Firwall 5105

Erklärung

• TN = 200 + Platznummer
• HS = Klassensaal

Netzkonfiguration Firewall

Parameter	Wert	Erläuterung
Netzwerk (NIC)	br0	bridge
IP	192.168.Y.2XX	Statische IP
CIDR	24	Classless Inter-Domain Routing Präfixlänge
GW	192.168.Y.254	GATEWAY
NS	192.168.Y.88	Resolver
FQDN	fw.it2XX.int	Fully Qualified Domain Name
SHORT	fw	Short Name
DOM	it2XX.int	Domain Name

Anpassen des Templates

• Anpassen des Debian Templates

oder

Mit Skript

• debian-setup.sh -f fw.it2XX.int -a 192.168.Y.2XX/24 -g 192.168.Y.254 -n 192.168.Y.88

Danach passen wir die fw an

Folgendes stellen wir ein

Attribut	Wert	Netzwerk / Typ
Name	fw	-
RAM	4 GB	-
CPU	4 Kerne	-
1. NIC	WAN	Bridge br0
2. NIC	DMZ	Internes Netzwerk (Demilitarized Zone)
3. NIC	LAN	Internes Netzwerk (Client-Netz)

Weitere Interfaces

• cat /etc/network/interfaces

#LOOPBACK
auto lo
iface lo inet loopback

#WAN
auto enp0s3
iface enp0s3 inet static
 address 192.168.HS.TN/24
 gateway 192.168.HS.254
 dns-nameservers 192.168.HS.88
 dns-search it2XX.int
 post-up ip route add 10.88.0.0/16 via 192.168.HS.88

#DMZ
auto enp0s8
iface enp0s8 inet static
 address 10.88.2XX.1/24

#LAN
auto enp0s9
iface enp0s9 inet static
 address 172.26.2XX.1/24

NAT mit nftables

• cat /etc/nftables.conf

#!/usr/sbin/nft -f

# Variablen
define LAN = 172.26.TN.0/24
define DMZ = 10.88.TN.0/24
define KIT = 192.168.HS.0/24

# Alte Regeln löschen (flush)
flush ruleset

# NAT-Tabelle erstellen/verwenden
table ip nat {
    chain postrouting {
        type nat hook postrouting priority 100; policy accept;
        
        # DMZ nach 192.168.HS.0/24 - kein NAT (RETURN)
        ip saddr $DMZ ip daddr $KIT return
        
        # DMZ nach 10.88.0.0/16 - kein NAT (RETURN)
        ip saddr $DMZ ip daddr 10.88.0.0/16 return
        
        # DMZ nach außen (enp0s3) - Masquerade
        ip saddr $DMZ oif enp0s3 masquerade
        
        # LAN nach außen - Masquerade
        ip saddr $LAN oif enp0s3 masquerade
        
    }
}

Tests

Manuelles aktivieren

• nft -f /etc/nftables.conf

Anzeigen

• nft list ruleset

Löschen

• nft flush ruleset

Aktivieren

• systemctl enable nftables.service

Forward

• echo "net.ipv4.ip_forward=1" | sudo tee /etc/sysctl.d/99-ip-forward.conf
• sudo sysctl -p /etc/sysctl.d/99-ip-forward.conf

Reboot

• sudo systemctl reboot

Tests

Läuft die Firewall?

• nft list ruleset

Stimmen die IPs?

• ip addr show

Stimmt das Routing?

• ip route show

Ist IPFORWARD eingestellt?

• sysctl net.ipv4.ip_forward

Erweiterte Test mit ping und tcpdump

Wir installieren terminator auf dem HOST

• sudo dnf install -y terminator

termintor öffnen

• Anwendungen -> Systemwerkzeuge -> Terminator
• Rechte Maustaste -> Horizontal Teilen

Mit meinen Terminals auf die Firewall gehen und jeweils zu root machen

• Terminal1 -> wird zum mitschneiden genutzt
• Terminal2 -> für ping genutzt

Erster Test

Terminal1

• tcpdump -ni enp0s3 icmp

Terminal2

• ping -c 1 1.1.1.1

Zweiter Test

Terminal1

• tcpdump -ni enp0s3 icmp

Terminal2

• ping -c 1 -I 10.88.2XX.1 google.de

Erkenntnis Source IP wird umgeschrieben

Dritte Test

Terminal1

• tcpdump -ni enp0s3 icmp

Terminal2

• ping -I 10.88.2XX.1 10.88.201.1

Erkenntnis Source IP wird nicht umgeschrieben

Vierte Test

Terminal1

• tcpdump -ni enp0s3 icmp

Terminal2

• ping -I 10.88.2XX.1 192.168.HS.88

Erkenntnis Source IP wird nicht umgeschrieben

Fünfter Test

Terminal1

• tcpdump -ni enp0s3 icmp

Terminal2

• ping -I 172.26.2XX.1 192.168.HS.88

Erkenntnis Source IP wird umgeschrieben