Firewall e contabilidade de pacotes Introdução 11.. TTaarreeffaass Muitas redes privadas não estão conectadas diretamente com a internet por razões de segurança. A máquina roteadora que faz a barreira entre a rede pública e a rede privada é chamada firewall. O firewall é como se fosse um componente de um carro que protege o passageiro do fogo de e uma possível explosão do motor. Essa analogia vem do fato que a _i_n_t_e_r_n_e_t é um lugar "quente", às vezes muito quente. É uma boa idéia limitar o impacto da _i_n_t_e_r_n_e_t na sua rede privada. 22.. FFiillttrraaggeemm ddee ppaaccootteess A filtragem de pacotes faz com que o seu computador aceite ou descarte pacotes IP baseado no seguinte critério: · Origem · Destino · Interface de recebimento Origem e destino são qualificados por: · Número IP · Número da porta · Protocolo 33.. RReeggrraass bbiiddiirreecciioonnaaiiss As regras que você está fazendo são bidirecionais. Em um tela, você qualifica os pacotes que vêm da origem para o destino e vice-versa. É por isso que você pode especificar a interface duas vezes. 44.. RReeggrraass ddee bbllooqquueeiioo Você pode controlar os pacotes que são aceitos por sua máquina quando eles chegam. Regras de bloqueio lhe deixam descartar pacotes na hora de sua chegada. 55.. RReeggrraass ddee rreeeennvviioo Você pode controlar os pacotes que estão para sair de sua máquina. Você pode descartar pacotes na hora de sua saída. Muitos firewalls podem ser implementados usando-se regras de bloqueio. Um caso especial das regras de reenvio são as regras de mascaramento, que são gerenciadas na mesma tela (usa simples opção). 66.. AAttiivvaarr aass rreeggrraass gglloobbaall oouu sseelleettiivvaammeennttee Você pode desativar permanentemente uma ou todas as regras sem exclui- las. Isso é útil para um primeiro teste das capacidades de um firewall e para estabelecer políticas "mutáveis". Cada regra tem uma opção para ativá-la. Uma tela é dada para ativar/desativar todas as regras de bloqueio e todas as de reenvio de uma só vez. 77.. QQuuaannddoo ttuuddoo ddáá eerrrraaddoo O firewall no _L_i_n_u_x pode ser fatal. Uma configuração desapropriada pode derrubar a máquina. Um comando que pode salvar sua pele é: netconf --resetfw Este comando desativa todas as regras de firewall. Ele não afeta a configuração, apenas as regras vigentes. Um netconf --update reativará as regras. Você pode precisar usar estes dois comandos para checar se um mal funcionamento de sua rede é causado ou não pelas regras de firewall. 88.. AA llóóggiiccaa ddoo ffiirreewwaallll ccoomm oo CCoonnffiigguurraaddoorr LLiinnuuxx O firewall no _L_i_n_u_x é altamente flexível e pode ser muito complicado. O _C_o_n_f_i_g_u_r_a_d_o_r _L_i_n_u_x propõe uma lógica que simplifica a composição das regras de firewall. Apesar de essa lógica ajudar a criar e manter um firewall básico, algumas configurações não podem ser criadas com o Configurador Linux. Aqui vai a lógica: 88..11.. LLóóggiiccaa ppoossiittiivvaa Quando você ativa um dos 3 sistemas de firewall (entrada, reenvio, saída), o _C_o_n_f_i_g_u_r_a_d_o_r _L_i_n_u_x definirá a política padrão para _b_l_o_q_u_e_a_r. Todas as regras que você colocar são brechas no firewall. Se você não colocar uma regra, então sua máquina estará isolada, respondendo ou não. 88..22.. UUmmaa ssoolluuççããoo pprréé--ffaabbrriiccaaddaa ddee ffiirreewwaallll Aqui vai um exemplo para uma rede simples. No mais, você tem uma eth0 apontando para a rede local. Ninguém de fora deve acessar essa rede. A eth1 aponta para um roteador na internet. 88..22..11.. RReeggrraass ddee bbllooqquueeiioo:: aacceeiittaannddoo ttooddooss ooss ppaaccootteess iiccmmpp Protocolo icmp -----------De----------------- Máquina ou rede 0.0.0.0 Máscara Faixa de portas Outras portas Interface eth1 -----------Para--------------- Máquina ou rede eth1 Máscara Faixa de portas Outras portas Interface Any 88..22..22.. RReeggrraass ddee bbllooqquueeiioo:: aacceeiittaannddoo aappeennaass ppaaccootteess DDNNSS Protocolo udp -----------De----------------- Máquina ou rede 0.0.0.0 Máscara 0.0.0.0 Faixa de portas Outras portas Interface eth1 -----------Para----------------- Máquina ou rede eth1 Máscara Faixa de portas Outras portas Interface Any 99.. EEssttaaddoo ddoo ssuuppoorrttee aa ffiirreewwaallll nnoo CCoonnffiigguurraaddoorr LLiinnuuxx O firewall é um tópico quente hoje em dia e também é uma arte ainda obscura. O _C_o_n_f_i_g_u_r_a_d_o_r _L_i_n_u_x está tentando torná-lo mais acessível. O autor espera mais comentários neste tópico.