Como configurar un Firewall con Shorewall en dos Interfaces de Red con políticas DROP en CentOS y Debian.

Autor: Henry D. Rosado T.
Correo electrónico: bleycklinx@gmail.com

En este tutorial indicare como se configura un Firewall con Shorewall con políticas DROP en dos interfaces de red para CentOS y para Debian.

Shorewall

Shorewall (Shoreline Firewall) es una robusta y extensible herramienta de alto nivel para la configuración de muros cortafuego. Shorewall solo necesita se le proporcionen algunos datos en algunos ficheros de texto simple y éste creará las reglas de cortafuegos correspondientes a través de iptables. Shorewall puede permitir utilizar un sistema como muro cortafuegos dedicado, sistema de múltiples funciones como puerta de enlace, dispositivo de encaminamiento y servidor. Shorewall no solo le permite configurar un firewall seguro, poderoso y robusto, también se puede lograr con este el control del AB (Ancho de Banda) ya que maneja el “Traffic Shaping/QOS”, También podemos configurar en Shorewall algunas cosas como “Dom0, Xen – Shorewall in Routed Xen, Xen – Shorewall in a Bridged Xen DomU, VNP, IPP2P, Macros, MAC Verification, Múltiples conexiones de Intener o MultiISP” y más.

A pesar de ser tan potente y flexible, Shorewall puede llegar a ser una herramienta demasiado complicada para el uso cotidiano del usuario principiante y que no tenga conocimientos sobre este, además para muchos usuarios, Shorewall puede parecer una herramienta muy fácil de configurar, pero cabe recalcar que una ves dominada se puede lograr tener un firewall muy potente y seguro para servidores en producción.

Hay muchas herramientas para crear un Firewall básico, y algunas de estas son para el entorno gráfico o X, no se recomienda utilizar estas ya que consumen muchos recursos y lo que a muchos nos interesa es evitar esto.

¿Qué es un NAT?

NAT (acrónimo de Network Address Translation o Traducción de Dirección de Red), también conocido como enmascaramiento de IP, es una técnica mediante la cual las direcciones de origen y/o destino de paquetes IP son reescritas mientras pasan a través de un dispositivo de encaminamiento (router) o muro cortafuegos. El NAT es un sistema que se utiliza para asignar una red completa (o varias redes) a una sola dirección IP.
Cómo Funciona el NAT

Cuando un cliente en la red interna contacta con una máquina en Internet, envía paquetes IP destinados a esa máquina. Estos paquetes contienen toda la información de direccionamiento necesaria para que puedan ser llevados a su destino. NAT se encarga de estas piezas de información:

• Dirección IP de origen (por ejemplo, 192.168.1.35)
• Puerto TCP o UDP de origen (por ejemplo, 2132)

Cuando los paquetes pasan a través de la pasarela de NAT, son modificados para que parezca que se han originado y provienen de la misma pasarela de NAT. La pasarela de NAT registra los cambios que realiza en su tabla de estado, para así poder: a) invertir los cambios en los paquetes devueltos, y b) asegurarse de que los paquetes devueltos pasen a través del cortafuegos y no sean bloqueados. Por ejemplo, podrían ocurrir los siguientes cambios:

• IP de origen: sustituida con la dirección externa de la pasarela (por ejemplo, 24.5.0.5)
• Puerto de origen: sustituido con un puerto no en uso de la pasarela, escogido aleatoriamente (por ejemplo, 2945)

Ni la máquina interna ni el anfitrión de Internet se dan cuenta de estos pasos de traducción. Para la máquina interna, el sistema NAT es simplemente una pasarela a Internet. Para el anfitrión de Internet, los paquetes parecen venir directamente del sistema NAT; ni siquiera se da cuenta de que existe la estación interna.

Cuando el anfitrión de Internet responde a los paquetes internos de la máquina, los direcciona a la IP externa de la pasarela de NAT (24.5.0.5) y a su puerto de traducción (53136). La pasarela de NAT busca entonces en la tabla de estado para determinar si los paquetes de respuesta concuerdan con alguna conexión establecida. Entonces encontrará una única concordancia basada en la combinación de la dirección IP y el puerto, y esto indica a PF que los paquetes pertenecen a una conexión iniciada por la máquina interna 192.168.1.35. Acto seguido PF realiza los cambios opuestos a los que realizó para los paquetes salientes, y reenvía los paquetes de respuesta a la máquina interna.

¿Que es DNAT?

DNAT son las siglas de Destination Network Address Translation o Traducción de dirección de red de destino, el DNAT nos permite redirigir puertos hacia máquinas que se encuentran en una red interna o Red Privada.

Procedemos a descargar Shorewall 3.4.6-2.noarch.rpm en formato RPM para CentOS 5 desde la página oficial desde la sección de descargas en http://www.shorewall.net también directamente en http://www.invoca.ch

Una vez descargado el shorewall antes mencionado pasamos a instalarlo:

Para Debian simplemente lo podemos instalar con “aptitude install shorewall” el cual se instalará la versión 3.2.6-2.

Una vez instalado, copiamos los archivos de configuración desde /usr/share/doc/shorewall/default-config a /etc/shorewall.

y nos dirijimos al directorio de shorewall

cd /etc/shorewall/

Para activar Shorewall en Debian debemos editar /etc/default/shorewall, aquí encontraremos startup=0, solo hay que cambiar el “0” por “1” y lo dejamos así:

startup=1

Hay que tener en cuenta que los ficheros que vamos a configurar se encuentran en el directorio “/etc/shorewall”, los ficheros que vamos a configurar a continuación son: zones, interfaces, policy, rules, routestopped

En CentOS configuramos “shorewall.conf” en “/etc/shorewall/shorewall.conf

Definimos principalmente en CentOS el parámetro STARTUP_ENABLED, este parámetro sirve para activar Shorewall, en el vamos a encontrar “NO” ya que de modo predefinido está desactivado, y para activar Shorewall debemos cambiar el No por Yes, y debemos dejarlo así:
STARTUP_ENABLED=Yes

De esta manera cuando queramos iniciar Shorewall con “shorewall start” o reiniciar con “shorewall restart”, no nos dará problemas.

Otro parámetro que hay que tener en cuenta CLAMPMSS, ya que si contamos con un enlace tipo PPP debemos cambiar el No por Yes, se utiliza en conexiones tipo PPP (PPTP o PPPoE) y sirve para limitar el MSS (acrónimo de Maximum Segment Size que significa Máximo Tamaño de Segmento).
CLAMPMSS=Yes

En Debian ya no es necesario editar “shorewall.conf” ya que por defecto esta en Yes (STARTUP_ENABLED=Yes).

Seguimos con la configuración del resto de ficheros.

zones

En el fichero zones se definen las zonas que se administraran del firewall. La zona fw está definida en zones, por lo tanto ya no tendremos que ponerla ni borrarla, ahora procedemos a registrar las zonas de Internet (net) y Red Local (loc):

interfaces

En este fichero se establecen las interfaces de las zonas a ser tomadas en cuenta por el firewall. Se establecen las interfaces que corresponden a la de Internet y Red Local. En el siguiente ejemplo, se cuenta con una interfaz eth1 para acceder hacia Internet, y una interfaz eth0 para acceder hacia la LAN y en todas se solicita se calcule automáticamente la dirección de transmisión (Broadcast), además se identifican ciertas propiedades respecto de la interpretación de los paquetes que ingresan o salen por esa interfaz:

Nótese que en la interfaz de Internet (net) “eth1” se adhiere “blacklist”, con esto tendremos la opción de que si en algún momento observamos en los registros de nuestros logs del sistema que alguna ip está intentando ingresar sin nuestro permiso a nuestro servidor lo podemos bloquear por completo editando en el fichero “/etc/shorewall/blacklist” la ip correspondiente de dicho intruso, también si acaso hubiera un servicio de DHCP, sea como cliente, como servidor o como intermediario, en alguna de las interfaces, se debe añadir la opción dhcp para permitir la comunicación requerida para este servicio, en el ejemplo dado opera un servidor DHCP, el cual es utilizado en la red de área local para asignar direcciones IP a los equipos de la LAN, en lo anterior se debe activar la opción DHCP para la interfaz eth0, que corresponde a la zona utilizada por el área local, en caso de que el anfitrión donde opera el muro cortafuegos obtiene su dirección IP, para la interfaz eth1, a través del servicio DHCP del ISP, será necesario interpretarlo como el caso de la Red Local.

En muchos casos “norfc1918” da un error al momento de iniciar shorewall, si fuese este el caso solo lo borramos de interfaces, así shorewall iniciará normalmente.

policy

En este fichero se establecen las políticas por defecto para paquetes que viajan entre una zona hacia otra:

Lo anterior bloquea todo el tráfico desde donde sea a donde sea.

Si desean permitir al propio cortafuegos acceder hacia la zona de Internet lo pueden hacer añadiendo la respectiva regla:

Si se desea dar una salida a los equipos de la LAN sin restriccón de puertos hacia el mundo o Internet simplemente ponemos esta regla:

loc net ACCEPT

De tal modo que el fichero policy quede del siguiente modo:

loc net ACCEPT
net all DROP info
all all REJECT info

De este modo no especificamos ningún puerto, simplemente los equipos navegaran y podran salir a cualquier lado, caso contrario que no se desee esta política se podrá configurar como está en el ejemplo dado más abajo en el fichero “rules“.

Según los requerimientos del usuario también podrían utilizar otras como:

masq

Este fichero se lo utiliza para definir enmascaramiento (masquerading) o NAT, esto es útil cuando tenemos una red privada con la cual queremos navegar a través de un Proxy. En el siguiente ejemplo aplicaremos enmascaramiento para la interfaz eth0 (Red Lan) la cual sale por medio de la interfaz eth1 que es nuestra IP Pública:

Otro caso es si tenemos varias redes y queremos enmascarar a través de una sola interfaz, no olviden en configurar correctamente su Proxy:

También podemos hacer NAT a una sola IP y para solo un protocolo:

routestopped

En este fichero podemos definir que direcciones IP o redes podrán continuar accediendo cuando el cortafuegos es detenido o cuando este se encuentra en proceso de reinicio.
Será necesario definir nuestras interfaces de red o IP que deseamos que continúe la comunicación, podemos definir en formato separado por comas indicando la red o ip:

Otro ejemplo:

rules

Este es el fichero de configuración más importante de Shorewall, ya que aquí se definen las reglas que permitirán o denegarán el acceso a servicios y puertos desde y hacia zonas o el firewall. También se puede definir las reglas DNAT y registro de ciertos paquetes. Antes de configurarlo hay que tener en cuenta que las políticas por defecto son DROP, por lo tanto nada pasa a ningún lugar, no se podrá navegar ni siquiera el mismo fw, por lo tanto tenemos que ir a abriendo y permitiendo el acceso a varios puertos según como sean los requerimientos.
En Shorewall no solo se puede configurar con las numeraciones de los puertos, Shorewall nos permite también configurar los puertos según sea su nombre o servicio que ofrece (DNS, FTP, POP3, MySQL, SSH, VNC, Whois, Emule, BitTorrent, etc), dada esta facilidad en Shorewall podemos incluir y agregar de esta forma:

Lo que se estaría haciendo con esta regla, es permitiendo que la red local haga consultas de DNS al fw, nótese que se a incluido “DNS” en ves de los puertos por su numeración “53”, con esta regla se abrirá tanto en tcp como en udp por que con esta simple regla nos bastaría para que se abra el puerto DNS.

Si quisiéramos permitir las consultas de DNS desde el Internet (net) hacia el Firewall (fw), lo tendríamos que hacer así:

Hay algunos ejemplos en el mismo sitio de Shorewall.

ACCEPT

Lo primero que aremos es permitir o aceptar que el mismo Firewall (fw) pueda navegar, sin restricciones, esto es indispensable ya que si contamos con un servidor que pertenece a un Caber café o parecido, se necesitara que el servidor pueda navegar sin límites, de esa forma ninguna página que sea tipo Chat no será bloqueada, porque necesita de ciertos puertos para la autenticación, lo mismo para algunos servicios necesarios, a los cuales necesitaremos ingresar y navegar con tranquilidad, abriremos los puertos del 1024 hasta el 65535:

También podemos definir una regla para que no tenga límites de puertos:

Con esta regla lo que hemos hecho es que el Firewall (fw) tenga acceso hacia el Internet (net) sin restricción alguna.

Ahora aceptamos que nuestra red local (loc) se pueda conectar al Internet (net), aquí podemos definir si queremos los mismos puertos que el fw, ya que para mayor seguridad no le ponemos que todas puedan salir a puertos como el 22, 5800, 5900, 1-1023, ya que son puertos de riesgos, y para evitarnos problemas con los usuarios a que estén haciendo cosas sin control en la red preferible descomentamos estos:

Nótese que de igual manera a la red local (loc) le permito hacer peticiones al Puerto 53 hacia el Internet, recuerden que es recomendable configurar un DNS cache para nuestra red local en nuestro servidor, pero al mismo tiempo los ISP nos dan otros DNS de gran ayuda para que podamos navegar, estos DNS hay que ponerlos en nuestro servidor y uno de los DNS del ISP en los equipos clientes, de esta forma si nuestro DNS local no puede resolver un dominio pasará a utilizar el DNS secundario que le hemos asignado.

Procedemos a permitir la conexión de los equipos de la red local a limitados puertos del fw, si hemos configurado un DNS cache para nuestra red local (loc) y un Proxy para navegación por medio de este procedemos a abrir solo los puertos necesarios, ya que no permitiremos a todos los equipos la conexión por medio de VNC al servidor, ni por SSH a menos que quieran los administradores de red permitir estos u otros accesos al servidor:

Otra regla que se puede usar es:

Esta regla limita las conexiones que se relizen desde la red local LAN hacia nuestro propio DNS Cache del Linux, asi nos protegemos de posibles ataques DDOS desde la red local.

Permitimos que una sola máquina ingrese a nuestro servidor sin límite alguno, esta máquina o ip sería la del administrador de la red:

Con este ejemplo también lo podemos definir desde la zona de Internet (net) al Firewall (fw) para permitir el acceso a una ip fuera de nuestra red, la cual puede ser de algún amigo, administrador, etc.

También podemos definir que solo se conecte desde el exterior a limitado números de puertos:

También podemos definir la mac de dicho equipo, lo recomendable es definir la mac desde la red local, ya que desde el exterior puede haber la posibilidad de falsear dicha mac y de esa forma tener acceso al servidor:

REDIRECT

El REDIRECT permite redirigir peticiones hacia un puerto en particular. Muy útil cuando se quieren redirigir peticiones para HTTP (puerto 80) y se quiere que estas pasen a través de un Servidor Intermediario (Proxy) como Squid. Las peticiones hechas desde la red local serán redirigidas hacia el puerto 3128 del cortafuegos, en donde hay un Servidor Intermediario (Proxy) configurado en modo transparente, en este caso limitaremos las conexiones al mismo proxy para evitar posibles ataques desde la red local: