Archivo Mensual de Septiembre, 2005

Bueno. Creo que ya va tocando un poco de iptables, mi tema linuxero favorito :P. Pues nada, simplemente después de cierta pereza me he decidido a hacer un “firewall” con iptables para mi máquina. Pongo “firewall” entre comillas porque no hago filtrado en absoluto: estoy detrás del router, así que pocos ataques recibo. Encima los switches que comunican mis PC’s , al ser precisamente switches y no hub’s, separan los dominios de colisión y no recibo trafico ethernet de ninguna otra máquina. En fin, que no hay lugar para mucha experimentación. Sin embargo, un amante de las estadísticas de red como yo no puede dejar pasar la ocasión que brinda iptables de contar todo el tráfico que pasa por mi PC , por lo que he hecho el siguiente firewall, que pongo a continuación a trozos para comentar el propósito de cada cosa.

• Para empezar, algunas variables. El nombre del script, la localización del mandato iptables, el puerto que uso para el emule y los puertos que uso para el bittorrent. Poca cosa :):

  
  #!/bin/sh
  # An extended firewall script.
  # Diego Toharia
  
  # Some vars
  N=/etc/init.d/firewall
  IPTABLES=/sbin/iptables
  EMULE_PORT=6889
  BT_PORT=6881:6888
  

• Aquí esta la chicha de iptables. Las reglas, metidas dentro de una función. Como se puede ver hay poca cosa, y ni una sola acción de salto (-j, jump ). Así, por cada regla sólo se cuentan los paquetes que enlazan con la misma. Si quisíeramos filtrar alguna de ellas, añadimos -j DROP y listo :). Principalmente lo que hago es, primeramente, crear contadores de conexiones entrantes (es decir, el número de paquetes/bytes que generan las nuevas conexiones de clientes a programas con socket en estado LISTEN o en escucha), y luego añado varios contadores del tráfico generado tanto entrante como saliente por el emule, bittorrent, web, y globales (dentro y fuera de la LAN y en total). Como ya he comentado, no hay mucho más, ya que es una máquina detrás de un router y que no es router a su vez:

  
  # Rules definitions
  rules_def() {
      ############ CONNECTIONS COUNTERS ##################################
      # Count Emule connections
      $IPTABLES -A INPUT -m state --state NEW -p tcp --dport $EMULE_PORT
      # Count Bittorrent connections
      $IPTABLES -A INPUT -m state --state NEW -p tcp --dport $BT_PORT
      # Count Ssh connections
      $IPTABLES -A INPUT -m state --state NEW -p tcp --dport ssh
      # Count Http connections
      $IPTABLES -A INPUT -m state --state NEW -p tcp --dport http
      ############ TRAFIC COUNTERS #######################################
      # Count Emule input traffic
      $IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED         -p tcp --dport $EMULE_PORT
      # Count Bittorrent input traffic
      $IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED         -p tcp --dport $BT_PORT
      # Count Http traffic
      $IPTABLES -A INPUT  -p tcp --sport http
      $IPTABLES -A OUTPUT -p tcp --dport http
      # Count LAN traffic
      $IPTABLES -A INPUT -s 192.168.0.0/24
      $IPTABLES -A OUTPUT -d 192.168.0.0/24
      # Count inet traffic
      $IPTABLES -A INPUT -s ! 192.168.0.0/24
      $IPTABLES -A OUTPUT -d ! 192.168.0.0/24
      # Count all traffic
      $IPTABLES -A INPUT
      $IPTABLES -A OUTPUT
      ####################################################################
  }
  

• Aquí pongo una función que averigua cuál es la dirección IP con la que navegamos por Internet, y cuales son las direcciones IP configuradas en nuestra máquina. Para hacerla, he usado la información del siguiente enlace: http://blog.enrique.barbeito.org/. Lo he encontrado usando Google, como no. Muchas gracias a Enrique Barbeito y su blog.

