Ipfire установка и настройка

How to Install ‘IPFire’ Free Firewall Linux Distribution

IPFire is one of the high-level flexible firewall with great features such as other firewall’s. IPFire will work as a firewall, VPN gateway, Proxy server, DHCP server, Time server, Caching name server, Wake-On-LAN, DDNS, Open VPN, Monitoring etc..

IPFire Firewall Installation Guide

IPFire is released under GPL license and totally designed to use free. The developers keep the key things as security while the IPFire was build. Since IPFire will connect directly to the internet, due to this, there will be chances for hackers and threats to attack it. To avoid those threats and attacks Pakfire package manager helps administrators to keep the the packages database up-to-date in IPFire.

Basically IPfire was build using a super kernel with various threat, attacks, detect and compromise features and have a rich Graphical interface to use. IPfire have the feature to use samba and vsftpd file services. IPFire supports VDSL, ADSL, SDSL, Ethernet, 4G/3G type of dialups.

We can use IPFire in any kind of Virtual Environments such as KVM, VMware, XEN, Qemu, Microsoft Hyper-v, Oracle virtual box, Proxmox etc. and can be run in ARM Processor build machine’s such as Raspberry pi.

During IPFire installation, the network is configured into various different segments. These segmented security scheme indicates that there is a suitable place for each system in the network and can be enabled separately as per our requirements. Each segment act as a group of machines who share a common security level, which is described in four different colors of zones i.e. Green, Red, Blue, Orange.

1. Green – This represents we are in a safe area. Client in Green area will be without any restrictions and connected Internal/locally.
2. Red – This indicates that we are in a danger or the connection to the outside world, nothing will be allowed from firewall unless configured specially by the admins
3. Blue – This represents the “wireless” network, which is used for local area network.
4. Orange – This referred to as we are in “DMZ” demilitarized zone. Any servers which are accessible publicly are aparted from the rest of the network to minimize security breaches.

IPFire recently released it’s 2.15 Core update 86 version, which comes with the new graphical user interface that was completely re-designed and comes with massive new functionality.

IPFire Hardware Requirements

1. Minimum i586 CPU (Intel Pentium 333 MHz).
2. Minimum 256 MB of RAM, Recommended 512 MB.
3. Minimum 1 GB of Hard disk Space, Recommended 2 GB, More size will be good.
4. Minimum 2 Network cards with 1 GB transfer speed.

My Environment Setup

Host name : ipfire.tecmintlocal.com IP address : 192.168.1.1 Hard disk size : 4 GB Ethernet Cards : 2 No's

This article covers installation of IPFire with the things that you will need to configure during installation. The installation and configuration procedure will note take more than 10 to 15 minutes depending on the speed of your computer.

Step 1: IPFire Installation

1. Before heading up for the IPFire installation, make sure that your hardware is compatible with IPFire. Next, go the official IPFire Download page and grab the IPFire ISO image as per your requirements. This article covers the installation of IPFire using most popular method CD/DVD.

Alternatively, you can also use USB installation of IPFire, but you need to make your USB media as bootable image using Unetbootin tool.

2. After downloading ISO image, next burn the image to media CD/DVD or USB and boot the media and choose Install IPFire 2.15 to start the installation.

Choose Install IPFire

3. Next, choose the Language as respective to your region.

Select Language

4. At this step, you can see that, if you not wish to continue the setup you can Cancel setup and reboot the machine.

IPFire Welcome Screen

5. Accept for the license by pressing Space bar to choose, and press OK to continue.

Select IPFire License

6. In this step a warning will be raised as the data in the selected disk will be destroyed if we continue the installation. Choose Yes to get install IPFire and choose OK.

Prepare Disk for IPFire Installation

7. Next, choose the file system as EXT4 and continue to the future steps.

Select Filesystem Type

8. Once, you selected filesystem type, the installation begins and disk will be formatted and system files will be get installed.

IPFire Installation

9. Once installation completes, press OK to reboot to finalize the installation and continue with the further installation to configure ISDN, networks cards and system passwords.

IPFire Installation Completed

10. After system reboot, it will prompt you IPFire boot menu option, select the default option by pressing enter key.

Boot IPFire

11. Next, select the type of Keyboard mapping Language from the drop-down list as shown below.

Choose Keyboard Language

12. Next, choose the timezone from the list, Here I’ve choose “India” as my timezone region.

Choose IPFire Timezone

13. Choose a host name for our IPFirewall machine. By default it will be ipfire. I’m not going to make any changes in this steps.

Set Hostname

14. Give a valid domain name, if you have a local DNS server or we can define it later. Here, I am using “tecmintlocal” as my local DNS server domain name.

