Firewall介紹

• Firewall 範例

假設 FW 是防火牆設備，我規劃3個介面，3個Port，對應到不同的網段，每個介面都會有一個編號;

etho0 這個介面, 我透過中華電信連到 Internet

eth1，這個介面，我連到公司DMZ的網段; 所以DMZ網段，就是公司機房的網段，會有 Web server, mail server, 或者 DNS Server 等等

eth2, 這個介面，我接到公司的內部網段，這個網段會有員工的電腦，Filer Server,或 Databases Server 等等，

因為這三個網段的互動會經過中間的防火牆，所以這個防火牆就可以控制哪一個網段和哪一個網段之間的流量，或允許通過或不允許通過

• Linux iptalbe ACCEPT

雖然使用指令，但和圖介面的觀念是一樣的，

iptable -A FORWARD -i eth0 -o eth1 -j ACCEPT

-i : input

-o : output

從 eth0 這個介面，流到防火牆，再從 eth1 這個介面離開防火牆

也就是 Internet 的使用者，從防火牆連入公司 DMZ 的網段，我接受允許它可以連入

這樣 Internet 的使用者可以連到公司的 web, 看到公司的網頁，

Intertnet 可以寄信給公司的 mail server

和圖形介面的差別，我就可以用滑鼠來選，不用下指令

• Linux iptable Drop

iptable -A FORWARD -i eth1 -o eth2 -j DROP

這個流量由 eth1 進入防火牆，由 eth2 離開防火牆，也就是DMZ這個網段的電腦，透過這台防火牆，要連入內部網段的電腦，

當它經過防火牆，防火牆就會把它擋掉，拒絕通過，

那為什麼要擋掉? 因為這台 web 讓 Internet 可以連入，就有被攻破的風險，沒有沒有漏洞的軟體，只要這台web被發現漏洞，被駭客入侵，

假如防火牆沒有擋掉的話，駭客就可以用這台 WEB 當跳板，經過這台防火牆，連入公司內部的網段，這樣他就可以連到 Databases, File Server

或者員工的電腦來竊取資料，所以我們在建置一台防火牆之前，一定要對這些基本觀念很清楚

不然設定的規格就是有漏洞的規則

• -i eth0 -o eth1, 基本上，我會接受 ( -j ACCEPT)

Internet 上的使用者，要連到 DMZ 的電腦，基面上我會接受

假如要做到更細的話，我們就需要在這個條件上再加入額外的參數，比如加入 recent 這個參數就可以讓我們設定到最近的流量，

比如，很多人會問，我的防火牆到底要不要開放 ICMP 讓 Intertnet 可以 ping 的到

假如開放的話，駭客就可以用大量的疆屍電腦，來 ping 公司的電腦，塞暴公司的頻寬，做到 DDOS 的攻擊，

假如不開放的話，我人在外面，想要 ping 公司的電腦，看有沒有回應，就無法測試，在這種兩難的抉擇下，我們就可以用 recent 的參數

比如我就可以設定某一個來源IP 或IP網段，最近1分鐘，或者幾分鐘，ICMP假如超過幾次的話，我就會把那個來源 IP 封鎖掉，

意思就是，每個來源IP, 每分鐘我只允許 ping 6 筆，這樣子，駭客就無法透過大量的 ping，一直的 ping，塞暴我的頻寬

而且我人在外面，隨時都可以 ping 公司的電腦來測試。

recent 這個參數也可以用來封鎖 portscan 的攻擊行為，recent 的功能，就是可以讓我們定義最近幾分鐘，

所以 portscan，就是一個一個 port 測我這台電腦有沒有回應，那防火牆的設定，就是有設定的 port 才會開放，

沒有使用的 port，我就會把這個封包 Drop 掉，那他一個一個 port 在試的話，我就可以定義，

當 Drop 超過 5次的話，我就把這個來源 IP 封鎖掉，他只要掃到第5個 port，他的畫面就會死當

除此，recent 這個參數，也可以讓我們防止密碼的攻擊，所以密碼攻擊，就是他一個一個密碼 Try, Try到最後，密碼就被他破解，

那我就可以設，最近10分鐘，連線超過3次，我就封鎖這個來源IP, 因為他密碼打錯，就會被斷線，他就需要重新連線，重新輸入密碼

那我設最近10分鐘，連線不能超過3次，意思就是密碼最多錯3次，超過3次，我就把這個來源 IP 封鎖掉

這個設定假如再加上 22 port, 就是防止 22 port 密碼攻擊，假如改成 21 port, 就是防止 FTP 的密碼攻擊，

這邊並不是要教如何下這個參數，只要有正確的觀念，不管使用指令，或圖形介面的防火牆，只要搭配文件，應該都可以實作出來

• iptable string 的用法

string 這個參數，可以讓我們比對封包應用層的內容，比如我不讓員工連 playboy 的網站，但是其他網站可以連，

在這種情況，我們就不能拒絕 TCP 80 port，不僅 playboy，其他網站都不能連，這時候，我們就可以過濾封包應用層的資料內容

只要有 playboy 這個關鍵字，我就把他擋掉，除此之外，我也用在允許員工連上Internet下載MP3檔案，因為他要下載某一個MP3的檔案

一定會向網站發出一個要求的封包，我要跟你要求某一個MP3的檔案，那在那要求的封包的內容，就會有那個檔案的關鍵字，

那我們就可以過濾有 MP3 這個關鍵字，我就擋掉，這樣子，他就無法下載 XXX.MP3的檔案

同樣這個方法，你也可以限制其他類型的檔案

• iptable connlimit 的用法

connlimit 這個參數，可以限制某個IP或IP網段，同時最大的連線數量，因為駭客有時會利用彊屍電腦建立大量的連線，耗光您所有的電腦資源，

這樣子，正常的使用者就無法連入，達到 DOS，或者 DDOS 的攻擊，這時候我們就可以限制同一個來源IP，最多給你兩個連線

這樣子，他就無法大量連線，進行 DOS 或者 DDOS 的攻擊，視需要，我們還可以搭配 port number 21 port,

意思是，同一個ip，最多只能連兩個FTP，到我的FTP Server，當然也可以設定其他的 port

• iptable connbytes 的用法

connbytes 這個參數，可以讓我們限制下載單一檔案的大小，比如，一個檔案不超過 100 MB，這樣子，我就可以限制使用者下載大型的電影檔

• 防火牆IPS

除此之外，防火牆還會有許多額外的參數，額外的功能，可以搭配使用，有些防火牆還可以讓您決定是否加入 IPS 的功能，

IPS 是入侵防禦系統的縮寫 (Intrusion Prevention System)，它會比對封包的內容，是否有特定的關鍵字，

像早期的病毒 Core??,它的封包內容就會有 Core?? 這個關鍵字

它只要有看到這個關鍵字，它就把他檔掉，這樣子，病毒就無法通過防火牆

因為隨時都會有新的病毒，所以它就會定期的上網，更新最新的特徵資料庫，因為隨時都會更新最新的特徵資料庫，

所以這台防火牆還可以做到主動防禦