Firewall mit FirewallBuilder und ds-mod

Vorwort

Ich möchte in diesem Beitrag kurz die Benutzung des FirewallBuilders (NetCitadel) im Zusammenspiel mit der Fritzbox (mit ds-mod) beschreiben.

Der FirewallBuilder ist u.a. eine Oberfläche zur komfortablen Konfiguration von IP-Tables (das Command-Line-Tool der Linux Netfilter) siehe auch Wikipedia . Mit dem Firewall Bulder lassen sich sehr einfach Regeln für den Zugang ins und vom Internet erstellen und schließlich auf die Fritzbox laden.

Auf der Fritzbox wird der ds-mod benötigt, da die Box von Haus aus keine iptables unterstützt. Im ds-mod sind diese automatisch in den Kernel eingebunden. Das Kompilieren des ds-mod für die eigene Box ist in anderen Beiträgen hinreichend beschrieben.

Allerdings gibt es auch noch einige nicht eingebundene Teile im ds-mod, so dass verschiedene Filter des FirewallBuilders nicht funktionieren (z.B. ICMP). Da aber Firewall-Aktionen meist mit verschiedenen Regeln erreicht werden können, lassen sich hier alternative Wege finden.

Im Moment ist das Implementieren der Regen noch ungefährlich, da das entstandene Firewall-Script nach einem Neustart der Box nicht automatisch ausgeführt wird, alle Regeln damit zwar in einem File auf der Box sind, aber nicht wieder von alleine aktiv werden. Damit die Firewall nicht bei Stromausfall unsicher wird, muss das noch gemacht werden. (Hilfe erwünscht, sie Fragen ganz unten.)

Vielleicht trägt dieser Beitrag auch dazu bei, die noch bestehenden Fragen auszuräumen.

Versionen

• FirewallBuilder 2.0.10 Windows
• Fritzbox 7170 mit 7170.29.04.06
• ds-mod 0.2.8
• 1&1 Internet Zugang mit IP Telefonie

(die Versionen sind natürlich nicht vorgeschrieben, sondern nur Referenz für meine Installation)

Vorbereitung

FirewallBuilder

Bei der Installation des FirewallBuilders auf dem PC gab es keine Besonderheiten. Da der FirewallBuilder eine SSH Session zum Kopieren und Aktiveren des Firewall-Scripts auf der Fritzbox braucht, habe ich noch plink.exe und pscp.exe für meinen WindowsPC runtergeladen (einfach danach googeln). Putty geht wohl auch.

DS-Mod

Bei der Kompilierung des ds-mod für die Fritzbox ist es notwendig, das iproute2 Modul (freundlicherweise bereitgestellt von olistudent und ganz unten angehängt), auspacken (im cygwin: gzip -d iproute.tar.gz , tar xvf iproute2.tar ) und die entpackte Datei "ip" in das Verzeichnis des zu kompilierenden ds-mod /root/usr/bin zu kopieren. Damit ist es später auf der Box auch dort zu finden. Anderenfalls gibt es bei Ausführen der Firewall-Scripts später eine Fehlermeldung „iproute not found“.
Überprüfen kann man das später indem man auf der Fritzbox „/usr/bin/ip link show“ eingibt. Ohne die Datei im /usr/bin Verzeichnis kommt eine Meldung zurück wie der Befehl richtig lauten muss. Ist die Datei da, listet die Box die vorhandenen Interfaces.

SSH (Dropbear) muss beiden Paketen ausgewählt sein, da der FirewallBuilder SSH zum download der Config nimmt und über SSH auch das Script ausführt.

Es folgt die Installation des ds-mod auf der Fritzbox (auch in anderen Beiträgen schon behandelt)

Jetzt kann mal „/usr/bin/ip link show“ und SSH getestet werden (user is „root“ und Passwort wurde in der ds-mod Konfiguration gesetzt.)

Das sollte so aussehen:
(ACHTUNG! Beim allerersten Mal fragt das Programm ob man sicher ist, mit diesem Host verbunden zu werden und ob der Geräte Hash permanent auf dem Rechner abgespeichert werden soll. Diese Frage mit y beantworten.):


WICHTIG! Hier schon mal die Interfaces abfragen, die brauchen wir später


Prima, dann können wir auf dem FirewallBuilder eine neue Firewall generieren.

Firewall einrichten

Firewall anlegen

Beim Start fragt der FirewallBuilder, ob er eine Datei öffnen oder eine neue Projektdatei anlegen soll. Beim ersten Mal machen wir natürlich eine neue Datei.
Im Userbereich legen wir eine neue Firewall an („Objekt“ „Neues Objekt“, „Firewall“). Keine Vorkonfigurierte verwenden, da muss man zu viel drin ändern (theoretisch kann man natürlich Template 2 der Vorkonfigurierten verwenden). Ich fand es besser die Regeln selber zu erstellen.
Wichtig ist, dass als Software ‚iptables’ und als Betriebssystem ‚Linux 2.4/2..6’ angegeben wird, sonst kommen falsche Befehle raus. > Weiter

Auf der Nächsten Seite wählt man ‚Interfaces von Hand konfigurieren’ SNMP geht nicht. > Weiter