Set Domain Name

15. Enter a password for root user, This will be used for Command-line access. I have used redhat123$ as my password.

Set IPFire root Password

16. Now here we need to provide a Password for admin user for IPFire GUI web interface. The password must be different from the command line access credentials for security reason’s.

Set IPFire Web Password

Источник: https://www.tecmint.com/install-ipfire-firewall-distribution/

Install IPFire Linux Firewall

IPFire is an Open Source Linux-based firewall distribution that can be configured to provide additional security for your data center. It contains VirtIO kernel modules and offers excellent performance on the KVM hypervisor.

Requirements

The system requirements for IPFire are quite modest. It is recommended that IPFire be configured with at least:

• 1 Processor Core
• 1GB RAM
• 4GB HDD/Disk Storage
• 2 Network Interfaces

If you wish to retain a significant amount of activity logs or anticipate installing a number of add-on packages (via pakfire) please allocate additional disk storage space.

It is recommended that a static/reserved IP address be assigned to the WAN/Public interface.

Some additional information on the process of reserving an IP address can be found in our articles Adding Secondary Virtual IP Addresses and Static IP Assignment

Preparation

IPFire is available for download at http://downloads.ipfire.org.

As of this writing, the current version available is «IPFire 2.17 — Core Update 93» which can be found at:

http://downloads.ipfire.org/release/ipfire-2.17-core93

Download the Installable CD image

Once we have it downloaded, we will need to upload it via FTP to the appropriate ProfitBricks data center so that it will appear in the Image Manager inside the DCD. It will then be available under «Own Images» for use when provisioning a server.

Create a data center if you don't already have one setup.

Now that we have the image available, go ahead and add a Composite Instance in your data center. For this tutorial, we will assign one processor core, 2GB of RAM, and create a 5GB hard disk volume. You can scale those resources as you see fit.

Make sure and check the «Boot from Device» option:

This is what your «Storage» tab will look :

Now we will add the two network interfaces. Add a name of «WAN» for «NIC 0» and choose the IP address we reserved earlier from the «Primary IP» drop-down menu. Use «Add NIC» to create «NIC 1» and name it «LAN». It should end up looking this screenshot:

Go ahead and provision the changes.

IPFire Installation

Once it has been provisioned and the server is booted, we will proceed with the install using the remote console inside the DCD.

Choose your language, accept the license agreement.

Proceed through the install.

Choose the «ext4 Filesystem» unless you have a good reason to prefer one of the other options.

The install will continue and finish quickly.

Basic Configuration

When complete, it will reboot and using the remote console via the DCD we will need to complete the basic setup.

Confirm your language choice.

You will be prompted on similar looking screens for 'Timezone', «Hostname» and «Domainname».

On the next screen, you'll set a root password which will be used when accessing the IPFire server via SSH.

Right after setting the root password, a similar looking screen will prompt you to set an admin password which will be used to access the IPFire web interface. It is recommended to set unique passwords for root and admin rather than using the same one for both users.

The characters you type will not echo to the console screen, so be careful as you are typing to ensure that the passwords match.

Accept the default «GREEN + RED» setting for «Network configuration type»:

We can refer back to the DCD to get the MAC information needed to complete the «Assigned Cards» section.

We want to match up the MAC to the appropriate interface. The RED interface is our WAN or Public interface using the reserved IP address.

We will set our DNS resolver address to be the one available at the ProfitBricks facility where we provisioned our data center. In this tutorial we used the Las Vegas Developer Cluster, so the Primary DNS Address is 69.194.131.41.

For the Secondary DNS Address we will just use one of Google's public DNS servers. The Default gateway should be set to your reserved IP address, only ending in .1, so for the tutorial we will set it to 162.254.27.

1 as shown below.

DHCP Server Configuration — Do not enable this unless you need it for some specific reason. Having your firewall hand out IP addresses via DHCP is not a typical configuration for use in a data center. It would be appropriate to enable when using IPFire to protect a home or office network.

Setup is now complete.

Note It is possible to return to this setup interface later on by running setup after logging in as root.

Use the DCD to remove the CD-ROM and set the server to boot from the HDD.

At this point we can access the web interface one of two ways:

1) Configure a VM that has a browser available and attach it to the LAN. Use the remote console to open a browser inside that VM and access the IPFire web interface on the private address.

2) Make a change to the IPFire firewall configuration so that we can access the web interface on the Public/WAN/RED interface. Leaving this permanently open is not the ideal solution security wise, but will allow us to make additional configuration changes such as setting up a VPN. Once the VPN is active, then we can disable external access to the web interface and utilize the VPN to access the web interface running internally.

