SEGURIDAD EN UNIX Y REDES

12.6. CASO DE ESTUDIO: IPFWADM/IPCHAINS 203num;date;time;orig;type;action;alert;i/f_name;i/f_dir;sys_msgs0;2May2000; 3:28:43;anita;control;ctl;;daemon;inbound;started sending logto localhost1;2May2000; 3:49:27;anita;control;ctl;;daemon;inbound;started sending logto localhost2;2May2000; 4:30:30;anita;control;ctl;;daemon;inbound;started sending logto localhostanita:/etc/fw/bin#La gran potencia y flexibilidad de Firewall-1 hacen imposible que se puedan explicar con detalletodas sus características; para más información, una excelente lectura puede ser [Gon99]. Tambiénla documentación que acompaña al producto, y la disponible en el servidor web de Check PointSoftware Technologies, es de gran ayuda para cualquier administrador que utilice este cortafuegosen su red.Por último, una pequeña advertencia; como Firewall-1 inserta módulos en el núcleo del operativo,es dependiente de la versión del kernel utilizada. Todas las versiones más o menos modernasfuncionan correctamente sobre Solaris 2.6 y la última también sobre Solaris 7; no obstante, sobreeste último el resto de versiones no funcionan bien, aunque se instalen correctamente. Es posible,y esto lo digo por experiencia, que la máquina no arranque tras instalar el software debido a lasmodificaciones de los scripts de arranque (concretamente los ubicados en /etc/rcS.d/), que al serinvocados desde /sbin/rcS producen errores que impiden montar correctamente los discos y proseguirel arranque; para solucionar estos problemas, lo más rápido es eliminar cualquier modificaciónque la instalación de Firewall-1 haya realizado sobre los programas ejecutados al iniciar el sistema.Para Solaris 8 aún no existen versiones del producto, como tampoco existen para Linux; ambas sesupone que están siendo desarrolladas en la actualidad.12.6 Caso de estudio: ipfwadm/ipchainsipfwadm es una herramienta proporcionada con Linux para la implementación de políticas de filtradode paquetes en este clon de Unix. Deriva del código de filtrado en BSD (ipfw), y debidoa sus limitaciones (por ejemplo, sólo puede manejar los protocolos TCP, UDP o ICMP)ipfwadm ha sido reescrito para convertirse en ipchains a partir del núcleo 2.1.102. Por tanto,ipchains es en la actualidad el software de firewalling en Linux IPv4; aunque todas lasversiones de Linux lo incorporan por defecto, se puede descargar una versión actualizada desdehttp://www.rustcorp.com/linux/ipchains/. Aparte de una versión actualizada del software, enesta dirección se puede encontrar [Rus99], consulta imprescindible para todo aquel que pretendatrabajar con ipchains; la mayor parte de esta sección está basada en esa obra. Otro documentoque incluye también excelentes ejemplos es [Mou00].En Linux el filtrado de paquetes está construido en el kernel (se habla con más detalle del núcleo deeste sistema operativo en la sección 9.2); para poder utilizar ipchains hemos de compilar el núcleocon las opciones config firewall y config ip firewall activadas (asumiendo que tenemos unaversión del kernel 2.2, en caso contrario es conveniente actualizar el núcleo). Cuando ya estamosejecutando un núcleo con el firewalling activado utilizaremos ipchains para insertar y eliminarreglas de filtrado en él; al tratarse de información dinámica, cada vez que el sistema se reinicie lasreglas establecidas se perderán, por lo que es recomendable crear un script que se ejecute al arrancarel sistema y que las vuelva a definir (es recomendable consultar las páginas de ipchains-save eipchains-restore para construir dicho shellscript).El núcleo de Linux utiliza tres listas de reglas denominadas chains; se trata de input, outputy forward. Cuando recibe un paquete utiliza la primera de estas listas para decidir si lo acepta, ysi es así comprueba a dónde tiene que enrutar el paquete; en caso de que el destino sea una máquina