Um firewall robusto no iptables!

Um firewall stateful oferece um maior controle acerca das conexões que trafegam pelo nosso firewall, ele permite por exemplo que aplicações possam iniciar conexões de dentro para fora da rede em qualquer porta e que a resposta a essa conexão volte para a aplicação que iniciou a conexão sem precisar de uma regra específica para a o ip de destino ou portas envolvidas (que podem ser aleatórias).

Aqui descrevo uma atualização ao meu antigo script de firewall básico, com alguns comentários:

#!/bin/bash
it="/usr/sbin/iptables" #comando do iptables

# permite conexões locais e vindos da rede local
$it -A INPUT -i lo -j ACCEPT
$it -A INPUT -i eth0 -j ACCEPT

# permite conexões no servidor de dns
$it -A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
$it -A INPUT -p udp -m udp --dport 53 -j ACCEPT

# permite apenas ips brasileiros a conectarem por ssh, pop3, imap e smtp
$it -A INPUT -s 177.0.0.0/8 -p tcp -m multiport --dports 22,110,143,587 -j ACCEPT
$it -A INPUT -s 186.0.0.0/7 -p tcp -m multiport --dports 22,110,143,587 -j ACCEPT
$it -A INPUT -s 189.0.0.0/8 -p tcp -m multiport --dports 22,110,143,587 -j ACCEPT
$it -A INPUT -s 200.0.0.0/7 -p tcp -m multiport --dports 22,110,143,587 -j ACCEPT

# bloqueia esses mesmos acessos de todos os outros ips
$it -A INPUT -p tcp -m multiport --dports 22,110,143,587 -j closed

# permite receber emails na porta 25 e acesso web na porta 80
$it -A INPUT -p tcp -m multiport --dports 25,80 -j ACCEPT

# permite o protocolo de informações de rede: icmp
$it -A INPUT -p icmp -j ACCEPT

# permite conexões já iniciadas pelo servidor (permitidas pelas regras output)
$it -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

# bloqueia todas as outras conexões não autorizadas anteriormente.
$it -A INPUT -j closed

Para complementar o firewall podemos fazer NAT (popularmente conhecido como compartilhamento da internet), utilizando o SNAT e ip_foward:

#!/bin/bash
 
# interface da conexão de internet
if="eth1"
# ip da conexão de internet
ip="200.0.0.1"

iptables -t nat -A POSTROUTING -o $if -j SNAT --to-source $ip
sysctl -w net.ipv4.ip_forward 1

💡

Agregando links (Load Balance) no Linux.

Como recentemente adquiri a internet via cabo (Ajato), resolvi buscar informações a respeito de como integrar a nova internet ao meu antigo Speedy, para efetivar um powerup na conexão!! E segue aqui o resultado da minha experiência… 😎

Como a conexão Ajato é via dhcp, utilizei uma placa de rede exclusiva para ela (pois não funcionaria o dhcp com a alias de um ip fixo em uma mesma interface de rede).

Essa é uma versão resumida da documentação que você pode encontrar em:
http://www.ssi.bg/~ja/

Continuar lendo