The changes necessary for method two are: Use the DCD's remote console to log into IPFire as the root user using the password created during the install.

Locate the section of /etc/init.d/firewall starting at line 198 that handles default access to the web interface on the GREEN/LAN interface. It should look this if you have line numbers enabled in vi:

197 # localhost and ethernet.198 # Always allow accessing the web GUI from GREEN.199 iptables -N GUIINPUT200 iptables -A INPUT -j GUIINPUT201 iptables -A GUIINPUT -i «${GREEN_DEV}» -p tcp —dport 444 -j ACCEPT

We are going to add a line to allow access on the RED/WAN interface.

# Allow accessing the web GUI from REDiptables -A GUIINPUT -i «${RED_DEV}» -p tcp —dport 444 -j ACCEPT

# Allow accessing the web GUI from RED for a specific IPiptables -A GUIINPUT -i «${RED_DEV}» -s «YourIPAddress» -p tcp —dport 444 -j ACCEPT

This screenshot shows the new lines in the file:

now run /etc/init.d/firewall restart to apply the rule change.

Web Interface

We should now be able to access the IPFire web GUI using the public IP address assigned to RED. There will be a SSL certificate warning due to the self-signed SSL certificate. You will need to add an exception or otherwise bypass that warning. The steps for doing so will vary according to your browser.

Testing

As a quick example, we will enable SSH access to the IPFire server and add a rule to permit the connection. For enhanced security, the SSH daemon is not running on IPFire by default. This is good and should remain configured that way for your production setup. However, you may find having external SSH access is helpful during the configuration, testing, and setup process.

First we need to enable SSH via the Web Interface. IPFire has SSH configured to listen on port «222» rather than the standard SSH port «22» by default. On the System menu, select SSH Access.

Check the SSH Access option, and then Save

Now we need to add a rule to allow the connections. From the Firewall menu, choose Firewall Rules and use the New rule button to create a new rule.

In this example, we are specifying that we want to allow connections from a single source IP which is populated with our admin workstation's public IP address. The destination is set as the RED firewall interface. The protocol is set to TCP, and the destination port is: 222.

We have also added a «Remark:» so that we will remember what this rule is for.

When you have everything set, click Add to create the rule.

If it looks good, press the Apply Changes button.

Finally we test connecting via SSH.

When you are done working with the IPFire server externally via SSH, you can turn it off and/or remove the rule.

Take a look around the IPFire interface. The Status menu provides detailed information about what is going with your network. Here is an example with the Connections screen:

We can see that there are established connections on ports 444 for the web interface and 222 for SSH.

Support

The IPFire project maintains a useful wiki. You could also consult the official IPFire forums.

You are also welcome to post questions here or in the Community Section of this site. We will be adding articles related to configuring specific features of IPFire in the near future.

Источник: https://devops.ionos.com/tutorials/install-ipfire-linux-firewall/

Как установить ipfire

Всем привет сегодня хочу познакомить вас с отличным дистрибутивом для организации vpn канала между офисами, ipfire.

Делается это для тех у кого нет возможности приобретения оборудования juniper или Cisco, такая vpn сетка для бедных :), но во многих случаях она помогает экономить деньги, особенно актуально при текущей ситуации в стране.

Ниже рассмотрим возможности ipfire и его установку. Были случаи, что я его использовал для организации маршрутизации с хоста виртуализации, который в свою очередь, располагался в цоде.

ipfire свободно распространяемый дистрибутив на основе линукс платформ с целью создания маршрутизатора и firewall.

Сам дистрибутив легкий по весу и требует всего 256 мб памяти, два сетевых интерфейса для интернета и для организации шлюза в локальной сети

Основные функции:

• Прокси-сервер с контентной фильтрацией и кешем для обновлений (пример: Microsoft Windows Updates и антивирусные базы)
• Intrusion detection system (Snort) with intrusion prevention-addon «guardian»
• VPN via IPsec and OpenVPN
• DHCP сервер
• Caching-nameserver
• NTP server
• Wake-on-LAN
• Dynamic DNS
• Quality of Service
• Outgoing firewall
• System monitoring and Log-Analysis

Скачать дистрибутив можно с официального сайта последней версией была IPFire 2.17 — Core Update 95, если вдруг вам нужен дистрибутив то могу залить в облако яндекса.

На выбор у вас будет прямая ссылка с сайта, торентом или magnet, не забудьте проверить контрольную сумму iso образа.

Установка ipfire

Ставить я буду на VMware ESXI 5.5. Первым делом создаем виртуальную машину. В качестве ОС выбираем Other Linux x-86 и двумя сетевыми интерфейсами.

