3.1. Çekirdek Modülü

FreeBSD ile standart olarak gelen GENERIC kernelda IPFW aktif değildir. Çekirdeği yeniden derlemeden ipfw modülünü yükleyerek IPFWyi faal hale getirebiliriz. Ancak, bu sistemi sürekli bir güvenlik duvarı olarak kullanmayı düşünüyorsanız, çekirdeği tekrar derlemenizi tavsiye ederim.

IPFW'yi modül olarak yüklemek istersek burada dikkat etmemiz gereken bir husus var. Eğer FreeBSD'ye ağ üzeriden bağlı iseniz, modülü yüklediğiniz anda bağlantınız kopacaktır. Çünkü ipfw'nin standart kuralı her paket engelleme işlemidir. Bunun önüne geçmek için modülü aşağıdaki şekilde yüklemelisiniz:

# kldload ipfw && ipfw add allow all from any to any

Eğer FreeBSD ye direk konsoldan bağlı iseniz,

   # kldload ipfw

komutunu çalıştırarak ipfw modülünü yükleyebilirsiniz. Ancak tüm network bağlantıları kesilecektir.

3.2. Çekirdeği Yeniden Derleme

GENERIC kernelda IPFW yer almadığı için, çekirdeğe IPFWyi ekleyip yeniden derlemeliyiz. Çekirdek dosyası kullanılan donanımın mimarisine göre değişiklik göstermektedir. Çekirdek dosyasının olduğu klasör: /usr/src/sys/<MİMARİ>/conf/ tur. Buradaki GENERIC dosyasını firewall ismiyle kopyalayalım.

# cd /usr/src/sys/i386/conf
# cp GENERIC firewall

options IPFIREWALL                      #Firewall'ı aktif eder
options IPFIREWALL_VERBOSE              #Log tutma (syslogd)
options IPFIREWALL_VERBOSE_LIMIT=200    #Kural başına düşen log limiti
options IPFIREWALL_FORWARD              #Transparent Forwarding desteği (Transparent Proxy için gerekli)
options IPFIREWALL_FORWARD_EXTENDED     #Geliştirilmiş Transparent Forwarding desteği
options IPFIREWALL_DEFAULT_TO_ACCEPT    #Standart kuralı izin ver olarak ayarlar.
options IPDIVERT                        #Nat vb. Divet Soketlerini kullanan programlar için gerekli.
options DUMMYNET                        #Traffic Shaper. Band genişliği ve kuyruk(queue) ayarları için gereklidir.
options IPSTEALTH                       #Bu firewalldan geçen paketlerin TTL'lerinin değiştirmeden geçmesini sağlar.
                                        # Firewall'u traceroute gibi araçlardan gizlemek için gereklidir.
options TCP_DROP_SYNFIN                 #SYN+FIN Paketlerini düşür

# cd /usr/src
# make buildkernel KERNCONF=firewall
# make installkernel KERNCONF=firewall

3.3. Açılış Betiklerinde Yapılacak Ayarlar

İşletim sistemi açılırken firewall'un başlayıp, kurallarınızın faal hale gelmesi için bir takım ayarlar yapmalıyız. RC sisteminin konfigürasyon dosyası olan /etc/rc.conf dosyasına birkaç satır ekleyeceğiz:

firewall_enable="YES"                   # Firewall'u aktif hale getir.
firewall_script="/etc/ipfw.rules"       # Firewall kurallarını /etc/ipfw.rules dosyasından oku.
gateway_enable="YES"                    # Ağ kartları (Ör. Ethernet) arasında iletime izin ver (Ağ geçidi modu)
tcp_drop_synfin="YES"                   # SYN+FIN Paketlerini düşür.

4.1. IPFW'nin Çalışma Prensibi

IPFW'nin durumunu görmek ve kuralları güncellemek için kullanıcıya /sbin/ipfw ismiyle bir kontrol yazılımı sağlanmıştır. ipfw, güvenlik politikalarını ve kurallarını bir konfigürasyon dosyasından okuyabildiği gibi, kuralları tek tek de ekleyip/çıkarma imkanını sağlıyor.

Önceki bölümlerde, IPFW'yi üst üste yerleştirilmiş bir elek gibi düşünebileceğimize değinmiştik. Bu sisteme göre, tüm elekleri geçmeyi başaran (hiçbir kuralla eşleşmeyen) paketler için ne yapılacağı önem kazanıyor. Bu tür paketlere ne uygulanacağını 65535 nolu kural belirler. Çekirdeği derleken options IPFIREWALL_DEFAULT_TO_ACCEPT seçeneğini eklerseniz, 65535 nolu kural, paketlerin firewallda geçmesine izin verecektir. Aksi halde, 65535 nolu kural, paketlerin firewalldan geçmesini engelleyecektir. Uygulamak istediğiniz güvenlik politikasına göre bu seçimi yapmalısınız.

