[네트워크][보안] linux bridge firewall 서버 구축 하기 [1]
리눅스로 Bridge Firewall 만들기
이재홍
pyrasis (at) chol.com
리눅스로 BridgeFirewall을 만들어 보자
고친 과정
고침 0.1 2003-06-28 고친이 pyrasis
최초 작성
고침 0.2 2003-08-29 고친이 pyrasis
커널 옵션 부분에서 빠진 부분 추가. Code maturity level options 부분
고침 0.3 2003-09-16 고친이 pyrasis
커널 로그 데몬 설정 (화면에 출력되는 메세지 조절)
——————————————————————————–
차례
1. 서문
1.1. 저작권 정보
1.2. 책임의 한계
1.3. 감사의 글
1.4. 피드백
2. 설치 준비 작업
2.1. 네트워크 구성
2.2. 준비할 것들
2.3. 사용 할 각각의 파일들 구하기
3. 설치하기
3.1. 리눅스 커널 패치
3.2. 커널 옵션 설정하기
3.3. 커널 컴파일
3.4. Bridge utils 설치
3.5. iptables 설치
4. 실행 스크립트 및 세부 설정
4.1. 패킷에 대한 기본적인 이해
4.2. bridge 및 iptables 스크립트 작성
4.3. 정책변경
4.4. 기본적인 명령 사용법
4.5. 자주 사용되는 것들
4.6. 커널 로그 데몬 설정
1. 서문
네트워크 구조를 변경하지 않고 쉽게 방화벽을 설치할 수 있는 Bridge Firewall을 만들어서 사용하자.
본인은 방화벽을 만들면서 수많은 시행착오를 겪었고 많은 문서들을 보아 왔다. 하지만 워낙 네트워크 상황이 다양하다 보니 문서대로 잘 되지 않는 경우도 많았고, 환경도 많이 다른 것도 많았다. 이 문서를 보고 한번에 알맞는 방화벽을 만든다고는 장담할 수는 없다. 하지만 조금이나마 처음 해보는 사람들에게 도움이 되고자 이 문서를 작성 한다.
이 문서는 보호할 네트워크는 공인 IP를 사용한다는 전제 하에 만들어진 문서이다. 본인이 NAT를 사용해보지 않아 NAT에 관한 문서는 차후 준비하겠다.
——————————————————————————–
1.1. 저작권 정보
Copyright (C) 2003 이재홍
이 문서는 GNU Free Documentation License 버전 1.1 혹은 자유 소프트웨어 재단에서 발행한 이후 판의 규정에 따르며 저작권에 대한 본 사항이 명시되는 한 어떠한 정보 매체에 의한 본문의 전재나 발췌도 무상으로 허용됩니다.
——————————————————————————–
1.2. 책임의 한계
본 저자는 문서의 내용이 야기할 수 있는 어떠한 결과에 대해서도 책임을 지지 않습니다. 본 문서에서 내포하고 있는 정보들 및 예제들은 여러분이 알아서 활용하십시오. 비록 최선을 다했으나 이 문서는 틀린 점이나 오류가 있을 수도 있습니다. 만약 여러분이 틀린 점을 발견했다면 꼭 저에게 알려 주시기 바랍니다.
——————————————————————————–
1.3. 감사의 글
이 문서를 작성하는데 도움을 주신 많은 분들에게 감사드립니다.
KLDP의 네트워킹/방화벽 디렉토리의 글들의 도움을 많이 받았습니다. 그곳의 글을 써주시고 변역해주신 모든 분들께 진심으로 감사 드립니다.
——————————————————————————–
1.4. 피드백
이 문서에 대한 발전적인 제안이나 수정사항, 문제점 등에 대한 피드백은 언제든지 환영합니다. <pyrasis (at) chol.com>로 메일을 보내 주십시오.
——————————————————————————–
2. 설치 준비 작업
설치를 위해 준비해야 할 것들.
——————————————————————————–
2.1. 네트워크 구성
방화벽이 없는 네트워크 구성 라우터 ——— 스위칭 허브 ———– PC
|
———– 서버
방화벽이 설치 될 네트워크 구성 라우터 ————- eth0-(Bridge Firewall)-eth1 — 스위칭 허브 ——– PC
(Cross Cable) |
——– 서버
——————————————————————————–
2.2. 준비할 것들
본인이 Bridge Firewall을 설치한 리눅스 배포판은 데비안 리눅스 3.0 r1(2003년 6월)이며 커널 버전은 2.4.19이다. 다른 배포판에서도 무리 없이 설치할 수 있다.