запускаем установщик, вы сразу увидите огненного пингвина, для установки выбираем Install IPFire 2.17

так же хочу обратить внимание, что есть возможность выбрать установку с помощью файла ответов

Выбираем start installation

Соглашаемся с лицензионным соглашением и жмем ок.

Мастер определит диски для установки и попросит удалить все данные с нужного, жмем Delete all data.

теперь вам нужно будет задать тип файловой системы, я выбираю ext4 File system.

начнется создание файловой системы

и сам процесс установки ipfire

подождав пару секунд вас попросят перезагрузиться для дальнейшей настройки.

Загружаемся

вас спросят язык раскладки клавиатуры выбираем us

при желании можете задать нужный часовой пояс

теперь зададим имя сервера, хотя в данном случае виртуальной машины

указываем доменное имя хоста

Задаем пароль root

указывайте сложный пароль

и задаем пароль Admin для доступа к веб морде.

Далее настраиваем сеть ipfire.

Настройка сети ipfire

И так теперь самое главное правильно настроить внешнюю и локальную сеть, для дальнейшего управления дистрибутивом. Перед вами окно настройки сети Green + Red

Вот описание назначения сети, где

• red это внешняя сеть, будет использоваться для vpn канала
• Green это локальная сеть
• Ogange это демилитаризованная зона
• Blue это WLAN, для Wifi.

и так выбираем drivers and card assignments.

как видите к green и red нет привязанных сетевых адаптеров, исправим это. Выбираем green.

выбираем нужный сетевой адаптер, полезно видно mac адреса.

Все к зеленому мы привязали железку

Сделаем тоже самое для красного интерфейса

теперь когда зеленый и красный имеют выход в нужные коммутаторы можно двигаться дальше.

теперь настроим статические ip адреса для нашего сервера, хотя у вас в локалке и может быть dhcp для серверов, но я вам рекомендую, любому серверу давать статику. Выбираем Address settings.

в начале настроим зеленый интерфейс

задаем нужный вам ip адрес и маску подсети.

тоже самое проделываем со внешним красным интерфейсом. Тут вы также можете использовать

• Статический ip адрес
• DHCP назначение
• PPOE или модемы

внешний ip мы настроили, но не указали для него dns сервера и шлюз по умолчанию, сделать это для красного интерфейса можно в пункте DNS and Gateway settings.

я выбрал в качестве dns не провайдерские dns, а гугловские

Все ipfire установка почти закончена, в конце мастер вам предложит настроить dhcp сервер, если у вам это не нужно то просто пропустите этот пункт.

все миссия окончена

открываем браузер и вводим вот такой вот адрес https://ip адрес:444.

Материал сайта pyatilistnik.org

инструкция

Источник: http://pyatilistnik.org/kak-ustanovit-ipfire/

How to Install and Configure IPFire Firewall

IPFire is an open source firewall distribution. It can be used as a firewall, a proxy server or a VPN gateway.It has following features.

• Easily configurable
• Support true random generator
• High availability
• Hardware accelerator for cryptography algorithm (AES-NI)

IPFire is forked from IPCop and Endian firewall distro's. Installation and basic configuration of firewall is given in following section.

Installation

In this tutorial, IPfire firewall will be installed on the VM, created on the Virtual Box software. The detail of our VM is given below.

After clicking on start button, following window appears for IPfire installation.

Press «Enter» button to start installation procedure.  Select the desired language from the given list.

Press «Enter» button to start installation and accept GPL license.

GPL license acceptance is shown following.

After GPL license acceptance, windows appear for the partition of  hard disk and filesystem. Ext4 file system is selected in this installation of IPfire.

File system selection is shown below.

IPfire installation progress is shown in the below figure.

IPfire firewall successfully  installed on the VM.

Configuration

After reboot, basic configuration of IPfire firewall will be done. First of all, keyboard layout and time zone  are selected.

Host name and local domain setting for IPfire firewall.

Password setting for root user which is used for CLI access of IPfire.

Password setting for admin user which is used for web access of IPfire.

Network configuration of IPfire is shown below. As shown in the figure that the default network configuration is GREEN & RED zones . However, it supports BLUE and ORANGE zones as well

IPfire supported zones are shown in the following figure.

In a standard IPfire  firewall installation, Green + Red means 2 Networks. Green network for home or LAN side and  Red network for  internet/external connection.

Usage of each zone is given in the following table.

GREEN zone

RED zone

Interfaces assigned to both GREEN and RED zones are shown in the below figure.

IP address setting for GREEN zone is shown below.

Assigned IP address and net mask is following IP = 192.168.1.115 , Net mask = 255.255.255.0

IP address setting for RED zone is shown below.

