31.5. IPFILTER (IPF) Галт хана
Өмнөх | Бүлэг 31. Галт хана | Дараах

## 31.5. IPFILTER (IPF) Галт хана

IPFILTER-г зохиосон хүн бол Даррин Рид билээ. IPFILTER нь үйлдлийн системээс хамааралгүй: нээлттэй эхийн програм бөгөөд FreeBSD, NetBSD, OpenBSD, SunOS™, HP/UX, ба Solaris™ зэрэг олон үйлдлийн систем уруу шилжүүлэгдсэн юм. IPFILTER эрчимтэй дэмжигдэж, сайжруулсан хувилбарууд нь тогтмол гарсаар байгаа.

IPFILTER нь цөмийн талд ажиллах галт хана болон NAT механизм дээр суурилсан бөгөөд түүнийг удирдах, хянахын тулд хэрэглэгчийн интерфэйс програмыг ашиглана. Галт ханын дүрмүүдийг нэмэх болон хасахдаа ipf(8) хэрэгслийг хэрэглэнэ. NAT дүрмүүдийг нэмэх болон хасахдаа ipnat(8) хэрэгслийг хэрэглэнэ. ipfstat(8) хэрэгсэл нь IPFILTER-н цөмийн талд ажиллаж байгаа хэсгийн статистикийг хэвлэхэд зориулагдсан. ipmon(8) програм харин IPFILTER-н үйлдлүүдийг системийн бүртгэлийн файлд бүртгэнэ.

IPF-г анх зохиохдоо «сүүлд тохирсон дүрэм дийлнэ» гэсэн логикийн дагуу бүтээсэн ба зөвхөн төлөвт-бус дүрмүүдийг ашигладаг байлаа. Цаг хугацаа өнгөрөхөд IPF илүү хөгжиж, «quick» тохируулга болон төлөвт «keep state» тохируулгуудыг агуулах болсон нь орчин үеийн хэрэгцээ шаардлагад илүү нийцэх болжээ. IPF-н албан ёсны баримтжуулалтанд хуучин уламжлалт дүрмүүдийг бичих параметрүүд болон файлтай ажиллах логикууд багтсан байдаг. Харин шинэ функцуудыг нь зөвхөн нэмэлт боломж байдлаар оруулсан нь аюулгүй байдлыг хавьгүй илүү хангасан аюулгүй галт хана бий болгож байгаа тэднийг хэт доогуур тавьсан санагддаг.

Энэ бүлэгт байгаа зааврууд нь «quick» болон төлөвт «keep state» тохируулгуудыг агуулсан дүрмүүдээс үндсэндээ бүрдсэн байгаа. Энэ бол хамааруулсан галт ханын дүрмүүдийг бичих үндсэн арга барил юм.

Хуучин уламжлалт дүрмүүдтэй ажиллах аргуудын талаар дэлгэрэнгүй тайлбарыг: http://www.munk.me.uk/ipf/ipf-howto.html ба http://coombs.anu.edu.au/~avalon/ip-filter.html хаягаар орж үзнэ үү.

IPF FAQ-г http://www.phildev.net/ipf/index.html хаягаар орж үзнэ үү.

Нээлттэй эхийн IPFilter програмын захидлын жагсаалтын архивыг http://marc.theaimsgroup.com/?l=ipfilter хаягаар орж үзнэ үү.

### 31.5.1. IPF-г идэвхжүүлэх

IPF нь FreeBSD үндсэн суулгацтай хамт, ажиллах үеийн ачаалах боломжтой модуль байдлаар ирдэг. `rc.conf` тохиргооны файл дотор ipfilter_enable="YES" илэрхийлэл байгаа үед систем IPF цөмийн модулийг динамикаар ачаална. Энэ ачаалах боломжтой модуль нь бүртгэх боломжтойгоор, анхдагч `default pass all` тохируулгын хамт бүтээгдсэн байдаг. Анхдагч дүрмийг `block all` болгохын тулд IPF-г цөмд эмхэтгэх шаардлага байхгүй. Зөвхөн дүрмүүдийнхээ төгсгөлд бүгдийг хаах дүрмийг бичиж өгөхөд хангалттай.

### 31.5.2. Цөмийн тохируулгууд

FreeBSD цөм уруу дараах боломжуудыг эмхэтгэн IPF-г идэвхжүүлэх албагүй боловч, суурь мэдлэг болгон энд үзүүллээ. IPF-г цөм уруу хөрвүүлэн эмхэтгэснээр ачаалах боломжтой модулийг хэрэглэх боломжгүй болдог.

Цөмийн тохиргоон дахь жишээ IPF илэрхийллүүд `/usr/src/sys/conf/NOTES` гэсэн цөмийн эх файлд байх ба доор сийрүүлбэл:

options IPFILTER options IPFILTER_LOG options IPFILTER_DEFAULT_BLOCK

`options IPFILTER` мөр нь «IPFILTER» галт ханыг идэвхжүүлнэ.

`options IPFILTER_LOG` мөр нь `log` гэсэн түлхүүр үг орсон дүрмүүдийн хувьд урсгалыг `ipl` пакет бүртгэх хуурамч—төхөөрөмж уруу бүртгэх боломжтой болгоно.

`options IPFILTER_DEFAULT_BLOCK` мөр нь галт ханын `pass` дүрмэнд тохироогүй пакетийг хаах анхдагч чанарыг зааж өгнө.

Эдгээр тохируулгууд нь зөвхөн тэдгээрийг тохируулан, тусгайлан цөм бүтээж суулгасны дараа идэвхждэг.

### 31.5.3. rc.conf тохируулгууд

IPF-г систем ачаалах үед идэвхтэй болгохын тулд /etc/rc.conf дотор дараах илэрхийллүүд байх ёстой:

ipfilter_enable="YES" # Start ipf firewall ipfilter_rules="/etc/ipf.rules" # loads rules definition text file ipmon_enable="YES" # Start IP monitor log ipmon_flags="-Ds" # D = start as daemon # s = log to syslog # v = log tcp window, ack, seq # n = map IP & port to names

Хэрэв энэ галт ханын цаана хувийн IP хаяг хэрэглэдэг LAN байгаа бол NAT функцыг идэвхжүүлэхийн тулд дараах мөрүүдийг нэмэх хэрэгтэй:

gateway_enable="YES" # Enable as LAN gateway ipnat_enable="YES" # Start ipnat function ipnat_rules="/etc/ipnat.rules" # rules definition file for ipnat

### 31.5.4. IPF

Таны бичсэн дүрмүүдийг ачаалахад ipf(8) тушаалыг хэрэглэнэ. Та өөрийн дүрмүүдээс бүтсэн файлыг үүсгээд, түүнийгээ дээрх тушаалын ашиглан галт ханын одоо ажиллаж байгаа дотоод дүрмүүдтэй сольж тавьна гэсэн үг юм:

`#` `ipf -Fa -f /etc/ipf.rules`

`-Fa` нь бүх дотоод дүрмүүдийн хүснэгтийг цэвэрлэ гэсэн үг.

`-f` нь ачаалах дүрмүүдээ энэ файлаас унш гэсэн үг.

Ийм байдлаар та өөрийн хүссэн дүрмүүдийн файлыг үүсгээд, дээрх IPF тушаалыг ажиллуулан системийг шинээр ачаалахгүйгээр ажиллаж байгаа галт ханын дүрмүүдийг шинээр өөрчлөх боломжтой болж байна. Дээрх аргаар галт ханын дүрмүүдийг хэдэн ч удаа сольж болох тул энэ арга нь шинэ дүрмүүдийг туршихад тохиромжтой арга юм.

Энэ тушаалтай ажиллах боломжтой бусад тугуудын талаар дэлгэрэнгүйг ipf(8) заавар хуудаснаас үзнэ үү.

ipf(8) тушаал дүрмүүдийн файлыг стандарт текст файл гэж тооцдог. Симбол орлуулалттай скрипт байдлаар бичигдсэн файлыг ойлгохгүй.

Гэвч скрипт симбол орлуулалтын хүчийг ашиглан IPF дүрмүүдийг бүтээх арга зам байгаа. Илүү дэлгэрэнгүй мэдээллийг Хэсэг 31.5.9, «Симбол орлуулалттай скриптийг үүсгэх нь» хэсгээс үзнэ үү.

### 31.5.5. IPFSTAT

ipfstat(8)-н анхдагч чанар бол галт ханыг хамгийн сүүлд асааснаас хойших, эсвэл `ipf -Z` тушаалыг өгөн хуримтлуулагчийг хамгийн сүүлд тэглэснээс хойших галт ханаар орж байгаа болон гарч байгаа пакетуудыг хэрэглэгчийн тодорхойлж өгсөн дүрмүүдээр шүүсэн үр дүнд бий болсон статистик тоог гаргаж ирэн, дэлгэцэнд харуулах юм.

Дэлгэрэнгүйг ipfstat(8) заавар хуудаснаас үзнэ үү.

ipfstat(8) тушаалын анхдагч үр дүн дараах байдалтай байна:

input packets: blocked 99286 passed 1255609 nomatch 14686 counted 0 output packets: blocked 4200 passed 1284345 nomatch 14687 counted 0 input packets logged: blocked 99286 passed 0 output packets logged: blocked 0 passed 0 packets logged: input 0 output 0 log failures: input 3898 output 0 fragment state(in): kept 0 lost 0 fragment state(out): kept 0 lost 0 packet state(in): kept 169364 lost 0 packet state(out): kept 431395 lost 0 ICMP replies: 0 TCP RSTs sent: 0 Result cache hits(in): 1215208 (out): 1098963 IN Pullups succeeded: 2 failed: 0 OUT Pullups succeeded: 0 failed: 0 Fastroute successes: 0 failures: 0 TCP cksum fails(in): 0 (out): 0 Packet log flags set: (0)

Дотогшоо урсгалын хувьд `-i`, гадагшаа урсгалын хувьд `-o` тохируулгыг өгөхөд кернелийн ашиглаж буй дүрмүүдийн жагсаалтыг гаргаж харуулна.

`ipfstat -in` нь дотогшоо урсгалын дотоод дүрмүүдийн хүснэгтийг дүрмүүдийн дугаарын хамт харуулна.

`ipfstat -on` нь гадагшаа урсгалын дотоод дүрмүүдийн хүснэгтийг дүрмүүдийн дугаарын хамт харуулна.

Үр дүн нь дараах байдалтай байна:

@1 pass out on xl0 from any to any @2 block out on dc0 from any to any @3 pass out quick on dc0 proto tcp/udp from any to any keep state

`ipfstat -ih` нь дотогшоо урсгалын дотоод дүрмүүдийн хүснэгтийг дүрмүүдийн хэдэн удаа тохирсон тооны хамт харуулна.

`ipfstat -oh` нь гадагшаа урсгалын дотоод дүрмүүдийн хүснэгтийг дүрмүүдийн хэдэн удаа тохирсон тооны хамт харуулна.

Үр дүн нь дараах байдалтай байна:

2451423 pass out on xl0 from any to any 354727 block out on dc0 from any to any 430918 pass out quick on dc0 proto tcp/udp from any to any keep state

`ipfstat` тушаалын хамгийн чухал функцуудын нэг бол, FreeBSD-н ажиллаж байгаа процессийн хүснэгтийг top(1) харуулдаг шиг төлвийн хүснэгтийг `-t` туг харуулдаг явдал юм. Таны галт хана гадны халдлагад өртөх үед энэ функц түүнийг илрүүлэх, шинжлэх, халдлагад оролцож буй пакетуудыг харах боломжийг олгоно. Нэмэлт дэд тугууд нь хяналт хийх эхлэл болон очих IP хаяг, порт, эсвэл протоколыг сонгох боломжийг олгодог. Дэлгэрэнгүйг ipfstat(8) заавар хуудаснаас үзнэ үү.

### 31.5.6. IPMON

`ipmon` тушаал зохистой ажиллахын тулд цөмийн `IPFILTER_LOG` тохируулга идэвхжсэн байх ёстой. Энэ тушаал хоёр өөр горимд ажиллах чадвартай. Төрөлх горим нь энэ тушаалыг тушаал мөрөн дээр `-D` туггүйгээр оруулахад ажиллах анхдагч горим юм.

Демон горим нь болж өнгөрсөн үйл явцын бүртгэлийг эргэж харахын тулд системийн бүртгэлийг тасралтгүй хөтлөн явуулахад тохиромжтой горим юм. FreeBSD болон IPFILTER энэ горимд ажиллахаар тохируулагдсан байдаг. FreeBSD нь системийн бүртгэлийг автоматаар тойруулах чадвартай. Тиймээс бүртгэлийн мэдээллийг syslogd(8) процесс уруу гаргах нь энгийн файл уруу гаргах анхдагч аргаас дээр байдаг. Анхдагч `rc.conf` файл дотор `ipmon_flags` илэрхийлэл `-Ds` тугуудыг хэрэглэдэг:

ipmon_flags="-Ds" # D = start as daemon # s = log to syslog # v = log tcp window, ack, seq # n = map IP & port to names

Бүртгэл хөтлөн явуулахын давуу талыг дурдахад илүүц биз. Бүртгэлийн тусламжтай ямар пакетууд орхигдсон, тэдгээр пакетууд хаанаас ирсэн, хаашаа явж байсан зэрэг мэдээллийг эргэн харах боломжтой болдог. Энэ бүх мэдээлэл гадны халдлагыг мөрдөхөд чухал түлхэц болно.

Хэдийгээр бүртгэх боломжоор хангагдсан боловч, IPF дангаараа бүртгэлийг үүсгэж чадахгүй. Галт ханын администратор аль дүрмийн бүртгэлийг бичихийг шийдэн, тэдгээр дүрмүүдэд log түлхүүр үгийг нэмж өгнө. Ер нь, зөвхөн deny дүрмүүдийн бүртгэл бичигддэг.

Бүгдийг хориглосон анхдагч дүрмийг log түлхүүр үгийн хамт дүрмүүдийнхээ хамгийн төгсгөлд бичиж өгөх нь нилээд өргөн хэрэглэгддэг арга юм. Ингэснээр таны дүрмүүдийн алинтай ч тохироогүй пакетуудыг мэдэх боломжтой болно.

### 31.5.7. IPMON бүртгэл хөтлөлт

Syslogd нь бүртгэлийн мэдээллийг дотор нь ангилах өөрийн тусгай аргатай. «facility» ба «түвшин» гэсэн тусгай ангилалаар ялгадаг. `-Ds` горимон дахь IPMON нь анхдагчаар «facility»-аар `local0`-г хэрэглэдэг. Хэрэв хүсвэл доорх түвшнүүдийг ашиглан бүртгэгдсэн мэдээллийг илүү ангилж болно:

LOG_INFO - нэвтрүүлэх, хаахаас үл хамааран "log" түлхүүрийг үйлдэл ашиглан пакетуудыг бүртгэх. LOG_NOTICE - нэвтэрсэн пакетуудыг бүртгэх. LOG_WARNING - хаагдсан пакетуудыг бүртгэх. LOG_ERR - бүртгэсэн пакетууд болон богино гэгдсэн пакетууд

IPFILTER-н бүх бүртгэлийн мэдээллийг `/var/log/ipfilter.log` файл дотор бичихийн тулд, файл эхлээд үүссэн байх хэрэгтэй. Үүний тулд дараах тушаалыг өгөх хэрэгтэй:

`#` `touch /var/log/ipfilter.log`

syslogd(8)-н функцуудыг `/etc/syslog.conf` файл доторх тодорхойлох илэрхийллүүдээр удирдаж болно. `syslog.conf` файл нь IPF мэт програмуудын үүсгэсэн системийн мэдэгдлүүдтэй syslog-г ажиллахад уян хатан болгодог.

Дараах илэрхийллүүдийг `/etc/syslog.conf` файл дотор нэмж бичнэ үү:

local0.* /var/log/ipfilter.log

`local0.*` нь бүх бүртгэгдсэн мэдэгдлүүдийг дурдсан файлд бичихийг хэлж өгч байна.

`/etc/syslog.conf` файлд хийсэн өөрчлөлтүүдийг идэвхжүүлэхийн тулд та системээ дахин ачаалах эсвэл `/etc/rc.d/syslogd reload` тушаалыг ашиглан syslogd(8) демонд `/etc/syslog.conf` файлыг дахин уншуулах хэрэгтэй.

Дээр шинээр үүсгэсэн бүртгэлийг тойруулахын тулд `/etc/newsyslog.conf` файл дотор өөрчлөлт оруулахаа мартуузай.

### 31.5.8. Бүртгэгдсэн мэдэгдлийн формат

`ipmon`-ы үүсгэсэн мэдэгдэл зайгаар тусгаарлагдсан өгөгдлийн талбаруудаас бүрдэнэ. Бүх мэдэгдэлд байдаг гол талбарууд гэвэл:

1. Пакетийг хүлээж авсан огноо.

2. Пакетийг хүлээж авсан цаг. Цаг, минут, секунд, бутархай секундэд (олон орны нарийвчлалтай) харгалзан HH:MM:SS.F форматтай байна.

3. Пакеттай ажилласан интерфэйсийн нэр, жишээлбэл `dc0`.

4. Дүрмийн бүлэг болон дүрмийн дугаар, жишээлбэл `@0:17`.

Эдгээрийг `ipfstat-in` тушаалын тусламжтай үзэж болно.

1. Үйлдэл: нэвтрүүлсэн бол р, хаасан бол b, богино пакет бол S, аль ч дүрмэнд тохироогүй бол n, бүртгэх дүрэм бол L. Эдгээр тугуудыг дараах эрэмбээр харуулна: S, p, b, n, L. Том P эсвэл B үсэг нь тухайн пакет ямар нэг дүрмээс биш, глобал тохиргооноос хамааран бүртгэгдсэн болохыг заана.

2. Хаягууд. Үндсэндээ гурван талбар байна: эхлэл хаяг болон порт (таслалаар тусгаарлагдсан), -> тэмдэг, ба очих хаяг болон порт. Жишээ нь `209.53.17.22,80 -> 198.73.220.17,1722`.

3. `PR`-н дараа протоколын нэр болон дугаар, жишээлбэл `PR tcp`.

4. `len`-ы дараа толгойн урт болон пакетийн нийт урт, жишээлбэл `len 20 40`.

Хэрэв TCP пакет бол зураасаар эхэлж тугуудаар удаалсан нэмэлт талбар байна. Үсгүүд болон түүнд харгалзах тугуудын талаар ipf(5) заавар хуудаснаас үзнэ үү.

Хэрэв ICMP пакет бол, төгсгөлд нь хоёр талбар байна. Эхнийх нь үргэлж «ICMP» утгатай байна, дараагийнх нь налуу зураасаар тусгаарлагдсан ICMP мэдэгдэл болон дэд мэдэгдлийн төрөл, жишээлбэл портод хандаж чадсангүй гэсэн мэдэгдлийн хувьд ICMP 3/3 байна.

### 31.5.9. Симбол орлуулалттай скриптийг үүсгэх нь

Зарим туршлагатай IPF хэрэглэгчид дүрмүүдийг агуулсан файл үүсгээд түүнийгээ симбол орлуулалттай скрипт байдлаар ажиллуулах боломжтой болгон бичдэг. Үүний гол давуу тал нь зөвхөн симбол нэрд харгалзах утгыг өөрчлөх хэрэгтэй бөгөөд, скриптийг ажиллуулахад уг симбол орлуулалт орсон дүрэм бүр шинэ утгыг авах болно. Скриптийн хувьд, олон дахин хэрэглэгддэг утгуудыг бичихэд симбол орлуулалтыг ашиглаж, тэдгээрийг олон дүрмэнд орлуулж өгнө гэсэн үг юм. Дараах жишээн дээрээс харна уу.

Энд хэрэглэгдсэн скриптийн синтакс нь sh(1), csh(1), ба tcsh(1) бүрхүүл дээр ажиллах боломжтой.

Симбол орлуулалтын талбарууд нь урдаа долларын тэмдэгтэй байна: `$`.

Симбол талбарууд нь $ тэмдэг урдаа байхгүй.

Симбол талбарыг орлох утга нь давхар хашилтан(`"`) дотор байрлана.

Дүрмийн файлаа дараах байдалтай үүсгэж эхлэх хэрэгтэй:

############# Start of IPF rules script ######################## oif="dc0" # name of the outbound interface odns="192.0.2.11" # ISP's DNS server IP address myip="192.0.2.7" # my static IP address from ISP ks="keep state" fks="flags S keep state" # You can choose between building /etc/ipf.rules file # from this script or running this script "as is". # # Uncomment only one line and comment out another. # # 1) This can be used for building /etc/ipf.rules: #cat > /etc/ipf.rules << EOF # # 2) This can be used to run script "as is": /sbin/ipf -Fa -f - << EOF # Allow out access to my ISP's Domain name server. pass out quick on $oif proto tcp from any to $odns port = 53 $fks pass out quick on $oif proto udp from any to $odns port = 53 $ks # Allow out non-secure standard www function pass out quick on $oif proto tcp from $myip to any port = 80 $fks # Allow out secure www function https over TLS SSL pass out quick on $oif proto tcp from $myip to any port = 443 $fks EOF ################## End of IPF rules script ########################

Байх ёстой бүх зүйлс бүгд байна. Энэ жишээн дээр дүрмүүд чухал биш, харин симбол орлуулалт хэрхэн ажилладгыг харуулсан байна. Хэрэв дээрх жишээ `/etc/ipf.rules.script` нэртэй файл дотор байсан бол, эдгээр дүрмүүдийг дараах тушаалыг өгч дахин ачаалах боломжтой:

`#` `sh /etc/ipf.rules.script`

Суулгагдсан симболтой дүрмийн файлыг хэрэглэхэд нэг асуудал тулгардаг: IPF симбол орлуулалтыг ойлгохгүй, ийм скриптийг шууд уншиж чаддаггүй.

Дараах скриптийг хоёр аргын нэгээр хэрэглэж болно:

- `cat`-р эхэлсэн мөрийг ил гарга, харин `/sbin/ipf`-р эхэлсэн мөрүүдийг далдал. `ipfilter_enable="YES"`-г `/etc/rc.conf` файл дотор байрлуул, дараа нь өөрчлөлт бүрийн дараа скриптийг ажиллуулан `/etc/ipf.rules` файлыг үүсгэ эсвэл өөрчлөлт оруул.

- `/etc/rc.conf` файл дотор `ipfilter_enable="NO"` (энэ анхдагч утга) мөрийг нэмэн системийн эхлэл скриптэд IPFILTER-г идэвхгүй болго.

  Дээрхтэй адил скриптийг өөрийн `/usr/local/etc/rc.d/` эхлэл хавтаст байрлуул. Энэ скрипт `ipf.loadrules.sh` ч юм уу ойлгомжтой нэртэй байх ёстой. `.sh` гэсэн өргөтгөлтэй байх ёстой.

  #!/bin/sh sh /etc/ipf.rules.script

  Энэ скриптийн эрхүүд эзэмшигч `root`-н хувьд унших, бичих, ажиллах эрхтэй байх ёстой.

  `#` `chmod 700 /usr/local/etc/rc.d/ipf.loadrules.sh`

Одоо систем ачаалсны дараа таны IPF дүрмүүд ачаалагдсан байх болно.

### 31.5.10. IPF Дүрмүүдийн олонлог

Пакет дотор агуулагдаж байгаа утгуудыг үндэслэн тухайн пакетийг нэвтрүүлэх болон хаахыг хэлж байгаа IPF дүрмүүдийг дүрмийн олонлог гэнэ. Хостуудын хоорондох хоёр чиглэлтэй пакет солилцоо нь сесс харилцааг бүрдүүлнэ. Галт ханын дүрмийн олонлог нь Интернэтээс ирж байгаа пакетуудыг болон систем буцааж тэдэнд хариу өгсөн пакетуудыг боловсруулдаг. Бүх TCP/IP үйлчилгээнүүд (жишээ нь: telnet, www, mail, г.м.) өөрийн протокол болон зөвшөөрөгдсөн (сонсож байгаа) портоороо тодорхойлогддог. Тухайн нэг үйлчилгээ рүү зорисон пакетууд нь тусгай зориулалтаар ашиглагддаггүй порт ашиглан эх хаягаас гарч очих хаягийн тухайн үйлчилгээний порт руу чиглэдэг. Дээрх бүх параметрууд (өөрөөр хэлбэл: портууд болон хаягууд) дээр үндэслэн нэвтрүүлэх болох хаах дүрмүүдийг зохиодог.

IPF-г анх зохиохдоо «сүүлд тохирсон дүрэм дийлнэ» логикийн дагуу бүтээсэн ба зөвхөн төлөвт-бус дүрмүүдийг ашигладаг байлаа. Цаг хугацаа өнгөрөхөд IPF илүү хөгжиж, «quick» тохируулга болон төлөвт «keep state» тохируулгуудыг агуулах болсон нь орчин үеийн хэрэгцээ шаардлагад илүү нийцэх болжээ.

Энэ бүлэгт байгаа зааврууд нь «quick» болон төлөвт «keep state» тохируулгуудыг агуулсан дүрмүүдээс үндсэндээ бүрдсэн байгаа. Энэ бол хамааруулсан галт ханын дүрмүүдийг бичих үндсэн арга барил юм.

### Сануулга:

Галт ханын дүрмүүдтэй ажиллахдаа маш анхааралтай байх хэрэгтэй. Зарим тохиргоо серверээс бүх холбоог тань тасалж мэднэ. Ийм аюулаас хол байхын тулд, галт ханын тохиргоог анхлан хийхдээ ssh зэрэг алсын хандалтаас илүүтэйгээр ойрын удирдлагыг сонгоорой.

### 31.5.11. Дүрмийн синтакс

Энд дурдах дүрмийн синтакс нь орчин үеийн төлөвт дүрмүүдийн хүрээнд, «сүүлд тохирсон дүрэм дийлнэ» логикоор ажиллахаар хялбаршуулан бичигдсэн байгаа. Хуучин уламжлалт дүрмүүдийн синтаксын бүрэн тайлбарыг ipf(8) заавар хуудаснаас үзнэ үү.

`#` гэсэн тэмдэгт тайлбарын эхлэлийг заах ба дүрэм бичсэн мөрийн төгсгөлд эсвэл өөрөө бүтэн мөр байдлаар байрлана. Хоосон мөрийг тооцохгүй.

Дүрмүүд нь түлхүүр үгүүдийг агуулна. Эдгээр түлхүүр үгүүд нь тухайн мөрөнд зүүнээс баруун тийш тодорхой дэс дараагаар бичигдэнэ. Түлхүүр үгүүд тодоор бичигдэх тул түүгээр нь ялгаж танина. Зарим түлхүүр үгүүд дэд-тохируулгатай байна. Тэр нь өөрөө түлхүүр үг байж болохоос гадна цааш дэд-тохируулгуудыг агуулсан байж болно. Доорх синтаксын үг бүр нь дор байрлах мөрүүдэд задаргааны хамт байгаа.

`ACTION IN-OUT OPTIONS SELECTION STATEFUL PROTO SRC_ADDR,DST_ADDR OBJECT PORT_NUM TCP_FLAG STATEFUL`

`ACTION` = block | pass

`IN-OUT` = in | out

`OPTIONS` = log | quick | on interface-name

`SELECTION` = proto value | source/destination IP | port = number | flags flag-value

`PROTO` = tcp/udp | udp | tcp | icmp

`SRC_ADD,DST_ADDR` = all | from object to object

`OBJECT` = IP address | any

`PORT_NUM` = port number

`TCP_FLAG` = S

`STATEFUL` = keep state

#### 31.5.11.1. ACTION

Тухайн дүрмэнд тохирч байгаа пакетийг хэрхэхийг action буюу үйлдэл зааж өгнө. Бүх дүрэм үйлдэлтэй байх ёстой. Дараах үйлдлүүдийг хэрэглэж болно:

`block` гэдэг нь пакеттай selection буюу сонголтын параметрүүд тохирч байвал тухайн пакетийг орхигдуулахыг зааж өгнө.

`pass` гэдэг нь пакеттай selection буюу сонголтын параметрүүд тохирч байвал тухайн пакетийг нэвтрүүлэхийг зааж өгнө.

#### 31.5.11.2. IN-OUT

Дүрэм нь орох болон гарах урсгалын алинд үйлчлэхийг заавал зааж өгөх ёстой. Энэ нь `in` эсвэл `out` түлхүүр үгийн аль нэг нь заавал бичигдсэн байх ёстой гэсэн үг юм. Үгүй бол синтаксын алдаа өгч, танигдахгүй.

`in` гэдэг нь Интернэт уруу харж байгаа интерфэйс дээр хүлээж авсан дотогшоо ирж байгаа пакетийн хувьд энэ дүрэм үйлчлэхийг зааж өгнө.

`out` гэдэг нь Интернэт уруу харж байгаа интерфэйс уруу чиглэсэн гадагшаа явж байгаа пакетийн хувьд энэ дүрэм үйлчлэхийг зааж өгнө.

#### 31.5.11.3. OPTIONS

### Тэмдэглэл:

Эдгээр options буюу тохируулгуудыг энд үзүүлсэн дэс дарааллын дагуу хэрэглэх ёстой.

`log` гэдэг нь пакеттай selection буюу сонголтын параметрүүд тохирч байвал пакетийн толгой `ipl` бүртгэл уруу (дор Бүртгэл Хөтлөх хэсэгт заасны дагуу) бичигдэхийг зааж өгнө.

`quick` гэдэг нь пакеттай selection буюу сонголтын параметрүүд тохирч байвал энэ дүрэм нь хамгийн сүүлийн дүрэм болохыг зааж өгнө. Ингэснээр «short-circuit» замыг тухайн пакетийн хувьд дараагийн дүрмүүдийг шалгахыг болиулна. Орчин үеийн дүрэмтэй ажиллах логикийн хувьд энэ тохируулгыг заавал хэрэглэнэ.

`on` гэдэг нь selection буюу сонголтын параметрүүдийн ажиллах интерфэйсийг зааж өгнө. Интерфэйсүүдийн нэрийг ifconfig(8)-н тусламжтай харж болно. Энэ тохируулгыг хэрэглэснээр, тухайн дүрэм зөвхөн энэ интерфэйсээр зохих чиглэлд(in/out) явж байгаа пакетийн хувьд үйлчилнэ. Орчин үеийн дүрэмтэй ажиллах логикийн хувьд энэ тохируулгыг заавал хэрэглэнэ.

Пакетийг бүртгэхэд, түүний толгойг IPL пакет бүртгэх хуурамч-төхөөрөмж уруу бичнэ. `log` түлхүүр үгийн дараа шууд залгаад, дараах тодотгогчдыг(дараах дэс дарааллаар) хэрэглэж болно:

`body` гэдэг нь пакетийн толгойн дараа пакетийн агуулгын эхний 128 байтыг бүртгэхийг зааж өгнө.

`first` Хэрэв `log` түлхүүр үг `keep state` тохируулгын хамт хэрэглэгдсэн бол, түүний араас ирэх «keep state»-д тохирч байгаа бүх пакетийг биш зөвхөн энэ тохируулгыг идэвхжүүлсэн эхний пакетийг бүртгэхийн тулд энэ тохируулгыг хэрэглэнэ.

#### 31.5.11.4. SELECTION

Энэ бүлэгт танилцуулж байгаа түлхүүр үгүүд тухайн пакетийг дүрмэнд тохирсон эсэхийг тогтоохын тулд шалгадаг пакетийн онцлогийг тодорхойлоход хэрэглэгддэг. Мөн subject түлхүүр үг байх ба дэд-тохируулга түлхүүр үгийн аль нэгийг сонгон хэрэглэнэ. Дараах ерөнхий онцлогуудыг хэрэглэх боломжтой, гэхдээ доорх дэс дарааллаар хэрэглэх хэрэгтэй:

#### 31.5.11.5. PROTO

`proto` гэдэг нь subject түлхүүр үг бөгөөд өөрийн харгалзах дэд-тохируулгын хамт хэрэглэгдэх ёстой. Утга нь ямар протокол дээр ажиллахыг хэлж өгнө. Орчин үеийн дүрэмтэй ажиллах логикийн хувьд энэ тохируулгыг заавал хэрэглэнэ.

`tcp/udp | udp | tcp | icmp` эсвэл `/etc/protocols` файл дотор байгаа протоколуудыг хэрэглэж болно. Тусгай `tcp/udp` гэсэн түлхүүр үг TCP эсвэл UDP пакетийг сонгоход хэрэглэгддэг ба, давхар эсвэл төстэй дүрмүүдийг арилгах үүднээс нэмэгдсэн байгаа.

#### 31.5.11.6. SRC_ADDR/DST_ADDR

`all` гэсэн түлхүүр үг нь өөр ямар ч параметргүй «from any to any» гэдэгтэй адил юм.

`from src to dst`: `from` ба `to` гэсэн түлхүүр үгүүд IP хаягийг шүүхэд хэрэглэгдэнэ. Дүрэмд хэрэглэхдээ эхлэл ба очих параметрийг хоёуланг зааж өгөх ёстой. `any` гэсэн тусгай түлхүүр үгийн тусламжтай бүх IP хаягийг зөвшөөрч өгч болно. Хэрэглэх жишээ: `from any to any` эсвэл `from 0.0.0.0/0 to any` эсвэл `from any to 0.0.0.0/0` эсвэл `from 0.0.0.0 to any` эсвэл `from any to 0.0.0.0`.

Цэгээр тусгаарлагдсан тоо/баг хэлбэрээр хялбархан илэрхийлэх боломжгүй IP хаягуудыг хэрэглэх боломжгүй. `net-mgmt/ipcalc` порт ашиглан үүнийг хялбарчилж болох юм. Нэмэлт мэдээллийг дараах вэб хуудсаар орж үзнэ үү: http://jodies.de/ipcalc.

#### 31.5.11.7. PORT

Хэрэв эхлэл эсвэл очих порт, эсвэл хоёулангаар нь тохируулах бол энэ нь зөвхөн TCP ба UDP пакетуудад хамаарна. Порт жишсэн дүрэм бичихдээ `/etc/services` файл доторх үйлчилгээний нэр эсвэл бүхэл тоон портын дугаарыг хэрэглэнэ. Портыг `from` обьекттой хамт хэрэглэх үед энэ нь эхлэл портын дугаарыг, `to` обьекттой хамт хэрэглэх үед энэ нь очих портын дугаарыг заана. Орчин үеийн дүрэмтэй ажиллах логикийн хувьд port тохиргоог `to` обьекттой заавал хамт хэрэглэнэ. Хэрэглэх жишээ: `from any to any port = 80`

Портын харьцуулалтыг төрөл бүрийн жиших операторуудыг ашиглан хэд хэдэн аргаар хийж болно. Портын зурвасыг бас зааж өгч болно.

port "=" | "!=" | "<" | ">" | "<=" | ">=" | "eq" | "ne" | "lt" | "gt" | "le" | "ge".

Порт зурвасыг зааж өгөхдөө, port "<>" | "><" гэж хэрэглэнэ.

