Διαχείριση & Ασφάλεια Δικτύων Διάλεξη 8 – Εργαστηρίο

Παρουσίαση με θέμα: "Διαχείριση & Ασφάλεια Δικτύων Διάλεξη 8 – Εργαστηρίο"— Μεταγράφημα παρουσίασης:

1 Διαχείριση & Ασφάλεια Δικτύων Διάλεξη 8 – Εργαστηρίο
Πανεπιστήμιο Πελοποννήσου Τμήμα Επιστήμης & Τεχνολογίας Τηλεπικοινωνιών Διαχείριση & Ασφάλεια Δικτύων Διάλεξη 8 – Εργαστηρίο Διδάσκων: Δρ. Γενειατάκης Δημήτρης Πανεπιστήμιο Πελοποννήσου 4/11/2018

2 Πανεπιστήμιο Πελοποννήσου
Περιεχόμενα IPtables 4/11/2018 Πανεπιστήμιο Πελοποννήσου

3 H περίπτωση των IPtables
Προκέιτα για ανάχωμα ασφαλείας λειτουργικών συστημάτων UNIX Όταν ένα πακέτο ληφθεί από το ανάχωμα Επεξεργάζεται απο το υλικό Και μετά προωθείται στην κατάλληλη συσκευή του πυρήνα του λειτουργικού Όπου γίνεται η κατάλληλη επεξεργασία μέχρι να αποδωθεί στην κατάλληλη εφαρμογή 4/11/2018 Πανεπιστήμιο Πελοποννήσου

4 Πανεπιστήμιο Πελοποννήσου
Δομή των IPtables Πίνακες/ουρές (tables)/(queues) επεξεργασίας Κάθε ένας από αυτούς αξιοποιείται για μια συγκεκριμένη επεξεργασία ενός πακετού Ελέγχεται από την αντίστοιχη αλύσιδα Τρείς βασικοί πίνακες Mangle (alteration of quality of service bits in the TCP header) Filter: Πραγματοποιεί το φιλτράρισμα των πακέτων NAT: Πραγματοποιεί τη μετάφραση διευθύνσεων 4/11/2018 Πανεπιστήμιο Πελοποννήσου

5 Πανεπιστήμιο Πελοποννήσου
Πίνακας Filter Πραγματοποιεί το φιλτράρισμα των πακέτων Χρησιμοποιεί τρείς αλυσίδες Forward: Φιλτράρει τα πακέτα που έχουν ως προορισμό τους εξυπηρέτες που προστατεύει το ανάχωμα Input: Φιλτράρει τα πακέτα που έχουν προορισμό το ανάχωμα Output chain: Φιλτράρει τα πακέτα που δημιουργούνται από το ανάχωμα. 4/11/2018 Πανεπιστήμιο Πελοποννήσου

6 Πανεπιστήμιο Πελοποννήσου
Πίνακας NAT Πραγματοποιεί τη μετάφραση διευθύνσεων Xρησιμοποιεί κυρίως δύο αλυσίδες Αλυσίδα Pre-routing: Χρησιμοποιείται στην περίπτωση όπου απαιτείται η τροποποίηση του προορισμού Αλυσίδα Post-routing : Χρησιμοποιείται στην περίπτωση όπου απαιτείται η τροποποίηση της πηγής 4/11/2018 Πανεπιστήμιο Πελοποννήσου

7 Πανεπιστήμιο Πελοποννήσου
IPtables Κάθε φορά που περιγράφεται ένας κανόνας θα πρέπει να προσδιορίζεται ο πίνακας και η αλυσίδα Ενέργειες που πραγματοποιούνται σε κάθε πακέτο Accept Drop Log Reject DNAT/SNAT Masquerade 4/11/2018 Πανεπιστήμιο Πελοποννήσου

8 Πανεπιστήμιο Πελοποννήσου
IPTables 4/11/2018 Πανεπιστήμιο Πελοποννήσου

9 Πανεπιστήμιο Πελοποννήσου
IPTables Παράδειγμα χρήσης Iptables –t filter -A INPUT -s 0/0 -i eth0 -d p TCP -j ACCEPT 4/11/2018 Πανεπιστήμιο Πελοποννήσου