테스트 해본 하드웨어 사양은 셀러론 1GHz 256RAM 이고 현재 50대 정도의 컴퓨터가 방화벽 뒤에서 인터넷을 사용하고 있다. 사용하고 있는 랜카드는 3Com 3c590, Intel EtherExpress/100이다.
꼭 필요한 것들
리눅스 커널 2.4.19
랜카드 2장
크로스 케이블, 다이렉트 케이블
bridge 커널 패치
bridge utils
iptables 커널 패치
iptables 소스
——————————————————————————–
2.3. 사용 할 각각의 파일들 구하기
bridge 커널 패치 및 bridge utils
Linux ethernet bridging http://bridge.sourceforge.net
bridge-nf-0.0.7-against-2.4.19.diff
bridge-utils-0.9.6.tar.gz
iptables 커널 패치 및 iptables
netfilter/iptables http://www.netfilter.org
patch-o-matic-20030107.tar.bz2
iptables-1.2.8.tar.bz2
리눅스 커널 소스
The Linux Kernel Archives http://www.kernel.org
linux-2.4.19.tar.bz2
위의 파일들을 /root에 받는다.
——————————————————————————–
3. 설치하기
리눅스 커널에 iptables와 bridge패치를 하고 컴파일을 할 것이다. 여기서 모든 작업은 root로 했다.
——————————————————————————–
3.1. 리눅스 커널 패치
커널 소스는 /usr/src/linux에 풀어 놓는다. # mv linux-2.4.19.tar.bz2 /usr/src
#cd /usr/src
/usr/src# tar vjxf linux-2.4.19.tar.bz2 압축을 푼다. bunzip2 패키지가 필요하다.
/usr/src# ln -s linux-2.4.19 linux 압축이 풀린 디렉토리를 linux라는 이름으로 심볼릭 링크를 생성한다.
bridge 패치를 패치한다. # mv bridge-nf-0.0.7-against-2.4.19.diff /usr/src
# cd /usr/src/linux
/usr/src/linux# patch -p1 < ../bridge-nf-0.0.7-against-2.4.19.diff
iptable 패치는 patch-o-matic 이라는 방식으로 커널 패치를 한다. # tar vjxf patch-o-matic-20030107.tar.bz2
# cd cd patch-o-matic-20030107
# ./runme extra
Hey! KERNEL_DIR is not set.
Where is your kernel? [/usr/src/linux] 커널 소스를 /usr/src에 풀어서 linux라고 링크를 걸었다면 엔터를 친다
아니면 실제 커널이 있는 경로를 적어준다
다음과 같이 나올 것이다.
Welcome to Rusty’s Patch-o-matic!
Each patch is a new feature: many have minimal impact, some do not.
Almost every one has bugs, so I don’t recommend applying them all!
——————————————————-
Already applied: submitted/01_2.4.19
Testing… 02_2.4.20.patch NOT APPLIED ( 17 missing files)
The submitted/02_2.4.20 patch:
Authors: Various (see below)
Status: Included in stock 2.4.20 kernel
This big patch contains all netfilter/iptables changes between stock kernel
versions 2.4.19 and 2.4.20.
