OpenBSD PF

A lap 2007. november 25., 01:50-kori változata

A PF (Packet Filter) az OpenBSD beépített tűzfal rendszere, az OpenBSD 3.0 óta a hivatalos kernel része. Megtalálható a legtöbb egyéb BSD rendszerben is, így a FreeBSD, a NetBSD és a DragonFlyBSD is támogatja.

1 A PF aktiválása

A PF boot idejű elindításához a /etc/rc.conf.local fájlba a pf=YEY bejegyzést kell rögzíteni, mely beállítás a következő reboot hatására lép életbe.

A PF az operációs rendszer működése közben is aktiválható és deaktiválható az általános sedédprogram a pfctl segítségével:

# pfctl -e
# pfctl -d

2 Konfiguráláció

2.1 A konfigurációs fájl betöltése

Az tűzfal beállításai a /etc/pf.conf fájlban találhatók, ahonnan a PF a konfigurációt az indulása közben beolvassa. A konfiguráció módosítása a fájl szerkesztésével történhet, mely a pfctl -f /etc/pf.conf parancs hatására kerül a működő rendszerbe betöltésre. A parméter módosításával természetesen más konfigurációs fájl is használható.

2.2 A pf.conf felépítése

A pf.conf fájl hét részből áll, melyek opcionáliask, de az első kettőt kivéve a sorrend rögzített:

• Makrók: a felhasználó által definiált változók: IP címek és tartományok, interfész nevek...
• Táblázatok: (nagy számú) IP cím tárolására kitalált struktúrák, melyekben a keresés nagyon gyors
• Beállítások: általános beállítások a PF viselkedésével kapcsolatban
• Forgalom tisztítás: a csomagok darabjainak összeállítása, hibás (illegális tartalmú) csomagok eldobása
• Várakozási sorok: a sávszélesség elosztása, illetve csomagok prioritásának beállítása
• Címfordítás és port-forwarding: a NAT beállításai és port-forwarding továbbítási szabályok
• Szűrési szabályok: a csomagok szűrése a megadott szabályok alapján

2.2.1 Listák és makrók

Listák és makrók segítéségvel egy szabály több IP-cmíre vagy interfészre is alkalmazható:

block out on fxp0 from { 192.168.0.1, 10.5.32.6 } to any

A listák a szabályok betöltése során felbontásra kerülnek, így az előző sor a betöltés után két szabályt eredményez majd:

block out on fxp0 from 192.168.0.1 to any
block out on fxp0 from 10.5.32.6 to any

A makrók segítségével a listáknak nevek adhatók, illetve listák egymásba ágyazására is lehetőség nyílik. A makrók a későbbiek során a beállítások között bárhol felhasználhatóak, így nagyban egyszerüsítik a konfiguráció átláthatóságát, illetve a módosításokat is csak a makró definíciójában kell végrehajtani.

host1 = "192.168.1.1"
host2 = "192.168.1.2"
all_hosts = "{" $host1 $host2 "}"

2.2.2 Táblázatok

A táblázatok célja nagy mennyiségű IP címet hatékonyan tárolni. Táblázat használata esetén a keresés nagyon gyors, a tábla méretétől szinte függetlenül. Amennyiben a táblákat a konfiguráció során a persist paraméterrel hozzuk létre, akkor lehetőség van a tábla tartalmát futási időben módosítani is.

table <goodguys> { 192.0.2.0/24 }
table <rfc1918> const { 192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8 }
table <spammers> persist
block in on fxp0 from { <rfc1918>, <spammers> } to any
pass in on fxp0 from <goodguys> to any

A spammers táblához egy külső fájl is rendelhető, melynek tartalma a konfiguráció betöltése közben a táblába kerül. A pftcl segítségével lehetőség van a táblák tartalmát működés közben módosítani, elemeket felvenni és törölni.

2.2.3 Csomagszűrés

A szabályok általános alakja az alábbi:

action [direction] [log] [quick] [on interface] [af] [proto protocol] \
[from src_addr [port src_port]] [to dst_addr [port dst_port]] \
[flags tcp_flags] [state]

Amennyiben egy interfész neve zárójelben szerepel egy szabályban, akkor a PF minden alkalommal az interfész aktuális IP címét fogja halsználni, így a helyi dinamikus IP címek könnyen kezelhetőek.

