Desvendando as regras de Firewall Linux Iptables

amsouza

Este artigo tem como objetivo de mostrar o funcionamento do firewall mais utilizado e famoso do mundo Linux. Iremos descrever o funcionamento das chains, o encaminhamento dos pacotes e descrever como acontece o mascaramento do endereço IP (Nat), tanto de entrada (chega a um IP válido e vai para um IP interno), quanto de saída (de um endereço interno para um endereço válido).

[ Hits: 149.549 ]

Por: Armando Martins de Souza em 12/04/2010

7 0

Denuncie Favoritos Indicar Impressora

NAT - Network Address Translation

SNAT - Source NAT (mascaramento de IP)

O SNAT é utilizado para que os hosts internos a rede, isto é, endereços IP não válidos na internet, consigam sair para a Internet como se tivessem um endereço válido em sua interface de rede.

No nosso exemplo vamos imaginar que o host de IP 10.3.1.5 queira acessar o site Viva o Linux - 174.123.53.162. Quando o pacote chega no host (firewall) é feito o SNAT, isso acontece da seguinte maneira:

É criada uma tabela chamada "Connection tracking", onde são gravadas as informações de origem e destino do pacote. Isto possibilita o servidor saber quem enviou e para quem foi enviado o pacote que teve seu endereço IP de origem mascarado. Abaixo temos a representação de uma comunicação entre dois hosts, onde o IP de origem esta sendo mascarado.

A seguir mostraremos como é feito o SNAT, para o exemplo acima.

# iptables -t nat -A POSTROUTING -s 10.3.0.0/16 -d !10.3.0.0/16 -j SNAT --to-source 200.1.1.1

Onde:

-s 10.3.0.0/16 - é a origem.
-d !10.3.0.0/16 - "não" 10.3.0.0/16 é o destino.

Essa regra de NAT, na realidade SNAT, significa que sempre que a origem for a rede 10.3.0.0/16 e o destino não for ela mesma, o pacote ira sair para a Internet com o endereço 200.1.1.1, isto quer dizer que o host que estiver sendo acessado "pensará" que quem está enviando os pacotes é o IP 200.1.1.1 e não o IP 10.3.x.x.

Se estivermos trabalhando com IP dinâmico na Internet, por exemplo Velox ou Virtua, poderemos utilizar o comando abaixo:

# iptables -t nat -A POSTROUTING -s 10.3.0.0/16 -d !10.3.0.0/16 -j MASQUERADE

PS: O MASQUERADE significa que ele irá mascarar todas as solicitações a rede externa. O IP de saída será aquele que estiver ligado diretamente ao gateway default do host (firewall).

Via modem, normalmente utilizamos a interface ppp0:

# iptables -t nat -A POSTROUTING -i eth0 -o ppp0 -j MASQUERADE

DNAT (Destination NAT)

No caso do DNAT o mascaramento é feito de forma inversa ao SNAT. Ele propicia acessos que tem como origem a Internet e destino um IP interno da sua rede.

Imaginemos que um host que tem o IP 80.8.8.8 e quer acessar o servidor web de sua empresa através do IP 201.1.1.1. Esse endereço IP é na realidade um dos IPs válidos de seu firewall, só que fazermos um DNAT dizendo que quando um pacote tiver destino o IP 201.1.1.1, ele deverá ser encaminhado o IP 10.3.1.2.

O comando abaixo mostra como ficaria na prática o DNAT acima:

# iptables -t nat -A PREROUTING -d 200.1.1.1 -p tcp --dport 80 -j DNAT --to-destination 10.3.1.2

Página anterior Próxima página

Páginas do artigo

   1. Iptables / firewall / tabelas básicas
   2. Políticas de acesso / DROP e REJECT
   3. Sintaxe iptables e suas opções
   4. NAT - Network Address Translation
   5. Script básico de firewall

Outros artigos deste autor

Como gerenciar permissões no Linux

Como gerenciar usuários e grupos

Leitura recomendada

Slackware 11 + kernel-2.6.18 + Layer7 + iptables

Montando regras iptables

Controle de banda com Slackware 10 + CBQ + Iptables + DHCP

Autenticação no Iptables

Addon URL Filter - Filtrando URLs no seu firewall

Comentários

[1] Comentário enviado por meinhardt_jgbr em 12/04/2010 - 11:32h

Armando,

Muito bom e elucidativo seu artigo. Parabéns!!

