Passage à un double firewall Alpha/Beta
Pierre Coimbra
parent
93ab26d135
commit
c3a2581081
|
|
@ -1,107 +0,0 @@
|
||||||
# Mise en place du firewall OBSELETE
|
|
||||||
Nous allons ici configurer le firewall qui respectera les règles suivantes,
|
|
||||||
- DNAT ports 80,443 vers le ct du proxy NGINX (10.10.0.2) depuis NET vers KRKN
|
|
||||||
- SNAT pour faire du masquerading des packets sortant des CT
|
|
||||||
- Accès SSH vers toutes les zones
|
|
||||||
- Accès à l'interface web Proxmox port 8006 depuis NET vers le firewall
|
|
||||||
- Reverse-Proxy NGINX pour l'interface web Proxmox ports 8006,5902 depuis le CT NGINX vers le firewall
|
|
||||||
|
|
||||||
Nous utilisons Shorewall et non iptables ou le firewall de Proxmox pour des raisons de simplicité.
|
|
||||||
|
|
||||||
## Ajout des interfaces virtuelle
|
|
||||||
On va ajouter nos deux interfaces virtuelles (vmbr0 et vmbr1) non bridgé sur eth0 et disposant chacune d'une plage ipv4 différente.
|
|
||||||
|
|
||||||
### /etc/network/interface
|
|
||||||
##### Depuis Alpha et Beta on ajoute
|
|
||||||
```
|
|
||||||
auto vmbr0
|
|
||||||
iface vmbr0 inet static
|
|
||||||
address 10.10.0.1
|
|
||||||
netmask 255.255.248.0
|
|
||||||
bridge_ports none
|
|
||||||
bridge_stp off
|
|
||||||
bridge_fd 0
|
|
||||||
|
|
||||||
auto vmbr1
|
|
||||||
iface vmbr1 inet static
|
|
||||||
address 10.20.0.1
|
|
||||||
netmask 255.255.240.0
|
|
||||||
bridge_ports none
|
|
||||||
bridge_stp off
|
|
||||||
bridge_fd 0
|
|
||||||
```
|
|
||||||
|
|
||||||
Nous avons maintenant deux interfaces virtuelle qui ne bridge pas vers l'extérieur. Le raccord avec l'extérieur va se faire avec shorewall.
|
|
||||||
|
|
||||||
### /etc/shorewall/conntrack
|
|
||||||
Garder le fichier d'origine
|
|
||||||
|
|
||||||
##< /etc/shorewall/interfaces
|
|
||||||
Associations interfaces/zones.
|
|
||||||
```
|
|
||||||
#ZONE INTERFACE BROADCAST OPTIONS
|
|
||||||
net eth0 ip_publique tcpflags,nosmurfs,routefilter,logmartians,sourceroute=0
|
|
||||||
krkn vmbr1 - tcpflags,nosmurfs,routefilter,logmartians
|
|
||||||
ext vmbr2 - tcpflags,nosmurfs,routefilter,logmartians
|
|
||||||
```
|
|
||||||
|
|
||||||
### /etc/shorewall/policy
|
|
||||||
Définition de la politique global du pare-feu.
|
|
||||||
```
|
|
||||||
#SOURCE DEST POLICY LOG LEVEL LIMIT:BURST
|
|
||||||
$FW net ACCEPT
|
|
||||||
krkn net ACCEPT
|
|
||||||
ext net ACCEPT
|
|
||||||
krkn ext ACCEPT
|
|
||||||
net all DROP info
|
|
||||||
#THE FOLLOWING POLICY MUST BE LAST
|
|
||||||
all all REJECT info
|
|
||||||
|
|
||||||
```
|
|
||||||
|
|
||||||
### /etc/shorewall/rules
|
|
||||||
Définition des exceptions aux règles définies dans le fichier policy.
|
|
||||||
```
|
|
||||||
#ACTION SOURCE DEST PROTO DEST SOURCE ORIGINAL RATE USER/ MARK CONNLIMIT TIME HEADERS SWITCH HELPER
|
|
||||||
# PORT PORT(S) DEST LIMIT GROUP
|
|
||||||
?SECTION ALL
|
|
||||||
?SECTION ESTABLISHED
|
|
||||||
?SECTION RELATED
|
|
||||||
?SECTION INVALID
|
|
||||||
?SECTION UNTRACKED
|
|
||||||
?SECTION NEW
|
|
||||||
Invalid(DROP) net all tcp
|
|
||||||
DNS(ACCEPT) $FW net
|
|
||||||
SSH(ACCEPT) net all
|
|
||||||
Ping(ACCEPT) all $FW
|
|
||||||
#Ping(DROP) net $FW
|
|
||||||
ACCEPT $FW krkn icmp
|
|
||||||
ACCEPT $FW ext icmp
|
|
||||||
ACCEPT $FW net icmp
|
|
||||||
ACCEPT net $FW icmp
|
|
||||||
#Nginx reverse-proxy Proxmox web interface
|
|
||||||
ACCEPT krkn:10.10.0.2 $FW tcp 8006,5902
|
|
||||||
#Proxmox web interface
|
|
||||||
ACCEPT net $FW tcp 8006
|
|
||||||
#LXC Nginx
|
|
||||||
DNAT net krkn:10.10.0.2 tcp 80,443
|
|
||||||
```
|
|
||||||
### /etc/shorewall/snat
|
|
||||||
Configuration SNAT permettant de faire du "masquerading", ainsi les paquets qui sortent des CT LXC ont comme IP source, l'IP de l'interface externe _eth0_.
|
|
||||||
```
|
|
||||||
#ACTION SOURCE DEST
|
|
||||||
MASQUERADE vmbr1 eth0
|
|
||||||
MASQUERADE vmbr2 eth0
|
|
||||||
```
|
|
||||||
### /etc/shorewall/zones
|
|
||||||
Définition des zones et de leur type.
|
|
||||||
```
|
|
||||||
#ZONE TYPE
|
|
||||||
fw firewall
|
|
||||||
net ipv4
|
|
||||||
krkn ipv4
|
|
||||||
ext ipv4
|
|
||||||
```
|
|
||||||
|
|
||||||
Nous avons maintenant un firewall qui respecte les règles défini.
|
|
||||||
A noté qu'il n'y a pas de firewall sur l'interface eth3 car elle est en local.
|
|
||||||
|
|
@ -0,0 +1,101 @@
|
||||||
|
# Mise en place du firewall de Alpha
|
||||||
|
|
||||||
|
Nous avons déjà deux interfaces virtuelle qui ne bridge pas vers l'extérieur. Le raccord avec l'extérieur va se faire avec shorewall.