Az utolsó előtti paraméterrel a TCP flag-ek ellenőrzése kapcsolható be. Egy tipikus beállítás az alábbi, amely csak a kapcsolat kezdeményezű üzenetváltáshoz hajlandó állapotot létrehozni:

pass in on fxp0 proto tcp from any to any port ssh flags S/SA

A forgalom tiszítása (scrubbing) magától eltávolítja az érvénytelen flag-eket tartalamzó csomagokat (pl. SYN és RST egyszerre), így azokkal nem kell itt külön törődni.

Az utolsó paraméter, az állapot követés. Az állapot követés célja a kiértékelés jelentős gyorsítása azáltal, hogy az összetartozó csomagok esetén csak az elsőre értékelődnek ki a szabályok, a többire az elsőre érvényes művelet hajtódik végre. A stat érteke az alábbi lehet:

• keep state: hagyományos állapot követés
• modulate state: csak TCP esetén működik, a PF "erős" sequence number-eket generál az illeszkedő csomagokhoz
• synproxy state: az előző kettő együtt, és proxy-zza a bejövő TCP kapcsolatokat, így megvédhető egy belső szerver a TCP SYN flood-tól

A kapcsolatok állapotának követése során a PF mindkét irányba képes a csomagokat azonosítani, így egy bejövő csomagra érkező válasz a bejövő csomaghoz tartozó állapot alapján kerül elbírálásra. Ennek köszönhetően még az adott kapcsolathoz tarotozó ICMP üzenetek is gond nélkül átjutnak a tűzfalon.

Az egyes szabályok kiértékelése sorban, egymás után történik. Az utolsó illeszkedő szabály határozza meg, hogy a csomaggal mi történjen. Ez alól az egyedüli kivételek a quick kulcsszóval ellátott szabályok, melyek illeszkedése esetén a PF az adott szabályt tekinti az utolsónak.

Lehetőség van a hamis feladójú csomagok szűrésére az antispoof segítségével. Egy tipikus ilyen bejegyzés az alábbi:

antispoof for fxp0 inet

Ennek hatására a konfiguráció betöltése során az alábbi két szabály jön létre, ha az fxp0 IP címe 10.0.0.1:

block in on ! fxp0 inet from 10.0.0.0/24 to any
block in inet from 10.0.0.1 to any

2.2.4 Címfordítás

A címfordítás használatához engedélyezni kell az operációs rendszerben a csomagok továbbítását interfészek között. (Erre tűzfal esetén egyébként is szükség van.)

# sysctl net.inet.ip.forwarding=1

A NAT-ot az alábbi általános szabály segítségével lehet konfigurálni:

nat [pass] [log] on interface [af] from src_addr [port src_port] to \
dst_addr [port dst_port] -> ext_addr [pool_type] [static-port]

Az IP címek akár egy-egy megfeleltethetőek egymással a binat szabály használatával.

2.2.5 Port-forwarding

A port-forwarding akkor válik szükségessé, ha van egy gép a tűfal mögött, amit a külvilág számára elérhetővé kell tenni. (Ez persze biztonsági rést is jelenthet, így az ilyen gépeket célszerű egy DMZ-ben összegyűjteni.) A következő példában egy webszervert üzemeltetünk a belső hálózaton, mely kívülről is elérhető:

rdr on tl0 proto tcp from any to any port 80 -> 192.168.1.20

Az rdr után a pass paramétert megadva a csomag azonnal továbbításra kerül, így nincs szükség egy szabály megadására, mely az adott kapcsolatot engedélyezi. Lehetőség van portokat és port tartományokat is továbbítani.

2.2.6 Horgonyok használata

Lehetőség van a konfigurációban horgonyokat elhelyezni (anchor), ahová további konfigurációkat lehet bekötni. Ezeket az alkonfigurációkat a PF működése közben a pfctl segítségével lehet módosítani. A horgonyokhoz tartozhatnak feltételek is, így elágazásokat is létre lehet hozni a szabályok kiértékelésében. A legtipikusabb használat az FTP proxy beregisztrálása.

2.2.7 Sorkezelés

A PF alapvetően FIFO elven kezeli a csomagokat. Ezen sorok bevezetésével lehet változtatni. Lehetőség van Osztály alapú vagy Prioritsá alapú megoldást választani.