Os diagramas incluídos facilitam também em muito a assimilação do conteúdo. Deve ter dado bastante trabalho a preparação dos mesmos.

Apenas uma modesta observação quanto ao uso dos parâmetros DROP e REJECT.

Ao dar preferência ao uso do parâmetro DROP em vez do REJECT, o usuário estará colocando o seu sistema em modo "Fantasma" ou seja sem dar sinais de sua existência ou presença na rede. Com isto qualquer potencial invasor não receberá indicações de que no endereço IP alvo as portas x, y, z, etc estão bloqueadas, portanto existem e pertencem a determinada máquina. O DROP que apenas descarta o sinal não mostra a presença.

Embora não seja nenhum expert no assunto, estou repassando informação sobre a configuração julgada ideal por um expert no assunto, conforme apresentado no site do mesmo (www.grc.com) no teste de vulnerabilidade online Shields-Up.

Publiquei anteriormente um artigo sobre o uso desta ferramenta confiável de teste em:

http://www.vivaolinux.com.br/artigo/Teste-a-vulnerabilidade-de-seu-PC/

Sds

0 0

[2] Comentário enviado por amsouza em 12/04/2010 - 11:46h

meinhardt,

Muito obrigado pelo comentário! E sua colocação referente ao DROP e REJECT realmente foi muito feliz, agradeço a contribuição. Apesar de ter explicado a diferença entre os dois, acredito sinceramente que seu exemplo foi muito bem construído.

Um grande abraço,

Armando

Ps.: Gostei muito de seu artigo: Teste a vulnerabilidade de seu PC

1 0

[3] Comentário enviado por leandrobrunoo em 12/04/2010 - 13:07h

Amigo, muito explicativo seu artigo, agora eu queria ver com voce se tem como vc me ajudar a abri as porta 9000:9090 no meu firewall.
quando eu digito no terminal, nmap localhost me aparece o seguinte,
9001/tcp closed unknown
9002/tcp closed unknown
9003/tcp closed unknown
9009/tcp closed unknown
9010/tcp closed unknown
9011/tcp closed unknown
9040/tcp closed tor-trans
9050/tcp closed tor-socks
9071/tcp closed unknown
9080/tcp closed unknown
9081/tcp closed unknown
9090/tcp closed zeus-admin

0 0

[4] Comentário enviado por amsouza em 12/04/2010 - 13:33h

Olá Leandro,

Para abrir este range de portas você terá que trabalhar com a chain INPUT, acredito que o comando abaixo resolva seu problema:

iptables -A INPUT -p tcp --dport 9000:9090 -j ACCEPT

Ps.: Se tiver as regras abaixo em seu firewall, provavelmente não precisará mexer em mais nada. Essas regras são para liberar o acesso no caso de você ter um match em uma de suas regras. Exemplo se tenho o INPUT liberado para as portas acima, o OUTPUT vai deixar estabelecer. Em alguns casos você terá que explicitar o OUTPUT também, para isso basta digitar:

iptables -A OUTPUT -p tcp --sport 9000:9090 -j ACCEPT

# Libera conexão estabilizada
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

Grande abraço e espero ter ajudado,

Armando

0 0

[5] Comentário enviado por irado em 12/04/2010 - 16:39h

muito bom realmente o artigo, como já mencionado, é bem completo. Apenas vou colocar uma observação que não é diretamente relacionada ao artigo, mas a uma dificuldade que tive não há muito tempo atrás:

trampei numa empresa em que o admin anterior devia ser extremamente bisonho/vagabundo, que substituiu o script regular com regras por aquele absurdo de iptables-restore < firewall.txt; ora, isso elimina qualquer possibilidade de vc ter tudo bem organizado :(

então era um tal de, a cada momento em que se precisasse incluir/alterar regra, tinha que se analisar o txt ENORME, pra saber onde ia o que (rs).

