{"id":4748,"date":"2019-08-19T18:44:02","date_gmt":"2019-08-19T21:44:02","guid":{"rendered":"https:\/\/blog.clusterweb.com.br\/?p=4748"},"modified":"2019-08-19T18:44:02","modified_gmt":"2019-08-19T21:44:02","slug":"recursos-avancados-do-netfilter-iptables","status":"publish","type":"post","link":"https:\/\/blog.clusterweb.com.br\/?p=4748","title":{"rendered":"Recursos avan\u00e7ados do netfilter \/ iptables"},"content":{"rendered":"

Introdu\u00e7\u00e3o<\/span><\/h3>\n

\u00c9 comumente conhecido que o netfilter \/ iptables \u00e9 o firewall do sistema operacional Linux.\u00a0O que n\u00e3o \u00e9 comumente conhecido \u00e9 que o iptables tem muitas gemas escondidas que podem permitir que voc\u00ea fa\u00e7a coisas com seu firewall que voc\u00ea nunca imaginou.\u00a0Neste artigo, vou apresentar muitos desses recursos com alguns usos pr\u00e1ticos.\u00a0Se voc\u00ea n\u00e3o estiver\u00a0<\/span>au fait<\/span><\/em>\u00a0com as no\u00e7\u00f5es b\u00e1sicas de iptables, ent\u00e3o voc\u00ea deve ler o meu artigo anterior no Di\u00e1rio ”\u00a0<\/span>Firewalling com netfilter \/ iptables<\/span>\u00a0“.<\/span><\/p>\n

<\/p>\n

Os seguintes recursos s\u00e3o discutidos:<\/span><\/p>\n

    \n
  1. Especificando v\u00e1rias portas em uma regra<\/span><\/li>\n
  2. Balanceamento de carga<\/span><\/li>\n
  3. Restringindo o n\u00famero de conex\u00f5es<\/span><\/li>\n
  4. Manter uma lista de conex\u00f5es recentes para combinar<\/span><\/li>\n
  5. Correspond\u00eancia com uma cadeia na carga de dados de um pacote<\/span><\/li>\n
  6. Regras baseadas em tempo<\/span><\/li>\n
  7. Definindo cotas de transfer\u00eancia<\/span><\/li>\n
  8. Correspond\u00eancia de pacotes com base nos valores de TTL<\/span><\/li>\n<\/ol>\n

    Todos os recursos discutidos neste artigo s\u00e3o extens\u00f5es para os m\u00f3dulos de correspond\u00eancia de pacotes do iptables.\u00a0I utilizado apenas duas destas extens\u00f5es no artigo anterior: o\u00a0<\/span>--state<\/code>m\u00f3dulo que nos permitiu realizar uma filtragem pacotes com base em se eram\u00a0<\/span>NEW<\/code>,\u00a0<\/span>ESTABLISHED<\/code>,\u00a0<\/span>RELATED<\/code>ou\u00a0<\/span>INVALID<\/code>conex\u00f5es;\u00a0e a\u00a0<\/span>multiport<\/code>\u00a0extens\u00e3o, da qual eu irei detalhar mais neste artigo.<\/span><\/p>\n

    Alguns dos m\u00f3dulos introduzidos neste artigo (marcados com um asterisco) ainda n\u00e3o entraram no kernel padr\u00e3o do Linux, mas um utilit\u00e1rio netfilter chamado “patch-o-matic” pode ser usado para adicion\u00e1-los ao seu pr\u00f3prio kernel e isso ser discutido no final do artigo.<\/span><\/p>\n

    1. Especificando M\u00faltiplas Portas com\u00a0<\/span>multiport<\/code><\/h3>\n

    O\u00a0<\/span>multiport<\/code>m\u00f3dulo permite especificar um n\u00famero de portas diferentes em uma regra.\u00a0Isso permite menos regras e facilita a manuten\u00e7\u00e3o dos arquivos de configura\u00e7\u00e3o do iptables.\u00a0Por exemplo, se quisermos permitir acesso global \u00e0s portas SMTP, HTTP, HTTPS e SSH em nosso servidor, normalmente usar\u00edamos algo como o seguinte:<\/span><\/p>\n

    -A INPUT -i eth0 -p tcp -m state --state NOVO --dport ssh -j ACCEPT<\/span>\r\n-A INPUT -i eth0 -p tcp -m state --state NOVO --dport smtp -j ACCEPT<\/span>\r\n-A INPUT -i eth0 -p tcp -m state --state NOVO --dport http -j ACCEPT<\/span>\r\n-A INPUT -i eth0 -p tcp -m state --state NOVO --dport https -j ACCEPT<\/span>\r\n<\/pre>\n
    Usando o\u00a0<\/span>multiport<\/code>m\u00f3dulo de correspond\u00eancia, podemos agora escrever:<\/span><\/p>\n
    -A INPUT -i eth0 -p tcp -m state --state NOVO -m multiport --dports ssh, smtp, http, https -j ACEITAR\r\n<\/span><\/pre>\n
    Ele deve ser usado em conjunto com\u00a0<\/span>-p tcp<\/code>ou\u00a0<\/span>-p udp<\/code>somente at\u00e9 15 portas podem ser especificadas.\u00a0As op\u00e7\u00f5es suportadas s\u00e3o:<\/span><\/p>\n
    \n
    \n
    --sports port[,port,port...]<\/code><\/dt>\n
    corresponde \u00e0 (s) porta (s) de origem<\/span><\/dd>\n
    --dports port[,port,port...]<\/code><\/dt>\n
    corresponde ao (s) porto (es) de destino<\/span><\/dd>\n
    --ports port[,port,port...]<\/code><\/dt>\n
    corresponde \u00e0 (s) porta (s) de origem e destino<\/span><\/dd>\n<\/dl>\n<\/blockquote>\n
    mport<\/code>*<\/span><\/sup>\u00a0\u00e9 outra extens\u00e3o semelhante que tamb\u00e9m permite que voc\u00ea especifique intervalos de porta, por exemplo\u00a0<\/span>--dport 22,80,6000:6100<\/code>.<\/span><\/p>\n
    2. Balanceamento de carga com\u00a0<\/span>random<\/code>*<\/span><\/sup>\u00a0ou\u00a0<\/span>nth<\/code>*<\/span><\/sup><\/h3>\n
    Tanto o\u00a0<\/span>random<\/code>e\u00a0<\/span>nth<\/code>extens\u00f5es podem ser usadas para balanceamento de carga.\u00a0Se, por exemplo, voc\u00ea desejasse equilibrar o tr\u00e1fego da Web recebido entre quatro servidores da Web espelhados, voc\u00ea poderia adicionar um dos seguintes conjuntos de regras \u00e0 sua<\/span>nat<\/code>tabela:<\/span><\/p>\n
    -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NOVO -m nth --contador 0 --todos os 4 --pacote 0 \\<\/span>\r\n    -j DNAT - para destino 192.168.0.5:80<\/span>\r\n-A PREROUTING -i eth0 -p tcp --dporta 80 -m state --state NEW -m nth --contador 0 --todos os 4 --pacote 1 \\<\/span>\r\n    -j DNAT - para destino 192.168.0.6:80<\/span>\r\n-A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NOVO -m nth --contador 0 --todos 4 --pacote 2 \\<\/span>\r\n    -j DNAT - para destino 192.168.0.7:80<\/span>\r\n-A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NOVO -m nth --contador 0 --todos 4 --pacote 3 \\<\/span>\r\n    -j DNAT - para destino 192.168.0.8:80<\/span>\r\n<\/pre>\n
    ou:<\/span><\/p>\n
    -A PREROUTING -i eth0 -p tcp --dporta 80 -m state --state NEW -m random - m\u00e9dia 25 \\<\/span>\r\n    -j DNAT - para destino 192.168.0.5:80<\/span>\r\n-A PREROUTING -i eth0 -p tcp --dporta 80 -m state --state NEW -m random - m\u00e9dia 25 \\<\/span>\r\n    -j DNAT - para destino 192.168.0.6:80<\/span>\r\n-A PREROUTING -i eth0 -p tcp --dporta 80 -m state --state NEW -m random - m\u00e9dia 25 \\<\/span>\r\n    -j DNAT - para destino 192.168.0.7:80<\/span>\r\n-A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NOVO \\<\/span>\r\n    -j DNAT - para destino 192.168.0.8:80<\/span>\r\n<\/pre>\n
    A\u00a0<\/span>nth<\/code>extens\u00e3o correspondente permite que voc\u00ea corresponda ao en\u00e9simo pacote recebido pela regra.\u00a0Existem at\u00e9 16 (0 … 15) contadores para corresponder aos en\u00e9simos pacotes.\u00a0As quatro\u00a0<\/span>nth<\/code>regras\u00a0acima (\u00a0) usam o contador 0 para contar cada 4\u00ba pacote.\u00a0Depois que o 4\u00ba pacote \u00e9 recebido, o contador \u00e9 zerado.\u00a0A primeira regra corresponde ao primeiro pacote (\u00a0<\/span>--packet 0<\/code>) de cada quatro contados, a segunda regra corresponde ao segundo pacote (\u00a0<\/span>--packet 0<\/code>) e assim por diante.<\/span><\/p>\n
    A\u00a0<\/span>random<\/code>extens\u00e3o correspondente permite combinar pacotes com base em uma determinada probabilidade.\u00a0A primeira regra do conjunto de\u00a0<\/span>random<\/code>regras acima corresponde a 25% (\u00a0<\/span>--average 25<\/code>) das conex\u00f5es TCP para a porta 80 e as redireciona para o primeiro servidor da Web espelhado.\u00a0Dos 75% de conex\u00f5es que n\u00e3o coincidem na primeira regra, 25% corresponder\u00e3o ao segundo e 25% corresponder\u00e3o ao terceiro.\u00a0Os restantes 25% ser\u00e3o apanhados pela quarta regra.<\/span><\/p>\n
    Outro uso da\u00a0<\/span>random<\/code>extens\u00e3o seria simular uma conex\u00e3o de rede defeituosa para avaliar o desempenho do hardware \/ software de rede, etc.<\/span><\/p>\n
    3. Restringindo o n\u00famero de conex\u00f5es com\u00a0<\/span>limit<\/code>e\u00a0<\/span>iplimit<\/code>*<\/span><\/sup><\/h3>\n
    A\u00a0<\/span>limit<\/code>extens\u00e3o correspondente pode ser usada para limitar o n\u00famero de vezes que uma regra corresponde em um determinado per\u00edodo de tempo, enquanto a\u00a0<\/span>iplimit<\/code>extens\u00e3o pode restringir o n\u00famero de conex\u00f5es TCP paralelas de um determinado host ou rede.\u00a0Essas extens\u00f5es podem ser usadas para v\u00e1rias finalidades:<\/span><\/p>\n