submitted/DSCP.patch
+ New DSCP target to mangle table (Harald Welte + Matthew G. Marsh)
submitted/ECN.patch
+ New ECN target to mangle table (Harald Welte)
submitted/REJECT_mark.patch
+ Don’t copy nfmark value of old packet (Henrik Nordstrom)
submitted/ahesp-static.patch
+ Fix static build of ahesp match (Paul P Komkoff Jr)
submitted/conntrack+nat-helper-unregister.patch
+ Fix helper unregister in case of clashing ports (Harald Welte)
submitted/conntrack.patch
+ Add new ‘conntrack’ match (Marc Boucher)
submitted/dscp.patch
+ New ‘dscp’ match (Harald Welte)
submitted/ecn.patch
+ New ‘ecn’ match (Harald Welte)
submitted/helper.patch
+ New ‘helper’ match (Martin Josefsson, Harald Welte)
submitted/ip6tables-exthdr-bug.patch.ipv6
+ Fix broken ipv6 extensionheader parser (Andras Kis-Szabo)
submitted/ipv6-agr.patch.ipv6
+ New ip6tables ‘eui64’ match (Andras Kis-Szabo)
submitted/length.patch.ipv6
+ New ip6tables ‘length’ match (Imran Patel, James Morris)
submitted/log-tunnel-fix.patch.ipv6
+ Fix ip6tables ‘LOG’ target MAC address in case of tunnels
(Peter Bieringer, Andras Kis-Szabo)
submitted/nat-memoryleak-fix.patch
+ Fix memoryleak at iptable_nat unload time (zhongyu)
submitted/ownercmd.patch
+ Extend ‘owner’ match to match cmdline (Marc Boucher)
submitted/pkttype.patch
+ New ‘pkttype’ match (Michal Ludvig)
submitted/ulog-nlgroup-shift-fix.patch
+ Fix error with shifting nlgroup in ULOG target (Harald Welte)
submitted/ulog-sparc-bitops-fix.patch
+ Include linux/bitops.h instead of asm/bitops.h
submitted/z-newnat16.patch
+ Redesign of conntrack and nat helper framework, for more info see http://cvs.netfilter.org/cgi-bin/cvsweb/netfilter/documentation/newnat-summary.txt
(Harald Welte, Jozsef Kadlecsik, and others)
submitted/z-newnat_assertfix.patch
+ Fix erroneously printed ASSERT messages when debugging of newnat
enabled (Martin Josefsson)
submitted/z-newnat_changeexpect-lockfix.patch
+ Fix locking bug in ip_conntrack_change_expect() (Martin Josefsson)
Further changes, not previuosly in patch-o-matic:
+ ip6tables usage counter fix (Harald Welte)
+ ip_queue cleanup (James Morris)
+ minor spelling fixes
+ __constant_htons() macro changes
+ ipt_unclean: srcport _can_ be zero
+ yet another ipchains GFP_ATOMIC fix
—————————————————————–
Do you want to apply this patch [N/y/t/f/a/r/b/w/v/q/?]
엔터를 친다
iptable패치에는 내용이 여러 가지가 존재한다. y를 누르면 패치가 된다. 그러나 전부 패치를 하면 안 된다. 나중에 커널을 컴파일 하면 에러가 나기 때문에 꼭 필요한 것만 y를 눌러 패치 한다. b를 누르면 뒤로 돌아갈 수 있다.
지금 패치 할 것은 패킷에서 String을 검색하여 패킷을 버리거나 거부 하는 String match support 이다. 이것을 이용하면 Nimda, CodeRed 등의 웜이나 바이러스의 패킷을 차단 할 수 있다.
계속 엔터를 쳐서 가다 보면 아래와 같은 화면이 나올것 이다. Welcome to Rusty’s Patch-o-matic!
Each patch is a new feature: many have minimal impact, some do not.
Almost every one has bugs, so I don’t recommend applying them all!
——————————————————-
Already applied: submitted/01_2.4.19
Testing… string.patch NOT APPLIED ( 2 missing files)
The extra/string patch:
Author: Emmanuel Roger <winfield@freegates.be>
Status: Working, not with kernel 2.4.9
This patch adds CONFIG_IP_NF_MATCH_STRING which allows you to
match a string in a whole packet.
THIS PATCH DOES NOT WORK WITH KERNEL 2.4.9 !!!
—————————————————————–
Do you want to apply this patch [N/y/t/f/a/r/b/w/v/q/?]
여기서 y를 누르면 String match가 패치 된다.
계속 엔터를 치면 다른 패치들이 나온다. 필요한 것들이 있으면 패치한다.
——————————————————————————–
3.2. 커널 옵션 설정하기
iptables 와 bridge기능을 사용할 수 있게 커널 옵션을 설정한다. 사용 할 랜카드 2개도 설정을 할 것이다.
