Welke Firewall?

En zijn heel wat aanbieders van (gratis) firewall programma's, met name voor Windows. Wat ik echter begrepen heb is dat in de nieuwere versie van Windows de ingebouwde fire wall behoorlijk goed is. Wel kan je mogelijk de standaard instellingen verbeteren, om het gebruikers niet te lastig te maken staat hij vrij soepel afgesteld (ik denk dat bijvoorbeeld alle uitgaande verkeer standaard doorgelaten zal worden). Ik heb echter de laatste jaren weinig ervaring meer op Windows daar ik zelf over ben op Linux (Ubuntu).

Ook op Linux zitten standaard firewalls die zeer goed zijn, bijvoorbeeld 'iptables' op debian/Ubuntu. Wel zijn ze soms wat lastig in te stellen, omdat er op de meeste Linux distributies standaard geen vriendelijke (grafische) gebruikersinterface zit (al zijn ze wel gratis beschikbaar). Zelf gebruik ik 'iptables', omdat dat meer mogelijkheden geeft, plus betere logging van wat er gebeurt.

Linux iptables

iptables werkt met een lijst van regels (zoals iedere firewall). Bij direkt gebruik van iptables stel je deze zelf in, en je hebt dus volledige controle. Hier wat hints en tips, voor een deel ook toepasbaar op andere fire walls. iptables is in het begin behoorlijk complex en overweldigend, maar in de praktijk heb je niet direct alles nodig. Toch zitten er heel wat mogelijkheden in verstopt, met name in de uitbreidingmodules van iptables.

De basis van iptables zijn tabellen, zoals de naam al aangeeft. Binnen elke tabel zijn meerdere chains (ketens), ieder weer met meerdere rules (regels); mooi uitgelegd in iptables fundamentals. Ik gebruik zelf alleen de default tabel genaamd 'filter', en de drie al standaard aanwezige 'chains' (ketens van regels, die stuk voor stuk afgelopen worden):

1. INPUT: de keten met regels voor binnenkomende berichten
2. OUTPUT: de uitgaande berichten
3. FORWARD: berichten die door het apparaat heen ge'route' moeten worden (van belang bij routers etc, ook gebruikt voor OpenVPN op mijn Raspberry).

Daarbij is mijn standaard policy instelling zo dat alles wordt geaccepteerd, maar stel ik vervolgens individuele regels in met als laatste regel 'alles blokkeren'. Klinkt wat vreemd, maar dit is handiger dan standaard alles blokkeren: als je dan alle regels weg gooit en je kan alleen met SSH je systeem bereiken, dan heb je jezelf buitengesloten... Dit zou bij mijn Raspberry Pi server het geval kunnen zijn; daar zit geen toetsenbord of beeldscherm aan want ik bedien hem alleen op afstand via SSH. Dus bij het beginnen met een lege iptables:

IPT="sudo /sbin/iptables"

# De standaard policy is alles door te laten... Dan blijft SSH werken ook als je alle regels weg gooit
$IPT -P INPUT ACCEPT
$IPT -P FORWARD ACCEPT
$IPT -P OUTPUT ACCEPT

# En gooi vervolgens alle bestaande regels weg
$IPT -F
$IPT -X

In noodgevallen

Om mezelf niet buiten te sluiten heb ik een script dat ik laat draaien als ik met de rules ga spelen: dit script gooit na een half uur weer alle regels weg, tenzij ik het script eerder stop omdat ik tevreden ben. In het ergste geval van uitsluiting moet ik een half uur wachten, en dan kan ik er weer in. Gelukkig van te voren bedacht, want ik heb het nodig gehad... Het script stop_firewall.sh ziet er als volgt uit:

#!/bin/bash
date
sleep 1800
sudo /sbin/iptables -F
sudo /sbin/iptables -P INPUT ACCEPT
sudo /sbin/iptables -P OUTPUT ACCEPT

Let op, dit werkt alleen als 'sudo' niet om een wachtwoord vraagt! Anders eerst met sudo -i een 'root shell' starten en het daar vanuit starten. Start het script met './stop_firewall.sh &'. Je krijgt het procesnummer terug, hiermee kan je als je tevreden bent dit script stoppen met 'kill <nummer>'. Niet te laat doen, want dan staat je firewall weer helemaal open.

Alternatief: zorg dat IPv6 werkt en dat je je IPv6 nummers kent (kijk verderop), dan kan je via die weg ssh benaderen, want iptables is alleen voor IPv4 (ip6tables is vergelijkbaar voor IPv6).

iptables rules (regels)

Nu kunnen we de eerste regels toe gaan voegen. Ik doe de configuratie vanuit een script setup_iptables.sh (hoef ik het niet iedere keer in te typen) dat er versimpelt als hieronder uit ziet:

IPT="/sbin/iptables"
MYNETWORK=192.168.1.0/24

# 'localhost' verkeer, dus wat binnen het apparaat blijft, mag gewoon doorgaan
$IPT -A INPUT  -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT

# Binnenkomend SSH verkeer van alleen lokale netwerk (subnet 192.168.1.xxx) mag wel:
$IPT -A INPUT  -p tcp -s $MYNETWORK --dport 22 -j ACCEPT
$IPT -A OUTPUT -p tcp               --sport 22 -j ACCEPT

# Hier komen verdere eigen regels

# En de rest gooien we allemaal weg...
$IPT -A INPUT  -j LOG  -m limit --limit 12/min --log-level 4 --log-prefix '[IP] INPUT drop: '
$IPT -A INPUT  -j DROP

$IPT -A OUTPUT -j LOG  -m limit --limit 12/min --log-level 4 --log-prefix '[IP] OUTPUT accept: '
$IPT -A OUTPUT -j DROP

$IPT -A FORWARD -j LOG  -m limit --limit 12/min --log-level 4 --log-prefix '[IP] FORWARD drop: '
$IPT -A FORWARD -j DROP

De laatste regels geven ook log-output naar de kernel. Hiermee kan je zien wat er allemaal 'het putje in gaat'. Dit zal met bovenstaande regels heel wat zijn, want behalve SSH staat alles nog dicht. Al mijn mooie services (netwerkdisk etc) zijn buitengesloten, en ook de Raspberry zelf kan niet meer het internet op. Dus er moeten nog wat regels toegevoegd worden...

De log gaat hier naar de standaard kernel log, je kan deze bekijken met bijvoorbeeld 'sudo tail /var/log/messages'. Ik heb zelf deze output liever niet allemaal door mijn kernel logs heen staan. Je kan gelukkig rsyslogd (gebruikt op Raspberry voor het loggen) laten filteren op hier de tekst '[IP] ' en de matchende regels naar een aparte file laten wegschrijven (zie bijvoorbeeld Log iptables to separate file). Hiervoor heb ik een file /etc/rsyslog.d/22-iptables.conf aangemaakt met (onder andere) de volgende inhoud:

:msg,contains,"[IP] " /var/log/iptables.log
& ~

Nu even rsyslogd herstarten met service rsyslog restart om deze file in te lezen, en de log komt in /var/log/iptables.log. En dan begint het echte werk: het bedenken van de regels die er in jouw situatie nodig zijn. Zie bijvoorbeeld iptables.sh van Thomas Fritz. Voor mij dus regels voor samba file server, de web server, en zo voort... Hierbij komt de log dus goed van pas, hier zie je precies wat er nog wordt tegengehouden (alles dus, in het begin) en kan je gaan denken over de regels. Een entry in de log ziet er bij voorbeeld zo uit (dis is één regel):

Nov 14 10:51:33 raspberry1 kernel: [2316296.338010] [IP] INPUT drop: IN=eth0 OUT= MAC=b8:27:eb:9b:67:96:00:22:15:41:4d:31:08:00:45:00:00:3a:d5:3d:40:00:40:11:75:56 SRC=192.168.1.200 DST=192.168.1.105 LEN=58 TOS=0x00 PREC=0x00 TTL=64 ID=54589 DF PROTO=UDP SPT=36586 DPT=53 LEN=38

Je ziet onder andere een binnenkomend bericht (INPUT), het afzender IP-adres (SRC=), het type IP-bericht (PROTO=UDP), en de poort waar het bericht naartoe gestuurd is (DPT=53). Dit is een binnenkomend DNS-verzoek, dit is de service die een domeinnaam vertaald naar een IP-nummer. Mijn Raspberry is ook de DNS-server, die poort moet dus open!

