Standalone Firewall

Configurer Shorewall sur un système isolé Linux est très simple si vous comprenez les bases et suivez la documentation.

Ce guide ne veut pas vous apprendre tous les rouages de Shorewall. Il se focalise sur ce qui est nécessaire pour configurer Shorewall, dans son utilisation la plus courante :

[root@gateway root]# which ip
/sbin/ip
[root@gateway root]#

Si vous êtes équipé d'un modem ADSL et utilisez PPTP pour communiquer avec un serveur à travers ce modem, vous devez faire le changement suivant en plus de ceux ci-dessous. ADSL avec PPTP est commun en Europe, ainsi qu'en Australie.

Les fichiers de configuration pour Shorewall sont situés dans le répertoire /etc/shorewall -- pour de simples paramétrages, vous n'avez à faire qu'avec quelques un d'entre eux comme décris dans ce guide.

Parallèlement à la présentation, je vous suggère de jeter un oeil à ceux physiquement présents sur votre système -- chacun des fichiers contient des instructions de configuration détaillées et des entrées par défaut.

Shorewall voit le réseau où il fonctionne, comme un ensemble de zones.Dans les fichiers de configuration fournis pour une unique interface, une seule zone est définie :

Les zones de Shorewall sont définies dans /etc/shorewall/zones.

Shorewall reconnaît aussi le système de firewall comme sa propre zone - par défaut, le firewall est connu comme fw.

Les règles concernant le trafic à autoriser ou à interdire sont exprimées en utilisant les termes de zones.

Pour chaque connexion demandant à entrer dans le firewall, la requête est en premier lieu comparée par rapport au fichier /etc/shorewall/rules. Si aucune règle dans ce fichier ne correspond à la demande de connexion alors la première politique dans le fichier /etc/shorewall/policy qui y correspond sera appliquée. Si cette politique est REJECT ou DROP la requête est dans un premier temps comparée par rapport aux règles contenues dans le fichier /etc/shorewall/common, si ce fichier existe; sinon les régles dans le fichier /etc/shorewall/common.def sont vérifiées.

Le fichier /etc/shorewall/policy inclus dans l'archive d'exemple (one-interface) contient les politiques suivantes:

#SOURCE ZONE   DESTINATION ZONE   POLICY   LOG LEVEL   LIMIT:BURST
fw             net                ACCEPT
net            all                DROP     info
all            all                REJECT   info

Ces politiques vont :

A ce point, éditez votre /etc/shorewall/policy et faites y les changements que vous désirez.

Le firewall possède une seule interface réseau. Lorsque la connexion Internet passe par un modem câble ou par un “Routeur” ADSL(pas un simple modem), l'Interface Externe sera l'adaptateur ethernet qui y est connecté à ce “Modem” (e.g., eth0) à moins de se que vous vous connectiez par Point-to-Point Protocol over Ethernet (PPPoE) ou Point-to-Point Tunneling Protocol (PPTP) dans ce cas l'interface externe sera (e.g., ppp0). Si vous vous connectez par un simple modem (RTC), votre interface externe sera aussi ppp0. Si vous vous connectez en utilisant l'ISDN, votre interface externe sera ippp0.

Si votre interface vers l'extérieur est ppp0 ou ippp0 alors vous mettrez CLAMPMSS=yes dans le fichier /etc/shorewall/shorewall.conf.

Le fichier de configuration d'exemple pour une interface suppose que votre interface externe est eth0. Si votre configuration est différente, vous devrez modifier le fichier/etc/shorewall/interfaces en conséquence. Tant que vous y êtes, vous pourriez parcourir la liste des options qui sont spécifiées pour les interfaces. Quelques trucs:

Avant d'aller plus loin, nous devons dire quelques mots au sujet des adresses Internet Protocol (IP). Normalement, votre fournisseur Internet ISP vous assignera une seule adresse IP. Cette adresse peut être assignée par le Dynamic Host Configuration Protocol (DHCP) ou lors de l'établissement de votre connexion lorsque vous vous connectez (modem standard) ou établissez votre connexion PPP. Dans de rares cas , votre provider peut vous assigner une adresse statique IP ; cela signifie que vous devez configurer l'interface externe de votre firewall afin d'utiliser cette adresse de manière permanente. La RFC 1918 réserve plusieures plages d'adresses privées Private IP à cet fin:

Ces adresses sont parfois nommées comme non-routable car les routers centraux d'Internet ne renvoient pas un paquet dont la destination est reservée par la RFC 1918. Dans certain cas cependant, les FAI (fournisseurs d'accès Internet) assignent ces adresses et utilisent ensuite NAT Network Address Translation pour réécrire les en-têtes de paquets renvoyés vers/depuis Internet.

Avant de lancer Shorewall, regarder l'adresse IP de votre interface externe, et si elle est dans les plages précédentes, vous devez enlever l'option 'norfc1918' dans la ligne concernant l'interface externe dans le fichier /etc/shorewall/interfaces.

Shorewall version 2.0.0 et postérieure inclus une collection d'actions qui peuvent être utilisées pour rapidemement autoriser ou refuser des services. Pour voir les actions comprises avec votre version de Shorewall, regardez dans le fichier /etc/shorewall/actions.std. Le nom de celles qui acceptent des connexions débutent par “Allow”.

Si vous souhaitez autoriser d'autre connexions depuis internet vers votre firewall, le format général utilisant l'action type “Allow” est:

#ACTION   SOURCE    DESTINATION     PROTO       DEST PORT(S)
<action>  net       fw

#ACTION   SOURCE    DESTINATION     PROTO       DEST PORT(S)
AllowWeb  net       fw
AllowPOP3 net       fw

Au cas ou Shorewall n'inclue pas d'actions définies qui vous conviennent, vous pouvez les définir vous même ou coder directement les régles dans /etc/shorewall/rules selon le format suivant:

#ACTION   SOURCE    DESTINATION     PROTO       DEST PORT(S)
ACCEPT    net       fw              <protocol>  <port>

#ACTION   SOURCE    DESTINATION     PROTO       DEST PORT(S)
ACCEPT    net       fw              tcp          80
ACCEPT    net       fw              tcp          110

Si vous ne savez pas quel port(s) et protocole(s) requièrent une application particulière, vous pouvez regarder ici.

#ACTION    SOURCE    DEST               PROTO     DEST PORT(S)
AllowSSH   net       fw

Maintenant, éditez votre fichier de configuration /etc/shorewall/rules pour ajouter, modifier ou supprimer les autres connexions voulues.

La procédure d'installation configure votre système pour lancer Shorewall au boot du système, mais au début avec la version 1.3.9 de Shorewall le lancement est désactivé, n'essayer pas de lancer Shorewall avant que la configuration soit finie. Une fois que vous en aurez fini avec la configuration du firewall, vous pouvez permettre le lancement de Shorewall en supprimant le fichier /etc/shorewall/startup_disabled.

Le firewall est activé en utilisant la commande “shorewall start” et arrêté avec “shorewall stop”. Lorsque le firewall est stoppé, le routage est autorisé sur les hôtes qui possèdent une entrée dans /etc/shorewall/routestopped. Un firewall qui tourne peut être relancé en utilisant la commande “shorewall restart” command. Si vous voulez enlever toutes traces de Shorewall sur votre configuration de Netfilter, utilisez “shorewall clear”.

Je vous recommande vivement de lire la page des Fonctionnalités Générales des Fichiers de Configuration -- elle contient des trucs sur les possibilités de Shorewall pour rendre aisé l'administration de votre firewall Shorewall.