Firewall/Proxy (solução completa)
Nesse artigo tento passar da melhor forma possível uma receita para configuração de um firewall/proxy com grande ênfase em segurança.
Instalando a distro Slackware 10.2
Processador AMD K7 900MHz
256 MB de RAM
HD Ide 40 GB
HD Ide 40 GB para RAID
2 placas de rede Realtek
Estrutura de particionamento do disco:
hda1 / 9GB partição raiz hda2 /swap 512MB memória virtual hda3 /cache 30GB cache do SquidLembrando que vamos usar a implementação do RAID 1.
A instalação do distro Slackware pode ser realizada por um excelente artigo do slackware-brasil:
Após a instalação, recomendo dar uma geral no sistema, segue outro link ótimo:
Páginas do artigo
1. Instalando a distro Slackware 10.22. Configuração de rede (interfaces de rede), autenticação com ADSL para empresas
3. Atualização de pacotes (Iptables e OpenSSH)
4. Analisando o cenário da empresa para a o desenvolvimento das regras do firewall e do acesso a web-sites
5. Configurando o firewall
6. Instalando e configurando o squid-cache
7. Acertando uns detalhes do Squid
8. Instalando o IDS Portsentry
9. Configurando o Raid 1 (software)
10. Configurações Finais
Outros artigos deste autor
Montando um servidor X com o Linux
Leitura recomendada
Como criar um firewall de baixo custo para sua empresa
Squid/IPtables - Bloqueando Facebook e personalizando IP de acesso irrestrito (definitivo)
Comentários
Companheiro seu artigo é muito bom mesmo. era exatamente o que eu precisava. Meus sinceros parabens!!!
Seguinte...
Ao rodar o comando squid -z apresenta o seguinte erro:
2006/07/11 13:20:25| strtokFile: /etc/squid/adm not found
2006/07/11 13:20:25| aclParseAclLine: WARNING: empty ACL: acl adm proxy_auth "/etc/squid/adm"
2006/07/11 13:20:25| ACL name 'SSL_ports' not defined!
FATAL: Bungled squid.conf line 60: http_access deny CONNECT !SSL_ports
Squid Cache (Version 2.5.STABLE9): Terminated abnormally.
Como resolver isto???
Ao rodar o comando squid -z apresenta o seguinte erro:
2006/07/11 13:20:25| strtokFile: /etc/squid/adm not found
2006/07/11 13:20:25| aclParseAclLine: WARNING: empty ACL: acl adm proxy_auth "/etc/squid/adm"
2006/07/11 13:20:25| ACL name 'SSL_ports' not defined!
FATAL: Bungled squid.conf line 60: http_access deny CONNECT !SSL_ports
Squid Cache (Version 2.5.STABLE9): Terminated abnormally.
Como resolver isto???
Vc chegou a criar o arquivo adm, e se estiver já existe algum usuário dentro do arquivo?
criei o arquivo e coloquei um usuário dentro.
agora está apresentando:
2006/07/12 10:32:38| ACL name 'SSL_ports' not defined!
FATAL: Bungled squid.conf line 60: http_access deny CONNECT !SSL_ports
Squid Cache (Version 2.5.STABLE9): Terminated abnormally.
agora está apresentando:
2006/07/12 10:32:38| ACL name 'SSL_ports' not defined!
FATAL: Bungled squid.conf line 60: http_access deny CONNECT !SSL_ports
Squid Cache (Version 2.5.STABLE9): Terminated abnormally.
tiagonux encontrei o erro e resolvi, foi erro humano...desculpe.
agora ele apresentou o seguinte erro:
2006/07/12 10:53:23| squid.conf line 61: http_access adm rede_interna
2006/07/12 10:53:23| aclParseAccessLine: expecting 'allow' or 'deny', got 'adm'.
2006/07/12 10:53:23| ACL name '#Efetivando' not defined!
FATAL: Bungled squid.conf line 62: http_access allow user1 permit_user1 rede_interna #Efetivando a acl
Squid Cache (Version 2.5.STABLE9): Terminated abnormally.
agora ele apresentou o seguinte erro:
2006/07/12 10:53:23| squid.conf line 61: http_access adm rede_interna
2006/07/12 10:53:23| aclParseAccessLine: expecting 'allow' or 'deny', got 'adm'.
2006/07/12 10:53:23| ACL name '#Efetivando' not defined!
FATAL: Bungled squid.conf line 62: http_access allow user1 permit_user1 rede_interna #Efetivando a acl
Squid Cache (Version 2.5.STABLE9): Terminated abnormally.
tiagonux
acertei todos os erros e agora já estou na faze de teste.
muito bom o seu artigo.