  
  # IP finder
  ipfinder() {
          IP_PUB=`lynx -dump www.cualesmiip.net | grep Tu | awk '{print $5}'`
          IP_PRIVS=`ifconfig | grep "inet addr" | cut -f2 -d: | cut -f1 -d' '`
          export IP_PUB=$IP_PUB
          export IP_PRIV=$IP_PRIVS
          echo "Public IP"
          echo $IP_PUB
          echo "Private IPs"
          echo $IP_PRIVS
  }
  

• A continuación hago una función que, a partir de información guardada por el resto del script, calcula unas tasas de transferencia desde que se puso en marcha el script hasta que se paró (siempre que estas operaciones se hagan de forma correcta, es decir, arrancando y parando el script con las propias opciones del script). Esta funcionalidad, es, sin duda, la que más me gusta :P, todos los días consulto el trafico del dia anterior y me congratulo, jejeje:

  
  # Traffic rates
  traffic_rates() {
      START_TIME=`cat /var/run/firewall.start`
      FINISH_TIME=`cat /proc/uptime | awk '{print $1}' | cut -d'.' -f 1`
      UPTIME=`expr $FINISH_TIME - $START_TIME`
      INPUT_TRAFFIC=`sudo iptables -L INPUT -v -x | grep \!localnet | awk '{print $2}'`
      INPUT_RATE=`expr $INPUT_TRAFFIC / 1024 / $UPTIME`
      OUTPUT_TRAFFIC=`sudo iptables -L OUTPUT -v -x | grep \!localnet | awk '{print $2}'`
      OUTPUT_RATE=`expr $OUTPUT_TRAFFIC / 1024 / $UPTIME`
      echo "Input rate: $INPUT_RATE KB/s (`expr $INPUT_TRAFFIC / 1048576` MB)"
      echo "Output rate: $OUTPUT_RATE KB/s (`expr $OUTPUT_TRAFFIC / 1048576` MB)"
  }
  

• Por último, el “programa principal” del script. Está hecho a modo de script de los del init.d, para ser arrancado por el mismo (luego explicaré cómo hacerlo). Se encarga de coordinar lo anterior para, por cada start y stop, guardar en un log el accounting, la direccion IP , y las tasas de tráfico del intervalo de tiempo entre los mismos:

  
  case "$1" in
    start)
          cat /proc/uptime | awk '{print $1}' | cut -d'.' -f 1             > /var/run/firewall.start
          echo "Firewall: setting up iptables rules.."
          echo "###############################################"             > /var/run/firewall
          echo -n "Traffic from " >> /var/run/firewall
          date +%k:%M" of "%A' '%D >> /var/run/firewall
          rules_def
          ipfinder >> /var/run/ipfinder
          ;;
      stop)
          echo "Firewall: saving counters.."
          echo -n "To " >> /var/run/firewall
          date +%k:%M" of "%A' '%D >> /var/run/firewall
          echo "###############################################"             >> /var/run/firewall
          iptables -L -v >> /var/run/firewall
          echo "###############################################"             >> /var/run/firewall
          ipfinder >> /var/run/firewall
          echo "###############################################"             >> /var/run/firewall
          traffic_rates >> /var/run/firewall
          echo "###############################################"             >> /var/run/firewall
          mv /var/run/firewall /var/log/firewall/log.`date +%d_%m_%y_%H_%M`
          echo "Firewall: flushing iptables rules.."
          iptables -F
          iptables -X
          rm /var/run/ipfinder
          rm /var/run/firewall.start
          ;;
      reload|restart|force-reload)
          $N stop
          $N start
          ;;
    *)
          echo "Usage: $N {start|stop|restart|force-reload}" >&2
          exit 1
          ;;
  esac
  
  exit 0
  

Si poneis cada parte del código seguida, tendreis el script completo. Durante la ejecución del mismo podeis encontrar vuestra ip en el fichero /var/run/ipfinder, quedando los logs almacenados en el directorio /var/log/firewall que previamente debeis crear. Poniendo este fichero en /etc/init.d/ con el nombre firewall y ejecutando rcconf, o el mandato update_rec.d firewall defaults, lo tendreis todo funcionando, y podreis disponer de unas sencillas estadísticas para los que no queremos complicarnos la vida (para los que si quieran, a conjugar iptables con ntop, que me ha parecido potentisimo, y snort, que no lo he usado más que como sniffer pero es un potente detector de intrusos). Sigo buscando cómo hacer accounting del resto de máquinas, ya que aunque ponga la interfaz en modo promiscuo, iptables no procesa el tráfico que llega de otros PC’s . Mis posteriores descubrimientos, aquí, en próximas ediciones ;). No puedo terminar el artículo sin agradecer a Oskar Andreasson su magnifico trabajo con el tutorial de iptables, con el que yo me inicie y que es mi referencia para este tema.

Por supuesto, sólo para Linux.