Cette section traite de la configuration d'un routeur de filtrage, de masquage et de transport basé sur ipchains. Vous devriez certainement lire d'abord le IPCHAINS-HOWTO (à l'adresse  ; en version française) puis chercher ici des conseils additionnels. Ce HOWTO décrit les étapes pour configurer un noyau avec support de masquage (masquerading) et décrit en détail l'utilisation de l'exécutable. Vous devriez activer le pare-feu sur toutes les machines ayant une IP exposée.

Vérifiez vos scripts de démarrage afin de vous assurer que leur enchaînement est comme suit sur la passerelle de réseau privé :

la carte Ethernet est initialisée les règles de pare-feu sont passées en revue par ipchains le transport est activé les démons des services réseau sont démarrés

Ainsi, à titre d'exemple, sur un système basé sur la Slackware, la configuration du pare-feu devrait intervenir entre l'exécution du rc.inet1 et du rc.inet2. En outre, si un quelconque problème apparaît au cours des étapes de démarrage du pare-feu, un avertissement devrait être affiché et la carte réseau externe désactivée avant que les services réseau ne soient lancés.

Un problème courant avec les pare-feu basés sur ipchains est de s'assurer que les règles sont correctement positionnées selon que les paquets arrivent sur l'interface de loopback, ou depuis l'une des deux interfaces, interne ou externe. Les paquets d'origine locale peuvent être bloqués par le pare-feu. Trop souvent, ceci est réglé par une espèce de débogage bricolé rapidement où les règles du pare-feu sont manipulées jusqu'à ce que l'application semble fonctionner à nouveau correctement sur le pare-feu. Malheureusement, ceci peut parfois aboutir à un dispositif qui a des trous de sécurité involontaires. Avec ipchains, il est possible d'écrire un script de firewall qui peut être facilement débogué et peut éviter beaucoup de problèmes. Voici un script d'exemple /sbin/firewall.sh :

