Entendendo TCP/IP (Parte 6) - Firewall

O iptables é uma ferramenta que administra o módulo netfilter do sistema operacional e está presente desde a versão 2.4 do kernel.

Para usá-lo, é necessário possuir direitos administrativos no equipamento. No caso improvável de você não ter o iptables, basta instalá-lo através do gerenciador de aplicativos da tua distribuição.

No Debian, use:

# apt-get install iptables

Antes de entrarmos nas regras de firewall, é preciso entender como o iptables trabalha. O iptables possui 3 cadeias (chain), que são caminhos diferentes por onde os pacotes de rede passam.

Todo dado que se origina no firewall e o que está saindo dele, usa a chain OUTPUT. Pacotes destinados ao firewall, usam a chain INPUT.

Há ainda uma outra chain, FORWARD, destinada a tratar pacotes de dados que estão passando pelo firewall, mas não se originam nele e nem tem ele como destino; esse é o caso se você está configurando o firewall no gateway da rede.

Quando alguém em sua rede acessa a internet, por exemplo, esse dado passa pelo firewall, mas nem a origem e nem o destino são o firewall. A figura abaixo exemplifica isso:
As ações podem ser ACCEPT, REJECT e DROP. A diferença entre REJECT e DROP, é que REJECT envia uma resposta ao remetente. Enquanto que DROP, simplesmente descarta o pacote como se ele nunca tivesse existido.

Para listar as regras atuais, digite:

# iptables -L

 Chain INPUT (policy ACCEPT)
 target     prot opt source        destination

 Chain FORWARD (policy ACCEPT)
 target     prot opt source        destination

 Chain OUTPUT (policy ACCEPT)
 target     prot opt source        destination

Para começar a brincadeira, vamos primeiramente ativar o Statefull, conforme expliquei acima:

# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

Fazendo isso, você evita a criação de duas regras para cada liberação.

Vamos ver as mudanças:

# iptables -L

 Chain INPUT (policy ACCEPT)
 target     prot opt source     destination
 ACCEPT     all  --  anywhere   anywhere     state RELATED,ESTABLISHED

 Chain FORWARD (policy ACCEPT)
 target     prot opt source     destination
 ACCEPT     all  --  anywhere   anywhere     state RELATED,ESTABLISHED

 Chain OUTPUT (policy ACCEPT)
 target     prot opt source     destination
 ACCEPT     all  --  anywhere   anywhere     state RELATED,ESTABLISHED

Agora, vamos definir a regra padrão. Em um caso mais simples possível, considere que estamos criando as regras de firewall em um desktop normal (portanto, não teremos FORWARD).

Vamos configurar INPUT como DROP e OUTPUT, como ACCEPT. Em outras palavras, esse desktop poderá sair para qualquer lugar, mas ninguém poderá se conectar nele.

# iptables -P INPUT DROP
# iptables -P OUTPUT ACCEPT
# iptables -L

 Chain INPUT (policy DROP)
 target     prot opt source       destination

 Chain FORWARD (policy ACCEPT)
 target     prot opt source       destination

 Chain OUTPUT (policy ACCEPT)
 target     prot opt source       destination

Agora podemos notar que a regra padrão de INPUT é DROP.

Vamos tentar pingar o desktop através de outro equipamento:

ping -c 1 172.20.1.145

 PING 172.20.1.145 (172.20.1.145) 56(84) bytes of data.

 --- 172.20.1.145 ping statistics ---
 1 packets transmitted, 0 received, 100% packet loss, time 0ms

arp -na | grep 172.20.1.145

 ? (172.20.1.145) em 00:25:90:2b:35:de [ether] em br0

Apesar de não termos resposta, podemos perceber pelo arp que o equipamento está na rede, pois a resolução ARP, como expliquei nos artigos anteriores, é feita antes que o firewall entre em ação.