Un firewall realizzato con una ACL e un Proxy gateway.

Transcript

1 Un firewall realizzato con una ACL e un Proxy gateway. Roberto Alfieri - INFN Parma 6HFRQGR,QFRQWURGL*$55%/DVLFXUH]]DLQ5HWH 1DSROL*HQQDLR 1

2 SOMMARIO: Gli obiettivi Il progetto L Access Control List La temporizzazione dell ACL I proxy telnet e ftp Conclusioni 2

3 OBIETTIVI: Protezione della rete Criteri non eccessivamente restrittivi Massima trasparenza per l utente della LAN Software pubblico dominio Senza hardware aggiuntivo 3

4 IL PROGETTO: Collaborazione con il CCE dell Univ. Di Parma. Utilizzo delle principali tipologie di firewall: Packet screeneng e Proxy Gateway. Il packet screening, realizzato con ACL sul router Cisco, permette l accesso ai proxy o direttamente ai servizi. I proxy, realizzati con FWTK, regolamentano l accesso ai servizi piu critici (es. telnet e ftp). ACL temporizzate per avere maggiore sicurezza quando la rete non e presidiata (notte e festivi). 4

5 Deny Permit Permit Internet Screening router Proxy Server Permit Client RETE PROTETTA 5

6 IL CONTESTO: INFN Parma 3 reti di classi C : INFN, Dip. Fisica, Didattica (priv.) Circa 500 nodi IP 1 Linea Frame Relay 2 Mbyte INFN-GARRB 1 Router Cisco Peering in Ethernet con l Universita 6

7 Garr-b 352;< Garr-b logger $&/ $&/ router router INFN Hub Univ. UniPR switch server server switch switch /DQ,1)1'LS)LVLFD 7

8 REGOLE PRINCIPALI DEL FILTRO: Nessuna restrizione sulle connessioni TCP uscenti Telnet e ftp permessi solo verso il proxy-gateway SSH e ICMP senza restrizioni SMTP POP3 IMAP HTTP FTP ( ) solo verso i server interni Domain (53/tcp, tutte/udp) verso server DNS X11 non passa (incapsulato in ssh o proxy-telnet) FTP download: abilitazione tcp>1023 o Pasv e Proxy Tutto il resto non passa 8

9 ACL (1/3): &RPXQLFD]LRQHWUDHYHQWXDOL/$1LQWHUQHQHFHVVDULR LQFDVRGL$&/VXOODLQWHUIDFFLDLQWHUQDODWR/$1 DFFHVVOLVW SHUPLWLS QHWDQ\ DFFHVVOLVW SHUPLWLS QHWDQ\ DELOLWD]LRQHFRQQHVVLRQL WFS VWDELOLWHGDOOLQWHUQR DFFHVVOLVW SHUPLWWFSDQ\DQ\HVWDEOLVKHG FRQWLQXD 9

10 ACL (2/3): DFFHVVOLVW SHUPLWWFSDQ\DQ\HTVVK DFFHVVOLVW SHUPLWWFSDQ\DQ\HTIWSGDWD DFFHVVOLVW SHUPLWLFPSDQ\DQ\ DFFHVVOLVW SHUPLWWFSDQ\KRVW ZHEVHUYHU HTZZZ DFFHVVOLVW SHUPLWWFSDQ\KRVW VPWSVHUYHU HTVPWS DFFHVVOLVW SHUPLWWFSDQ\KRVW PDLOVHUYHU HT SRS DFFHVVOLVW SHUPLWWFSDQ\KRVW PDLOVHUYHU HTLPDS DFFHVVOLVW SHUPLWWFSDQ\KRVW WHOQHWJZ HTWHOQHW DFFHVVOLVW SHUPLWWFSDQ\KRVW IWSJZ HTIWS DFFHVVOLVW SHUPLWWFSDQ\KRVW GQVVHUYHU HTGRPDLQ DFFHVVOLVW SHUPLWXGSDQ\KRVW GQVVHUYHU FRQWLQXD 10

11 ACL (3/3): DELOLWD]LRQHFRQ ORJJLQJGHOOHSRUWHDOWHSHU IWS LQDOWHUQDWLYDDO SUR[\IWSH3$69 9LHQHLQROWUHEORFFDWDODFRQQHVVLRQH;HQWUDQWH DFFHVVOLVW GHQ\WFSDQ\DQ\UDQJH DFFHVVOLVW SHUPLWWFSDQ\DQ\JW ORJ (YHQWXDOLDELOLWD]LRQLORFDOL WXWWRLOUHVWRQRQSDVVD DFFHVVOLVW GHQ\LSDQ\DQ\ORJ 11

12 LA TEMPORIZZAZIONE DELL ACL: ACL permissiva o inesistente durante le ore lavorative (LAN presidiata) ACL restrittiva durante la notte e i fine settimana (LAN non presidiata) Script enable/disable via CRON 12

13 LA TEMPORIZZAZIONE DELL ACL: CONFIGURAZIONE DEL ROUTER KRVW DELOLWDWRDODQFLDUHORVFULSW DFFHVVOLVW SHUPLW FURQVHUYHU DELOLWD]LRQHVXOWHUPLQDOHYLUWXDOHQXPHUR OLQHYW\ DFFHVVFODVV LQ DFFHVVFODVV RXW ORJLQORFDO URWDU\ 13

14 LA TEMPORIZZAZONE DEL ACL: LO SCRIPT IN CRON HFKRXVHUQDPH[[[VOHHS HFKR SDVVZRUG\\\VOHHS HFKRHQDVOHHS HFKRXVHUQDPH[[[VOHHS HFKR SDVVZRUG\\\VOHHS HFKR WHUPLQDOPRQLWRUVOHHS HFKRFRQILJXUH WHUPLQDOVOHHS HFKRLQWHWK]]]VOHHS HFKRLSDFFHVVJURXS RXW6OHHS HFKR QR LSDFFHVVJURXS RXW HFKRH[LW _WHOQHWURXWHUQDPH 14

15 FireWall ToolKit (FWTK): Fwtk 2.1 ( Red Hat 6.1, Ppro200, 64MB Proxy telnet, rlogin, X, ftp, smtp, http Logging Autenticazione (password, S/key,..) 15

16 /etc/inetd.conf IWSVWUHDPWFSQRZDLWURRW XVUORFDOHWFIWSJZIWSJZ WHOQHWVWUHDPWFSQRZDLWURRW XVUORFDOHWFWQJZWQJZ DXWKVUYVWUHDPWFSQRZDLWURRW XVUORFDOHWFDXWKVUYDXWKVUY /etc/services DXWKVUY WFS 16

17 /usr/local/etc/netperm-table (esempio): IWSJZ ZHOFRPHPVJ XVUORFDOHWFIWSZHOFRPHW[W IWSJZ SHUPLWKRVWV WQJZ DXWKVHUYHUORFDOKRVW WQJZ ZHOFRPHPVJ XVUORFDOHWFWQZHOFRPHW[W WQJZ [IRUZDUGHU XVUORFDOHWF[JZ WQJZ SHUPLWKRVWV LQIQLW [RN WQJZ SHUPLWKRVWV DXWK DXWKVUY KRVWV DXWKVUYGDWDEDVHXVUORFDOHWFIZDXWKGE DXWKVUY SHUPLWKRVWVORFDOKRVW [JZ SHUPLWKRVWV 17

18 Esempio di connessione al tn-gw:! 7HOQHWWQJZSULQIQLW 8VHUQDPH8VHU 3DVVZRUG 'LSDUWLPHQWRGL)LVLFDGL3DUPD,1)13DUPD %HQYHQXWLDO WHOQHWJDWHZD\WQJZSULQIQLW 3HUXWLOL]]DUH ;ZLQGRZ[ FOLHQWQDPH 3HUFRQQHWWHUVLDGXQ KRVWF KRVWQDPH WQJZ!FDUFKLPHGHSULQIQLW 18

19 CONCLUSIONI: Un filtro temporizzato e attivo dal marzo 1998 Da aprile 1999 e attivo un filtro (non temporizzato) con proxy Il carico sulla CPU del Cisco e trascurabile Alcune richieste di utenti (all inizio) per aperture verso PC con ftp o web server 19