#! /bin/sh # # Nouveau script de firewalling utilisant IP chains. Crée un routeur filtrant # avec masquage de réseau # # définition de quelques variables IPCHAINS=/sbin/ipchains LOCALNET="192.168.1.0/24" # le réseau privé ETHINSIDE="192.168.1.1" # IP privée de fred.example.com # ETHOUTSIDE="10.1.1.9" # IP publique de fred.example.com # LOOPBACK="127.0.0.1/8" ANYWHERE="0/0" OUTSIDEIF=eth1 # interface privée de fred.example.com FORWARD_PROCENTRY=/proc/sys/net/ipv4/ip_forward # # Ces deux commandes retourneront des codes d'erreur si les règles # existent déjà (ce qui se produit si vous exécutez le script # de pare-feu plus d'une fois). On met ces commandes avant « set -e » # comme ça, dans ce cas le script n'est pas interrompu. $IPCHAINS -N outside $IPCHAINS -N portmap set -e # Abandonne immédiatement si des erreurs se produisent # lors de l'installation des règles. # # Arrête la redirection de ports et initialise les tables echo "0" > ${FORWARD_PROCENTRY} $IPCHAINS -F forward $IPCHAINS -F input $IPCHAINS -F output $IPCHAINS -F outside $IPCHAINS -F portmap # # Masque les paquets en provenance de notre réseau local # à destination du monde extérieur. Ne masque pas les # paquets locaux à destination locale. $IPCHAINS -A forward -s $LOCALNET -d $LOCALNET -j ACCEPT $IPCHAINS -A forward -s $ETHOUTSIDE -d $ANYWHERE -j ACCEPT $IPCHAINS -A forward -s $LOCALNET -d $ANYWHERE -j MASQ # # Positionne les signaux de priorité. Délais minimum # de connexion pour www, telnet, ftp et ssh (paquets sortants # uniquement). $IPCHAINS -A output -p tcp -d $ANYWHERE www -t 0x01 0x10 $IPCHAINS -A output -p tcp -d $ANYWHERE telnet -t 0x01 0x10 $IPCHAINS -A output -p tcp -d $ANYWHERE ftp -t 0x01 0x10 $IPCHAINS -A output -p tcp -d $ANYWHERE ssh -t 0x01 0x10 # # n'importe quel paquet venant de notre classe C locale doit # être accepté comme le sont les paquets provenant de l'interface # de loopback et l'interface externe de fred $IPCHAINS -A input -s $LOCALNET -j ACCEPT $IPCHAINS -A input -s $LOOPBACK -j ACCEPT $IPCHAINS -A input -s $ETHOUTSIDE -j ACCEPT # # On va créer un jeu de règles pour les paquets provenant du grand, # méchant monde extérieur, et puis y attacher toutes les interfaces # externes. Ces règles seront appelées « outside ». # # On crée également une chaîne « portmap ». Les sockets utilisées # par les démons référencés par le portmapper RPC ne sont pas # fixes, il est donc un peu difficile de leur attribuer des # règles de filtrage. La chaîne portmap est configurée dans un # script à part. # # Paquets envoyés depuis n'importe quelle interface extérieure # à la chaîne « outside ». Ceci inclut l'interface $OUTSIDEIF # et toute interface ppp utilisée pour se connecter (ou fournir # une connexion). $IPCHAINS -A input -i ${OUTSIDEIF} -j outside $IPCHAINS -A input -i ppp+ -j outside ################################################## # # installe les règles de la chaîne « outside » # # ################################################## # # Personne de l'extérieur ne devrait pouvoir se faire # passer comme venant de l'intérieur ou du loopback. $IPCHAINS -A outside -s $LOCALNET -j DENY $IPCHAINS -A outside -s $LOOPBACK -j DENY # # Aucun des paquets routés vers notre réseau local # ne peut venir de l'extérieur car l'extérieur # n'est pas censé connaître nos adresses IP privées. $IPCHAINS -A outside -d $LOCALNET -j DENY # # Bloque les connexions entrantes sur les ports X. Bloque 6000 à 6010. $IPCHAINS -l -A outside -p TCP -s $ANYWHERE -d $ANYWHERE 6000:6010 -j DENY # # Bloque les ports NFS 111 et 2049. $IPCHAINS -l -A outside -p TCP -s $ANYWHERE -d $ANYWHERE 111 -j DENY $IPCHAINS -l -A outside -p TCP -s $ANYWHERE -d $ANYWHERE 2049 -j DENY $IPCHAINS -l -A outside -p UDP -s $ANYWHERE -d $ANYWHERE 111 -j DENY $IPCHAINS -l -A outside -p UDP -s $ANYWHERE -d $ANYWHERE 2049 -j DENY # # Bloque les paquets xdm venant de l'extérieur, port UDP 177. $IPCHAINS -l -A outside -p UDP -s $ANYWHERE -d $ANYWHERE 177 -j DENY # # Bloque le port 653 YP/NIS . $IPCHAINS -l -A outside -p TCP -s $ANYWHERE -d $ANYWHERE 653 -j DENY # # On ne va pas s'embêter avec des logins sur le port TCP 80, le port www. $IPCHAINS -A outside -p TCP -s $ANYWHERE -d $ANYWHERE 80 -j DENY # # Accepte des connexions données et contrôle FTP. $IPCHAINS -A outside -p TCP -s $ANYWHERE 20:21 -d $ANYWHERE 1024: -j ACCEPT # # Accepte les paquets ssh. $IPCHAINS -A outside -p TCP -s $ANYWHERE -d $ANYWHERE ssh -j ACCEPT # # Accepte les paquets DNS depuis l'extérieur. $IPCHAINS -A outside -p TCP -s $ANYWHERE -d $ANYWHERE 53 -j ACCEPT $IPCHAINS -A outside -p UDP -s $ANYWHERE -d $ANYWHERE 53 -j ACCEPT # # Accepte SMTP depuis partout. $IPCHAINS -A outside -p TCP -s $ANYWHERE -d $ANYWHERE 25 -j ACCEPT # # Accepte les paquets NTP. $IPCHAINS -A outside -p UDP -s $ANYWHERE -d $ANYWHERE 123 -j ACCEPT # # N'accepte pas les paquets d'indentification, on ne les utilise pas. $IPCHAINS -A outside -p TCP -s $ANYWHERE -d $ANYWHERE 113 -j DENY # # Désactive et journalise tous les autres paquets entrants, # TCP ou UDP, sur les ports privilégiés. $IPCHAINS -l -A outside -p TCP -s $ANYWHERE -d $ANYWHERE :1023 -y -j DENY $IPCHAINS -l -A outside -p UDP -s $ANYWHERE -d $ANYWHERE :1023 -j DENY # # Contrôle basé sur les règles de portmapper. $IPCHAINS -A outside -j portmap ############################################## # # Fin des règles de la chaîne « outside » # # ############################################## # # Bloque les paquets rwho sortants. $IPCHAINS -A output -p UDP -i $OUTSIDEIF -s $ANYWHERE 513 -d $ANYWHERE -j DENY # # Empèche les paquets netbios de s'échapper. $IPCHAINS -A output -p UDP -i $OUTSIDEIF -s $ANYWHERE 137 -d $ANYWHERE -j DENY # # Active le routage. echo "1" > ${FORWARD_PROCENTRY}

