Bu, bizi þu kýsa eçýklmamaya götürür: ARP istekleri, yayýnlamalarla(broadcast) ile yapýlýr. Böylece sadece bir fiziksel að ile sýnýrlýdýr.router'ýn MAC adresini öðrenmeye çalýþan korunan bir makinanýn isteði, filtreleme makinasý ile kesilmelidir. Proxy-ARP özelliðini açarak, sorunu çözmemiye yarým eder. Çünkü ARP istekleri sorar ve yayýlmak için bir karta gelenleri diðer karta gönderir veya tam tersi.

Bu durumda, yerel að ile dýþarýsý arasýndaki tefiði kontrol eden bir makina ile çalýþan bir aðýnýz olmalý.

Netfilter, dorudan paketler üzerinde oynamazý saðlar.Temel ayralamada, paketler 3 kural zinciri tarafýndan yönetilir:
- INPUT: bir arayüze gelen paketler için,
- FORWARD: bir arayüzden diðerine yönlendirilen bütün paketler için,
- OUTPUT: bir arayüzden çýkan bütün paketler için.

'iptables' komutu ile herhangi bir zincire, filtreleme davranýþýný etkileyen kurallar ekleyebiliriz, kurallarý silebiliriz veya deðiþtirebiliriz.
Dahasý, her zincir kendi varsayýlan poklitikasýna sahiptir. Yani herhangi bir kurala uyman paket geldiðinde ne yapacaðýný bilir.

Çok kullanýlan seçenekler þunlardýr:
- ACCEPT: paket geçebilir
- REJECT: paket reddedilir ve gerekli hata gönderilir (ICMP port ulaþýlamaz, TCP Sýfýrlama, duruma göre)
- LOG: syslog'a paketle ilgili not yazar,
- DROP: paket reddedilir ve bir hata gönderilmez.

Burada, iptables'ýn bütün zincirleri deðiþtirebilecek seçenekleri bulunmaktadýr.Ayrýntýlarýna daha sonra gireceðiz:

-N: yani bir zincir oluþturur.
-X: boþ bir zinciri siler.
-P: bir zincirin varsayýlan ploitikasýný deðiþtirir.
-L: bir zincirdeli kurallarý listeler.
-F: bir zincirdeki bütün kurallarý siler.
-Z: bir zincir içinde geçmiþ bütün paket sayaçlarýný ve byte'larýný sýfýrlar.

Bir zinciri deðiþtimek için aþaðýdaki komular kullanýlabilir:
-A: bir zincirin sonuna bir kural ekler.
-I: zincirin belirtilen yerine bir kural ekler
-R: belirtilen kuralýn zincir içindeki yerini deðiþtirir.
-D: bir zincirde, tanýtýlmýþ veya numarasý verilmiþ bir kuralý siler.

Pratik bir örnek görelim: Verilen bir makinadan gelen PING cevaplarýný (yani 'echo-reply' tipindeki ICMP paketleri) engelleyelim.
Önce, verilen makinayý ping'leyebildiðimizi deneyelim:

# ping -c 1 172.16.6.74
PING 172.16.6.74 (172.16.6.74): 56 data bytes
64 bytes from 172.16.6.74: icmp_seq=0 ttl=255 time=0.6 ms

--- 172.16.6.74 ping statistics ---

1 packets transmitted, 1 packets received, 0% packet loss
round-trip min/avg/max = 0.6/0.6/0.6 ms

# iptables -A INPUT -s 172.16.6.74 -p icmp --icmp-type echo-reply -j DROP

Þimdi, bu makinayý ping'leyelelim:

# ping -c 3 172.16.6.74
PING 172.16.6.74 (172.16.6.74): 56 data bytes

--- 172.16.6.74 ping statistics ---

3 packets transmitted, 0 packets received, 100% packet loss

Beklediðimiz gibi, cevaplar geçemiyor. 3 cevabýn(252 byte'lýk 3 paket) geçemediðini kontrol edebiliriz:

# iptables -L INPUT -v
Chain INPUT (policy ACCEPT 604K packets, 482M bytes)
 pkts bytes target     prot opt in    out     source       destination
  3   252   DROP       icmp --  any   any     172.16.6.74    anywhere

Ýlk duruma geri dönmek için, INPUT zincirindeki ilk kuralý silmeliyiz:

# iptables -D INPUT 1

Þimdi, PING tekrar çelýþýyor:

# ping -c 1 172.16.6.74
PING 172.16.6.74 (172.16.6.74): 56 data bytes
64 bytes from 172.16.6.74: icmp_seq=0 ttl=255 time=0.6 ms

--- 172.16.6.74 ping statistics ---

1 packets transmitted, 1 packets received, 0% packet loss
round-trip min/avg/max = 0.6/0.6/0.6 ms
#

Ýþe yarýyor !

Var olan 3 zincire (bunlar hiçbir zaman silinemez) yenilerini ekleyebilrsiniz ve bunlar üzerinde de bir akýþ tanýmlayabilirsiniz.Bu, örneðin, çeþitli zincirlerde ayný kuralý tekrarlamanýnýzý engeller.

