Eigene Firewall mit GeoIP und Ratelimit

[schmidicom]

Ich betreue den einen oder anderen Server dessen Dienste aus dem Internet erreichbar sein müssen und wie es heutzutage halt so ist dauert es leider nicht lange bis so was unerwünschte Aufmerksamkeit generiert.
Bis jetzt habe ich immer versucht das mit ziemlich einfachen Firewall-Regeln (z.B. "Was nicht explizit verboten ist kommt durch") abzuwehren, nur reicht das halt bei weitem nicht mehr aus. Vor allem bei diesen ganzen Botnetzen ist man mit dieser Vorgehensweise einfach das Opfer schlecht hin. Um das in Zukunft etwas besser zu machen habe ich mich mal ran gesetzt und eine neue Firewall geschrieben (siehe unten), die aber noch nicht aktiv ist weil ich mir nicht sicher bin ob das was ich da gebaut habe auch wirklich was taugt.

Was haltet ihr so von meinem kleinen Entwurf?
Würdet ihr was anders machen, und wenn ja was?

[mike155]

Vom Prinzip her sieht das sehr elegant aus. Danke fürs Posten!

1. Eine solche Firewall man sollte noch mit Gut- und Schlechtfällen prüfen. Aber das wirst Du vermutlich sowieso machen?
   
2. Die wesentlichen Elemente sind alle vorhanden: Loopback erlauben, lokalen Verkehr erlauben, established/related erlauben und dann Regeln für den WAN Verkehr. Sieht also gut aus!
   
3. Reicht fc00::/7 für den lokalen IPv6 Verkehr?
   
4. Ich persönlich würde vermutlich den ingress WAN Verkehr noch weiter bis auf Port-Ebene filtern. Aber das hängt natürlich davon ab, wie weit man es treiben will.
   
5. Ich würde auch den ausgehenden Verkehr filtern - um zu verhindern, dass Programme nach Hause telefonieren oder andere unliebsame Verbindungen aufbauen.
   
6. Außerhalb von der Firewall-Regeln schreibe ich meistens noch ein paar Werte in die /proc/sys-Dateien. Ich nehme an, dass Du das in einem eigenen Script machst?
   

Wirklich hübsch! Ich kann mir vorstellen, dass das funktioniert!

[schmidicom]

@mike155

zu:
1. Ich weiss jetzt nicht genau was du damit meinst.
2. Danke.
3. Ich habe auf Wikipedia nachgesehen was der private Bereich für IPv6 ist, das ist das Ergebnis. Demnach hoffe ich einfach das es passt.
4. Da der Server hinter einer NAT steht, die eh nur ausgewählte Ports durchlässt, habe ich die Ports bei den Regeln weggelassen.
5. Werde ich vielleicht auch irgendwann machen, aber fürs erste soll mal eingehend möglichst ordentlich gefiltert werden.
6. Welche Optionen genau meinst du?

[mike155]

zu:
1) na ja, man schickt Pakete, die durchgehen sollen - und prüft, ob sie auch durchgehen. Und man schickt Pakete, die nicht durchgehen sollen und prüft, ob sie auch wirklich nicht durchgehen.

3) IPv6 Firewalls sind nicht ganz einfach. Eine richtig gute Anleitung habe ich noch nicht gefunden.

Jedenfalls scheint mir fc00::/7 deutlich gering zu sein. Ich verwende diesen Bereich gar nicht. Bei mir läuft der Verkehr über:

1. Link Local Unicast Adressen aus dem Bereich: fe80::/10
   
2. Global Unicast Adressen aus dem Bereich: 2000::/3. Alles innerhalb des vom Router zugewiesenen Präfix-Bereichs ist lokal, der Rest nicht-lokal
   
3. Multicast Adressen aus dem Bereich: ff00::/8
   

6) Ich kopiere die Anweisungen aus meinen diversen Firewalls - ohne Anspruch auf Vollständigkeit. Manches ist vielleicht auch schon veraltet. Die Regeln sollten also keinesfalls so übernommen werden! Mit Google findet man aber recht schnell Anleitungen, in denen sie erklärt werden. Dann kann man entscheiden, was man braucht - und was nicht.

Personal Firewall ohne Routing:

[schmidicom]

Danke für die Rückmeldung, ich werde mir das dann bei Gelegenheit genauer ansehen.
Fürs erste poste ich jetzt hier aber mal die überarbeitete Version meiner Firewall. Sie ist nun spezifischer auf den einen Server angepasst wo sie zum Einsatz kommen soll, das Ratelimit-Teil ist etwas verbessert und die IPv6-Sachen sind auch angepasst.