Автор неизвестен. Firewall своими руками

TheLib.Ru » ОС и Сети » Автор неизвестен » Firewall своими руками » онлайн-чтение (стр. 1)

Контроль полосы пропускания
http://www.atmsk.ru/popups/articleswindow.php?id=27&print=print

Материал не готов, пока сюда сваливаются заметки и информация
к размышлению.

Проброс (туннелирование) портов через ssh

Имеем wneshnijserver и внутреннюю mashina за файрволлом.

mashina$ ssh -R new_port_tam:localhost:port_nash wneshnijserver
mashina$ ssh -C -L port_tam:localhost:new_port_nash wneshnijserver
-L - притащить порт к нам на localhost
-R - вытащить наш порт на удаленный хост.
-C - компрессировать трафик

1. Обеспечить логин из интернета на внутреннюю машину

mashina$ ssh -R 2222:localhost:22 wneshnijserver
wneshnijserver@username password:
wneshnijserver$

Проверяем:

wneshnijserver$ netstat -an | grep 2222
tcp 0 0 127.0.0.1:2222 0.0.0.0:* LISTEN

Логинимся:

wneshnijserver$ ssh -p 2222 localhost # если на mashina ssh2
wneshnijserver$ ssh -1 -p 2222 localhost # если на mashina ssh1

2. Пройти с внутренней машины на наружный порт, защитив и скомпрессовав
трафик

mashina$ ssh -C -L 3128:localhost:8080 wneshnijserver

Проверяем

mashina$ netstat -an | grep 8080
tcp 0 0 127.0.0.1:8080 0.0.0.0:* LISTEN

Используем:

Netscape > Preference > Proxy > localhost: 8080

http://www.insecure.org/nmap/index.html

http://www.ejj.net/~sonny/fwconfig/fwconfig.html

http://www.linuxrouter.org )

TCPwrapper: hosts.deny

# /etc/hosts/deny
#
# deny all, send an alert email to root...
ALL : ALL : \
banners /etc/banners/deny : \
spawn ( \
/bin/echo -e "\n\
TCP Wrappers\: Connection Refused\n\
By\: $(uname -n)\n\
Process\: %d (pid %p)\n\
\n\
User\: %u\n\
Host\: %c\n\
Date\: $(date)\n\
" | /bin/mail -s "$(uname -n) wrappers\: %d refused for %c" \
root@localhost ) &

====8<------ end of cut --------------------------

This will deny access to anyone not specifically allowed (from
/etc/hosts.allow), give banners message (specific for the daemon being
called - see the man pages), and generate a very informative mail message
sent to root. (You can add other recipients to that line, btw).

We have found this to be VERY useful here...

[mod: Some remarked that things like "%u" are "client controlled" and
could be used to exploit Tony's system. The manual however claims:

Characters in % expansions that may confuse the shell
are replaced by underscores.

so that should be OK. -- REW]

Но я все же предпочту записывать эти логи в файл а не напрягать свой send
mail - иначе атакующий повысив частоту попыток завести мою машину.

IPFilter

Как у ipfILTER обнулить статистику без перезагрузки?

ipf -z -f my_ipfilter_rules_file

Для того, чтобы использовать ssh1 & ssh2 одновременно, надо:

1. Поставить ssh-1.2.26 (первым!)
2. Поставить ssh-2.x.x
3. В "sshd2_config" добавить (возможно изменив пути):
Ssh1Compatibility yes
Sshd1Path /usr/sbin/sshd1
4. В "ssh2_config" добавить (возможно изменив пути):
Ssh1Compatibility yes
Ssh1Path /usr/bin/ssh1

Настроить в ssh2 ограничения доступ непросто, поэтому самый простой способ -
запускать его через inetd.conf и доступ регулировать стандартными файлами TCP-wrappera hosts.allow/hosts.deny

/etc/inetd.conf
ssh2 stream tcp nowait root /usr/sbin/tcpd sshd2 -i

/etc/hosts.allow
sshd2 : 123.232.175.0/255.255.255.0, 127.0.0.0/255.0.0.0, 234.567.890.12



Если посмотреть логи Linux серверов, то можно обнаружить большое количество
сообщений от демона sshd, свидетельствующих о попытке подбора паролей по ssh.

Dec 6 11:03:11 artur sshd[2177]: Invalid user test from 193.220.141.151
Dec 6 11:03:11 artur sshd[2177]: Failed password for invalid user test from 193.220.141.151 port 46079 ssh2
Dec 6 11:03:15 artur sshd[2180]: Failed password for root from 193.220.141.151 port 46144 ssh2
Обратите внимание на задержку между попытками - несколько секунд. На той
стороне находятся "роботы". Чтобы ограничить количество попыток соединения
с одного IP адреса можно воспользоваться модулем recent нетфильтра.

iptables -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --update --seconds 20 -j DROP
iptables -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --set -j ACCEPT

настройка протстого шлюза

# iptables -F INPUT
# iptables -A INPUT -m state -state EASTABLISHED,RELATED -j ACCEPT
# iptables -A INPUT -i lo -j ACCEPT
# iptables -P INPUT DROP
# iptables -F FORWARD
# iptables -P FORWARD ACCEPT
# iptables -t nat -F
# iptables -t nat -A POSTROUTING -o {внешний интерфей} -j SNAT to {внешний IP}
# Если ip динамический то
# iptables -t nat -A POSTROUTING -o {внешний интерфейс} -j MASQUERADE