Þimdi, bir firewall için minimum kurallarý ayarlayalým. SSH'e, DNS'e, http ve smtp'ye izin verir ve siðerlerini engeller.
Basitleþtirmek için, komutlar bir kabuk scriptinde yazýlmýþtýr. Script, yeni kurallar eklemeden önce var olanlarý siler. Bu numara, kurallarýn ikinci kez yazýlmasýný engeller.

rc.firewall

#!/bin/sh

# Kurallarýn silinmesi
iptables -F
iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD


# Zincir, doðrultuya göre oluþturulur.
# bad = eth0 (dýþarý)
# dmz = eth1 (içeri)
iptables -X bad-dmz
iptables -N bad-dmz
iptables -X dmz-bad
iptables -N dmz-bad
iptables -X icmp-acc
iptables -N icmp-acc
iptables -X log-and-drop
iptables -N log-and-drop

# Belirli zincir, paketleri engellemeden önce onlarý kaydeder
iptables -A log-and-drop -j LOG --log-prefix "drop "
iptables -A log-and-drop -j DROP

# TCP bayraklarý kullanýlan paketler
# ve hiç kullanýlmamýþ paketler engellenir.
iptables -A FORWARD -p tcp --tcp-flags ALL ALL -j log-and-drop
iptables -A FORWARD -p tcp --tcp-flags ALL NONE -j log-and-drop

# Bilinen IP adreslerinden gelen paketler engellenir.
iptables -A FORWARD -i eth+ -s 224.0.0.0/4 -j log-and-drop
iptables -A FORWARD -i eth+ -s 192.168.0.0/16 -j log-and-drop
iptables -A FORWARD -i eth+ -s 172.16.0.0/12 -j log-and-drop
iptables -A FORWARD -i eth+ -s 10.0.0.0/8 -j log-and-drop

# Kurulmuþ baðlantýlara ait paketler geçirilir.
iptables -A FORWARD -m state --state INVALID -j log-and-drop
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
# Paketin köküna baðlý olarak, karþý gelen zincir gönderlir.
iptables -A FORWARD -s $DMZ_ADDR -i $DMZ_IFACE -o $BAD_IFACE -j dmz-bad
iptables -A FORWARD -o $DMZ_IFACE -j bad-dmz
# kalanlar engellenir.
iptables -A FORWARD -j log-and-drop

# Geçirilen ICMPler
iptables -A icmp-acc -p icmp --icmp-type destination-unreachable -j ACCEPT
iptables -A icmp-acc -p icmp --icmp-type source-quench -j ACCEPT
iptables -A icmp-acc -p icmp --icmp-type time-exceeded -j ACCEPT
iptables -A icmp-acc -p icmp --icmp-type echo-request -j ACCEPT
iptables -A icmp-acc -p icmp --icmp-type echo-reply -j ACCEPT
iptables -A icmp-acc -j log-and-drop

# Dýþarýsý -> Ýçerisi
# posta, DNS, http(s) ve SSH geçirilir
iptables -A bad-dmz -p tcp --dport smtp -j ACCEPT
iptables -A bad-dmz -p udp --dport domain -j ACCEPT
iptables -A bad-dmz -p tcp --dport domain -j ACCEPT
iptables -A bad-dmz -p tcp --dport www -j ACCEPT
iptables -A bad-dmz -p tcp --dport https -j ACCEPT
iptables -A bad-dmz -p tcp --dport ssh -j ACCEPT
iptables -A bad-dmz -p icmp -j icmp-acc
iptables -A bad-dmz -j log-and-drop

# Ýçerisi -> Dýþarýsý
# posta, DNS, http(s) ve telnet geçirilir
iptables -A dmz-bad -p tcp --dport smtp -j ACCEPT
iptables -A dmz-bad -p tcp --sport smtp -j ACCEPT
iptables -A dmz-bad -p udp --dport domain -j ACCEPT
iptables -A dmz-bad -p tcp --dport domain -j ACCEPT
iptables -A dmz-bad -p tcp --dport www -j ACCEPT
iptables -A dmz-bad -p tcp --dport https -j ACCEPT
iptables -A dmz-bad -p tcp --dport telnet -j ACCEPT
iptables -A dmz-bad -p icmp -j icmp-acc
iptables -A dmz-bad -j log-and-drop

# Makinanýn kendisi için zincir
iptables -N bad-if
iptables -N dmz-if
iptables -A INPUT -i $BAD_IFACE -j bad-if
iptables -A INPUT -i $DMZ_IFACE -j dmz-if

# Dýþ arayüz
# Sadece SSH, bu makinaya geçirilir
iptables -A bad-if -p icmp -j icmp-acc
iptables -A bad-if -p tcp --dport ssh -j ACCEPT
iptables -A bad-if -p tcp --sport ssh -j ACCEPT
ipchains -A bad-if -j log-and-drop

# Ýç arayüz
iptables -A dmz-if -p icmp -j icmp-acc
iptables -A dmz-if -j ACCEPT

Servis kalitesi hakkýnda birkaç söz. Linux, ToS(Type of service-servis tipi) alanýný deðiþtirebilir ve pakete farklý öncelikler verebilir. Örneðin, aþaðýdaki komut, dýþarý giden SSH paketlerini, baðlantý cevabýný artýracak þekilde deðiþtirir.

iptables -A OUTPUT -t mangle -p tcp --dport ssh -j TOS --set-tos Minimize-Delay

Ayný þekilde, '--set-tos Maximize-Throughput' ile FTP baðlantýlarýnýn, oturumun interaktifliðinin zararýna, veri aktarým oranýný artýrabilirsiniz.

Hepsi bu. Artýk etkili bir filtreleme sistemini ayarlamasýnýn temellerini biliyorsunuz. Yine de, güvenlik söz konusunu olduðunda firewall'un her derde deva olmadýðýný akýlýnýzdan çýkarmayýn.Bu sadece bir önlemdir. Firewall kurulumu, güçlü þifreler kullanmanýzý, son güvenlik yamalarýný yapmanýzý, saldýrý algýlama sistemleri kullanmanýzý, vs. engellemez.

Referanslar

• Proxy-ARP Mini-HOWTO: http://www.linuxdoc.org/HOWTO/mini/Proxy-ARP-Subnet/index.html
• Netfilter: http://netfilter.samba.org/

Bu yazý için görüþ bildiriminde bulunabilirsiniz

2003-04-23, generated by lfparser version 2.35