Remarquez que le pare-feu peut être utilisé non seulement pour les paquets entrants mais aussi pour les paquets sortants qui pourraient dévoiler des informations sur votre réseau privé tels que des paquets « rwho » ou « netbios ».

Comme noté plus haut, les règles du portmapper sont légèrement différentes car les démons portmap s'abonnent eux-mêmes au portmapper et sont renseignés sur les ports à écouter. Les ports utilisés par un démon quelconque peuvent changer si vous modifiez les services RPC utilisés ou si vous changez leur ordre de démarrage. Le script suivant, /sbin/firewall.portmap.sh, génère les règles pour le démon portmap.

#! /bin/sh # ANYWHERE=0/0 IPCHAINS=/sbin/ipchains $IPCHAINS -F portmap # Règles pour empêcher l'accès aux services portmappés aux personnes de l'extérieur. # /usr/bin/rpcinfo -p | tail +2 | \ { while read program vers proto port remainder do prot=`echo $proto | tr "a-z" "A-Z"` $IPCHAINS -l -A portmap -p $prot -s $ANYWHERE -d $ANYWHERE $port -j DENY || exit 1 done }

Nous n'avons pas à nous soucier du fait que les paquets entrants sont des paquets « légitimes » en provenance du réseau privé ou non, la chaîne portmap n'est vérifiée que quand les paquets proviennent de l'extérieur.

Cette configuration de pare-feu note la plupart des paquets suspects par l'intermédiaire de klogd avec la priorité kern.info. Elle notera les essais de connexion normaux aussi bien que tous les scans furtifs connus.

Maintenant on assemble le tout. On aimerait s'assurer qu'il n'existe pas de petite fenêtre de vulnérabilité au démarrage du système, en conséquence on configure la séquence de démarrage comme suit :

#! /bin/sh # # Démarrer le réseau de façon sécurisée # # /etc/rc.d/rc.inet1 # configure les interfaces réseau # et active le routage. /sbin/firewall.sh || { echo "la configuration du pare-feu a échoué" /sbin/ifconfig eth1 down } /sbin/ipchains -I outside 1 -j DENY # interdit tous les paquets entrants /etc/rc.d/rc.inet2 # démarre les démons réseau sleep 5 # les laisse se stabiliser # sécurise les service portmappés /sbin/firewall.portmap.sh || { echo "la configuration du pare-feu de portmap a échoué" /sbin/ifconfig eth1 down } /sbin/ipchains -D outside 1 # autorise les paquets entrants

Ceci suppose que eth1 est l'interface ayant l'adresse IP visible. Si la moindre erreur a lieu lors de l'installation d'une des règles d'ipchains, un avertissement est produit et cette interface est désactivée. La chaine « outside » est positionnée de manière à refuser tous les paquets avant que les démons de service réseau ne soient démarrés, parce que les règles de pare-feu ne sont pas encore en place pour les services portmappés. Une fois que ces services sont protégés par le pare-feu, la chaîne « outside » est rendue à son comportement normal.