LPI-2 202-450 Topico 212.1
Configuração de roteador

Para um melhor aproveitamento desse tópico é importante conhecimento prévio sobre TCP/IP

O primeiro passo para evitar problemas numa rede é assegurar-se da escolha correta dos endereços de IP. O IANA (Internet Assigned Numbers Authority) define três categorias para os endereços de IP:

Categoria 1

Endereços que não precisam ter acesso a outros endereços em redes externas ou na Internet. Os endereços nessa categoria podem até utilizar números de IP existentes em redes externas, mas devem ser únicos na rede local;

Categoria 2

Endereços que precisam ter acesso a alguns serviços externos (EMail, FTP, www) que podem ser mediados via gateway. Como na categoria anterior pode-se atribuir a hosts dessa categoria endereços de outras redes externas, mas eles tem que ser únicos na rede local;

Categoria 3

Endereços que necessitam de conectividade direta com a Internet. Os endereços de IP dessa categoria devem ser únicos em toda a Internet

Os endereços na primeira e segunda categoria são chamados endereços privados. Já os da terceira categoria são os endereços públicos. Os endereços IP reservados para redes privadas são delimitados dentro das classes mostradas na Tabela 1.

Como os endereços privados são de competência exclusiva da rede local onde existem, as regras para criação de máscaras de rede são flexíveis, esta pode ser manipulada para melhor atender as necessidades da rede ou a preferência do administrador.

As redes privadas comunicam-se com a Internet por meio de um roteador, que por sua vez comunica-se tanto com a rede privada interna quanto com a rede externa, por meio de um IP público. A tabela de rotas do roteador determina pra onde devem ser encaminhados os pacotes que o roteador receber. O principal comando para manejo de rotas é o route. Utilizando o route para verificar as rotas do roteador:

┌─[root@centos7lpi]──[22:12]──[~]
└─[1001]─># route -n
Tabela de Roteamento IP do Kernel
Destino         Roteador        MáscaraGen.    Opções Métrica Ref   Uso Iface
192.168.3.0     0.0.0.0         255.255.255.0   U     0      0        0 eth1
192.168.6.0     0.0.0.0         255.255.255.0   U     0      0        0 eth2
192.168.5.0     0.0.0.0         255.255.255.0   U     0      0        0 eth3
0.0.0.0         191.252.222.1   0.0.0.0         UG    0      0        0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U     1002   0        0 eth0
127.0.0.0       0.0.0.0         255.0.0.0       U     0      0        0 lo
191.252.222.0   0.0.0.0         255.255.255.0   U     0      0        0 eth0

Essa é uma tabela de rotas típica de um computador que age como roteador e gateway. Existem quatro interfaces de rede conectadas e configuradas. Três delas conectam-se a redes locais e uma à Internet (endereço público). Também a interface lo, interface de comunicação interna que não corresponde a nenhuma rede externa, possui um endereço privado.

Todos os pacotes que chegarem serão direcionados aos respectivos destinos nas redes locais. Se o destino de um pacote não pertence a nenhum host em uma rede local, este será direcionado ao gateway padrão, indicado na linha da tabela com a flag UG. Apesar de, via de regra, a rota para uma rede ser automaticamente criada quando a interface é configurada, pode ser necessário adicionar uma rota manualmente. Essa tarefa pode ser realizada com o comando route.

route add -net 192.168.1.0 netmask 255.255.255.0 dev eth1

Este comando adiciona a routa para a rede 192.168.1.0/24, por meio da interface eth1. Para criar uma rota padrão (default), outra forma é utilizada:

route add default gw 192.168.1.1

Essa forma na verdade é um atalho para a forma extensa:

route add -net 0.0.0.0 netmask 0.0.0.0 gw 192.168.1.1

De maneira praticamente idêntica, rotas podem ser removidas utilizando del no lugar do termo add.

Talvez, uma das áreas mais freqüentemente negligenciadas na configuração de um servidor GNU/Linux envolva o sistema de arquivos /proc. A pseudo-estrutura de arquivos dentro de /proc permite que você interaja com as estruturas de dados internas do kernel, seja obtendo informações sobre o sistema ou alterando configurações específicas. Algumas das partes de /proc são somente leitura, enquanto outras podem ser editadas. É referido como um sistema de arquivos virtual, pois não ocupa nenhum espaço real no disco rígido; os arquivos são criados sob demanda quando são acessados.

Os diretórios /proc/sys/net/ipv4 e /proc/sys/net/ipv6 contém variáveis que podem ser editadas para modificar o comportamento do kernel em atividades relacionadas a redes. Algumas dessas variáveis, quando usadas em conjunto com outras, são úteis em prevenção de ataques ao sistema ou permitir e não permitir o uso do sistema como um roteador.

Segue a lista de algumas das variáveis mais importantes:

icmp_destunreach_rate, icmp_echoreply_rate, icmp_paramprob_rate e icmp_timeexeed_rate

Define a taxa máxima de envio de pacotes ICMP, em 1/100 de segundo, para hosts sob certas condições. Uma configuração de 0 remove qualquer atraso e não é uma boa ideia;

icmp_echo_ignore_all e icmp_echo_ignore_broadcasts

Permite que o kernel ignore pacotes ICMP ECHO de cada host ou apenas aqueles originados de endereços de broadcast e multicast, respectivamente. Um valor de 0 permite que o kernel responda, enquanto um valor de 1 ignora os pacotes;

ip_default_ttl

Define o Time To Live (TTL) padrão, que limita o número de saltos que um pacote pode fazer antes de chegar ao seu destino. Aumentar esse valor pode diminuir o desempenho do sistema;

ip_forward

Permite que as interfaces do sistema encaminhem pacotes entre si, fazendo o sistema atuar como um roteador;

rp_filter

Se o encaminhamento de pacotes for ativado, você também poderá modificar a configuração rp_filter; algo que muitas vezes é mal compreendido pelos administradores de rede. O rp_filter pode rejeitar pacotes de entrada se seu endereço de origem não corresponder à interface de rede na qual eles estão chegando, o que ajuda a prevenir falsificação de IP. Ativar isso, no entanto, tem suas consequências: se seu host tiver vários endereços IP em interfaces diferentes, ou se sua única interface tiver vários endereços IP, você descobrirá que seu kernel pode acabar rejeitando tráfego válido. Também é importante observar que, mesmo se você não habilitar o rp_filter, a proteção contra broadcast spoofing estará sempre ativada. Além disso, a proteção que ele fornece é apenas contra endereços internos falsificados; endereços externos ainda podem ser falsificados. Por padrão fica ativo.

ip_local_port_range

Especifica o intervalo de portas a serem usadas por TCP ou UDP quando uma porta local é necessária. O primeiro número é a porta mais baixa a ser usada e o segundo número especifica a porta mais alta. Qualquer sistema que espera exigir mais portas do que o padrão 1024 a 4999 deve usar um intervalo de 32768 a 61000;

tcp_syn_retries

Fornece um limite para o número de vezes que o sistema retransmite um pacote SYN ao tentar fazer uma conexão;

tcp_retries1

Define o número de retransmissões permitidas tentando responder a uma conexão de entrada. Padrão de 3;

tcp_retries2

Define o número de retransmissões permitidas de pacotes TCP. Padrão de 15;

tcp_syncookies

esta opção é disponível quando um kernel está compilado com a opção CONFIG_SYN_COOKIES, ela define que sejam enviados syncookies quando a fila de backlog de syn destinada a um socket estourar. É útil para evitar ataques de inundação de syn (syn flood attack).

Dê uma atenção especial aos parâmetros rp_filter, tcp_syncookies e ip_forward (este último por medidas de segurança, só deve ser quando realmente queremos utilizar o sistema como um roteador).

Hoje a maioria dos sistemas operacionais modernos conta com um sistema de filtragem de pacotes, os famosos Firewalls.

O GNU/Linux conta com um firewall implementado diretamente no kernel que é o netfilter (a grafia do nome é assim mesmo, com letra minúscula), que provê filtragem de pacotes, tradução de endereços de rede (NAT) tradução de portas (PAT), log de pacotes, organização do fluxo de dados em filas (para controles de qualidade de serviço) e mais.

Hoje existem duas ferramentas em espaço de usuário para interagir "diretamente" com o netfilter, o iptables e o nftables, este último é a nova ferramenta de espaço de usuário, não abordaremos ele em nossos estudos pois está fora do escopo da prova, mas é importante saber de sua existência.

O assunto sobre iptables é bastante longo aqui vamos focar no essencial para o exame LPIC2. Posto isso podemos definir que o iptables trabalha com tabelas! Aqui iremos abordar três delas:

1. Filter: Usada para a filtragem de pacotes;
2. NAT: Tabela responsável pelas traduções;
3. Mangle: Pode ser usada para marcação de pacotes que posteriormente essas marcas posteriormente são usadas para processamento dos pacotes.

A arquitetura do iptables agrupa regras de processamento de pacotes de rede dentro das tabelas por função (filtragem de pacotes, tradução de endereços e mangle), cada uma das tabelas tem chains (sequências) de regras de processamento. As regras consistem em matches (definições para "casar" um pacote) e targets (alvos, que determinam o que será feito aos pacotes que "casarem" com as regras.

Descritivo das chains:

PREROUTING

configurada para bloquear, redirecionar ou permitir o pacote para a próxima cadeia. Normalmente, usado para redirecionar o pacote para outro endereço e/ou porta. (DNAT ou tradução de destino). Se o destino for local (esta máquina), envie para a cadeia INPUT. Se for direcionado para outra rede, será enviado para a cadeia FORWARD;

INPUT

recebe regras para o pacote ser bloqueado, registrado ou enviado ao sistema local para ser gerenciado pelo cliente, aplicativo ou serviço apropriado;

OUTPUT

o pacote é enviado do firewall para a rede até seu destino final. (As regras geralmente não são aplicadas nesta chain);

FORWARD

os pacotes nessa chain são destinados a alvos como bloqueio, log ou enviados para a chain POSTROUTING.

POSTROUTING

executa mudanças para o pacote que está saindo do firewall, geralmente usado para regras de mascaramento (masquerading).

Como as tabelas e as chains se relacionam? Todas as três tabelas (FILTER, NAT e MANGLE) podem estar presentes em chains, mas nem toda chain participa de todas as tabelas:

Como as regras são quebradas no sistema de firewall? As chains são pontos de filtragem onde podemos criar regras, e as regras são aplicadas à passagem de pacotes. As regras definem o que exatamente deve acontecer com um pacote.

Os sistemas operacionais UNIX armazenam o que é chamado de arquivo de serviços em /etc/services. Ele armazena informações sobre vários serviços que os aplicativos cliente podem usar no computador. Dentro do arquivo estão o nome do serviço, o número da porta e o protocolo que ele usa, e todos os aliases aplicáveis. Os números das portas são mapeados para serviços específicos, da mesma forma que o arquivo /etc/hosts mapeia um nome de host para um endereço IP. No entanto, o arquivo de serviços do UNIX não inclui endereços IP, mas sim informações como se o serviço é TCP ou UDP e quais nomes comuns ele pode ter.