vc nem imagina o trabalho que deu para restabelecer o firewall original a partir do firewall.txt. Só experimente: em um fwll cujas regras te sejam desconhecidas, complicadas (vários redirecionamentos para servidores internos, várias exceções e conexões vpn), tente recuperar as regras originais (risos)

mas isso de forma alguma deslustra seu excelente artigo. Foi pros meus guardados, obrigado :)

0 0

[6] Comentário enviado por amsouza em 12/04/2010 - 16:54h

Olá Irado,

Concordo plenamente no que se refere ao iptables-save/iptables-retore, por isso mesmo coloquei um modelo de script para as regras. Mas como o intuito do artigo prover informações sobre a ferramenta, tive realmente que comentar sobre o iptables-save.

Muito obrigado pelo comentário.

Armando

0 0

[7] Comentário enviado por eltondhiego em 14/04/2010 - 19:50h

Armando, Parabéns pelo artigo. Muito bem explicado.

Você poderia me explicar melhor para que serve a parte de "Liberar conexões já estabilizadas/estabelecidas."??
O que isso implica na configuração do firewall?

Valeu!!

1 0

[8] Comentário enviado por amsouza em 15/04/2010 - 11:46h

Olá eltondhiego,
Primeiramente muito obrigado pelo comentário.

Agora vou tentar detalhar melhor as vantagens de termos as conexões estabilizadas liberadas.
Vamos analisar o trafego de pacotes da seguinte maneira. Quando liberamos uma regra de INPUT estamos liberando um endereço “IP” ou um “range de IPs”, incluindo as porta(s) necessária(s) para que algum serviço possa ser acessado. Como você esta fazendo a liberação da entrada (INPUT) do pacote em seu host (Firewall), mas lembre-se que você tem que ter em mente que esse pacote de ter liberada sua saída, isto implica em fazer a liberação na chain OUTPUT (saída dos pacotes ou retorno, no caso de acesso a um serviço). Quando falamos em liberar conexões estabilizadas, estamos evitando incluir uma regra de OUTPUT para que isso aconteça, bastando apenas inserirmos, como já demonstrado a regra abaixo:

# Libera conexões já estabilizadas.
# Para regras de INPUT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

# Para regras de OUTPUT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Para regras de FORWARD
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

Espero ter esclarecido sua dúvida, se ainda não ficou claro, me escreva que tento melhorar minha colocação.

Grande abraço,

Armando

0 0

[9] Comentário enviado por tecnicodiegorato em 16/04/2010 - 08:20h

Excelente Artigo, trabalho com IPtables há 3 anos, e muita coisa aprendi em artigos com essa qualidade e conteúdo, excelente trabalho parabéns.

0 0

[10] Comentário enviado por amsouza em 16/04/2010 - 08:38h

Olá ratolastehara,

Obrigado pelo comentário e são esses tipos de comentários que me incentivam na criação de novos artigos.

Abraços,

Armando

0 0

[11] Comentário enviado por julio_hoffimann em 18/04/2010 - 17:23h

Parabéns pelo ótimo artigo Armando, o título foi bem escolhido (desvendando...). Fixei muitos conceitos.

Abraço.

0 0

[12] Comentário enviado por amsouza em 19/04/2010 - 09:22h

Olá Júlio,

Primeiramente obrigado pelo comentário! =) .... É muito importante saber que de alguma forma estou contribuindo para a comunidade.

Abraços,

Armando

0 0

[13] Comentário enviado por italo-jrjr em 01/05/2010 - 14:40h

Olá Armando,

Muito bom o seu artigo. Estou entrando para o mundo Linux e aprendendo na prática sobre iptables na faculdade ( na materia de Segurança de redes). Está ajudando bastante. Você utiliza uma linguagem muito simples, ideal para que esta começando, como eu . Estou aprendendo mais com você do que na faculdade.