Assigned Static IP address and net mask are  following.  However, DHCP and PPP DIALUP (PPPoE) modes are also supported on RED interface for IP assignment.

IP = 192.168.100.1 , Net mask = 255.255.255.0

DNS and Gateway setting for  RED interface are shown in the following snapshot.

DHCP configuration on the GREEN interface for automatic IP assignment is given below.

After DHCP configuration, basic setting of IPfire are complete.

IPfire will reboot to apply changes and gives CLI access to user «root».

To access CLI , enter password for user «root».

Web Access of IPfire is required for further configuration. It is also used to configure firewall rules, snort configuration and VPN setting etc.

Enter IP address of GREEN interface along port 444 for web interface access. All web browsers gives exception due to untrusted certificates. Therefore accept the exception  to view the web pages.

Enter password for «admin» user to access the pages.

After correct username and password, following main dashboard appears, which shows the network configuration (IP addresses on RED and GREEN zones).

System

This menu is used for basic setting of the  IPFire machine such as enabling ssh access, backup and setting web access password etc. System sub menu is shown in the following figure.

Status

In this menu, firewall administrator view the status of system resources such as RAM & CPU, internal and external network, entropy for TRNG and statistics for VPN's.

Network

As shown in the following figure that network settings such as static routing, webproxy, url filtering and wake on Lan etc is available under this menu

Services

Services such as VPN which include IPsec & OpenVPN , intrusion detection, QoS , time server etc  are listed under this menu.

Firewall

Main feature of IPFire distribution is providing firewall feature. Administrator or user  uses this menu to push  iptables rules on back end.

IPFire

Pakfire is used to install Addons/packages on the IPFire machine for more feature.

Logs

As shown in the following figure that, logs of services such has IDS, firewall, proxy  and system can be view from Logs menu.

Conclusion

In this article, our focus was installation and configuration of another open source firewall, IPFire. It is forked from well-known open source firewalls IPCop and Endian. It provides high availability, usage of TRNG and AES-NI features.

Источник: https://linoxide.com/firewall/install-configure-ipfire-firewall/

Настройка ipfw (FireWall)

В Интернете есть много пространных рассказов про то как настроить межсетевые фильтры, экраны, объединить сети и прочие сложности. Я про это писать не буду. Я напишу несколько простых рецептов и примеров, вполне готовых к использованию и рассчитанных на рядового пользователя, которые помогут ему защититься от внешнего вторжения.

Кроме того, здесь я расскажу об одной полезной для web-разработчика (и не только) дополнительной возможности FireWall.

Перед тем как начинать

Лично мне понадобился FireWall только когда я стал работать в большой компании в тесном сотрудничестве со многими людьми и мне пришлось открыть ssh-доступ, http-доступ на мою рабочую машину. Кроме того, моя собственная работа привела к тому, что мне пришлось открыть десятки портов, а слушали эти порты приложения, находящиеся в процессе разработки… Одним словом, мне понадобился FireWall, но я не уверен, что он жизненно необходим вам.

Что такое FireWall (коротко)

FireWall — это модуль ядра, который обрабатывает всю входящую информацию до того, как она будет передана соответствующим программам; и всю исходящую информацию, какой бы программой она ни была отправлена. FireWall анализирует эти данные и либо пропускает их дальше, либо блокирует, основываясь на некоторых правилах. Правильная настройка FireWall позволяет защитить систему от нежелательных внешних вторжений и ограничить возможности программ, работающих внутри системы.

Это всё теория. Главное для нас то, что FireWall — это не программа, а подсистема ядра, что он может блокировать трафик и что его можно гибко настраивать.

Подготовка

Прежде всего, вам надо загрузить модуль FireWall в ядро.

Для тестирования, вы можете сделать это «руками» командой:

kldload ipfw

ВНИМАНИЕ! После того, как вы загрузите FireWall вступят в действие настройки по умолчанию и вы будете полностью изолированны от внешнего мира! Поэтому не торопитесь с выполнением этой команды, не прочитав, как настраивать FireWall, или не сохранив инструкции на своём локальном диске.

Чтобы модуль загружался сам при каждой загрузке системы, добавьте строчку:

ipfw_load=»YES»

в файл /boot/loader.conf.

Строго говоря, /boot/loader.conf можно и не трогать, модуль подгрузится и если в /etc/rc.conf присутствует firewall_enable=»YES» (см. ниже).

Написание правил

Я не буду здесь пересказывать man 8 ipfw. Я приведу готовые примеры.