Az osztály alapú megoldás alkalmazása esetén a sávszélességet különböző osztályok között lehet felosztani. Az osztályok alá tartozhatnak további üzenetsorok, melyek a magasabb szint számára kiosztott sávszélességen osztoznak. Lehetőség van az egyes aktív soroknak a többiek felesleges sávszélességét is biztosítani (borrow), amennyiben a többi sornak arra nincs szüksége. Az azonos szinten lévő sorok között prioritásokat lehet kiosztani. Egy minta konfiguráció:

Root Queue (2Mbps)
    UserA (1Mbps, priority 1)
        ssh (100Kbps, priority 5)
        ftp (900Kbps, priority 3)
     UserB (1Mbps, priority 1)

A prioritásos sorkezelés az előző hierarchikus szerkezettel ellentétbe egy szinten kezeli a sorokat, minden sorhoz egy-egy prioritást rendelve. Az adott sorban várakozó csomagok mindaddig nem továbbítódnak, amíg bármelyik magasabb prioritási szinten van csomag, így könnyen kialakulhat kiéheztetés.

Root Queue (2Mbps)
    Queue A (priority 1)
    Queue B (priority 2)
    Queue C (priority 3)

Az egyes szabályok által érintett csomagok sorokba rendezését az alábbi példa szemlélteti:

pass out on fxp0 from any to any port 22 queue(ssh_bulk, ssh_login)

Látható, hogy az adott csomag két sorhoz is hozzá van rendelve. Ilyenkor a PF azokat a csomagokat helyezi a második sorba, melyek ToS fejlécében a low-delay áll, vagy az adott csomag egy TCP ACK. Ez akkor különösen előnyös, ha asszimetrikus a kapcsolat (pl ADSL), mivel ilyenkor ezek a csomagok elsőbbséget élvezheznek.

2.2.8 Példa konfiguráció

# enable queueing on the external interface to control traffic going to
# the Internet. use the priq scheduler to control only priorities. set
# the bandwidth to 610Kbps to get the best performance out of the TCP
# ACK queue.

altq on fxp0 priq bandwidth 610Kb queue { std_out, ssh_im_out, dns_out, tcp_ack_out }

# define the parameters for the child queues.
# std_out - the standard queue. any filter rule below that does not
# explicitly specify a queue will have its traffic added
# to this queue.
# ssh_im_out - interactive SSH and various instant message traffic.
# dns_out - DNS queries.
# tcp_ack_out - TCP ACK packets with no data payload.

queue std_out priq(default)
queue ssh_im_out priority 4 priq(red)
queue dns_out priority 5
queue tcp_ack_out priority 6

# enable queueing on the internal interface to control traffic coming in
# from the Internet. use the cbq scheduler to control bandwidth. max
# bandwidth is 2Mbps.

altq on dc0 cbq bandwidth 2Mb queue { std_in, ssh_im_in, dns_in, bob_in }

# define the parameters for the child queues.
# std_in - the standard queue. any filter rule below that does not
# explicitly specify a queue will have its traffic added
# to this queue.
# ssh_im_in - interactive SSH and various instant message traffic.
# dns_in - DNS replies.
# bob_in - bandwidth reserved for Bob's workstation. allow him to
# borrow.

queue std_in bandwidth 1.6Mb cbq(default)
queue ssh_im_in bandwidth 200Kb priority 4
queue dns_in bandwidth 120Kb priority 5
queue bob_in bandwidth 80Kb cbq(borrow)

# ... in the filtering section of pf.conf ...
alice = "192.168.0.2"
bob = "192.168.0.3"
charlie = "192.168.0.4"
local_net = "192.168.0.0/24"
ssh_ports = "{ 22 2022 }"
im_ports = "{ 1863 5190 5222 }"

# filter rules for fxp0 inbound
block in on fxp0 all

# filter rules for fxp0 outbound
block out on fxp0 all

pass out on fxp0 inet proto tcp from (fxp0) to any flags S/SA keep state queue(std_out, tcp_ack_out)
pass out on fxp0 inet proto { udp icmp } from (fxp0) to any keep state
pass out on fxp0 inet proto { tcp udp } from (fxp0) to any port domain keep state queue dns_out
pass out on fxp0 inet proto tcp from (fxp0) to any port $ssh_ports flags S/SA keep state queue(std_out, ssh_im_out)
pass out on fxp0 inet proto tcp from (fxp0) to any port $im_ports flags S/SA keep state queue(ssh_im_out, tcp_ack_out)

# filter rules for dc0 inbound
block in on dc0 all
pass in on dc0 from $local_net

# filter rules for dc0 outbound
block out on dc0 all
pass out on dc0 from any to $local_net
pass out on dc0 proto { tcp udp } from any port domain to $local_net queue dns_in
pass out on dc0 proto tcp from any port $ssh_ports to $local_net queue(std_in, ssh_im_in)
pass out on dc0 proto tcp from any port $im_ports to $local_net queue ssh_im_in
pass out on dc0 from any to $bob queue bob_in

3 Egyéb szolgáltatások