Packet Filter sur les systèmes BSD : les tables

Date de publication : 29/10/2007

Par julp (Autres articles)
 

1. Présentation

1.1. Une amélioration notable des listes et macros

##### Macros #####
me = "sis0"
tcpflags = "flags S/SFRA"
workstations = "{ 192.168.0.1 192.168.0.2 192.168.0.3 192.168.0.4 192.168.0.5 }"

##### Règles #####
block all
pass in quick inet proto tcp from $workstations to $me port ssh $tcpflags keep state
pass in quick inet proto tcp from $workstations to $me port http $tcpflags keep state

• Utilisation directe et multiple dans les règles, comparable à une macro
• Les recherches d'une adresse sont beaucoup plus rapides (utilise moins de mémoire et de temps CPU qu'une simple liste)
• Existence qui va au-delà du fichier de configuration où elles sont définies puisqu'elles résident ensuite en mémoire ce qui permet de leur appliquer des modifications au niveau de leur contenu. Ces modifications sont immédiatement prises en compte par Packet Filter sans avoir à recharger les règles ou à procéder à une quelconque manipulation.

1.2. Syntaxe

1.2.1. Déclaration d'une table

• Une adresse IP (version 4 comme 6), exemples : 192.168.0.1, 66.80.97.134
• Une adresse en notation CIDR (version 4 comme 6) : 192.168.0.0/24
• Un nom de machine, comme www.developpez.com, qui sera automatiquement remplacé par les adresses IP correspondantes (versions 4 et 6) à condition de pouvoir effectuer cette résolution (ne pas oublier de construire des règles visant à autoriser le trafic DNS)
• Le nom d'une interface (sis1, lo0, etc), qui sera substituée par la liste des adresses qui lui sont attribuées
• Le nom d'une interface suivie de la notation CIDR, exemple sis0/8
• Le nom d'une interface suivie de :network, :broadcast, :peer ou :0 correspondant respectivement à l'adresse réseau, l'adresse de broadcast, l'adresse d'un pair sur un lien point à point ou l'adresse principale affectée à une carte réseau (ne tient pas compte des alias)
• Le mot clé self
• L'une des formes antérieures précédée d'une négation

table <sites_http_autorises> { www.developpez.net, www.developpez.com, www.developpez.be }
table <serveurs_dns_internes> { 192.168.0.1, 192.168.0.101 }
table <blacklist> { 125.60.86.214 208.159.106.199 81.237.54.31 76.89.10.213 }
table <reseaux_internes> { sis1:network sis2:network }

L'utilisation des noms de machine (DNS) est à éviter autant que possible pour des raisons de sécurité. L'utilisation d'adresses dynamiques (protocole DHCP) n'est ici pas gérée puisque les éléments d'une table sont systématiquement traduits en une adresse IP à leur intégration dans la table.

1.2.2. Utilisation dans les règles

• Comme ensemble d'adresses source ou de destination dans les règles de filtrage (pass et block)
• Comme ensemble d'adresses source ou de destination dans les règles de traduction d'adresse (nat et binat)
• Comme ensemble d'adresses source ou de destination dans les règles de redirection (rdr)
• Pour constituer une liste d'attaquants à l'aide du mot-clé overload suivant le comportement de l'hôte distant (la mesure est effectuée en nombre de connexions sur un certain laps de temps)

##### Macros #####
if = "sis0"
tcpflags = "flags S/SFRA"

##### Tables #####
# Liste noire des machines dont l'activité est suspecte
table <blacklist> { 125.60.86.214 208.159.106.199 81.237.54.31 76.89.10.213 }
# Liste des serveurs web recencés
table <serveurs_http> { 192.168.0.102, 192.168.0.103 }

##### Règles #####
# Les paquets des machines blacklistées sont bloqués nets
block in quick on $if from <blacklist> to any
# Le trafic vers les serveurs Web est autorisé (ainsi que leurs réponses)
pass in quick on $if inet proto tcp from any \
	to <serveurs_http> port { http https } $tcpflags keep state

2. Manipulation en ligne de commande avec pfctl

La commande pfctl accepte en paramètre exactement les mêmes types d'informations comme adresse (adresses IP, noms DNS, interfaces, ...) que cité précédemment. Ajoutons que celle-ci n'est d'ailleurs pas cantonnée à l'unique manipulation des tables.

