38.5Firewall mit iptables selbst gebaut
Minimale Client-Absicherung (IPv4 und IPv6)
Die meisten Rechner genießen zu Hause oder in einer Firma in lokalen IPv4-Netzwerken dank NAT eine gewisse Sicherheit. Damit ist es vorbei, wenn Sie unterwegs in einem öffentlichen WLAN E-Mails abrufen: Sie wissen nicht, wer sich sonst noch im Funknetz befindet!
Ein ähnliches Sicherheitsproblem haben Sie, wenn Sie (wie in Abschnitt 27.2, »Manuelle LAN- und WLAN-Konfiguration«, beschrieben) einen Tunnel-Dienst wie Gogo oder SixXs einrichten. Damit hat Ihr Rechner eine zusätzliche IPv6-Adresse. NAT spielt nun keine Rolle mehr: Weltweit kann nun jeder, der über eine IPv6-Verbindung verfügt, IP-Pakete zu Ihrem Rechner senden! Diese Datenpakete können z.B. dazu dienen, um einen SSH-Login zu versuchen oder um über Samba freigegebene Netzwerkverzeichnisse auszulesen.
Die folgende Mini-Firewall verbessert die Sicherheit in beiden Fällen ganz erheblich. Sie verbietet grundsätzlich jeden Datenverkehr, der nicht von Ihrem Rechner initiiert wird. Mit anderen Worten: Sie können z.B. via SSH einen externen Rechner administrieren, umgekehrt kann aber niemand auch nur versuchen, sich via SSH bei Ihnen einzuloggen. Analog funktioniert dieser Schutz auch für alle anderen Netzwerkdienste.
Das Beispiel wurde unter Ubuntu entwickelt und getestet. Wenn Sie eine andere Distribution verwenden, müssen Sie unbedingt vorher die distributionsspezifische Firewall deaktivieren bzw. unter Fedora das Paket firewalld deinstallieren!
Der erste Teil des Firewall-Scripts führt eine Art iptables-Reset durch. iptables -P stellt dann das Standardverhalten aller Filter auf ACCEPT. iptables -F löscht alle vorhandenen Regeln, wobei für die NAT-Tabelle ein eigenes Kommando erforderlich ist. iptables -X löscht alle benutzerdefinierten Regelketten. Analog werden all diese Kommandos auch für IPv6 ausgeführt. Netfilter erlaubt nun jeglichen IP-Verkehr.
Damit IPv6-Funktionen zur Autokonfiguration funktionieren, ist es erforderlich, ICMPv6-Pakete passieren zu lassen. Dazu dienen die zwei abschließenden Kommandos im ersten Teil des Listings:
Die folgenden Zeilen definieren eine neue Regelkette mit dem Namen wall. Sie stellt einen ebenso eleganten wie wirkungsvollen Schutz vor neuen Verbindungen von außen dar. Die erste wall-Regel besagt, dass alle Pakete akzeptiert werden, die zu einer bereits vorhandenen Verbindung gehören.
Die zweite Regel akzeptiert Pakete, die eine neue Verbindung initiieren, sofern die Verbindung nicht über die Internetschnittstelle hergestellt wird. Die Inversion wird syntaktisch durch das Ausrufezeichen vor der Option -i ausgedrückt. Im Klartext bedeutet die Regel, dass es beispielsweise möglich ist, aus dem lokalen Netz heraus eine HTTP-Kommunikation mit dem Rechner zu starten, nicht aber aus dem Internet heraus.
Die dritte Regel lautet: Alle Pakete, die nicht den vorigen Regeln entsprechen, werden abgewiesen. Diese letzte Regel entspricht also dem Motto: Alles verbieten, was nicht explizit erlaubt ist! Einem potenziellen Angreifer aus dem Internet wird es daher nicht gelingen, eine SSH-Session auch nur zu starten. Das Gleiche gilt natürlich auch für alle anderen Netzwerkdienste – HTTP, FTP, Telnet etc.
Die zwei abschließenden Kommandos des Scripts geben an, dass für alle Pakete, die die Input- oder Forward-Filter durchlaufen, die wall-Regeln zur Anwendung kommen:
Der letzte Teil der Mini-Firewall definiert dieselbe wall-Regelkette für IPv6. Dabei müssen Sie beachten, dass bei Tunnelverbindungen eine andere Netzwerkschnittstelle aktiv ist: Während IPv4-Verkehr nach eth0 fließt, geht IPv6-Verkehr über die Tunnelschnittstelle, im folgenden Beispiel sixxs:
Internet-Gateway für lokales Netzwerk absichern (IPv4 und IPv6)
Das zweite Beispiel baut auf den obigen Ideen auf, ist aber schon etwas anspruchsvoller. Es geht darum, ein Gateway abzusichern, das anderen Rechnern im LAN Internetzugang gibt (siehe Kapitel 28, »Internet-Gateway«). Abbildung 38.1 zeigt die Ausgangssituation.
