71374

Засоби фільтрації пакетів та брандмауери (IPFW)

Лабораторная работа

Информатика, кибернетика и программирование

У відповідності з варіантом побудувати ланцюжок правил IPFW для stateless фільтрації, яка дозволяє проходження трафіку (тобто повноцінне функціонування) сервісів клієнтської і серверної частин вузла і особливого трафіку. Весь інший трафік повинен бути заборонений.

Украинкский

2014-11-06

189.6 KB

0 чел.

Лабораторна робота № 6

Засоби фільтрації пакетів та брандмауери (IPFW)

Завдання на роботу

1. У відповідності з варіантом побудувати ланцюжок правил IPFW для stateless фільтрації, яка дозволяє проходження трафіку (тобто повноцінне функціонування) сервісів клієнтської і серверної частин вузла і особливого трафіку. Весь інший трафік повинен бути заборонений. Клієнтська частина є ініціатором з'єднань до мережевих сервісів, а серверна - приймачем з’єднань. Список портів і протоколів, пов'язаних з мережевими сервісами знаходиться у файлі /etc/services.

2. Налаштувати підрахунок заданого за варіантом трафіку.

3. Перевірити працездатність брандмауера.

Варіанти заідань:

варіанту

Клієнтська частина

Серверна частина

Особливий трафік

Рахувати

1

SSH, HTTP до вузла 10.18.49.10

FTP

ICMP echo request,

ICMP echo reply

TCP

2

SMTP до вузла

10.18.49.10, HTTP

SSH

ICMP в/із мережі

10.18.51.0/24

UDP до вузла

10.18.49.102

3

FTP, HTTP в мережу

10.18.49.0/24

POP3

ICMP вихідний

ICMP вхідний

ICMP

4

POP3 до вузла

10.18.49.10, SMTP

IMAP

ICMP

TCP syn, TCP fin

5

FTP в мережу

10.18.49.0/24, POP3

SMTP

IP в/із мережі

10.18.48.0/24

вхідний TCP

6

SSH, HTTP до вузла

10.18.49.10

Telnet

ICMP від/до вузла

10.18.49.1

вихідний UDP

на порт 53

7

IMAP, FTP до вузла

10.18.49.10

HTTP

IP від/до вузла

10.18.51.1

ICMP echo reply

8

SMTP в мережу

10.0.0.0/8, SSH, DNS

FTP

ICMP echo request

вихідний TCP

на 25 порт

9

POP3, SMTP до вузла 10.18.49.10

SSH вихідний

ICMP вихідний

TCP

10

SMTP, HTTP SMTP до вузла

10.18.49.10

IMAP

IP в/із мережі

10.18.51.0/24

вихідний UDP

на порт 53

11

FTP, HTTP в мережу

10.0.0.0/8

Telnet

ICMP echo request,

ICMP echo reply

TCP ack

12

FTP в мережу

10.18.49.0/24, POP3

HTTP

IP від/до вузла

10.18.48.1

TCP

13

DNS, SSH в мережу

10.18.49.0/24

SMTP

ICMP вхідний

ICMP

14

IMAP, FTP до вузла

10.18.49.3

POP3

ICMP в/із мережі

10.18.48.0/24

ICMP echo reply

15

SSH, HTTP до вузла 10.18.49.10

FTP

ICMP від/до вузла

10.18.48.1

UDP від/до вузла

10.18.49.102

16

DNS, SSH в мережу 10.18.49.0/24

FTP

ICMP в/із мережі

10.18.48.0/24

ICMP echo reply

17

SMTP до вузла

10.18.49.10, HTTP

SSH

ICMP від/до вузла

10.18.48.1

UDP від/до вузла

10.18.49.102

18

FTP, HTTP в мережу

10.18.49.0/24

POP3

ICMP вхідний

ICMP

19

POP3 до вузла

10.18.49.10, SMTP

IMAP

IP від/до вузла

10.18.48.1

TCP

20

FTP в мережу

10.18.49.0/24, POP3

SMTP

ICMP echo request,

ICMP echo reply

TCP ack

21

SSH, HTTP до вузла

10.18.49.10

Telnet

IP в/із мережі

10.18.51.0/24

вихідний UDP

на порт 53

22

IMAP, FTP до вузла

10.18.49.10

HTTP

ICMP вихідний

TCP

23

SMTP в мережу

10.0.0.0/8, SSH, DNS

FTP

ICMP echo request

вихідний TCP

на 25 порт

24

POP3, SMTP до вузла 10.18.49.10

SSH вихідний

IP від/до вузла

10.18.51.1

ICMP echo reply

25

SMTP, HTTP SMTP до вузла

10.18.49.10

IMAP

ICMP від/до вузла

10.18.49.1

вихідний UDP

на порт 53

26

FTP, HTTP в мережу

10.0.0.0/8

Telnet

IP в/із мережі

10.18.48.0/24

вхідний TCP

27

FTP в мережу

10.18.49.0/24, POP3

HTTP

ICMP

TCP syn, TCP fin

28

DNS, SSH в мережу

10.18.49.0/24

SMTP

ICMP вихідний

ICMP вхідний

ICMP

29

IMAP, FTP до вузла

10.18.49.3

POP3

ICMP в/із мережі

10.18.51.0/24

UDP до вузла

10.18.49.102

30

DNS, SSH в мережу 10.18.49.0/24

FTP

ICMP echo request

DNS, SSH в мережу 10.18.49.0/24

Приклад виконання 30-го варіанта

  1.  Підтримку файрвола в ядрі було включено в лабораторній роботі 2. Якщо цього не було зроблено файрвол можна підключити динамічно як модуль для цього треба виконати команду kldload ipfw.
  2.  Налаштування файлу rc.conf для дозволу використання IPFW.

#ee /etc/rc.conf

firewall_enable=”YES

firewall_script=”/etc/rc.firewall”

  1.  Перемістимо стандартний конфігураційний скрипт:

#mv /etc/rc.firewall /etc/rc.firewall.old

  1.  Створемо новий скрипт і задамо в нього параметри відповідно варіанту завдань:

#touch /etc/rc.firewall

#ee /etc/rc.firewall

#!/bin/sh

# для початку вводимо змінні - для зручності, щоб не

# вводити по сотні разів одне й те ж, а потім шукати чому не працює,

# і в підсумку з'ясовувати, що помилився IP адресою в одному з правил

FwCMD="/sbin/ipfw" # власне де лежить бінарники ipfw

Lan="em2"                   # інтерфейс

Ip="10.18.51.1"           # IP адреса машини

NetMask="16"             # маска мережі

# Скидаємо всі правила:

${FwCMD} -f flush

# Перевіряємо - чи відповідає пакет динамічним правилами:

${FwCMD} add check-state

# Виконання завдання

${FwCMD} add 100 allow tcp from any to 10.18.49.0/24 53 in

${FwCMD} add 101 allow tcp from any to 10.18.49.0/24 22 in

${FwCMD} add 102 allow tcp from me to any 21 out

${FwCMD} add 103 count tcp from any to any

#Надамо права DHCP серверу і клієнтам

${FwCMD} add 104 allow udp from any to any 67

${FwCMD} add 104 allow udp from any 67 to any

#SSH

${FwCMD} add 105 allow tcp from any to 192.168.56.0/24 22 in

${FwCMD} add 106 allow tcp from me to any out

#Заборонемо все лишнє

${FwCMD} add 65534 deny all from any to any

Номера ACL задають порядок роботи брандмауера, якщо першим буде ACL з номером 65535, то він заблокує проходження всього трафіку.

  1.  Необхідно перезавантажити віртуальну машину та переконатись за допомогою команди ipfw list або ipfw show, що брандмауер включено та відповідні ACL створено.
  2.  

  1.  Для перевірки працездатності правил можна використати генератор пакетів pktbuilder, або в ланцюг IPFW додати unreach правила, і за допомогою команди ping отримати повертаємий код.

Контрольні питання:

1. На яких рівнях еталонної моделі OSI може виконуватися фільтрація в IPFW?

2. Переваги і недоліки різних типів брандмауерів.

3. З якою метою можуть використовуватися ключові слова in і out в IPFW?

4. Яким чином в IPFW реалізується фільтр, що враховує стан?

5. Чи може пакету відповідати кілька правил в IPFW?

6. З якою метою в IPFW вводиться правило з номером 65535?

7. Які дії можуть виконуватися над пакетом в правилі IPFW?

8. Типи брандмауерів та їх особливості.

9. Обробка пакетів в IPFW.

Література

1. Чепмен Дэвид, Фокс Энди. Брандмауэры Cisco Secure PIX.: Пер. с англ. – М.: Издательский дом

«Вильямс», 2003. – 384 с.: ил.

2. http://www.freebsd.org/doc/en_US.ISO8859-1/books/handbook/firewalls-ipfw.html

3. http://www.lissyara.su/doc/docs/handbook_-_ipfw/

4. http://www.lissyara.su/articles/freebsd/tuning/ipfw/

5. http://www.opennet.ru/docs/RUS/ipfw_rus/


 

А также другие работы, которые могут Вас заинтересовать

78916. Специфика субъекта СГП 34 KB
  В сфере познания субъект определяет предмет исследования выделяя его как некий срез противостоящего ему объекта а также выстраивает концептуальную и эмпирическую модели познаваемого предмета. В современном познании субъект проектирует ряд условий познания данного предмета проходит основные этапы процесса познания опираясь на те методы которые в наибольшей степени соответствуют характеристикам и самой природе познаваемого объекта. Субъектами социального и гуманитарного познания могут быть как индивиды отдельные исследователи...
78917. Кантовские представления о диалектике теоретического и практического разума 27 KB
  Правда на сами эти предпосылки Кант не покушается: более того он увековечивает их как прирожденные свойства разума. Резкий метафизический разрыв теоретического и практического разума опытных и априорных суждений анализа и синтеза общего и единичного целого и части – весь комплекс противоречий к которым неизбежно приходит метафизическое мышление Кант выставил перед философией как решающую проблему. Их можно только мыслить как условия возможности и науки и нравственности как гарантии теоретического и...
78918. Принципы логики социальных наук Поппера 47.5 KB
  Именно поразительный прогресс естественных наук о котором идет речь в моем первом тезисе постоянно напоминает нам о нашем незнании даже в области естественных наук...
78919. Социокультурное и гуманитарное содержание понятие жизни 26.5 KB
  Все его творения происходят из неспособности создать привычными средствами жизни и на основе ее эволюционных законов живое существо которое превосходило бы человека. Шелер называет странной пессимистичной ложной оказывается однако логически строго последовательной если по объяснению автора разделять дух соответственно разум и жизнь как два метафизических начала но при этом отождествлять дух с техническим интеллектом интеллектом лишенным мудрости а ценности жизни делать высшими ценностями. Фазы...
78920. История как одна из форм проявления жизни 28.5 KB
  История как одна из форм проявления жизни. Фазы развития этой болезни жизни которая зовется человеком в структурном отношении те же самые какие проходят все стареющие и умирающие существа: прогрессирующее преодоление жизненной силы посредством автономизации механизмов которые сам организм высвобождает из себя по мере старения. История общества по Зиммелю есть история нарастающей интеллектуализации рационализации социальной жизни и углубления влияния принципов денежных отношений. Анализу этих форм Зиммель посветил книгу Философия...
78921. Пространство и время в социогуманитарном познании 30.5 KB
  Пространство и время в социогуманитарном познании. Время и пространство важнейшие онтологические характеристики которые являются конституирующими элементами любой картины мира. В классической теории познания сложившейся под влиянием естественнонаучного знания время рассматривалось как форма протекания всех механических органических и психических процессов условие движения изменения и развития будь то пространственное перемещение качественное изменение возникновение или гибель. Такое время объективный параметр процессуальности ...
78922. Понятие хронотипа и его роль в СГН 29 KB
  Культурнохудожественный хронотоп как единство художественного пространствавремени впервые концептуально и методологически раскрыл М. Ядром этих моделей и становится континуум пространствавремени. Время здесь сгущается уплотняется становится художественно зримым; пространство же интенсифицируется втягивается в движение времени сюжета истории. Приметы времени раскрываются в пространстве и пространство осмысливается и измеряется временем.
78923. Коммуникативность как условие создания СГЗ 28.5 KB
  Отдельный ученый индивидуальный субъект познания как правило включен в состав научного коллектива лаборатории кафедры института научного кружка или школы. Общение в формах сотрудничества соавторства и конкуренции научного руководства и ученичества преследует цели достижения взаимопонимания между учеными и в итоге обеспечивает достижение конечного результата получение нового знания. В процессе коммуникации ученых обществоведов и гуманитариев обеспечивается: а социализация молодых ученых усвоение и передача накопленного...
78924. Моральная ответственность за введение научных конвенций 31.5 KB
  Моральная ответственность за введение научных конвенций. Социальный характер конвенций в общественных и гуманитарных науках пытаются обосновать различными способами: посредством их связи с идеалами нормами и оценками имеющими социальное происхождение К. Социальный характер таких конвенций проявляется также в ответственности ученого за их введение изменение или отказ от них. Подробнее специфика конвенций социальногуманитарных наук раскрыта в работах К.