table <blacklist> { 125.60.86.214 208.159.106.199 81.237.54.31 76.89.10.213 }

2.1. Limitations de pfctl

• La commande pfctl n'altère que le contenu des tables en mémoire et ne répercute en aucun cas les différents changements demandés sur un quelconque fichier de configuration. Si vous avez besoin de synchroniser ces modifications en vue de les réappliquer au prochain démarrage de Packet Filter vous devrez le faire manuellement ou éventuellement à l'aide d'un script.
• Il vous sera impossible d'agir sur les tables à l'aide de pfctl si le niveau de sécurité du noyau atteint la valeur 2 sur NetBSD ou OpenBSD et la valeur 3 pour FreeBSD. Cette restriction concerne de manière plus générale les règles de filtrage qui sont ainsi chargées une bonne fois pour toutes avant le changement de ce niveau de sécurité.

2.2. Lister les adresses d'une table

pfctl (-v) -t blacklist -T show

   76.89.10.213
   81.237.54.31
   125.60.86.214
   208.159.106.199

2.3. Ajouter des adresses à une table

pfctl (-v) -t blacklist -T add 216.194.109.203 88.240.211.27

   76.89.10.213
   81.237.54.31
   88.240.211.27
   125.60.86.214
   208.159.106.199
   216.194.109.203

La table sera créée si celle-ci n'existe pas déjà.

2.4. Supprimer des adresses à une table

pfctl (-v) -t blacklist -T delete 125.60.86.214 76.89.10.213

   81.237.54.31
   88.240.211.27
   208.159.106.199
   216.194.109.203

2.5. Recharger le contenu de la table

pfctl (-v) -t blacklist -T load -f /root/pf.conf

   76.89.10.213
   81.237.54.31
   125.60.86.214
   208.159.106.199

2.6. Remplacer l'ensemble des adresses

pfctl (-v) -t blacklist -T replace 115.79.79.48 143.59.174.112 139.102.183.50

   115.79.79.48
   139.102.183.50
   143.59.174.112

La sous-commande replace, comme add, crée la table si cette dernière n'existe pas.

2.7. Tester si une adresse fait partie de la table

pfctl (-vv) -t blacklist -T test 115.79.79.48 www.developpez.com

2.8. Les statistiques d'une table

pfctl -vv -t blacklist -T show

pfctl -vv -s Tables

pfctl -t blacklist -T zero

2.9. Vider/Supprimer une table

pfctl -t blacklist -T flush

pfctl -t blacklist -T kill

Les règles faisant référence à une table supprimée subsistent mais deviennent donc, par conséquent, inutiles. Vous pouvez la recréer à tout moment à l'aide des commandes add ou replace (voir plus haut).

3. Les différentes propriétés apposables aux tables

3.1. Les tables immuables

table <serveurs_dns> const { 192.168.0.1 192.168.0.101 }

3.2. Les tables persistantes

table <blacklist> persist

table <blacklist> persist { 67.80.122.54 67.80.122.55 }

3.3. Les tables dont le contenu réside dans un fichier

table <whitelist> file "/root/whitelist"

# Developpez
www.developpez.com
www.developpez.net
www.developpez.be
# Partenaires
43.204.225.199
75.186.215.37

#!/bin/sh

# Partie concernant les paramètres du programme
progname=`basename $0`
args=`getopt t:f: $*`

usage() {
    echo "Usage: $progname -t table -f fichier adresse1 ... adresseN"
    exit 2
}

[ $? -eq 0 ] || usage

set -- $args

for i
do
    case "$i"
    in
        -t)
            table="$2"
            shift; shift;;
        -f)
            fichier="$2"
            shift; shift;;
        --)
            shift; break;;
    esac
done

[ -z "$fichier" -o -z "$table" -o $# -lt 1 ] && usage

# On ajoute les adresses à la table et au fichier correspondant
pfctl -t $table -T add $*
[ $? -eq 0 ] || exit $?
for arg in $*
do
    echo "$arg" >> $fichier
done

3.4. Combinaison de plusieurs propriétés

# En plaçant const avant file
table <blackist> const file "/root/blacklist"
# En plaçant const après file
table <blacklist> file "/root/blacklist" const