커널 옵션은 다음과 같이 설정한다. menuconfig 를 이용하려면 데비안에서는 libncurses5-dev 패키지가 꼭 필요하다. 데비안에서 패키지는 apt-get 나 dselect를 이용하여 설치한다. 다른 배포판도 마찬가지 이다. 대부분의 배포판에서는 기본적으로 설치되어 있을 것이다. # cd /usr/src/linux
/usr/src/linux# make menuconfig
커널 성숙도 옵션. 이 부분을 체크 해야 아래 옵션들이 모두 나오게 된다. Code maturity level options —>
[*] Prompt for development and/or incomplete code/drivers
랜카드 드라이버 설정. 본인이 사용하고 있는 랜카드는 3Com 590, Intel EtherPress/100 이다. 각자 가지고 있는 랜카드를 설정하자. Network device support —>
Ethernet (10 or 100Mbit) —>
[*] Ethernet (10 or 100Mbit)
< > Sun Happy Meal 10/100baseT support
< > Sun GEM support
[*] 3COM cards
< > 3c501 “EtherLink” support
< > 3c503 “EtherLink II” support
< > 3c505 “EtherLink Plus” support
< > 3c507 “EtherLink 16” support (EXPERIMENTAL)
< > 3c509/3c529 (MCA)/3c579 “EtherLink III” support
< > 3c515 ISA “Fast EtherLink”
<*> 3c590/3c900 series (592/595/597) “Vortex/Boomerang” support
< > AMD LANCE and PCnet (AT1500 and NE2100) support
[ ] Western Digital/SMC cards
[ ] Racal-Interlan (Micom) NI cards
< > AT1700/1720 support (EXPERIMENTAL)
< > DEPCA, DE10x, DE200, DE201, DE202, DE422 support
< > HP 10/100VG PCLAN (ISA, EISA, PCI) support
[ ] Other ISA cards
[*] EISA, VLB, PCI and on board controllers
< > AMD PCnet32 PCI support
< > Adaptec Starfire/DuraLAN support
< > Ansel Communications EISA 3200 support (EXPERIMENTAL)
< > Apricot Xen-II on board Ethernet
< > CS89x0 support
< > DECchip Tulip (dc21x4x) PCI support
< > TOSHIBA TC35815 Ethernet support
< > Generic DECchip & DIGITAL EtherWORKS PCI/EISA
< > Digi Intl. RightSwitch SE-X support
< > Davicom DM910x/DM980x support
<*> EtherExpressPro/100 support
< > Myson MTD-8xx PCI Ethernet support
< > National Semiconductor DP8381x series PCI Ethernet support
< > PCI NE2000 and clones support (see help)
< > RealTek RTL-8139 C+ PCI Fast Ethernet Adapter support (EXPERIMENTAL)
< > RealTek RTL-8139 PCI Fast Ethernet Adapter support
< > SiS 900/7016 PCI Fast Ethernet Adapter support
< > SMC EtherPower II
< > Sundance Alta support
< > TI ThunderLAN support
< > VIA Rhine support
< > Winbond W89c840 Ethernet support
[ ] Pocket and portable adapters
bridge 기능을 사용하기 위한 설정 Networking options —>
<*> Packet socket
[ ] Packet socket: mmapped IO
< > Netlink device emulation
[*] Network packet filtering (replaces ipchains)
[ ] Network packet filtering debugging
[*] Socket Filtering
<*> Unix domain sockets
[*] TCP/IP networking
[*] IP: multicasting
[ ] IP: advanced router
[ ] IP: kernel level autoconfiguration
< > IP: tunneling
< > IP: GRE tunnels over IP
[ ] IP: multicast routing
[ ] IP: ARP daemon support (EXPERIMENTAL)
[ ] IP: TCP Explicit Congestion Notification support
[ ] IP: TCP syncookie support (disabled per default)
IP: Netfilter Configuration —>
< > The IPv6 protocol (EXPERIMENTAL)
< > Kernel httpd acceleration (EXPERIMENTAL)
[ ] Asynchronous Transfer Mode (ATM) (EXPERIMENTAL)
< > 802.1Q VLAN Support
—
< > The IPX protocol
< > Appletalk protocol support
Appletalk devices —>
< > DECnet Support
<*> 802.1d Ethernet Bridging
[*] netfilter (firewalling) support
< > CCITT X.25 Packet Layer (EXPERIMENTAL)
< > LAPB Data Link Driver (EXPERIMENTAL)
[ ] 802.2 LLC (EXPERIMENTAL)
[ ] Frame Diverter (EXPERIMENTAL)
< > Acorn Econet/AUN protocols (EXPERIMENTAL)
< > WAN router
[ ] Fast switching (read help!)