|
||||||
|
|
||||||
|
## Installation de Shorewall
|
||||||
|
```
|
||||||
|
apt-get update
|
||||||
|
apt-get install shorewall
|
||||||
|
cp /usr/share/doc/shorewall/examples/Universal/* /etc/shorewall/
|
||||||
|
```
|
||||||
|
Shorewall est maintenant installé
|
||||||
|
|
||||||
|
## Configuration de Shorewall
|
||||||
|
|
||||||
|
### /etc/shorewall/conntrack
|
||||||
|
Garder le fichier d'origine
|
||||||
|
|
||||||
|
##< /etc/shorewall/interfaces
|
||||||
|
Associations des interfaces du système avec les zones du parefeu
|
||||||
|
```
|
||||||
|
?FORMAT 2
|
||||||
|
#ZONE INTERFACE OPTIONS
|
||||||
|
int eth1 tcpflags,nosmurfs,bridge,logmartians,routefilter
|
||||||
|
coro eth2 tcpflags,nosmurfs,logmartians
|
||||||
|
net vmbr0 tcpflags,nosmurfs,bridge,routefilter,logmartians,routeback
|
||||||
|
krkn vmbr1 tcpflags,nosmurfs,bridge,routefilter,logmartians,routeback
|
||||||
|
ext vmbr2 tcpflags,nosmurfs,bridge,routefilter,logmartians,routeback
|
||||||
|
```
|
||||||
|
|
||||||
|
### /etc/shorewall/policy
|
||||||
|
Définition de la politique globale du pare-feu
|
||||||
|
```
|
||||||
|
#SOURCE DEST POLICY LOGLEVEL
|
||||||
|
$FW net ACCEPT
|
||||||
|
$FW int ACCEPT
|
||||||
|
krkn net ACCEPT
|
||||||
|
ext net ACCEPT
|
||||||
|
int net ACCEPT
|
||||||
|
|
||||||
|
ext krkn DROP info
|
||||||
|
net all DROP info
|
||||||
|
all all REJECT info
|
||||||
|
|
||||||
|
```
|
||||||
|
|
||||||
|
## /etc/shorewall/rules
|
||||||
|
Définition des exceptions aux règles définies dans le fichier policy
|
||||||
|
```
|
||||||
|
#ACTION SOURCE DEST PROTO DEST SOURCE
|
||||||
|
?SECTION ALL
|
||||||
|
?SECTION ESTABLISHED
|
||||||
|
?SECTION RELATED
|
||||||
|
?SECTION INVALID
|
||||||
|
?SECTION UNTRACKED
|
||||||
|
?SECTION NEW
|
||||||
|
|
||||||
|
Invalid(DROP) net all tcp
|
||||||
|
DNS(ACCEPT) $FW net
|
||||||
|
Ping(ACCEPT) all $FW
|
||||||
|
|
||||||
|
#Connexion SSH vers et depuis Beta et extérieur
|
||||||
|
SSH(ACCEPT) int $FW
|
||||||
|
SSH(ACCEPT) net all
|
||||||
|
SSH(ACCEPT) $FW int
|
||||||
|
|
||||||
|
#Nécessaire pour l'initialisation du corosync
|
||||||
|
ACCEPT coro $FW icmp
|
||||||
|
|
||||||
|
ACCEPT $FW krkn icmp
|
||||||
|
ACCEPT $FW ext icmp
|
||||||
|
ACCEPT $FW net icmp
|
||||||
|
ACCEPT krkn ext icmp
|
||||||
|
|
||||||
|
#Interface web proxmox
|
||||||
|
ACCEPT krkn:10.10.0.3 $FW tcp 8006,5902
|
||||||
|
ACCEPT net $FW tcp 8006
|
||||||
|
|
||||||
|
#DNAT pour le proxy Nginx
|
||||||
|
DNAT net krkn:10.10.0.3 tcp 80,443
|
||||||
|
```
|
||||||
|
### /etc/shorewall/snat
|
||||||
|
Configuration SNAT permettant de faire du "masquerading", ainsi les paquets qui sortent des CT LXC ont comme IP source, l'IP de l'interface externe _eth0_.
|
||||||
|
```
|
||||||
|
#ACTION SOURCE DEST
|
||||||
|
MASQUERADE vmbr1 vmbr0
|
||||||
|
MASQUERADE vmbr2 vmbr0
|
||||||
|
MASQUERADE enp0s8 vmbr0
|
||||||
|
```
|
||||||
|
### /etc/shorewall/zones
|
||||||
|
Définition des zones et de leur type.
|
||||||
|
```
|
||||||
|
#ZONE TYPE
|
||||||
|
fw firewall
|
||||||
|
net ipv4
|
||||||
|
krkn ipv4
|
||||||
|
ext ipv4
|
||||||
|
coro ipv4
|
||||||
|
int ipv4
|
||||||
|
```
|
||||||
|
|
||||||
|
Le firewall de Alpha est maintenant configuré comme décrit dans le shéma global du réseau.
|
||||||
Loading…
Reference in New Issue