Jetzt müssen die Interfaces konfiguriert werden, die Namen und Adressen haben wir weiter oben schon mit „ifconfig“ abgefragt:

Je nach Konfiguration weichen die Namen und Adressen ab (eth0 heißt lan oder lan0, eth0:0 und lan0:0 könne ignoriert werden, typisch sind die IP Adressen 192.168.178.1, 192.168.179.1)

> Weiter

Im jetzt erschienenen Firewall Fenster legen wir noch die Version der „iptables“ mit „1.29 oder neuer“ fest und über den Button „Host Betriebssystem Einstellungen“ „Pfad“ legen wir noch für IP fest wo wir beim Kompilieren das IP File hingelegt haben. /usr/bin/ip

„OK“

Unter den „Firewall Einstellungen“ „Kompiler“ sollte man vielleicht den letzten Punkt „Immer Zugriff mit SSH von einer Management Station“ erlauben und die eigene IP Adresse eintragen (nur zu Sicherheit, dass man sich nicht mal mit einem falschen Filter selber aussperrt).

Unter dem Reiter „Installations-Programm“ wird als Verzeichnis „/var/flash“ angegeben und als Benutzername „root“

„OK“

„Änderungen durchführen“

Firewall ist angelegt.


Sonstige Einstellungen

Im FirewallBuilder unter „Bearbeiten“, „Einstellungen“, „SSH“ werden jetzt die beiden Programme, die wir runtergeladen haben, mit Pfad eingegeben, z.B.

• F:/Down0604/Hardware/Fritzbox/pscp.exe für das Kopierprogramm
• F:/Down0604/Hardware/Fritzbox/plink.exe für das Remote Cotrol Programm

Firewall Regeln

Die Regeln kann man sehr schön mit „drag and Drop“ anlegen wobei es User- (selbst definierbare) und massig Standardobjekte (bekannte Ports, Dienste, Netzte usw.) gibt. Einige Dienste müssen z.B. selber angelegt werden, um die Telefonie zu erlauben. Wenn später in den Regeln z.B. UDPsrc7078-7085 auftaucht, ist ein Dienst zu definieren (rechte Maustaste auf UDP unter Services im User Bereich), der als Quellportnummern 7078 bis 7085 hat.

Ich habe hier mal die notwendigen Regeln für eine funktionierende Firewall zusammengeschrieben, die auch VoIP mit 1&1 Telefonie berücksichtigt. Damit kann man erst mal Telefonieren, Surfen, kriegt seine Adresse im Netz und kann die Fritzbox managen. Die Sicherheit der Endgeräte dürfte ansonsten erst mal mit der normalen Fritzbox vergleichbar sein, die Box selber ist etwas besser geschützt glaube ich. (Ich habe nichts mit der Fritzsoftware, die auf dem PC installiert wird, probiert eventuell müssen da noch Ports konfiguriert werden)

Darüber hinaus lassen sich tausende von Kombinationen ausdenken, was man durchlassen oder blocken will. Wie gesagt, einige Regeln produzieren Fehler (ICMP, NAT), da bin ich für Hinweise dankbar.

Hier also meine Regeln:
(wenn Fritzbox, eth0, dsl,lo dasteht, so ist aus der Tree-Ansicht der Firewall das Interface einfach in die Spalte gezogen, statt eth0 ist eventuell lan0 zu verwenden)

Unter Policy


0 regelt den Zugriff aus meinem Netz (192.168.1.0/24) auf die Fritzbox, TCP 81 habe ich für das Web-Interface des ds-mod angelegt

2, 3 Für die Telefonie zu 1&1 (mehr brauche ich tatsächlich nicht !!)

4 Die DNS requests, die die Fritzbox selber braucht

5 Den Rest von der Fritzbox abgehend wegschmeißen

6 Alles wegschmeißen, was in die Fritzbox auf das DSL sonst noch kommt. Die Telefoniekommunikation wird über die Filter 2 und 3 auch zur Fritzbox definiert.

7 Schließlich alles, was aus meinem lokalen Netz ins Internet (incl. zurück) will


Unter lo


0 Sonst funktionieren die Anruflisten und anderen Telefoniesachen im Webinterface der Box nicht.

Unter eth0


0 regelt den Zugriff aus meinem Netz (192.168.1.0/24) auf die Fritzbox, eigentlich hatte ich das schon oben in den Policies, aber hier kommen noch mal Andere Dienste wie FTP .. dazu.


Wenn ich jetzt was aus dem lokalen Netz ins Internet sperren will definiere ich das direkt auf dem Ethernet Interface.


Oder restriktiv, lasse nur definierte Sachen ins Internet dann


Dann muss ich in 1 alle Dienste definieren, die ins Internet dürfen.

Man kann das ganze auch noch zeitabhängig regeln wenn man will, also für Kinder (wer das über Erziehung nicht hinkriegt (auweia)

Regeln auf die Fritzbox laden

Jetzt kommt das spannende:
Als Erstes die Regeln kompilieren, da sollten eigentlich keine Fehler auftreten. (damit wird auch das aktuelle Regelwerk gespeichert).
Dann die Regeln installieren.