Örneğin, ağınızda web siteleri dışında hiçbir erişim sağlanmasını istemiyorsunuz. Bu durumda öncelikle dns ve web isteklerinin ve gelen yanıtların geçmesine izin vermeli, ve son olarak da tüm geçişleri yasaklamalıyız. Böyle bir güvenlik politikası için IPFIREWALL_DEFAULT_TO_ACCEPT seçeneğini eklememeliyiz.

Başka bir örneği ele alalım, ağınızda pop3 kullanımını engellemek istiyor, ancak geri kalan internet erişimlerine izin vermek istiyorsunuz. Bu güvenlik politikasını uygulamak için, önce pop3 erişimlerini engelleyip, ardından her türlü erişime izin vermeliyiz. Her türlü erişime izin verebilmek için de options IPFIREWALL_DEFAULT_TO_ACCEPT seçeneği çekirdemize eklemeliyiz.

4.2. IPFW'de Kuralların Oluşturulması

IPFW'de kuralları yazarken aşağıdaki sözdizimine göre yazmalıyız:

Sözlü olarak:
<ekle/sil> <eylem> <eylemin uygulanacağı paketin protokolü> <eylemin uygulanacağı paketlerin tanımı>
Uygulamada:
{add|delete} {allow|deny|fwd|...} <paketin tanımı> [seçenekler]

add allow tcp from 10.0.0.0/24{5,10-32,87-138} to any 80  setup keep-state
          \---------------paket tanımlama--------------/

4.3. Kurallarda İhtiyaç Duyulan Tanımlar

Bazı kurallarda önceden tanımlanmış ifadeler kullanılması gerekmektedir. Örneğin trafik düzenleme işlemini gerçekleştirebilmek için bandgenişliği, kuyruk uzunluğu / disiplini gibi parametreler.

# ipfw pipe 1 config bw 512Kbit/s

# ipfw queue 1 config weight 5 pipe 1

# ipfw table tablo_no add <IP Adresi veya Network Adresi>
Örnek:
# ipfw table 0 add 192.168.1.5
# ipfw table 0 add 192.168.2.0/24

# ipfw table tablo_no list
Örnek:
# ipfw table 0 list
192.168.1.5/32 0
192.168.2.0/24 0

# ipfw table tablo_no delete <IP Adresi veya Network Adresi>
Örnek:
# ipfw table 0 delete 192.168.1.5

# ipfw table tablo_no flush
Örnek:
# ipfw table 0 flush

4.4. Hazırlanan Kuralların Uygulanması

IPFW kuralları bir dosyadan okuyabildiği gibi, hem preprocessor aracılığı ile hem commandline aracılığı ile hem de stdin'den kuralları okuyabilr. Kurallarımızı oluşturduktan sonra kural listemizin en üstüne -f flush satırını eklemeliyiz. Çünkü daha önce mevcut olan kurallar silinmezse, güvenlik politikanız doğru uygulanmayabilir. flush işlemi ile mevcut tüm kurallar silinir.

Kurallarımızı her kural 1 satıra gelecek şekilde /etc/ipfw.rules isimli bir dosyaya kaydedelim. Kuralları uygulamak için:

# ipfw /etc/ipfw.rules

# ipfw -q /etc/ipfw.rules

Diğer bir yöntem ise kurallarınızı tek tek sisteme kendiniz eklemenizdir. Bu yöntem genellikle küçük değişiklikler için tercih edilir:

# ipfw add allow tcp from 10.0.0.0/24 to any 80 keep-state

4.5. Firewall'un Durumu ve Mevcut Kuralların İzlenmesi

Firewall kurallarınız oluşturup uyguladıktan sonra, kuralların işini yerine getirip getirmediğinden emin olmak için firewall'un durumunu kısa bir süre dahi olsa izlemek gereklidir. IPFW, her kural için 2 adet sayaç tutar. Bunlardan biri paket tanımına uyan paket sayısı, diğeri ise bahsi geçen paketlerin byte cinsinden toplam boyutudur. Bu sayaçların artıp artmamasına göre firewall'un sizin beklediğiniz işlemleri yerine getirip getirmediği hakkında fikir edinebilirsiniz.

Firewall'un mevcut kurallarını görmek için ipfw list komutu kullanılmaktadır. Kuralları sayaçlarla birlikte görmek için ipfw show komutu kullanılabilir.