Automatisch laden bij boot

Ik heb bovenstaande regels naar een file bewaard met behulp van iptables-save > /etc/iptables/rules.v4. Met behulp van bijvoorbeeld het iptables-restore < /etc/iptables/rules.v4 commando kan deze file dan weer in iptables ingelezen worden, bijvoorbeeld na een herstart van het systeem. Drie manieren om dit te doen:

• de luie methode is om het commando op te nemen in /etc/rc.local
• de eerste nette manier is om aan /etc/network/interfaces een extra regel toe te voegen in de eth0 sectie, die het herstel doet als de netwerk-interface op komt: pre-up iptables-restore < /etc/iptables/rules.v4 || true
• En de andere manier is gebruik te maken van de module iptables-persistent. Deze herstelt bij een boot automatisch de status zoals laatst bewaard in /etc/iptables/rules.v4, eigenlijk ook via de hierboven genoemde methode met pre-up.

Zorg wel dat bij wijzigingen je de status opslaat met sudo sh -c "iptables-save > /etc/iptables/rules.v4" (doe ik automatisch in het install-script).

IPv6 en ip6tables

Wat iptables is voor IPv4, is ip6tables voor IPv6. Ze werken onafhankelijk van elkaar, dus als je ook IPv6 aan hebt staan: zorg er voor dat je ze beiden instelt!Wat bijhorende voorbeelden voor configuratie: Linux samples ip6tables en Sixxs IPv6 Firewalling. IPv6 staat op de oude Raspberry met raspbian niet standaard aan; zie 'Enable IPv6 on the Raspberry Pi' om dit wel te doen.

Maar op de nieuwe Raspberry Pi 3 staat IPv6 wel standaard aan, dus ik moet me er toch eens in gaan verdiepen... Bovenstaande IPv6 links hebben me wel geholpen. Heb een gestripte IPv6 versie gemaakt: lijkt heel erg op de IPv4 versie. Een paar verschillen: voor de ssh werk ik niet met het lokale netwerkadres, maar met de 'link local' adressen, beginnend met fe80:: Mijn router deelt namelijk nog geen IPv6 netwerkadressen uit, maar link-local adressen worden automatisch berekend gebaseerd op het hardware MAC-adres. Een stukje uit mijn setup_ip6tables.sh script:

# Allow loopback access
ip6tables -A INPUT  -i lo -j ACCEPT
ip6tables -A OUTPUT -o lo -j ACCEPT

# Allow all connections related to what we already have
ip6tables -A INPUT   -m state --state RELATED,ESTABLISHED -j ACCEPT
ip6tables -A OUTPUT  -m state --state RELATED,ESTABLISHED -j ACCEPT

# Allow incoming SSH from local network
ip6tables -A INPUT  -s fe80::/10 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

Verbinden vanaf mijn desktop naar mijn Raspberry gaat vervolgens met het link-local IPv6 adres, wat je kan opvragen via een klassieke ssh verbinding en het commando ifconfig eth0 | grep inet6  (kijk maar eens of je het MAC-adres er in terug kunt vinden):

ssh -6 fe80::<je IPv6 adres van de raspberry>%eth0

Ook hier heb ik het ingesteld dat bij een boot de regels automatisch geladen worden; werkt op dezelfde manier als voor IPv4. Heb de 'tweede methode' gebruikt, en in de /etc/network/interfaces een tweede pre-up regel geplaatst. Laat zien hoe ver iptables en ip6tables hetzelfde werken!

pre-up ip6tables-restore < /etc/iptables/rules.v6 || true