### Сануулга:

Орчин үеийн дүрэмтэй ажиллах логикийн хувьд эхлэл болон очих порт тохируулах параметрүүдийн дараа, дараах хоёр параметрийг заавал хэрэглэнэ.

#### 31.5.11.8. TCP_FLAG

Тугуудыг зөвхөн TCP шүүлтийн үед хэрэглэнэ. Үсгүүдээр нь TCP пакетийн толгойтой таарч байгаа эсэхийг шалгах боломжит тугуудыг үзүүлсэн байна.

Орчин үеийн дүрэмтэй ажиллах логик нь `flags S` параметрийг tcp сесс эхлүүлэх хүсэлтийг тэмдэглэхдээ хэрэглэдэг.

#### 31.5.11.9. STATEFUL

`keep state` гэдэг нь нэвтрүүлэх төрлийн дүрмийн хувьд сонгох параметрүүдтэй тохирсан ямар ч пакет төлөвт шүүх нэмэлт боломжийг идэвхжүүлэх ёстойг зааж өгнө.

### Тэмдэглэл:

Орчин үеийн дүрэмтэй ажиллах логикийн хувьд энэ тохируулгыг заавал хэрэглэнэ.

### 31.5.12. Төлөвт шүүлт

Хостуудын хоорондох хоёр чиглэлтэй пакет солилцоо сесс харилцаанаас бүрддэг. Төлөвт шүүлт нь урсгалыг сесс харилцаанаас бүрдэж буй хоёр чиглэлтэй пакет солилцоо гэж үздэг. keep-state-г идэвхжүүлсэн үед, keep-state нь хоёр чиглэлтэй сесс харилцааны үед солилцсон бүх пакетуудын хувьд дотоод дүрмүүдийг динамик байдлаар үүсгэдэг. Мөн энэ нь сесс эхлүүлсэн болон хүлээн авсан хостуудын хоорондох сесс харилцаа хоёр чиглэлтэй пакет солилцох процедуртай зохицож байгаа эсэхийг магадлах чадвартай байдаг. Сесс харилцааны загварт зохицоогүй пакетийг хуурамч гэж үзэн хүлээж авахгүй.

TCP эсвэл UDP сесстэй холбоотой ICMP пакетуудыг keep state нэвтрүүлнэ. Тэгэхээр, keep state дүрмээр зөвшөөрөгдсөн вэбээр хийх аялалын хариуд ICMP type 3 code 4 хариуг хүлээн авбал галт хана үүнийг автоматаар нэвтрүүлнэ гэсэн үг юм. Хэрэв IPF хүлээн авсан пакетийг идэвхтэй байгаа сессийн нэг хэсэг гэж баттай итгэж байвал, өөр протокол дээр байсан ч пакетийг нэвтрүүлнэ.

Үүний цаана юу болох вэ гэвэл:

Интернэт уруу холбогдсон интерфэйсээр гарч байгаа пакетуудыг хамгийн түрүүнд динамик төлвийн хүснэгтэнд шалгана. Хэрэв тухайн пакет ямар нэг идэвхтэй байгаа сесс харилцаанд оролцож байгаа зөвшөөрөгдсөн дараагийн пакет байх юм бол, галт ханаар нэвтрүүлэх ба динамик төлвийн хүснэгтэн дэх сесс харилцааны төлөв шинэчлэгдэнэ. Идэвхтэй сесс харилцаанд хамааралгүй пакетуудыг гадагшаа урсгалын дүрмээр шалгах болно.

Интернэт уруу холбогдсон интерфэйсээс ирж байгаа пакетуудыг хамгийн түрүүнд динамик төлвийн хүснэгтэнд шалгана. Хэрэв тухайн пакет ямар нэг идэвхтэй байгаа сесс харилцаанд оролцож байгаа зөвшөөрөгдсөн дараагийн пакет байх юм бол, галт ханаар нэвтрүүлэх ба динамик төлвийн хүснэгтэн дэх сесс харилцааны төлөв шинэчлэгдэнэ. Идэвхтэй сесс харилцаанд хамааралгүй пакетуудыг дотогшоо урсгалын дүрмээр шалгах болно.

Харилцаа дуусахад динамик төлвийн хүснэгтээс зохих бичлэг устгагдана.

Төлөвт шүүлтийн тусламжтайгаар та шинэ сесс зөвшөөрөх/хаах үйл ажиллагаан дээр төвлөрч ажиллаж чадна. Хэрэв шинэ сесс зөвшөөрөгдсөн бол түүний дараагийн бүх пакетуудыг автоматаар нэвтрүүлэх ба хуурамч пакетууд автоматаар буцаагдана. Хэрэв шинэ сесс хаагдсан бол түүний дараагийн ямар ч пакет нэвтэрч чадахгүй. Төлөвт шүүлт нь сүүлийн үеийн халдлагуудад ашиглагдаж байгаа аргуудын эсрэг хамгаалах чадвартай, техникийн хувьд өндөр түвшний шүүлт хийх чадвартай юм.

### 31.5.13. Хамааруулсан дүрмийн олонлогийн жишээ

Дараах дүрмийн олонлог нь аюулгүй байдлыг маш сайн хангасан, хамааруулсан галт ханын дүрмүүдийг хэрхэн бичих жишээ юм. Хамааруулсан галт хана нь зөвхөн `pass` дүрмүүдэд тохирсон үйлчилгээг зөвшөөрч, бусдыг бүгдийг хаана. Бусад машинуудыг хамгаалах ёстой галт хананууд буюу «сүлжээний галт хананууд» нь багаар бодоход хоёр интерфэйстэй байх ёстой бөгөөд ерөнхийдөө нэг талд (LAN) итгэж нөгөөд (Интернэт) итгэхгүй байхаар тохируулагдсан байдаг. Мөн ажиллаж байгаа системээ зөвхөн хамгаалахаар галт хана тохируулагдсан байж болох бөгөөд ийм галт ханыг «хостын галт хана» гэх бөгөөд энэ нь итгэлгүй сүлжээн дэх серверүүдийн хувьд ялангуяа тохиромжтой байдаг.

FreeBSD-г оролцуулаад бүх UNIX® төрлийн систем нь үйлдлийн систем дэх дотоод харилцаандаа `lo0` интерфэйс болон `127.0.0.1` гэсэн IP хаягийг хэрэглэхээр бүтээгдсэн байдаг. Галт ханын дүрмүүд нь дотооддоо хэрэглэж байгаа эдгээр пакетуудыг чөлөөтэй нэвтрүүлэх дүрмүүдийг агуулсан байх ёстой.

Интернэттэй холбогдож байгаа интерфэйс дээр Интернэт уруу гарч байгаа болон Интернэтээс ирж байгаа хандалтыг удирдах болон хянах дүрмүүдийг байрлуулна. Энэ нь таны PPP `tun0` интерфэйс эсвэл таны DSL эсвэл кабель модемд холбогдсон NIC байж болно.

Галт ханын цаана байгаа хувийн сүлжээнд нэг болон түүнээс дээш тооны NIC-ууд холбогдсон тохиолдолд, тэдгээр интерфэйсүүдийн хувьд тэдгээр LAN интерфэйсүүдийн нэгээс нөгөө рүү ба/эсвэл гадагш гарсан пакетуудыг чөлөөтэй нэвтрүүлэх дүрмийг агуулсан байх ёстой.

Дүрмүүд гурван үндсэн хэсэгт хуваагдан зохион байгуулагдсан байх ёстой: эхлээд итгэлтэй интерфэйсүүд, дараа нь нийтийн гадагшаа интерфэйс, төгсгөлд нь нийтийн итгэлтэй дотогшоо интерфэйс.

Нийтийн интерфэйс хэсэгт байгаа дүрмүүд тухайн интерфэйс болон чиглэлийн хувьд хамгийн олон тохиолддог дүрмүүд нь хамгийн түрүүнд, цөөн тохиолддог дүрмүүдээс өмнө байхаар, хаах болох бүртгэх дүрмүүд нь хамгийн сүүлд байхаар бичигдсэн байна.

Дараах жишээн дээрх Гадагшаа хэсэг нь Интернэт хандалтыг зөвшөөрч өгөх үйлчилгээг тодорхойлох сонголтын утгуудыг агуулсан зөвхөн `pass` дүрмүүдээс бүрдэж байна. Бүх дүрмүүд `quick`, `on`, `proto`, `port`, болон `keep state` тохируулгуудыг агуулсан байгаа. `proto tcp` дүрмүүд нь төлөвт байдлыг идэвхжүүлж байгаа пакетийг тодорхойлох байдлаар, сесс эхлүүлэх хүсэлтийг тодорхойлох зорилгоор `flag` тохируулгыг агуулсан байна.

Дотогшоо хэсэгт эхлээд хүсээгүй пакетуудыг хаах дүрмүүдийг бичсэн байна. Энэ нь хоёр өөр шалтгаантай. Эхнийх нь хортой пакетуудын зарим нь зөвшөөрсөн урсгалын хэсэг байж болох юм. `allow` дүрэмд таарч байгаа тэр хэсэг дээр тулгуурлан эдгээр пакетуудыг зөвшөөрөлгүйгээр хаах ёстой. Хоёр дахь шалтгаан нь тухайн хэсэгт байгаа хамгийн сүүлийн дүрмээр хааж бүртгэхийн оронд тэдгээр мэдэгдэж байгаа сонирхолгүй татгалзалтуудыг чимээгүйгээр хааж болох юм. Хэсэг бүр дэх сүүлийн дүрэм бүх пакетуудыг хааж бүртгэдэг бөгөөд таны систем рүү халдаж байгаа хүмүүсийг шүүхэд шаардагдах баримтыг бий болгоход ашиглагдаж болох юм.

Өөр нэг санаа тавин тэмдэглэн хэлэх зүйл бол хүсээгүй урсгалын хариуд ямар ч хариу явуулахгүй байх явдал юм. Буруу пакетуудыг зүгээр орхиж тэд алга болох ёстой юм. Ингэснээр халдлага явуулагч түүний явуулсан пакетууд таны системд хүрсэн эсэх талаар юу ч мэдэхгүй үлдэх болно. Таны системийн талаар хэдий хэр бага мэднэ, тэд ямар нэг муу зүйл хийж чадах хүртэл төдий чинээ урт хугацаа зарцуулна гэсэн үг юм. `log first` тохируулгыг агуулах дүрмүүд анхны удаа таарахад бүртгэж авдаг. Энэ тохируулга нь жишээ `nmap OS fingerprint` дүрэмд орсон байдаг. `security/nmap` хэрэгслийг халдагчид таны серверийн үйлдлийн системийг танихын тулд ихэвчлэн ашигладаг.

`log first` дүрмийн хувьд бүртгэлийн мэдээлэл бүртгэгдэх бүрт `ipfstat -hio` тушаалаар энэ дүрэм хэдэн удаа тохирсон байгааг шалгаж болно. Ихээхэн хэмжээний бүртгэлийн мэдээлэл нь таныг халдлагад өртөж байгааг ихэвчлэн илэрхийлдэг.

`/etc/services` файлыг ашиглан мэдэгдэхгүй портын дугаарыг хайж олж болох юм. Мөн http://en.wikipedia.org/wiki/List_of_TCP_and_UDP_port_numbers хаягаар тухайн порт ямар зориулалтаар ашиглагддагийг орж шалгаж болох юм.

Троянуудын хэрэглэдэг портын дугааруудыг http://www.sans.org/security-resources/idfaq/oddports.php хаягаар орж шалгаарай.

Дараах дүрмийн олонлог нь ажиллаж байгаа систем дээр шалгагдсан аюулгүй байдлыг бүрэн хангасан хамааруулсан галт ханын дүрмийн олонлог юм. Үүнийг өөрийн системд хялбарханаар тааруулж болох юм. Зөвшөөрөхийг хүсэхгүй байгаа үйлчилгээнүүдийн хувьд харгалзах `pass` дүрмийг далдлаарай.

Хүсээгүй мэдээллийг бүртгэхгүйн тулд дотогшоо хэсэгт `block` дүрэм нэмж бичээрэй.

Дүрэм бүрт байгаа `dc0` гэсэн интерфэйсийн нэрийн оронд таны системийг Интернэт уруу холбож байгаа NIC картны интерфэйсийн нэрээр сольж тавиарай. Хэрэглэгчийн PPP-н хувьд, энэ нь `tun0` байна.

Дараах илэрхийллүүдийг `/etc/ipf.rules` дотор бичих хэрэгтэй:

################################################################# # No restrictions on Inside LAN Interface for private network # Not needed unless you have LAN ################################################################# #pass out quick on xl0 all #pass in quick on xl0 all ################################################################# # No restrictions on Loopback Interface ################################################################# pass in quick on lo0 all pass out quick on lo0 all ################################################################# # Interface facing Public Internet (Outbound Section) # Match session start requests originating from behind the # firewall on the private network # or from this gateway server destined for the public Internet. ################################################################# # Allow out access to my ISP's Domain name server. # xxx must be the IP address of your ISP's DNS. # Dup these lines if your ISP has more than one DNS server # Get the IP addresses from /etc/resolv.conf file pass out quick on dc0 proto tcp from any to xxx port = 53 flags S keep state pass out quick on dc0 proto udp from any to xxx port = 53 keep state # Allow out access to my ISP's DHCP server for cable or DSL networks. # This rule is not needed for 'user ppp' type connection to the # public Internet, so you can delete this whole group. # Use the following rule and check log for IP address. # Then put IP address in commented out rule & delete first rule pass out log quick on dc0 proto udp from any to any port = 67 keep state #pass out quick on dc0 proto udp from any to z.z.z.z port = 67 keep state # Allow out non-secure standard www function pass out quick on dc0 proto tcp from any to any port = 80 flags S keep state # Allow out secure www function https over TLS SSL pass out quick on dc0 proto tcp from any to any port = 443 flags S keep state # Allow out send & get email function pass out quick on dc0 proto tcp from any to any port = 110 flags S keep state pass out quick on dc0 proto tcp from any to any port = 25 flags S keep state # Allow out Time pass out quick on dc0 proto tcp from any to any port = 37 flags S keep state # Allow out nntp news pass out quick on dc0 proto tcp from any to any port = 119 flags S keep state # Allow out gateway & LAN users' non-secure FTP ( both passive & active modes) # This function uses the IPNAT built in FTP proxy function coded in # the nat rules file to make this single rule function correctly. # If you want to use the pkg_add command to install application packages # on your gateway system you need this rule. pass out quick on dc0 proto tcp from any to any port = 21 flags S keep state # Allow out ssh/sftp/scp (telnet/rlogin/FTP replacements) # This function is using SSH (secure shell) pass out quick on dc0 proto tcp from any to any port = 22 flags S keep state # Allow out insecure Telnet pass out quick on dc0 proto tcp from any to any port = 23 flags S keep state # Allow out FreeBSD CVSup pass out quick on dc0 proto tcp from any to any port = 5999 flags S keep state # Allow out ping to public Internet pass out quick on dc0 proto icmp from any to any icmp-type 8 keep state # Allow out whois from LAN to public Internet pass out quick on dc0 proto tcp from any to any port = 43 flags S keep state # Block and log only the first occurrence of everything # else that's trying to get out. # This rule implements the default block block out log first quick on dc0 all ################################################################# # Interface facing Public Internet (Inbound Section) # Match packets originating from the public Internet # destined for this gateway server or the private network. ################################################################# # Block all inbound traffic from non-routable or reserved address spaces block in quick on dc0 from 192.168.0.0/16 to any #RFC 1918 private IP block in quick on dc0 from 172.16.0.0/12 to any #RFC 1918 private IP block in quick on dc0 from 10.0.0.0/8 to any #RFC 1918 private IP block in quick on dc0 from 127.0.0.0/8 to any #loopback block in quick on dc0 from 0.0.0.0/8 to any #loopback block in quick on dc0 from 169.254.0.0/16 to any #DHCP auto-config block in quick on dc0 from 192.0.2.0/24 to any #reserved for docs block in quick on dc0 from 204.152.64.0/23 to any #Sun cluster interconnect block in quick on dc0 from 224.0.0.0/3 to any #Class D & E multicast ##### Block a bunch of different nasty things. ############ # That I do not want to see in the log # Block frags block in quick on dc0 all with frags # Block short tcp packets block in quick on dc0 proto tcp all with short # block source routed packets block in quick on dc0 all with opt lsrr block in quick on dc0 all with opt ssrr # Block nmap OS fingerprint attempts # Log first occurrence of these so I can get their IP address block in log first quick on dc0 proto tcp from any to any flags FUP # Block anything with special options block in quick on dc0 all with ipopts # Block public pings block in quick on dc0 proto icmp all icmp-type 8 # Block ident block in quick on dc0 proto tcp from any to any port = 113 # Block all Netbios service. 137=name, 138=datagram, 139=session # Netbios is MS/Windows sharing services. # Block MS/Windows hosts2 name server requests 81 block in log first quick on dc0 proto tcp/udp from any to any port = 137 block in log first quick on dc0 proto tcp/udp from any to any port = 138 block in log first quick on dc0 proto tcp/udp from any to any port = 139 block in log first quick on dc0 proto tcp/udp from any to any port = 81 # Allow traffic in from ISP's DHCP server. This rule must contain # the IP address of your ISP's DHCP server as it's the only # authorized source to send this packet type. Only necessary for # cable or DSL configurations. This rule is not needed for # 'user ppp' type connection to the public Internet. # This is the same IP address you captured and # used in the outbound section. pass in quick on dc0 proto udp from z.z.z.z to any port = 68 keep state # Allow in standard www function because I have apache server pass in quick on dc0 proto tcp from any to any port = 80 flags S keep state # Allow in non-secure Telnet session from public Internet # labeled non-secure because ID/PW passed over public Internet as clear text. # Delete this sample group if you do not have telnet server enabled. #pass in quick on dc0 proto tcp from any to any port = 23 flags S keep state # Allow in secure FTP, Telnet, and SCP from public Internet # This function is using SSH (secure shell) pass in quick on dc0 proto tcp from any to any port = 22 flags S keep state # Block and log only first occurrence of all remaining traffic # coming into the firewall. The logging of only the first # occurrence avoids filling up disk with Denial of Service logs. # This rule implements the default block. block in log first quick on dc0 all ################### End of rules file #####################################

### 31.5.14. NAT

NAT нь Network Address Translation буюу Сүлжээний хаягийн Хөрвүүлэлтийн товчлол юм. Linux®-н талаар ойлголттой хүмүүсийн хувьд, энэ ойлголтыг IP маскарад гэж нэрлэдэг; NAT ба IP маскарад нь нэг зүйл юм. IPF NAT-н бидэнд олгож байгаа олон зүйлүүдийн нэг бол галт ханын цаана байгаа Local Area Network буюу Ойрын Зайн Сүлжээ(LAN)-н хувьд ISP-с оноож өгсөн ганц IP хаягийг Интернэтэд хуваан хэрэглэх юм.

Ингэх ямар шаардлага байнаа гэж та гайхан асуух байх. ISP-ууд өөрийн ашгийн-бус хэрэглэгчиддээ ихэвчлэн динамик IP хаяг оноодог. Динамик гэдэг нь таныг ISP руу залган нэвтрэн орох болгонд, кабель эсвэл DSL модемтой хэрэглэгчдийн хувьд модемоо асааж унтраах болгонд өөр өөр IP хаяг онооно гэсэн үг юм. Таны системийг Интернэтэд танихад энэ динамик IP хаягийг ашигладаг.

Та гэртээ таван PC-тэй бөгөөд бүгд Интернэт уруу гардаг байх хэрэгтэй гэж бодъё. Тэгвэл та PC тус бүрт тусад нь эрх худалдан авч, таван утасны үзүүртэй байх хэрэгтэй болно.

NAT-н тусламжтай ISP-гаас зөвхөн ганцхан эрх шаардлагатай. Бусад дөрвөн PC-гээ switch буюу шилжүүлэгч уруу холбож, харин switch-ээ таны LAN-нд гарц байдлаар ажиллах FreeBSD системийн NIC руу залгана. NAT нь LAN-д байгаа бүх PC-ны хувьд хувийн IP хаягийг ганцхан гадаад IP хаяг уруу автоматаар хөрвүүлэх болно. NAT нь эргэж ирж байгаа пакетуудын хувьд эсрэг хөрвүүлэлтийг мөн хийнэ.

NAT хийгдсэн хувийн LAN-уудад зориулж бүлэг IP хаягийг тусгайлан гаргасан байдаг. RFC 1918 стандартад зааснаар бол, дараах бүлэг IP-г хувийн сүлжээндээ ашиглах боломжтой, эдгээр IP хэзээ ч гадаад Интернэт уруу гарахгүй болно:

Эхлэх IP `10.0.0.0` | - | Төгсөх IP `10.255.255.255`
Эхлэх IP `172.16.0.0` | - | Төгсөх IP `172.31.255.255`
Эхлэх IP `192.168.0.0` | - | Төгсөх IP `192.168.255.255`

### 31.5.15. IPNAT

NAT дүрмүүдийг `ipnat` тушаалын тусламжтай ачаална. Ихэвчлэн NAT дүрмүүд `/etc/ipnat.rules` файл дотор байрлана. Дэлгэрэнгүйг ipnat(8) хэсгээс үзнэ үү.

NAT ажиллаж эхэлсний дараа NAT дүрмүүдэд өөрчлөлт оруулах шаардлагатай бол NAT дүрмүүд байгаа файл дотор өөрчлөлтийг хийсний дараа, одоо хэрэглэгдэж байгаа NAT дүрмүүдийг устгаж, хөрвүүлэгч хүснэгтийг цэвэрлэхийн тулд `ipnat` тушаалыг `-CF` тугийн хамт ажиллуулах хэрэгтэй.

Харин NAT дүрмүүдийг дахин ачаалахдаа тушаалыг дараах байдалтай өгөх хэрэгтэй:

`#` `ipnat -CF -f /etc/ipnat.rules`

NAT-н талаар зарим статистикийг харъя гэвэл дараах тушаалыг ашиглана:

`#` `ipnat -s`

NAT хүснэгтийн одоо ашиглаж байгаа оноолтын жагсаалтыг харахын тулд дараах тушаалыг ашиглана:

`#` `ipnat -l`

Вербос буюу хэр зэрэг харуулах горимыг нээхийн тулд, дүрэмтэй ажиллах болон идэвхтэй байгаа дүрмүүдийн хүснэгтийг харахын тулд:

`#` `ipnat -v`

### 31.5.16. IPNAT Дүрмүүд

NAT дүрмүүд нь маш уян хатан бөгөөд хэрэглэгчдийн хэрэгцээг хангах олон зүйлүүдийг хийж чадна.

Энд үзүүлсэн дүрмийн синтаксыг ашгийн-бус орчинд ихэвчлэн хэрэглэгддэг дүрмүүдэд зориулан хялбаршуулсан байгаа. Дүрмийн синтаксын бүрэн тайлбарыг ipnat(5) заавар хуудаснаас үзнэ үү.

NAT дүрмийн синтакс дараах байдалтай байна:

map `IF` `LAN_IP_RANGE` -> `PUBLIC_ADDRESS`

Дүрэм нь `map` гэсэн түлхүүр үгээр эхэлнэ.

`IF`-г гадаад интерфэйсээр сольж тавьна.

`LAN_IP_RANGE` нь танай дотоод хэрэглэгчийн хэрэглэж буй IP хаяглалтыг заана, ихэвчлэн `192.168.1.0/24` гэсэн маягтай байна.

`PUBLIC_ADDRESS` нь гадаад IP байж болно эсвэл `IF`-д оноосон IP хаягийг хэрэглэхийг заасан `0/32` гэсэн тусгай түлхүүр үг байж болно.

### 31.5.17. NAT хэрхэн ажилладаг вэ

Гадаад очих хаягтай пакет галт хана дээр LAN-с хүрэлцэн ирнэ. Эхлээд гадагшаа шүүлтийн дүрмүүдээр гарна, дараа нь NAT-н ээлж ирэх ба өөрийн дүрмүүдийг дээрээс доош шалгаж эхэлнэ. Хамгийн эхэнд тохирсон нь дийлнэ. NAT өөрийн дүрэм бүрийг пакетийн интерфэйсийн нэр болон эхлэл хаягаар тулгаж шалгана. Пакетийн интерфэйсийн нэр NAT дүрэмтэй тохирвол пакетийн эхлэл IP хаяг (өөрөөр хэлбэл хувийн LAN IP хаяг) NAT дүрмийн сумны зүүн талд зааж өгсөн IP хаягийн зурвас дотор байгаа эсэхийг шалгана. Хэрэв энэ тохирвол пакетийн эхлэл хаягийг `0/32` түлхүүр үгийн тусламжтай олж авсан гадаад IP хаягаар сольж бичнэ. NAT өөрийн дотоод NAT хүснэгтэнд бичлэг нэмэх ба энэ нь пакет Интернэтээс буцаж ирэхэд түүнийг буцаан хувийн IP хаяг уруу нь хөрвүүлэн, цааш шүүлтийн дүрмүүдээр оруулах боломжийг олгоно.

### 31.5.18. IPNAT-г идэвхжүүлэх

IPNAT-г идэвхжүүлэхийн тулд эдгээр илэрхийллүүдийг `/etc/rc.conf` дотор нэмж бичнэ.

Өөрийн машиныг интерфэйсүүдийн хооронд пакетуудыг чиглүүлдэг болгохын тулд:

gateway_enable="YES"

Систем ачаалахад IPNAT-г автоматаар ачаалдаг болгохын тулд:

ipnat_enable="YES"

IPNAT-н дүрмүүдийг хаанаас ачаалахыг зааж өгөхдөө:

ipnat_rules="/etc/ipnat.rules"

### 31.5.19. Маш том LAN-д зориулсан NAT

LAN-даа олон тооны PC-тэй сүлжээний хувьд эсвэл нэгээс олон LAN-тай сүлжээний хувьд, энэ олон хувийн IP хаягуудыг нэг гадаад IP хаяг уруу нийлүүлэх үйл явцад NAT хийгдсэн олон LAN PC дээр ижил портын дугаар олон дахин хэрэглэгдсэнээс мөргөлдөөн үүсэх гэх мэт нөөцтэй холбоотой асуудал гардаг. Нөөцтэй холбоотой энэ асуудлаас гарахын тулд дараах хоёр арга зам байдаг.

#### 31.5.19.1. Хэрэглэх портуудыг оноох

Энгийн NAT дүрэм дараах байдалтай байна:

map dc0 192.168.1.0/24 -> 0/32

Дээрх дүрмэнд пакет IPNAT-р дайрч өнгөрөхөд пакетийн эхлэл порт өөрчлөгдөхгүй. `portmap` гэсэн түлхүүр үгийг нэмсэнээр IPNAT-ийг заасан зурвас дахь зөвхөн эхлэл портуудыг ашиглахаар зааж өгнө. Жишээ нь, дараах дүрэм IPNAT-г эхлэл порт хаягийг тухайн зурвас дотор байхаар өөрчлөхийг зааж өгч байна.

map dc0 192.168.1.0/24 -> 0/32 portmap tcp/udp 20000:60000

Дээр нь бид `auto` түлхүүр үгийн тусламжтай аль портуудыг ашиглах боломжтой байгааг өөрөө тодорхойлохыг зааж өгч болно:

map dc0 192.168.1.0/24 -> 0/32 portmap tcp/udp auto

#### 31.5.19.2. Гадаад хаягийн цөөрмийг хэрэглэх

Маш том LAN-уудын хувьд дэндүү олон LAN хаягуудыг нэг гадаад хаягт оноох нь боломжгүй болох үе ирдэг. Хэрэв бүлэг гадаад IP сул байгаа бол, эдгээр IP хаягуудыг «цөөрөм» байдлаар ашиглаж болох ба, IPNAT эдгээрээс нэгийг сонгон авч гадагшаа явж байгаа пакетийн хаягт оноох байдлаар хэрэглэх болно.

Жишээ нь, доор үзүүлсэн шиг бүх пакетуудыг ганц гадаад IP-д оноохын оронд:

map dc0 192.168.1.0/24 -> 204.134.75.1

гадаад IP хаягийн зурвасыг сүлжээний хуваалтын хамт зааж өгч болно:

map dc0 192.168.1.0/24 -> 204.134.75.0/255.255.255.0

эсвэл CIDR тэмдэглэгээг хэрэглэж болно:

map dc0 192.168.1.0/24 -> 204.134.75.0/24

### 31.5.20. Портын дахин чиглүүлэлт

LAN дотор вэб сервер, цахим шуудангийн сервер, өгөгдлийн сангийн сервер болон DNS серверийг өөр өөр PC дээр тараан ажиллуулах нь түгээмэл байдаг. Энэ тохиолдолд эдгээр серверээс гарч байгаа урсгал мөн NAT хийгдсэн байх ёстой. Гэхдээ гаднаас ирж буй урсгалыг зөв LAN PC уруу дахин чиглүүлэх арга зам байх хэрэгтэй болно. Энэ асуудлыг шийдэхийн тулд IPNAT нь дахин чиглүүлэлт хийх NAT нэмэлт боломжийг олгодог. Вэб сервер `10.0.10.25` гэсэн LAN хаягтай бөгөөд `20.20.20.5` гэсэн ганц гадаад IP-тай байлаа гэж бодъё. Тэгвэл дүрмийг дараах байдалтай:

rdr dc0 20.20.20.5/32 port 80 -> 10.0.10.25 port 80

эсвэл:

rdr dc0 0.0.0.0/0 port 80 -> 10.0.10.25 port 80

эсвэл гаднаас DNS хүсэлтүүд хүлээн авдаг `10.0.10.33` гэсэн хаягтай LAN DNS Серверийн хувьд:

rdr dc0 20.20.20.5/32 port 53 -> 10.0.10.33 port 53 udp

гэж бичих байсан.

### 31.5.21. FTP ба NAT

FTP-г Интернэт одоогийнх шиг байхаас өмнөх үе, их сургуулиуд түрээсийн шугамаар хоорондоо холбогдож, судлаач эрдэмтэд хоорондоо файл солилцохын тулд FTP-г ашигладаг байх үес үлдсэн үлэг гүрвэл гэж хэлж болох юм. Тэр үед өгөгдлийн аюулгүй байдлын талаар огт анхаардаггүй байлаа. Цаг хугацаа өнгөрөхөд FTP протоколыг шинээр гарч ирж байгаа Интернэтийн гол нуруу сүлжээнд хэрэглэх болсон ба түүний хэрэглэгчийн нэр, нууц үгийг цэвэр текст хэлбэрээр дамжуулдаг байдал нь хэзээ ч өөрчлөгдөөгүй бөгөөд орчин үеийн аюулгүй байдлын шаардлагад нийцэхгүй болсон билээ. FTP нь active буюу идэвхтэй, passive буюу идэвхгүй гэсэн хоёр горимд ажилладаг. Өгөгдлийн сувгийг хэрхэн ашиглаж байгаа дээр гол ялгаа нь гардаг. Өгөгдлийн сувгийг эхэлж ftp сесс хүсэгч нь авдаг тул идэвхгүй горимд ажиллах нь аюулгүй байдлыг илүүтэйгээр хангана. FTP-н талаар илүү сайн тайлбарыг болон түүний горимуудын талаар http://www.slacksite.com/other/ftp.html хаягаар үзнэ үү.

#### 31.5.21.1. IPNAT Дүрмүүд

IPNAT нь дотроо NAT оноолт дүрэмд тодорхойлж өгөх боломжтой тусгай FTP прокси тохируулгыг агуулсан байдаг. Энэ нь идэвхтэй болон идэвхгүй FTP сесс эхлүүлэх хүсэлтэд оролцож байгаа бүх гадагшаа чиглэлтэй FTP пакетийг хянаж чадна. Мөн өгөгдлийн сувагт үнэхээр хэрэглэгдэж байгаа порт дугаарыг агуулсан түр зуурын шүүлтийн дүрмүүдийг динамикаар үүсгэж чадна. Ийм байдлаар FTP-с болж үүсдэг дээд хэсгийн портуудыг өргөн зурвасаар нээх эрсдэлээс галт ханыг хамгаалж байгаа юм.

Доорх дүрэм нь дотоод LAN-н бүх урсгалыг зохицуулна:

map dc0 10.0.10.0/29 -> 0/32 proxy port 21 ftp/tcp

Доорх дүрэм гарцаас ирж буй FTP урсгалыг зохицуулна:

map dc0 0.0.0.0/0 -> 0/32 proxy port 21 ftp/tcp

Доорх дүрэм дотоод LAN-с ирж буй бүх FTP-н биш урсгалыг зохицуулна:

map dc0 10.0.10.0/29 -> 0/32

FTP оноолтын дүрэм нь бидний ердийн оноолтын дүрмүүдийн өмнө бичигдэнэ. Бүх пакетийг хамгийн дээр бичигдсэн дүрмээс эхлэн шалгана. Интерфэйсийн нэр тохирвол дотоод LAN эхлэл IP хаяг, дараа нь FTP пакет эсэхийг шалгана. Хэрэв бүгд тохирвол, тусгай FTP прокси эдгээр FTP сесс пакетуудыг NAT хийхээс гадна гадагш нь болон дотогш нь нэвтрүүлэх түр зуурын шүүлтийн дүрмийг үүсгэнэ. FTP-н биш бусад бүх LAN пакетууд эхний дүрмэнд тохирохгүй тул гуравдугаар дүрэм уруу шилжин дахин шалгагдана. Интерфэйс болон эхлэл IP тохирох тул NAT хийгдэнэ.

#### 31.5.21.2. IPNAT FTP Шүүлтийн Дүрмүүд

NAT FTP прокси ашиглаж байгаа тохиолдолд FTP-н хувьд ганцхан шүүлтийн дүрэм хэрэгтэй.

FTP Прокси байхгүй бол дараах гурван дүрмийг хэрэглэнэ:

# Allow out LAN PC client FTP to public Internet # Active and passive modes pass out quick on rl0 proto tcp from any to any port = 21 flags S keep state # Allow out passive mode data channel high order port numbers pass out quick on rl0 proto tcp from any to any port > 1024 flags S keep state # Active mode let data channel in from FTP server pass in quick on rl0 proto tcp from any to any port = 20 flags S keep state

Өмнөх | Дээш | Дараах
31.4. OpenBSD Пакет шүүгч (PF) ба ALTQ | Эхлэл | 31.6. IPFW

Энэ болон бусад баримтуудыг ftp://ftp.FreeBSD.org/pub/FreeBSD/doc/ хаягаас татаж авч болно.

FreeBSD-ийн талаар <questions@FreeBSD.org> хаягтай холбоо барихаасаа өмнө баримтыг уншина уу.
Энэ бичиг баримттай холбоотой асуулт байвал <doc@FreeBSD.org> хаягаар цахим захидал явуулна уу.
Энэ бичиг баримтын орчуулгатай холбоотой асуулт байвал <admin@mnbsd.org> хаягаар цахим захидал явуулна уу.