapakietówmo»nam.in.raportowa¢informacje(log),

zlicza¢pakiety(count)lubwywoływa¢funkcjeumieszczonezj¡drzesystemu(call)

ipf–miniHOWTO

passoutall

Regułkianalizowanes¡pokolei,takjakwyst¦puj¡wplikukonﬁguracyjnym,

iwykonywan¡reguł¡jestpierwszapasuj¡ca.

Przykład2.Dwiepierwszelinieinformuj¡,»eodebranypakietkwaliﬁkujesi¦

doodrzuceniaaletrzecialiniadecydujeotym,abygozaakceptowa¢.

blockinall

passinall

passoutall

U»ywaj¡csłowakluczowegoquickmo»emyzarz¡da¢,abypodopasowaniupa-

kietudoregułkianalizapozostałychregułzostałaprzerwana.

Przykład3.Wszystkieprzychodz¡cepakietyzostan¡zablokowane.Liniadru-

ganigdynieb¦dzieanalizowana.

blockinquickall

passinall

passoutall

2.1FiltrowanienapodstawieadresuIP

NadawcaiodbiorcapakietuidentyﬁkowanyjestnapodstawienumeruIPznaj-

duj¡cegosi¦wnagłówkupakietuIP.IPFrozpoznajepojedynczenumeryIP,

jakrównie»zakresy,deﬁniowaneliczb¡bitówprzypadaj¡cychnamask¦pod-

sieci.Nadawcaokre±lanyjestzapomoc¡fromaodbiorcato.Słowokluczowe

anyoznaczanatomiastdowolnyadres.

Przykład4.Wszystkiepakietywysyłanezadresuod192.168.0.0do192.168.255.255

zostan¡zaakceptowane,pozostałepakietyorazpakietypochodz¡cez192.168.0.10

zostan¡odrzucone.

blockoutquickfrom192.168.0.10toany

passoutquickfrom192.168.0.0/16toany

blockoutall

2.2Filtrowaniewybranegoprotokołu

Stosuj¡csłowokluczoweprotomo»emywyodr¦bnia¢pakietynale»¡cedowy-

specyﬁkowanegoprotokołu.Protokółmo»eby¢identyﬁkowanypoprzeznazw¦,

ipf–miniHOWTO

m.in.:tcp,udp,icmp,jakrównie»poprzeznumerdziesi¦tnyodpowiadaj¡cyda-

nemuprotokołowi 2 .Słowokluczowetcp/udpoznaczapakietTCPlubUDP.

Przykład5.PakietyUDPwysyłanezadresu192.168.0.10orazwszystkiepa-

kietyICMPzostan¡zablokowaneapakietyprotokołuIGMP(nr2)b¦d¡ak-

ceptowane.

blockinquickprotoudpfrom192.168.0.10toany

blockinquickprotoicmpfromanytoany

passinquickproto2fromanytoany

2.2.1FiltrowanieprotokołuTCP

FiltrIPpozwalanadopasowaniepakietunapodstawieﬂagprotokołuTCP.

Słowemkluczowymﬂagsmo»naokre±li¢dokładniejakieﬂaginale»ybra¢pod

uwag¦:

•F–ﬂagaFIN

•S–ﬂagaSYN

•R–ﬂagaRST

•P–ﬂagaPUSH

•A–ﬂagaACK

•U–ﬂagaURG

Ł¡czenieﬂagorazstosowaniemaski(ﬂagi/maska)pozwalanaokre±leniedo-

wolnejkombinacjiﬂag.Pole„maska”okre±laﬂagi,którenale»yanalizowa¢,

pole„ﬂagi”natomiastidentyﬁkujeteﬂagi,któremaj¡by¢ustawione.Domy±l-

namaskawynosi:FSRPAU.

Przykład6.Poni»szeregułkiblokuj¡przychodz¡cepakietyTCP.

–zustawion¡tylkoiwył¡cznieﬂag¡SYN

blockinquickprototcpﬂagsS

-zustawionymiﬂagamiSYNiFIN,pozostałeﬂagimog¡by¢ustawione

lubnie

blockinquickprototcpﬂagsSF/SF

-zustawion¡ﬂag¡SYNiwyzerowan¡ﬂag¡ACK,pozostałeﬂaginies¡

branepoduwag¦

blockinquickprototcpﬂagsS/SA

2 Mapowanienumeruprotokołunanazw¦znajdujesi¦wpliku/etc/protocols,dokładny

opismo»naznale¹¢wRFC1700.

Plik z chomika:

Inne pliki z tego folderu:

Inne foldery tego chomika: