Mise en place de pare-feu Shorewall, vos règles iptables en quelques minutes.

Pas mal de personnes ont peur d'iptables et je les comprends. Il existe un moyen simple et rapide de générer vos autorisations de traffic sans toucher aux iptables avec le logiciel Shorewall.

Shorewall génère les règles iptables à votre place, il vous faut juste lui d’écrire les autorisations.

Nous avons:

Serveur asterisk eth0 adresse 192.168.0.1 masque 255.255.255.0
Postes téléphoniques en local 192.168.0.0/24
Postes télétravail: 83.167.123.58
Un second bureau distant avec vpn openvpn entre deux sites 192.168.1.0/24 interface tun0

Nos besoins:

1: Protéger serveur asterisk de l’extérieur
2: Permettre le reste


Première étape, télécharger le paquet Shorewall il faut juste choisir la bonne version, depuis la version 4.4 il y a 3 éditions de logiciel, version lite, standard et avec support de ipv6
Nous allons prendre une normale rpm puisque j'ai une centos.

Les fichiers de configuration sont dans le /etc/shorewall

Heureusement il nous faut juste une très petite partie de ces fichiers.

interfaces
Il faut commencer par les interfaces, c'est ici que nous allons signaler nos interfaces.
Zone internet c'est eth0 zone vpn c'est tun0 il est possible de spécifier masque mais pas obligatoire, les options tcpflags,routeback sont pour vérifier les paquets tcp, et permettre le routage entre les interfaces.

zones
Les zones sont déclares en ipv4. Par rapport au dernier fichier nous avons une ligne supplémentaire par défaut "fw firewall" c'est la zone de pare-feu, en fait la machine elle même.

policy Le fichier policy est la pour définir de manière générale le comportement de pare feu. Nous allons permettre le traffic sortant, et interdire entrant, l'ordre est "DE VERS" je vais coller deux exemples, détaillé et abrégé.

Détaillé

Abrégé, la différence est simple , le mot clé "all" autorise ou interdit le traffic vers l'ensemble de zones.
*L'option info de log est la pour ajouter les logs dans le /var/log/messages de traffic autorisé et "DROP'e" elle est très utile pour voir ce qui passe dans le cas de mauvais configuration ou debug.


Si on interdit tout en entrée comment autoriser les ports spécifiques ? Pour cette tache nous avons une fichier rules si Shorewall ne trouve aucune règle dans le fichier rules il applique policy

rules C'est la ou Shorewall montre ça puissance, étape par étape:




La dernière étape pour démarrer shorewall il faut éditer shorewall.conf, et mettre la valeur STARTUP_ENABLED=Yes
Attention la commande "shorewall stop" arrête le routage et networking, à utiliser seulement dans le cas de suspicion d'intrusion

Si vous avez un service qui ne passe pas, c'est la ou les logs sont utiles, ils sont la pour permettre rapidement de trouver ou ça bloque, l'avantage majeur c'est que ils sont très lisible sans chercher.

Exemples

Le sens du paquet internet vers FW (firewall) source ip 74.115.97.9 destination 192.168.0.1 port SOURCE / DEST 44489/ 5060 Protocole UDP.

VPN vers FW Accepté interface tun0 SRC / DST PROTO STP DPT, facile !! Pour trouver rapidement ces logs vous pouvez faire

Pour voir L'ensemble de Accepté / Rejeté ou

Pour les traces de drop.


Astuces:

Pour démarrer shorewall c'est "shorewall start" pour virer les règles de shorewall c'est "shorewall clear"

La procédure de l’arrêt d'urgence c'est shorewall stop, à utiliser seulement dans le cas de contamination, shorewall arrête l'ensemble de traffic sauf depuis IP de confiance qui se trouve dans le fichier routestopped.

routestopped

Nous avons juste frotté la surface ici, shorewall capable faire du nat 1:1 masquerade, gérer les interface aliases, et bien plus encore. La documentation est complète et simple ce trouve sur www.shorewall.net

Reaper