[ ] Forwarding between high speed interfaces
QoS and/or fair queueing —>
Network testing —>
iptables에서 사용 할 각각의 기능들을 모듈로 설정한다. 모듈 설정은 스페이스 바로 두 번 선택하면 M이라고 표시된다. 이것이 모듈설정이다. *로 설정을 하면 커널로 완전히 포함된다. 모듈로 설정하면 꼭 필요한 것만 쓸 수 있게 하므로 메모리 낭비를 막을 수 있다. Networking options —>
IP: Netfilter Configuration —>
<M> Connection tracking (required for masq/NAT)
<M> FTP protocol support
<M> IRC protocol support
<M> Userspace queueing via NETLINK (EXPERIMENTAL)
<*> IP tables support (required for filtering/masq/NAT)
<M> limit match support
<M> MAC address match support
<M> netfilter MARK match support
<M> Multiple port match support
<M> TOS match support
<M> AH/ESP match support
<M> LENGTH match support
<M> TTL match support
<M> tcpmss match support
<M> Connection state match support
<M> Unclean match support (EXPERIMENTAL)
<M> String match support (EXPERIMENTAL)
<M> Owner match support (EXPERIMENTAL)
<M> Packet filtering
<M> REJECT target support
<M> MIRROR target support (EXPERIMENTAL)
<M> Full NAT
<M> MASQUERADE target support
<M> REDIRECT target support
[*] NAT of local connections (READ HELP)
<M> Basic SNMP-ALG support (EXPERIMENTAL)
——————————————————————————–
3.3. 커널 컴파일
이제 패치한 커널을 컴파일 할 차례 이다.
리눅스 배포판이 데비안일 경우 커널 패키지를 만들어서 커널을 설치하는 것이 편하다. kernel-package 라는 패키지가 필요하다. # cd /usr/src/linux
/usr/src/linux# make-kpkg –revision=1.0 binary-arch 이렇게 하면 /usr/src에 커널 헤더와 커널 이미지 패키지가 생성된다.
/usr/src/linux# cd ..
/usr/src# ls
-rw-r–r– 1 root root 30158 Mar 27 20:39 bridge-nf-0.0.7-against-2.4.19.diff
-rw-r–r– 1 root src 3961230 Apr 9 22:58 kernel-headers-2.4.19_1.0_i386.deb 커널 헤더
-rw-r–r– 1 root src 1274482 Apr 9 22:58 kernel-image-2.4.19_1.0_i386.deb 커널 이미지
lrwxrwxrwx 1 root src 12 May 14 04:24 linux -> linux-2.4.19
drwxr-xr-x 15 573 573 888 Jun 29 06:38 linux-2.4.19
/usr/src# dpkg -i kernel-headers-2.4.19_1.0_i386.deb
/usr/src# dpkg -i kernel-image-2.4.19_1.0_i386.deb
커널 이미지를 설치 할 때 부팅 디스크를 만들라는 곳에는 N으로 취소를 하고 /vmlinuz 라고 링크를 만든다고 할 때는 Y를 눌러
링크를 만든다
부트로더로 lilo를 사용할 경우
# lilo
Grub를 사용할 경우 /boot/grub/menu.lst 파일을 수정해서 새 커널로 부팅 될 수 있도록 한다
데비안이 아닌 리눅스 배포판의 경우 # cd /usr/src/linux
/usr/src/linux# make dep && make bzImage && make modules && make modules_install
/usr/src/linux# cd arch/i386/boot/
/usr/src/linux/arch/i386/boot# cp bzImage /boot/vmlinuz-2.4.19
부트로더를 lilo를 사용할 경우
/etc/lilo.conf 설정을 변경 한다. 아래와 같은 부분이 있을 것이다.
image=/boot/vmlinuz-2.4.19
label=Linux
저장을 하고
# lilo
Grub를 사용할 경우
/boot/grub/menu.lst 아래와 같은 부분이 있는데 컴파일한 커널 이미지의 경로를 적어준다.
title Linux
root (hd0,1)
kernel /boot/vmlinuz-2.4.19 root=/dev/hda2
——————————————————————————–
smooth jazz