Im folgenden Fenster ist das Passwort für den Nutzer root einzugeben. Des Weiteren sollte die ausführliche Installation gewählt werden.
Das Häkchen Testdurchlauf ist egal, die Box merkt sich das nach einem Reboot sowieso nicht (sie Fragen ganz unten).

Im Installationsfenster werden die Aktionen und Fehler mitgeschrieben (und ich bin sicher, dass es jede Menge Fehler und Meldungen am Anfang geben wird).
Bleibt das Script nach ca. 15 bis 20 Zeilen mit einer Frage stehen (ob die Verbindung zu diesem Gerät sichtig ist und ob der Geräte Hash gespeichert werden soll) und erwartet eine Antwort, muss das Programm für die Secure Remote Console mal separat gestartet und diese Meldung dort bestätigt werden,

Aussehen soll es aber normalerweise so:

Ich habe ein bisschen rausgeschnitten, hier kommt der eigentlich wichtige Teil:


So Jetzt sind die Regeln auf der Box. Die werden auch relativ schnell aktiv.
Kontrolle mit iptables –L.

WENN IHR JETZ NICHT MEHR DRAUFKOMMT HABT IHR WAS IN DEN REGELN FALSCH GEMACHT :-(

Aber ein Reset der Box (notfalls Stecker raus und rein) gibt euch wieder Zugang.

Ende

So das war’s. …… Puh.
Ich hoffe es hilft, ich hatte schon einige Post gesehen, die nach Firewall-Funktionen gefragt haben (z.B. in meiner WG sollen alle Surfen können, aber keiner E-Donkey o.ä.), das kann man damit alles regeln.

Ich gebe keine Garantien für das alles immer so klappt, wie beschrieben, bei mir läuft es aber so.

Fragen

Vielleicht kommen bei einer regen Nutzung auch ein paar Antworten auf meine Fragen.

1. Es fehlen noch einige Teile der iptables z.B. icmp, nat. Ich habe vergeblich versucht die reinzukomplieren. Vielleicht kann Danisahne die ins Paket kompilieren?, Eventuell auch iproute in die BusyBox?
   
   Code:

   ls: *_nat_*: No such file or directory

   aus dem Script Kommando
   
   Code:

   ls *_conntrack_* *_nat_*

   Wenn ich das richtig interpretiere findet das Script nicht 'nat'
   Wahrscheinlich daher auch die folgende Meldung:
   
   Code:

   iptables v1.3.5: can't initialize iptables table `nat': Table does not exist (do you need to insmod?)
   Perhaps iptables or your kernel needs to be upgraded.

   der Befehl ist wohl:
   
   Code:

   $IPTABLES -t nat -A POSTROUTING -o dsl -s 192.168.1.0/24 -j MASQUERADE

   ICMP Fehler der aus dem Befehl:
   
   Code:

   iptables -A INPUT -p icmp -m icmp -s 192.168.1.0/24 -m state ...

   resultiert.
   
   Code:

   iptables v1.3.5: Couldn't load match `icmp':File not found
   Try `iptables -h' or 'iptables --help' for more information.

2. Wenn man sich in der Telefonie verkonfiguriert stürzt die Fritzbox bei Anrufen ab. Im Telefon hört man dann nur Knistern bis die Box resettet.
3. Die Regeln sind auch nicht aktiv nach einem Reset, man müsste noch ein Script beim Start der Fritzbox schreiben, was das Firewall-Script aufruft - Unix-Fans bitte vortreten.
4. Ich kann nicht nachvollziehen, was man unter Advanced Options bei make menuconfig beim ds-mod kompilieren unter net machen kann, wenn ich dort mehr Kommandos der IP Tables aktiviere, funktioniert wesentlich weniger der Firewall Scripts.

Links

http://www.fwbuilder.org/
http://kris.koehntopp.de/artikel/fwb...fwbuilder.html
http://de.wikipedia.org/wiki/Iptables

Der erste Satz ist schlichtweg ein Witz geworden („… KURZ ….. beschreiben.“)

Danke an danisahne für den ds-mod und alle die bei den holprigen Anfängen geholfen haben.

Juergen

Über e-donkey und Konsorten wollte ich in diesem Beitrag eigentlich so überhaupt nicht diskutieren. Der Zweck war eigentlich ein anderer, aber da ich das als Beispiel genommen habe, bin ich ja faktisch selber schuld.

Natürlich kann man mit der Verwendung von Port 80 viele (auch viel bessere Firewalls) umgehen, aber es geht ja vor allem darum, erst mal einen grundsätzlichen Schutz aufzubauen.
Was den e-donkey betrifft, so glaube ich, dass er inbound (also in das geschützte Netzwerk) Verbindungen aufbauen möchte, ohne die der Datenaustausch nicht funktionert. Die kann man definitiv blocken. Ich bin kein Experte, aber das war was mit Port 4662 oder so. Selbst wenn man ihm beibringen kann stattdessen Port 80 zu verwenden, wird ein Verbindungsaufbau aus dem Internet geblockt.

Wenn das Thema zu einer größeren Diskussion führen sollte, bietet sich vielleicht ein neuer Thread an?