Um abraço,

Italo Barreto

0 0

[14] Comentário enviado por amsouza em 03/05/2010 - 09:33h

Olá Italo,

Muito obrigado pelo comentário, acredito que daqui a mais algum tempo, as Faculdades/Univercidades deveram criar uma cadeira para a matéria, pois hoje normalmente o Linux esta incluso em uma cadeira e conseguentemente divide a carga horária com vários outros assuntos. Realmente o professor não tem como detalhar a matéria como deveria.

Abraços,

Armando

0 0

[15] Comentário enviado por grandmaster em 03/05/2010 - 17:16h

Muito bom mesmo o artigo. Está guardado paa consultas futuras e dúvidas.

--
Renato de Castro Henriques
ITILv3 Foundation Certified
CobiT Foundation 4.1 Certified ID: 90391725
http://www.renato.henriques.nom.br

0 0

[16] Comentário enviado por amsouza em 03/05/2010 - 17:24h

Olá Renato,

Muito obrigado pelo comentário.

Abraços,

Armando

0 0

[17] Comentário enviado por debianwoman em 25/11/2010 - 12:03h

Olá,

Continue postando seus artigos, por favor!
Você tem didática e uma excelente metodologia de ensino, eu adorei.
Preciso que continue falando sobre o firewall me ajudou muito a compreender os comandos, mas como é uma ferramenta robusta e cheia de funções continue nos ajudando com seus artigos.

PARABÉNS!!!

0 0

[18] Comentário enviado por fabioeduardo em 05/04/2012 - 00:48h

Gostei muito do artigo!!!

Só um detalhe referente o seguinte comando:

1. Criar um link simbólico do arquivo que acabamos de criar para dentro de /etc/init.d/:

# ln -s /etc/init.d/firewall /etc/firewall/firewall.sh

O correto é:

# ln -s /etc/firewall/firewall.sh /etc/init.d/firewall

0 0

[19] Comentário enviado por armando_2000 em 05/04/2012 - 10:00h

Olá Fábio,

Muito obrigado por seu comentário e realmente o comando esta errado, vou solicitar correção ao moderador do Viva o Linux.

abs,

Armando

0 0

[20] Comentário enviado por adnam em 20/06/2014 - 12:39h

Preciso de uma ajuda.

Tenho um firewall configurado na empresa onde eu trabalhoa versão do Linux que eu tenho aqui é Ubuntu Linux 10.04, quero configurar um servidor FTP mas não sei onde eu possa configurar as regras para que eu possa acessar no navegador o FTP. Alguém poderia me ajudar.

Lembrando possuo active directory configurado e gostaria que alguns usuários acessem da rede com login e senha da própria rede e possivel?

Tentei realizar essas configurações mas não sei se preciso editar algum arquivo usando o VI para que essas configurações sejam executadas

iptables -t nat -A PREROUTING -d 200.200.10.104/32 -p tcp -m tcp --dport 21 -j DNAT --to-destination 10.0.0.10:21
iptables -t nat -A POSTROUTING -d 10.0.0.10/32 -p tcp -m tcp --dport 21 -j SNAT --to-source 200.200.10.104
iptables -A FORWARD -d 10.0.0.10/32 -j ACCEPT

0 0

[21] Comentário enviado por frodopuc em 06/04/2015 - 13:16h

excelente post, deu para ter uma noção muito boa de como funciona todo o processo de firewall.. gostaria de saber se pode me ajudar na seguinte situaçao:
Preciso fazer uma configuração de NAT de um IP válido para o IP da minha central. As portas utilizadas serão a 5060 até a 5070 TCP/UDP para sinalização SIP e portas UDP 8766 até 35000 - audio RTP.
Outra situaçao é: Tenho 3 interfaces (eth0 local, eth1 link1, eth2 link2), preciso fazer que um computar IP fixo saia somente pelo link1. Nao tenho mto conhecimento sobre loadbalance, etc... e sou novato em linux. Estou tentando entender os funcionamentos.
Vlw

1 96