# ipfw list
65535 allow ip from any to any
# ipfw show
65535 2569000 595273716 allow ip from any to any

Yukarıdaki örnekte firewallda tanımlı tek kural, default kural olan tüm paketlere izin ver işlemidir. ipfw show un çıktısında ikinci sütunda (2569000 sayısı) bu kurala uyan paketlerin sayısı yer almaktadır. Üçüncü sütunda ise bu paketlerin byte cinsinden toplam boyutu gösterilmektedir. Bu rakamları takip ederek yazdığımız kuralın iş görüp görmediğini anlayabiliriz. Yazdığınız kuralın doğru olduğunu düşünmenize rağmen kurala uyan paket sayısı sıfır ise ya tanımladığınız özelliklere uygun bir network trafiği yoktur, ya da daha üstteki kurallarda bu paket tanımını kapsayan daha geniş kapsamlı bir kural olabilir. Bu tür durumlarda firewall kurallarınızı genel olarak tekrar gözden geçirin.

İlgili kurala en son ne zaman paket uyduğunu ise ipfw -t show komutu ile görebiliriz. -t parametresi timestamp'i yazdırır.

# ipfw -t show
65535 2573615 595826141 Sat Jun 10 11:44:13 2006 allow ip from any to any

5.1. Basit Bir Firewall Konfigürasyon Örneği

Bu örnekte www, pop3, smtp ve dns bağlantıları dışındaki tüm bağlantıların engelleneceği bir yapı ele alınmıştır.

---- /etc/ipfw.conf ----
-f flush
add allow ip from any to any via lo0
add deny ip from any to 127.0.0.0/8
add allow tcp from any to any 25,80,110
add allow tcp from any 25,80,110 to any
add allow udp from any to any 53
add allow udp from any 53 to any
add deny ip from any to any
------------------------

5.2. Statefull Firewall Konfigürsayon Örneği

Basit firewall örneğindeki yapıyı aynen burada statefull mimari ile uygulayacağız.

---- /etc/ipfw.conf ----
-f flush
add allow ip from any to any via lo0
add deny  ip from any to 127.0.0.0/8
add check-state
add allow udp from any to any 53 keep-state
add deny  ip from any to any established
add allow tcp from any to any 25,80,110 setup keep-state
add deny  ip from any to any
------------------------

5.3. Kompleks Bir Firewall Konfigürasyon Örneği

Kompleks bir firewall örneği ele alalım. 2 ayrı internet bağlantısına sahip, 4 farklı fiziksel networke doğrudan bağlı bir güvenlik duvarı tasarımı yapacağız.

               ___________
LAN1 <--> bge0 |         |
LAN2 <--> bge1 |         | em0 <--> 2Mbit Frame Relay
LAN3 <--> bge2 | FreeBSD | em1 <--> 2Mbit ADSL
LAN4 <--> bge3 |         |
               -----------

LAN1 - 192.168.1.0/24, LAN2 - 192.168.2.0/24, LAN3 - 192.168.3.0/24, LAN4 - 192.168.4.0/24 network adresleri ile çalışıyor olsunlar. Frame Relay Networku 1.1.1.0/29 olsun, FrameRelay Router'i ise 1.1.1.1 olsun. ADSL'e PPPoE ile bağlanalım ve servis sağlayıcıdan aldığımız IP adresi 2.2.2.2/32 olsun.

---- /etc/ngnat.sh ----
#!/bin/sh
kldload ng_ipfw
kldload ng_nat
ngctl mkpeer ipfw: nat 100 out 
ngctl name ipfw:100 framerelay 
ngctl connect ipfw: framerelay: 110 in
ngctl msg framerelay: setaliasaddr 1.1.1.2
ngctl mkpeer ipfw: nat 200 out 
ngctl name ipfw:200 framerelay 
ngctl connect ipfw: framerelay: 210 in
ngctl msg framerelay: setaliasaddr 2.2.2.2
-----------------------
---- /etc/ipfw.conf ----
-f flush
table 1 flush
table 1 add 192.168.1.0/24 // LAN1
table 1 add 192.168.2.0/24 // LAN2
table 1 add 192.168.3.0/24 // LAN3
table 1 add 192.168.4.0/24 // LAN4
add allow ip from any to any via lo0
add deny ip from any to 127.0.0.0/8
add deny ip from any to any not versrcreach in via bge0
add deny ip from any to any not versrcreach in via bge1
add deny ip from any to any not versrcreach in via bge2
add deny ip from any to any not versrcreach in via bge3
add fwd 1.1.1.1 ip from 1.1.1.0/29 to any
add fwd localhost,3128 tcp from not me to any 80
add allow tcp from any to me 22 keep-state
add prob 0.5 netgraph 100 tcp from table(1) to any 25,80,110,443
add netgraph 200 tcp from table(1) to any 25,80,110,443
add prob 0.5 netgraph 100 udp from table(1) to any 53
add netgraph 200 udp from table(1) to any 53
add netgraph 110 ip from any to me via em0
add netgraph 210 ip from any to me via em1
add allow ip from me to any via em1
add deny ip from any to any
------------------------