10 Iptables & Έλεγχος Συνόδων
Τα πακέτα συσχετίζονται με τέσσερις καταστάσεις New Established Related Invalid 4/11/2018 Πανεπιστήμιο Πελοποννήσου

11 Iptables & Έλεγχος Συνόδων
4/11/2018 Πανεπιστήμιο Πελοποννήσου

12 Παράδειγμα Iptables & Έλεγχος Συνόδων
tcp SYN_SENT src= dst= sport=1031 \ dport=23 [UNREPLIED] src= dst= sport=23 \ dport=1031 use=1 tcp SYN_RECV src= dst= sport=1031 \ dport=23 src= dst= sport=23 dport=1031 \ use=1 tcp ESTABLISHED src= dst= \ sport=1031 dport=23 src= dst= \ sport=23 dport=1031 [ASSURED] use=1 4/11/2018 Πανεπιστήμιο Πελοποννήσου

13 Πανεπιστήμιο Πελοποννήσου
Ερωτήσεις 4/11/2018 Πανεπιστήμιο Πελοποννήσου

14 Πανεπιστήμιο Πελοποννήσου
IPtables Όταν ξεκινάει η λειτουργία των Iptables δεν υπάρχουν κανόνες για τα πακέτα Πολιτική προκαθορισμένης άδειας χρήσης Μπορεί να τροποποιηθεί η πολιτική αυτή τροποποιώντας την τιμή forward στο άρθρωμα iptable_filter σε 0 Κάθε κανόνας προσδιορίζει τις συνθήκες τις οποίες πρέπει κάθε πακέτο να «τηρεί» sudo iptables -L Αποτυπώνει τη λίστα των κανόνων που υπάρχουν στους IPtables 4/11/2018 Πανεπιστήμιο Πελοποννήσου

15 Πανεπιστήμιο Πελοποννήσου
IPtables Για παράδειγμα απέριψε όλα τα ICMP πακέτα που έχουν IP διεύθυνση Ενέργεια drop Πρωτόκλλο ICMP Διέυθυνση ping -c Το σύστημα αποκρίνεται; Προσθήκε του κατάλληλου κανόνα Iptables –t filter -A INPUT –s –p icmp –j DROP 4/11/2018 Πανεπιστήμιο Πελοποννήσου

16 Πανεπιστήμιο Πελοποννήσου
IPtables iptables -D INPUT 1 Ο κανόνας που προσδιορίσαμε προηγουμένως είναι ο μοναδικός οπότε γνωρίζουμε τον αριθμό του 1 Εναλλακτικά θα μπορούσε να τον διαγράψουμε ακολουθώντας την αντίστροφη διαδικασία iptables -D INPUT -s p icmp -j DROP 4/11/2018 Πανεπιστήμιο Πελοποννήσου

17 Πανεπιστήμιο Πελοποννήσου
IPtables Προσδιορισμός IP διευθύνσεων -s (πηγή) -d προορισμός Προσδιορισμός πρωτοκόλου -p (tcp,icmp,udp) Προσδιορισμός δικτυακής διεπαφής -i (είσοδος) /-o (έξοδος) Προσοχή εάν υπάρχει –ο κανόνας στον πίνακα ΙNPUT ποιά θα είναι η συμπεριφορά του αναχώματος 4/11/2018 Πανεπιστήμιο Πελοποννήσου

18 Πανεπιστήμιο Πελοποννήσου
IPtables Απόρριψη συνδέσεων TCP Iptables –t filter-p TCP -s –syn Γενική απόριψη συνδέσεων Iptables –t filter -A INPUT -j DROP Καταγραφή δεδομένων iptables -I INPUT 5 -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7 4/11/2018 Πανεπιστήμιο Πελοποννήσου

19 Πανεπιστήμιο Πελοποννήσου
Ερωτήσεις 4/11/2018 Πανεπιστήμιο Πελοποννήσου