LinuxDicas - Artigos, Dicas e Notícias Sobre o Mundo Linux

brunoctorres enviou "Fala, galera.
Esses dias estava lendo um pouco sobre firewalls e procurando a melhor forma de proteger meu pc. Depois de muita procura, me deparei com um programa muito bom e simples, chamado ipkungfu. Trata-se de um programa que trata de configurar as regras (chains) para o iptables, precisando apenas de que você configure um arquivo de configuração muito simples.

Vamos dar uma olhada nele:
Primeiro baixe a versão mais atual em
http://www.linuxkungfu.org/
descompacte o arquivo
]$tar jxvf ipkungfu-0.5.0.tar.bz2
entre no diretorio q é criado
]$cd ipkungfu-0.5.0
como root (faça um su) instale o programa com o comando
]#./install
O executavel vai ser /usr/local/sbin/ipkungfu e o diretorio de configurações /etc/ipkungfu
ainda como root, vá até este diretório
]#cd /etc/ipkungfu
Está na hora de configurar seu firewall. É muito simples. Com seu editor de textos favorito, edite o arquivo ipkungfu.conf
]#vi ipkungfu.conf
(espero que você saiba usar o vi. Se não souber use outro, explicar sobre o vi está fora do escopo deste texto.)
A primeira coisa é informar onde se encontra o programa iptables. Faça um type iptables e coloue o caminho no arquivo
IPTABLES="/sbin/iptables"
Onde fica o modprobe?
MODPROBE="/sbin/modprobe"
Depois você irá informar qual a sua interface de conexão com a internet (pppx se vc usa conexão discada ou adsl, em outros casos, tente ethx, onde x é o numero da interface)
EXT_NET="ppp0"
Agora informe a interface de conexão com a rede interna (ethx, provavelmente.)
INT_NET="eth0"
Informe, agora o campo de endereços que compoem sua rede local
LOCAL_NET="192.168.0.0/255.255.255.0" ##por exemplo##
Se quiser fazer mascaramento (é isso?) de IP (IP Masquerading) informe agora. Se vc tem apenas uma maquina, coloque 0
MASQ_LOCAL_NET=0
Você quer fazer IP forwarding (compartilhar a conexão com outras maquinas)? Se quiser, diga 1 se só tem uma maquina, 0
IP_FORWARD=0
Se você tiver algum serviço que use uma porta TCP que deseja que possa ser acessado por maquinas externas, informe as portas desses serviços aqui, separadas por um espaço. Se não quiser que nenhum serviço seja acessado externamente, nao informe nada.
ALLOWED_TCP_IN=""
O mesmo acima, só que para portas UDP
ALLOWED_UDP_IN=""
Bloquear portas
FORBIDDEN_PORTS="139"
Não quer que sua maquina responda a pings, coloque 1. Se quiser coloque 0
BLOCK_PINGS=1
A quantos pings você deseja responder?
PING_FLOOD=3
Agora voce vai decidir o que fazer com tentativas suspeitas de conexão. DROP nega e não envia nenhuma confirmação ao remetente, REJECT diz a quem enviou o pacote, que ele foi rejeitado e MIRROR vai pegar o pacote e trocar os endereços origem e destino, ou seja, vai enviar o pacote para quem o enviou. Use esta opção apenas se você realmente souber o que está fazendo...
SUSPECT="DROP"
O mesmo acima para pacotes conhecidamente inválidos
KNOWN_BAD="DROP"
O que fazer com prtscans?
PORT_SCAN="DROP
Deseja salvar as regras? (será feito se houver suporte a isso)
SAVE_RULES=1
Informe agora, como o ipkungfu vai determinar seu ip. As opções são AUTO, NONE ou o próprio IP.
GET_IP="AUTO"
Para poder se conectar sem problemas a IRCs ou outros serviços que requeiram ident na porta 113, coloque 1 aqui
DONT_DROP_IDENTD=1
Na proxima opção coloque 0 se você estiver usando o ipkungfu em uma maquina da sua LAN, caso contrario coloque 1
DISALLOW_PRIVATE=1

salve o arquivo.

Pronto. Agora rode o programa com o comando /usr/local/sbin/ipkungfu
se tudo estiver ok, ele vai iniciar automaticamente.
Lembrando que você precisa ter um kernel da versão 2.4.x com netfilter habilitado. Provavelmente quando você rodar o ipkungfu ele vai autocarregar os modulos necessários. Se isso não acontecer, carregue os seguintes módulos (não é necessário fazer isso se estiver compilado diretamente no kernel)
ip_conntracki
ptable_filter
iptable_nat
ip_tables
Se você estiver usando uma distro baseada no RedHat, será criado um script de inicialização em /etc/rc.d/init.d chamado ipkungfu
Para iniciar o firewall faça
]# /etc/rc.d/init.d/ipkungfu start
para parar
]# /etc/rc.d/init.d/ipkungfu stop
para que ele seja iniciado junto com a inicialização do linux, faça
]# chkconfig --level 2345 ipkungfu on
Agora, se sua distro não for baseada no RedHat (eu usei no Debian), eu adaptei este script para ser usado nela. (só foi testado no debian, por enquanto.)
pegue-o em
http://www.brunoctorres.hpg.ig.com.br/arquivos/ipkungfu
copie este arquivo para o diretorio /etc/init.d, dê permissoes de execução ao arquivo e crie um link no diretorio do seu runlevel padrao (no debian é o 2)
cp ipkungfu /etc/init.d
chmod 755 /etc/init.d/ipkungfu
ln -s /etc/init.d/ipkungfu /etc/rc2.d/S20ipkungfu
Agora você poderá iniciá-lo com
/etc/init.d/ipkungfu start
e parar com
/etc/init.d/ipkungfu stop

Os logs, por padrão serão colocados no arquivo /var/log/syslog.

Espero ter ajudado.
Qualquer dúvida, sugestão ou crítica não hesite em mandar um email para brunouff@yahoo.com.br"


Cadastre-se	:: Hospedagem LinuxDicas :: Acessórios LinuxDicas :: Fórum LinuxDicas