Пример 1: Можно всё

Чтобы разрешить весь трафик, достаточно одного правила

00100 pass all from any to any

Смысл этого правила понятен и без чтения документации: «Пропускай все пакеты от кого угодно к кому угодно». Это правило пригодится вам во время отладки. Неминуемо у вас будут получаться конфигурации в которых вы будете полностью отрезаны от мира. Это правило — идеальное временное решение.

Первое число это номер правила. Каждое правило пронумеровано и проверяются они в порядке возрастания номеров.

Пример 2: Паранойя

Эти правила разрешают только соединения инициированные вами. Снаружи никто даже не может попытаться подключиться. Ваша машина даже не будет «пинговаться», то есть большинство окружающих будут уверены, что она вообще выключена.

Для пользователя эти правила тоже очень жёсткие, они позволяют ему пользоваться далеко не всеми ресурсами сети.

Давайте рассмотрим эти правила по порядку.

00100 allow all from any to any via lo000101 deny all from any to 127.0.0.0/800102 deny all from 127.0.0.0/8 to any 00500 check-state 00501 deny all from any to any frag00502 deny tcp from any to any established 00600 allow tcp from any to any 80 out via bge0 setup keep-state00601 allow tcp from any to any 110 out via bge0 setup keep-state00602 allow tcp from any to any 143 out via bge0 setup keep-state00603 allow tcp from any to any 25 out via bge0 setup keep-state 00700 allow tcp from any to XX.XX.XX.XX 53 out via bge0 setup keep-state00701 allow udp from any to XX.XX.XX.XX 53 out via bge0 keep-state00702 allow tcp from any to YY.YY.YY.YY 53 out via bge0 setup keep-state00703 allow udp from any to YY.YY.YY.YY 53 out via bge0 keep-state

Правила 100-102 разрешают общение вашего компьютера с самим собой. Может оказаться, что вам эти правила не нужны, но без них могут не заработать некоторые программы.

Правила 501 и 502 запрещают все соединения, которые уже созданы.

Правила 600-603 создают виртуальные правила (keep-state), пропускающие (allow) пакеты для соединений, которые инициированы (setup) вами (out via bge0).

Кстати, имя интерфейса bge0 вам следует изменить на имя вашего интерфейса.

Причём правила 600-603 позволяют вам работать только с WWW (порт 80) и e-mail (порты 25, 110, 143). Если вам нужно работать и по другим протоколам, то добавьте правил по аналогии.

Правила 700-703 аналогичны предыдущим, они позволяют вам работать с DNS, причём только с легальными DNS вашего провайдера. Замените XX.XX.XX.XX и YY.YY.YY.YY на адреса ваших DNS. Добавьте или удалите правила по необходимости.

Пакеты, которые не удовлетворяют ни одному правилу, будут блокированы FireWall.

Таким образом мы получили набор правил, который не пропускает входящие пакеты кроме тех, которые пришли в ответ на ваш запрос. Кроме того, вы можете работать только с ограниченным кругом Интернет-сервисов. То есть если у вас заведётся какая-то программа (разве такое возможно под FreeBSD?!), желающая «выйти в интернет» у неё это скорее всего не получится. Кроме того, вы не сможете воспользоваться никакими DNS, кроме тех, которым доверяете. Это сразу резко сужает круг возможных атак.

Пример 3: Разумный компромисс

Параноидальная конфигурация хороша, но уж очень параноидальна. Сам я пользуюсь более либеральными настройками:

00100 pass all from any to any via lo000101 deny all from any to 127.0.0.0/800102 deny all from 127.0.0.0/8 to any00500 check-state00502 deny all from any to any frag00501 deny tcp from any to any established00600 allow tcp from any to any out via bge0 setup keep-state00601 allow udp from any to any out via bge0 keep-state# allow in to 8000700 allow tcp from any to any 80 in via bge0 setup keep-state# ping02000 allow icmp from any to any out icmptype 802001 allow icmp from any to any in icmptype 0

Здесь разрешён весь трафик инициированный мной (на любые порты).

Правило 700 разрешает всем обращаться к Web-серверу, размещённому на моей машине. Вы можете добавить аналогичные правила для других сервисов. На пример:

00701 allow tcp from AA.AA.AA.AA to any 22 in via bge0 setup keep-state

Это правило разрешит обращаться к вашему sshd с машины с IP-адресом AA.AA.AA.AA.

Наконец, правила 2000 и 2001 разрешают вам «пинговать» других. Вас по-прежнему никто «пинговать» не сможет.

Чтобы ping на вас работал, поправьте эти правила вот так:

02000 allow icmp from any to any icmptype 802001 allow icmp from any to any icmptype 0

Или напишите просто:

02000 allow icmp from any to any

Это не опасно.