Die Aufgabe der Firewall besteht darin, gefährliche Ports nach außen hin ganz zu blockieren und bei den restlichen Ports eine Kommunikation nur dann zu erlauben, wenn die Kommunikation von innen initiiert wurde. Der Schutz gilt nun auch für alle IPv4- und IPv6-Clients im lokalen Netzwerk. Das Firewall-Script kümmert sich außerdem um die Aktivierung der Masquerading- und Forwarding-Funktionen.
Die Firewall besteht aus den beiden Script-Dateien myfirewall-start und myfirewall-stop. Die Grundeinstellungen der Firewall werden in der Konfigurationsdatei myfirewall gespeichert.
Basiskonfiguration (myfirewall)
Die Variable MFW_ACTIVE in /etc/default/myfirewall steuert, ob die Firewall während des Systemstarts aktiviert werden sollen. MFW_MASQ gibt an, ob Masquerading und Forwarding aktiviert werden sollen. Die restlichen Variablen geben die Schnittstellen und Adressen des lokalen Netzwerks bzw. der Internetverbindung an. eth0 und eth1 müssen Sie durch die Namen Ihrer Schnittstellen ersetzen, z.B. durch enp4s0 oder wlp2s0.
Sofern auf Ihrem Gateway eine Tunnel-Software läuft (z.B. aiccu für SixXs), um auch IPv6-Verkehr vom LAN in das Internet zu leiten, gibt die Variable MFW_INET6 die entsprechende Schnittstelle an. Wenn Ihr lokales Netz kein IPv6 nutzt, können Sie alle diesbezüglichen Einstellungen und Kommandos aus den Scripts streichen.
Firewall stoppen (myfirewall-stop)
Das Script myfirewall-stop stellt den iptables-Grundzustand her und deaktiviert die Firewall – wie in den ersten Zeilen der Mini-Firewall. Ergänzend dazu werden diesmal auch die nat-Regelketten zurückgesetzt.
Vergessen Sie nicht, die Script-Datei mit chmod u+x als ausführbar zu kennzeichnen!
Firewall starten (myfirewall-start)
Wesentlich interessanter ist naturgemäß myfirewall-start. Das Script beginnt damit, die Stopp-Regeln auszuführen. Das bewirkt gleichsam ein Reset des Netfilter-Systems. Alle weiteren iptables-Kommandos können sich somit darauf verlassen, dass vorher keine anderen Regeln definiert wurden.
Die ersten drei iptables-Kommandos lassen den Zugriff auf SSH-Server aus dem Internet zu. Diese Kommandos zeigen beispielhaft, wie Sie trotz Firewall einzelne Dienste nach außen zugänglich machen. Beachten Sie, dass das Absichern eines SSH-Servers im IPv6-Netz schwierig ist; sicherer ist es, SSH zumindest für IPv6 zu sperren.
In der for-Schleife werden nun einige Ports gegenüber dem Internet vollständig blockiert. Sie können die Port-Liste bei Bedarf selbst ergänzen.
Die Idee der wall-Regelkette habe ich schon im Rahmen der Mini-Firewall beschrieben. Bei diesem größeren Beispiel kommt sie nur zur Anwendung, wenn nicht schon vorher eine der DROP- oder ACCEPT-Regeln zutraf. Die Reihenfolge der Regeln ist also beim Aufbau einer Firewall entscheidend!
Zu guter Letzt müssen auf einem Gateway das Masquerading und das Forwarding aktiviert werden (siehe Abschnitt 28.3, »Masquerading«):
Init-V-Integration
Zum Start der Firewall bietet sich ein Init-V-Script an. Es funktioniert auf fast allen Distributionen, da sowohl Upstart als auch Systemd dazu kompatibel sind. Details des Scripts müssen Sie dennoch an die Besonderheiten der jeweiligen Distribution anpassen.
Damit dieses Script beim Systemstart automatisch ausgeführt wird, richten Sie unter Debian und Ubuntu den folgenden Link ein: