Защита

•Также, каждая цепочка в таблице фильтров (таблица по умолчанию, в которой происходит большая часть фильтрации) имеет политику по умолчанию для правила ACCEPT, но если вы создаёте брандмауэр в

дополнение к устройству шлюза, вы можете установить политики в DROP или REJECT. В этом случае ваш замаскированный трафик должен быть разрешён в цепочке FORWARD, для того, чтобы правило вверху работало:

sudo iptables -A FORWARD -s 192.168.0.0/16 -o ppp0 -j ACCEPT sudo iptables -A FORWARD -d 192.168.0.0/16 -m state \ --state ESTABLISHED,RELATED -i ppp0 -j ACCEPT

Верхняя команда разрешит все соединения из вашей локальной сети с Интернетом, и весь трафик, относящийся к этим соединениям, будет возвращаться машинам, их установившим.

•Если вы хотите включить маскарадинг после перезагрузки, что вы уже, вероятно сделали, отредактируйте /etc/rc.local и добавьте любую из перечисленных выше команд. Например, добавьте первую команду без фильтрации:

iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -o ppp0 -j MASQUERADE

3.4. Журналирование

Журналы брандмауэра — это ценные данные при определении атак, нахождения проблем в правилах и причины необычной активности вашей сети. Вы также должны включить правила регистрации событий брандмауэра, и эти правила должны предшествовать любому

применяемому завершаемому правилу (правило, целью которого является определение судьбы пакета: ACCEPT, DROP, or REJECT)

Если вы используете ufw, вы можете включить регистрацию событий, введя следующую команду в терминале:

sudo ufw logging on

Для отключения регистрации событий в ufw просто замените on на off в приведённой выше команде.

Если используется iptables вместо ufw, введите:

sudo iptables -A INPUT -m state --state NEW -p tcp --dport 80 \ -j LOG --log-prefix "NEW_HTTP_CONN: "

186

Защита

Запрос, поступивший на порт 80 от компьютера в локальной сети, затем сгенерирует текст журнала в dmesg, который выглядит примерно так (одна строка разделена на три, чтобы уместить её в этом документе):

[4304885.870000] NEW_HTTP_CONN: IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:08:00 SRC=127.0.0.1 DST=127.0.0.1 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=58288 DF PROTO=TCP SPT=53981 DPT=80 WINDOW=32767 RES=0x00 SYN URGP=0

Вышеупомянутый текст журнала также появится в файлах /var/log/

messages, /var/log/syslog и /var/log/kern.log. Это поведение можно изменить,

отредактировав соответствующим образом файл /etc/syslog.conf или с помощью установки и настройки ulogd и использования ULOG вместо LOG. Демон ulogd — это сервер, работающий в пространстве пользователя, который слушает инструкции журналирования от ядра специально для межсетевых экранов и может записывать журнал в любой выбранный вами файл, и даже в базы данных PostgreSQL или MySQL. Для того, чтобы легко разобраться в файлах журнала, можно использовать их анализаторы, такие как logwatch, fwanalog, fwlogwatch или lire.

3.5. Другие инструменты

Есть много инструментов, предназначенных помочь вам создать полноценный брандмауэр без каких-либо знаний iptables. Для GUIориентированных:

•fwbuilder1 очень мощный инструмент, будет удобен администраторам, уже имевшим дело с коммерческими брандмауэрами, например, Checkpoint FireWall-1.

Если вы предпочитаете инструменты командной строки с текстовыми конфигурационными файлами:

•Shorewall2 — очень мощное решение, призванное помочь вам настроить улучшенный брандмауэр для любой сети.

3.6. Ссылки

•Вики-страница Ubuntu Firewall3 содержит необходимую информацию о работе c ufw..

•Также руководство пользователя по ufw содержит много полезной информации: man ufw.

•Больше информации по использованию iptables ищите на страничке packet-filtering-HOWTO4

1http://www.fwbuilder.org/

2http://www.shorewall.net/

3https://wiki.ubuntu.com/UncomplicatedFirewall

4http://www.netfilter.org/documentation/HOWTO/packet-filtering-HOWTO.html

187

Защита

•Страничка nat-HOWTO5 содержит дополнительную информацию о маскарадинге.

•IPTables HowTo6 Ubuntu Вики также отличный источник.

5http://www.netfilter.org/documentation/HOWTO/NAT-HOWTO.html

6https://help.ubuntu.com/community/IptablesHowTo

188