Строго говоря, грамотный хакер сможет много узнать о вашей системе даже с помощью ping, но в большинстве случаев это все же не опасно.

Загрузка правил

Итак, вы выбрали правило, поправили его под свои конкретные нужды и хотите его загрузить. Для загрузки правил есть программа, которая называется так же, как и модель ядра — ipfw. Существует два способа загрузки.

Первый способ — загрузить правила из файла:

ipfw /полный/путь/к/файлу

Перед загрузкой не забудьте удалить существующие правила:

ipfw -q -f flush

Второй способ более громоздок, но он более общепринятый. Для загрузки пишется скрипт, который загружает правила по одному. Традиционно, скрипт имеет примерно такую организацию:

#!/bin/shipfw -q -f flush # чистим# устанавливаем переменныеoif=»bge0″ # мой интерфейсcmd=»ipfw -q add » # для краткостиks=»keep-state» # для краткости# теперь загружаем, используя краткие «макросы»$cmd 00500 check-state$cmd 00502 deny all from any to any frag$cmd 00501 deny tcp from any to any established$cmd 00600 allow tcp from any to any out via $oif setup $ks$cmd 00601 allow udp from any to any out via $oif $ks

firewall_enable=»YES»firewall_script=»/etc/rc.ipfw»

Упомянутый здесь файл /etc/rc.ipfw может называться и по другому (это имя выбрал я сам). Это просто файл-скрипт, загружающий правила.

Диагностика

Для диагностики есть две команды:

ipfw list

показывает все правила, а

ipfw show

показывает правила и счётчики пакетов, которые совпали с этими правилами. (Имеются полезные дополнительные ключи. Подробнее смотрите документацию.)

Не удивляйтесь, в списках правил всегда будет присутствовать правило, которое вы явно не загружали:

65535 deny ip from any to any

Это правило по умолчанию, оно присутствует всегда и удалить его нельзя. Оно обрабатывается последним в цепочке правил и останавливает все пакеты, которые не совпали ни с одним правилом.

Ограничение трафика

Наконец, ipfw предоставляет возможность, которая никак не связана с безопасностью, но может быть очень полезной при отладке web-приложений. Ipfw может эмитировать торможение сети.

Не вдаваясь в детали (которые всегда можно прочитать в man), приведу сразу пример правил. Загрузить их можно вот такими тремя командами:

ipfw pipe 1 config bw 50Kbit/s queue 20ipfw queue 1 config pipe 1 weight 50 queue 20ipfw 00099 add queue 1 tcp from any 9090 to any

Первой командой мы создали трубу (pipe) с скоростью пропускания 50Kbit/s и длиной очереди 20 пакетов. Второй командой мы создали очередь (queue), которая работает с нашей трубой. И третьей командой мы создали правило, которое отправляет в нашу очередь все пакеты, которые идут с порта 9090. То есть даже если вы будете соединяться сами с собой через порт 9090, то ширина канала будет ограничена 50Kbit/s.

Этот механизм позволяет не только ограничивать ширину, но и эмитировать потери пакетов и задержки. Подробнее читайте документацию на ipfw, там всё написано.

Я лишь добавлю, что очерёдность выполнения этих трёх команд не важна. А чтобы удалить трубы и очереди, есть две специальные команды:

ipfw -f pipe flushipfw -f queue flush

Не забывайте удалять текущие настройки перед загрузкой новых.

Мичурин Алексей
Источник: www.michurin.com.ru

Источник: https://system-administrators.info/?p=1287

Как установить и настроить брандмауэр IPFire

IPFire — это брандмауэр с открытым исходным кодом. Он может использоваться как брандмауэр, прокси-сервер или шлюз VPN. Он имеет следующие функции.

• Легко настраиваемый
• Поддержка истинного генератора случайных чисел
• Высокая доступность
• Аппаратный ускоритель для алгоритма криптографии (AES-NI)

IPFire разветвляется с IPCop и Endian firewall distro. Установка и базовая конфигурация брандмауэра приведены в следующем разделе.

Установка

В этом учебнике брандмауэр IPfire будет установлен на виртуальной машине, созданной в программном обеспечении Virtual Box. Деталь нашей виртуальной машины приведена ниже.

После нажатия кнопки «Пуск» появится следующее окно для установки IPfire.

Нажмите кнопку «Ввод», чтобы начать процедуру установки. Выберите нужный язык из данного списка.

Нажмите кнопку «Ввод», чтобы начать установку и принять лицензию GPL.

Принятие лицензии GPL показано ниже.

После принятия лицензии GPL, windows появляются для раздела жесткого диска и файловой системы. Файловая система Ext4 выбрана в этой установке IPfire.