4. Autres éléments syntaxiques liés aux tables

4.1. Le mot-clé "self"

[root@freebsd ~]# ifconfig
de0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500
        inet 192.168.0.1 netmask 0xffffff00 broadcast 192.168.0.255
        ether 00:03:ff:3d:94:f9
        media: Ethernet autoselect (100baseTX)
        status: active
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384
        inet6 ::1 prefixlen 128
        inet 127.0.0.1 netmask 0xff000000

• l'adresse IP attribuée à la carte réseau de0 : 192.168.0.1
• les adresses IP respectivement en version 4 et 6 affectées à la boucle locale : 127.0.0.1 et ::1

4.2. Les négations

• 192.168.0.0/16 : le réseau interne dans son intégralité
• 192.168.2.0/24 : le réseau interne réservé à la comptabilité
• 192.168.2.1 : un serveur (dans la partie comptabilité) effectuant des transferts programmés avec l'extérieur

table <internet_autorise> { 192.168.0.0/16 !192.168.2.0/24 192.168.2.1 }

##### Macros #####
# Interface interne
int_if = "sis0"
tcpflags = "flags S/SFRA"

# Bloquer par défaut
block all
# Autorise les paquets TCP sortants vers Internet, ainsi que leurs réponses
pass in quick on $int_if inet proto tcp from <internet_autorise> \
	to any port { http https ... } $tcpflags keep state

• 192.168.3.63 : la correspondance sera établie sur l'entrée 192.168.0.0/16 de la table, le paquet sera autorisé à passer
• 192.168.2.47 : aucune correspondance car toute la tranche 192.168.2.X est exclue à l'aide de la négation, le paquet sera bloqué
• 192.168.2.1 : la correspondance aura lieu sur 192.168.2.1 - la négation du sous-réseau 192.168.2 sera ignoré car son poids est moins important que celui de l'adresse elle-même, le paquet passera

4.3. Les listes

ext_if = "de0"
maison = "83.241.141.246"

table <partenaires> const { 73.184.228.146 24.1.3.149 186.220.104.61 88.240.211.27 }
table <collegues> { 142.80.125.240 131.254.222.237 }

# [...]

pass in quick on $ext_if from { <partenaires> $maison <collegues> } to $ext_if

# [...]

pass in quick on $ext_if from { <partenaires> <collegues> } to $ext_if
pass in quick on $ext_if from $maison to $ext_if

# ou encore

pass in quick on $ext_if from <partenaires> to $ext_if
pass in quick on $ext_if from <collegues> to $ext_if
pass in quick on $ext_if from $maison to $ext_if

5. Utilitaires autour des tables

5.1. expiretable : supprimer des entrées obsolètes à intervalle régulier

• FreeBSD, il ne nous sera pas nécessaire d'aller bien loin puisque vous pouvez trouver expiretable parmi les logiciels portés :

  cd /usr/ports/security/expiretable make install

• Il en est de même pour OpenBSD :

  cd /usr/ports/sysutils/expiretable make install

• En revanche il en est tout autrement sur NetBSD puisque ce logiciel ne figure pas parmi les paquetages :

  cd ~ ftp http://expiretable.fnord.se/expiretable-0.6.tar.gz tar xzf expiretable-0.6.tar.gz ftp http://julp.developpez.com/bsd/packet-filter/tables/fichiers/netbsd-expiretable-0.6.patch patch < netbsd-expiretable-0.6.patch cd expiretable-0.6 make make install

• -a ancre : spécifie l'ancre contenant la table (privée).
• -d : lancement en tâche de fond. Implique l'option -p.
• -n : indique seulement les adresses qui vont être effacées sur la sortie standard mais ne procède pas à cette suppression.
• -p : modifie le comportement normal du programme qui, par défaut, est de quitter. Il s'exécute ainsi périodiquement (fonction de la durée fournie).
• -t durée : définit la durée de validité maximale d'une entrée dans cette table. Celle-ci peut être exprimée en secondes ou à l'aide de suffixes d (jour), h (heure), m (minute) ou s (seconde).
• -v : sortie verbeuse. Doublez la pour obtenir un maximum d'informations.

expiretable -d -p -t 1h utilisateurs_authpf

6. Conclusion

6.1. Epilogue

•  La FAQ BSD
•  Activation de Packet Filter sur les systèmes BSD
•  Mise en place d'une passerelle d'authentification à l'aide de authpf

6.2. Remerciements