Parabéns e valeu pela atenção
acertei todos os erros e agora já estou na faze de teste.
muito bom o seu artigo.
Parabéns e valeu pela atenção
Parabéns, excelente artigo.
Artigo muito bom mesmo e está me ajudando muito, mas estou com um pequeno problema, ao colocar no arquivo rc.local a linha /firewall/rc.firewall, e ao reiniciar meu Slackware 10.2 aparece o erro "cannot execute binary file" e não funciona o firewall, o que devo fazer, podem me ajudar ?
Parabéns, obrigado
Artigo muito bom mesmo e está me ajudando muito, mas estou com um pequeno problema, ao colocar no arquivo rc.local a linha /firewall/rc.firewall, e ao reiniciar meu Slackware 10.2 aparece o erro "cannot execute binary file" e não funciona o firewall, o que devo fazer, podem me ajudar ?
Parabéns, obrigado
Seguinte, dê um chmod +x /firewall/rc.firewall que resolverá seu problema.
Valeu, muito obrigado, vou verificar,
Em primeiro lugar quero lhe parabenizar pelo excente artigo, ficou show mesmo.
Vc conhece alguma ferramenta tipo PHP que me permita criar uma forma gráfica de manipular estes scripts do iptables e etc.
A minha ideia é criar uma forma grafica tipo as configurações dos modens adsl atuais, vc chama por um browse de internet e configura de forma visual.
Vc conhece alguma ferramenta tipo PHP que me permita criar uma forma gráfica de manipular estes scripts do iptables e etc.
A minha ideia é criar uma forma grafica tipo as configurações dos modens adsl atuais, vc chama por um browse de internet e configura de forma visual.
Cara no meu proxy tá dando a mesma mensagem que o arquivo não existe, mas ele tá lá e tem informações nele, já tentei mudar o caminho e colocálo em outra pasta mas a mensagem é sempre a mesma:
squid -k reconfigure
2006/10/17 11:57:23| strtokFile: /etc/squid/usuarios/master.txt not found
2006/10/17 11:57:23| strtokFile: /etc/squid/liberados/master.txt not found
2006/10/17 11:57:23| aclParseAclLine: WARNING: empty ACL: acl master_liberado url_regex -i "/etc/squid/liberados/master.txt"
Já tô ficando chateado com isso, alguém pode me ajudar???
squid -k reconfigure
2006/10/17 11:57:23| strtokFile: /etc/squid/usuarios/master.txt not found
2006/10/17 11:57:23| strtokFile: /etc/squid/liberados/master.txt not found
2006/10/17 11:57:23| aclParseAclLine: WARNING: empty ACL: acl master_liberado url_regex -i "/etc/squid/liberados/master.txt"
Já tô ficando chateado com isso, alguém pode me ajudar???
Olá tiagonux,
Parabéns pelo seu artigo. Muito bom mesmo!
Por gentileza me tire as seguintes dúvidas:
1) Tanto o PRIMEIRO como SEGUNDO disco devem utilizar o sistema de arquivos "ReiserFS" ou somente no SEGUNDO disco?
2) Para configurar o RAID 1 (software) não posso utilizar o sistema de arquivos "EXT3"?
3) Caso ocorra PANE em um dos disco, qual a forma correta de se recuparar os DADOS contidos nos DISCOS? O procedimento adotado fale para ambos os DISCOS ou não?
4) Existe queda de performance no servidor com o uso de RAID?
Muito obrigado pela sua atenção e aguardo retorno.
Parabéns pelo seu artigo. Muito bom mesmo!
Por gentileza me tire as seguintes dúvidas:
1) Tanto o PRIMEIRO como SEGUNDO disco devem utilizar o sistema de arquivos "ReiserFS" ou somente no SEGUNDO disco?
2) Para configurar o RAID 1 (software) não posso utilizar o sistema de arquivos "EXT3"?
3) Caso ocorra PANE em um dos disco, qual a forma correta de se recuparar os DADOS contidos nos DISCOS? O procedimento adotado fale para ambos os DISCOS ou não?
4) Existe queda de performance no servidor com o uso de RAID?
Muito obrigado pela sua atenção e aguardo retorno.
Vou responder em ordem:
1) O Sistema de arquivos do PRIMEIRO DISCO no caso pode até ser outro, sendo que isto não tenho certeza, vc poderia testar p/ a gente ai e comentar a experiência depois.
2)Sim vc pode utilizar perfeitamente o EXT3.
3)Bom se ocorrer de uma pane em um disco, vamos supor que seja o PRIMEIRO, só temos que averigar se vai estar tudo ok com a MBR do SEGUNDO e jumpear(configuracão da posição do disco SLAVE,MASTER) de acordo com PRIMEIRO disco e iniciar o mesmo. Isto deve-se ser manual pois é RAID via software, se tivessemos usando o RAID via hardware, poderiamos dependendo do servidor tirar o DISCO quebrado e colocar outro com o servidor em operação. Como utilizamos o RAID via software deveremos desligar o servidor e realizar a mudança manualmente, e colocar outro disco no lugar do quebrado.
4)Não existe não, vc poderará ter queda em servidores que terá muita escrita no DISCO, pois tudo o que é escrito em um é replicado p/ o outro via software. Já com o RAID de hardware a história é diferente, pois o sistema operacional nem sabe se está sob um tipo de RAID.
ISTO se tratando de RAID 1.
1) O Sistema de arquivos do PRIMEIRO DISCO no caso pode até ser outro, sendo que isto não tenho certeza, vc poderia testar p/ a gente ai e comentar a experiência depois.
2)Sim vc pode utilizar perfeitamente o EXT3.
3)Bom se ocorrer de uma pane em um disco, vamos supor que seja o PRIMEIRO, só temos que averigar se vai estar tudo ok com a MBR do SEGUNDO e jumpear(configuracão da posição do disco SLAVE,MASTER) de acordo com PRIMEIRO disco e iniciar o mesmo. Isto deve-se ser manual pois é RAID via software, se tivessemos usando o RAID via hardware, poderiamos dependendo do servidor tirar o DISCO quebrado e colocar outro com o servidor em operação. Como utilizamos o RAID via software deveremos desligar o servidor e realizar a mudança manualmente, e colocar outro disco no lugar do quebrado.
4)Não existe não, vc poderará ter queda em servidores que terá muita escrita no DISCO, pois tudo o que é escrito em um é replicado p/ o outro via software. Já com o RAID de hardware a história é diferente, pois o sistema operacional nem sabe se está sob um tipo de RAID.
ISTO se tratando de RAID 1.
Beleza!
Muito obrigado pela sua pronta atenção e esclarecimentos.
Um forte abraço e feliz 2007.
Excelente artigo colega, ótima fonte de pesquisa....
vlw
vlw
tiagonux
gostaria de saber quais os pacotes vc recomendaria na hr da instalação do slackware??
desde já agradeço
gostaria de saber quais os pacotes vc recomendaria na hr da instalação do slackware??
desde já agradeço
Colega valeu mesmo tava precisando...
Abraço!
Abraço!
Esse Script serve para o velox! Eu tbm não entendi -> ifconfig eth1 200.x.x.7. Como faço para adaptar este script para o velox!
Pessoal estou escrevendo um artigo aqui para o viva o linux sobre scrippt de firewall, ele está completo pois levei muito tempo para desenvolve-lo e tinha objetivo de reunir as principais soluções e dúvidas sobre firewall para este artigo, mas como quero construir um bom artigo ainda está em fase de construção para o vivaolinux, entretanto estou disponibilizando no endereço
http://marcelolinux.blogspot.com/2007/07/meu-primeiro-artigo-do-vivaolinux.html
os arquivos e o artigo referente a script de firewall completo.
http://marcelolinux.blogspot.com/2007/07/meu-primeiro-artigo-do-vivaolinux.html
os arquivos e o artigo referente a script de firewall completo.
Boa tarde Tiago. Fiquei com umas dúvidas no seu tutorial do iptables. Sobre essas variáveis. O que colocar nelas? Não tenho ip fixo minha rede é 192.168.0.0/24
# Variáveis\
GW="200.x.x.1" o que deve ser colocado aqui? se deixar assim da BAD IP
IP_EXT="200.x.x.7" o que deve ser colocado aqui? se deixar assim da BAD IP
REDE="10.0.0.0/32"
e da erro nessa regra tb (BAD ARGUMENT 0.0.0.0/0)
# Tudo que for proveniente da rede local e for para
# internet tem seu endereço alterado
iptables -t nat -A POSTROUTING -d 0.0.0.0/0 -s $REDE -j SNAT --to $IP_EXT
# Variáveis\
GW="200.x.x.1" o que deve ser colocado aqui? se deixar assim da BAD IP
IP_EXT="200.x.x.7" o que deve ser colocado aqui? se deixar assim da BAD IP
REDE="10.0.0.0/32"
e da erro nessa regra tb (BAD ARGUMENT 0.0.0.0/0)
# Tudo que for proveniente da rede local e for para
# internet tem seu endereço alterado
iptables -t nat -A POSTROUTING -d 0.0.0.0/0 -s $REDE -j SNAT --to $IP_EXT
Excelente artigo.