Выбор файловой системы показан ниже.

Показатель установки IPfire показан на рисунке ниже.

Брандмауэр IPfire успешно установлен на виртуальной машине.

Конфигурация

После перезагрузки будет выполнена базовая конфигурация брандмауэра IPfire. Прежде всего, выбраны раскладка клавиатуры и часовой пояс.

Имя хоста и локальный домен для брандмауэра IPfire.

Настройка пароля для пользователя root, который используется для доступа CLI для IPfire.

Настройка пароля для пользователя admin, который используется для доступа в сеть IPfire.

Зоны, поддерживаемые IPfire, показаны на следующем рисунке.

В стандартной установке межсетевого экрана IPfire, Зелёная + Red означает 2 Networks. Зелёная сеть для дома или локальной сети и Red сеть для интернет / внешнего подключения.

Использование каждой зоны приведено в следующей таблице.

Назначение доступных сетевых карт в ЗЕЛЕНУЮ и КРАСНУЮ зону показано в следующих моментальных снимках.

Зеленая зона

Красная зона

Интерфейсы, назначенные как ЗЕЛЕНЫМ, так и КРАСНЫМ зонам, показаны на рисунке ниже.

Настройка IP-адреса для ЗЕЛЕНЫХ зон показана ниже.

Назначенный IP-адрес и сетевая маска соответствуют IP = 192.168.1.115, Net mask = 255.255.255.0

Настройка IP-адреса для RED-зоны показана ниже.

Назначенный статический IP-адрес и сетевая маска следующие. Однако режимы DHCP и PPP DIALUP (PPPoE) также поддерживаются на RED-интерфейсе для назначения IP-адресов.

IP = 192.168.100.1, маску сети = 255.255.255.0

Настройка DNS и шлюза для RED-интерфейса показана в следующем снимок.

Конфигурация DHCP на интерфейсе GREEN для автоматического назначения IP приведена ниже.

После настройки DHCP базовые настройки IPfire завершены.

IPfire перезагрузится, чтобы применить изменения и предоставит CLI доступ пользователю «root».

Для доступа к CLI введите пароль для пользователя «root».

Введите IP-адрес GREEN интерфейса по порту 444 для доступа к веб-интерфейсу. Все веб-браузеры предоставляют исключение из-за ненадежных сертификатов. Поэтому принимайте исключение для просмотра веб-страниц.

Введите пароль для пользователя «admin» для доступа к страницам.

После правильного имени пользователя и пароля появляется следующая основная панель, в которой отображается сетевая конфигурация (IP-адреса в зонах RED и GREEN).

Платформа

Это меню используется для базовых настроек машины IPFire, таких как включение доступа ssh, резервное копирование и установка пароля веб-доступа и т. Д. Системное подменю показано на следующем рисунке.

Статус

В этом меню администратор брандмауэра рассматривает состояние системных ресурсов, таких как оперативная память и процессор, внутренняя и внешняя сеть, энтропия для TRNG и статистика для VPN.

сеть

Как показано на следующем рисунке, в этом меню доступны сетевые настройки, такие как статическая маршрутизация, веб-прокси, фильтрация URL-адресов и пробуждение по Lan и т. Д.

Услуги

В этом меню перечислены такие службы, как VPN, которые включают IPsec и OpenVPN, обнаружение вторжений, QoS, сервер времени и т. Д.

брандмауэр

Основной функцией распространения IPFire является функция брандмауэра. Администратор или пользователь использует это меню для ввода правил iptables на задней панели.

Журналы

Как показано на следующем рисунке, журналы журналов служб, таких как IDS, брандмауэр, прокси и система могут быть просмотрены в меню Журналы.

Вывод

В этой статье мы сосредоточили внимание на установке и настройке другого брандмауэра с открытым исходным кодом, IPFire. Он разветвлен от известных брандмауэров с открытым исходным кодом IPCop и Endian. Он обеспечивает высокую доступность, использование функций TRNG и AES-NI.

Источник: https://websetnet.net/ru/%D1%83%D1%81%D1%82%D0%B0%D0%BD%D0%BE%D0%B2%D0%BA%D0%B0-Configure-IPFire-%D0%B1%D1%80%D0%B0%D0%BD%D0%B4%D0%BC%D0%B0%D1%83%D1%8D%D1%80/?q=%2Fru%2F%D1%83%D1%81%D1%82%D0%B0%D0%BD%D0%BE%D0%B2%D0%BA%D0%B0-Configure-IPFire-%D0%B1%D1%80%D0%B0%D0%BD%D0%B4%D0%BC%D0%B0%D1%83%D1%8D%D1%80%2F