Учебник IPFW

IPFW - Является межсетевым экраном (firewall) для FreeBSD и изначально придуман для этой ОС, но при этом был перенесен для Линукс и Виндовс.

В данной вики статье будет рассмотрен минимум знаний ipfw. Для работы IPFW не нужно компилировать ядро хотя и это можно, нужно просто загрузить модуль ядра.
Примечание: включение IPFW путём компиляции ядра необходимо если требуется трансляция сетевых адресов NAT.

Существуют два основных режима брендмауэра: включающий и исключающий (открытый\экслюзивный).
Исключающий пропускает все пакеты кроме указанных в правилах запрета. А включающий наоборот пропускает только те пакеты которые разрешены для прохождения.

Правила для бренмауэра можно задавать командами в консоли, но при этом настройки нужно вводить после каждой загрузки системы, или записать правила фильтрования пакетов в файл (firewall_type=«filename»). Третий вариант это создать ссылку на скрипт с помощью параметра firewall_script так же в rc.conf.


Включение

Для включения модуля ipwf в ядро (то есть для вклчения нашего брендмауэра) впишите в rc.conf строку
firewall_enable="YES"

Так же можно на ходу подключить этот модуль ядра командой:
kldload ipfw

Далее при загрузки системы появится сообщение:
ipfw2 initialized, divert disabled, rule-based forwarding disabled, default to deny, logging disabled

Для ведения лог файлов в /etc/sysctl.conf наберите
net.inet.ip.fw.verbose = 1 # 1н означает включить
net.inet.ip.fw.verbose_limit=5 # Цифра в значении задает уровень детализации логов

Для выбора одного из режимов брандмауэра наберите в /etc/rc.conf

firewall_type=«open»

Возможные значения этого параметра:

open - пропускать весь трафик. Режим исключающий (открытый)
client - защищать только эту машину
simple - защищать всю сеть
closed - блокировать любой IP-трафик за исключением lo-интерфейса
UNKNOWN - запретить использование правил фаервола
filename - полный путь к файлу, содержащему правила фаервола. В файл просто вписываются команды каждая на своей строчке

Примечание:
Если firewall_type установлен в client или simple, правила по умолчанию находящиеся в /etc/rc.firewall должны быть пересмотрены для подгонки под конфигурацию данного компьютера.

Команды IPFW

Приведем команды для вызова из командной строки.
ipfw list - Отображение списка всех правил

ipfw –t list - Для отображения списка правил со временными метками, показывающим время последнего применения каждого правила

ipfw –a list - Для вывода полной статистики

ipfw –d list - Отобразить не только статические, но и динамические правила

ipfw –d –e list - Можно также отобразить устаревшие динамические правила

ipfw zero - Стереть счетчики

ipfw show - Показывает правила и счётчики пакетов, которые совпали с этими правилами

ipfw delete - Удаляет правило с указанным номером
 
Синтаксис команды

Группы правил которые мы будет использовать для команды add выглядят так:

CMD RULE_NUMBER ACTION LOGGING SELECTION STATEFULL

Где группа:

CMD - Команды. add для добавления правила.

RULE_NUMBER - Каждое правило должно иметь порядковый номер. Если номер не задан, то берется последний номер + 100

ACTION: - allow, pass, accept, permit (они синонимы) - Разрешает дальнейшее прохождение пакета. Т.е. обработка
в нашем брендмауре заканчивается. Как понимаете такое правило вкл. в включающем типе брендмауэра

- unreach <тип> - Запрещает движение пакета. Отправитель уведомляется. Уведомление задается в <тип>:
net - сеть адресата не доступна
host - адресат не доступен
needfrag - необходима фрагментация пакета
host-unknown - нет такого адреса

Этот ответ идет по протоколу ICMP

- deny, drop - Пакеты удовлетворяющего правилу запрещаются, без уведомления отправителя

LOGGING - log или logamount

Если пакет удовлетворяет правилу, содержащему ключевое слово log, будет сгенерировано сообщение для syslogd от имени SECURITY. Запись в лог осуществляется только в том случае, если количество пакетов, удовлетворяющих данному правилу, превысит значение параметра logamount. Если значение параметра logamount не задано, он устанавливается равным значению переменной sysct net.inet.fw.verbose_limit. В обоих случаях установление значения 0 соответствует бесконечному значению logamount. В случае достижения предельного значения, ведение логов может быть возобновлено сбросом счетчиков логов и пакетов для этого правила (см. команду ipfw reset log).

Обратите внимание: Занесение данных пакета в лог осуществляется сразу после установления соответствия пакета правилу, до того, как будет исполнено предусмотренное правилом действие (accept, deny). Поэтому пользователю предоставляется полная свобода выбора пакетов, заносимых в лог.

SELECTION

udp | tcp | icmp - Обозначение протокола для которого осуществляется правило.
Например: udp | tcp | icmp - полный список в /etc/protocols. Возможно значение all.

from src to dst (с англ. from - откуда, to - куда) - опции принимаемые к IP адресам. IP адреса как понимаете вписываются вместо слов src и dst. Обязательно задавать как отправителя так и получателя. IP можно заменить спец. словами: any - любой IP, me -соотвествует адресам адресам интерфейсам сетевых интерфейсов.
Так же можно указать порт, для протоколов их поддерживаемых. Он пишет через пробел после этих правил.
Пример:
from any to me
from any to 192.168.0.11
from any to any 80

in | out - in указывает на входящий пакет. out на исходящий. Один из этих опций должна присуствовать.

via - Указывает на пакеты проходящие на интерфейс . Ну вы уже наверное догадались, что нужно заменит на имя интерфейса.

setup - Это обязательное ключевое слово, которое обозначает начало просьбе сессии для пакетов TCP.

keep-state - Обязательное ключевое слово. После совпадения файрволл создаст динамическое правило, чье поведение по умолчанию состоит в том, что бы было совпадение двунаправленного траффика между IP адресом или портом источника и приемника по тому же самому протоколу

limit {src-addr | src-port | dst-addr | dst-port} - Фаервол будет ограничивать количество одновременных соединений с одинаковыми IP-адресами отправителя (src-addr) и получателя (dst-port), использующие одинаковые номера портов отправителя (src-port) и получателя (dst-port). Могут быть заданы одна или более пар адрес-порт. Атрибуты limit и keep-state не могут быть использованы в одном правиле. Атрибут limit вызывает все те же функции, что и keep-state, а также некоторые специфичные.

STATEFUL:

Следующее правило (check-state) проводит анализ при осуществление двунаправленного обмена сообщениями. check-state указывает в какой момент времени нужно проверить для данного пакета сессию которая создается при двунаправленном обмене пакетами, между получателем и отправителем. Проверка осуществляется в таблице динамических правил.
Примечание: Сессия всегда создается между получателем и отправителем при двунаправленном обмене.

Протоколирование: Для включение ведения логов, нужно указывать в правилах о том, что данное правило нужно протоколировать. Все сообщения о протоколируемых пакетах записываются по умолчанию в файл /var/log/security. Для протоколирования пишем слово -log.
 
Примечания

Правила будут выполняться последовательно в порядке увеличения номера правила. Если правило 00001 не сработало для данных пакетов, то будет проверяться правило под номером 00002.

Выше писалось, что у правил IPFW есть номера, так вот в зависимости от установленного типа (включающий или исключающий) будет создано постоянное правило под номером 65535 (этот номер максимальный). Под этим номером и будет располагать правило которое будет выполняться в последнею очередь и в нем будет записано - пропускать все пакеты или запрещать все пакеты в зависимости от типа брендмауэра.

Для «включающего» типа нужно разрешать даже пакеты на адрес 127.0.0.1 и т.п.

Если правила вписывают в файл то не нужно писать команду add.

Примеры

Пример файла с правилами для включающего типа фаервола:
00100 allow all from any to any via lo0
00101 deny all from any to 127.0.0.0/8
00102 deny all from 127.0.0.0/8 to any

00400 check-state

00600 allow tcp from any to any 80 out via bge0 setup keep-state
00601 allow tcp from any to any 25 out via bge0 setup keep-state

00605 allow udp from any to any 30 out via bge0 setup keep-state

00610 allow tcp from any to 196.124.43.21 53 out via bge0 setup keep-state
00611 allow udp from any to 196.124.43.21 53 out via bge0 keep-state

На первых трех строчках мы разрешаем общение интерфейсов по локальным адресам для общения с операционной системой.
Правило 400 проверяет виртуальные правила. Если виртуальные правила не сработали, то поиск подходящего правила продолжается.

Правила 600-601 создают виртуальные правила (keep-state), пропускающие (allow) пакеты для соединений, которые инициированы (setup) вами (out via bge0). Они разрешают проход tcp пакетов по портам 80 и 25 (браузер и почта).

Правило 00605 разрешает проход udp пакетам по 30 порту, обратите внимание там нет опции setup.
Ну, а последние два правила позволяют проходить DNS запросам с сервера 196.124.43.21.
Данный пример запрещает все входящие пакеты, в том числе «пингующие» вас. Какие разрешены вы уже наверное поняли.

Приведем пару примеров из официального handbook для включающего типа брендмауэра.

Пример консольных команд:
Примечание:
Опция -q означет не выводить результат в консоль об успешности или нет данной операции.

Пример 2: Пропускание всего трафика:
00100 pass all from any to any

Так как все пакеты разрешены, то это правило сработает, и правило под номером 65535 (которое все запрещает) не будет работать (до этого правила даже не дойдет, т.к. первое сработало).