Script de Firewall

Não podemos esquecer da segurança de nosso servidor de telefonia, para isso, vamos fazer um Firewall intermediário no IPtables.

Segue o nosso Script de Firewall padrão para IPBX:

Crie o arquivo "firewall.sh" em "/etc/init.d" e dê permissão de execução para ele:

# touch firewall.sh
# chmod+x firewall.sh

Agora, vamos editar o arquivo adicionado o seguinte conteúdo:

# vim /etc/init.d/firewall.sh

#!/bin/bash
##################################################
###########SHR - Network Solution#################
##################################################
#mensagem de inicialização "| Script de Firewall - SecuritySHR"
echo "| Criado por:Guilherme Ribeiro"
echo "| Uso: firewall start|stop|restart"
echo
echo "============================================= |"
echo "|:INICIANDO A CONFIGURAÇÃO DO FIREWALL NETFILTER ATRAVA:|"
echo "|: DO IPTABLES :|"
echo "============================================= |"

iniciar(){

#Declarando Variaveis
LAN=eth1
WAN=eth0
REDE=192.168.1.0/24

# Abre para a interface de loopback:
iptables -A INPUT -p tcp -i lo -j ACCEPT

# Abre as portas referentes aos serviços:

# SSH:
iptables -A INPUT -p tcp --dport 5322 -j ACCEPT

# DNS:
iptables -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j ACCEPT

# HTTP e HTTPS:
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

#IAX2
iptables -A INPUT -p udp --dport 4569 -j ACCEPT

#Manager do Asterisk
iptables -A INPUT -p tcp --dport 5038 -j ACCEPT

#Sinalizacao SIP
iptables -A INPUT -p udp --dport 5060 -j ACCEPT

#RTP
iptables -A INPUT -p udp --dport 10000:20000 -j ACCEPT

#Webmin
iptables -A INPUT -p tcp --dport 10000 -j ACCEPT

#Mysql
iptables -A INPUT -p udp --dport 3306 -j ACCEPT

#Bacula
iptables -A INPUT -p udp --dport 9101:9103 -j ACCEPT
iptables -A INPUT -p tcp --dport 9101:9103 -j ACCEPT

# Segurança###
echo Seguranca da rede, Firewall e gerando logs de portas
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
echo 1 > /proc/sys/net/ipv4/conf/default/rp_filter

### Impedindo ataque Ping of Death no Firewall
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

### Descarte de pacotes nao identificados ICMP
iptables -A OUTPUT -m state -p icmp --state INVALID -j DROP
iptables -A INPUT -m state -p icmp --state INVALID -j DROP
iptables -A FORWARD -m state -p icmp --state INVALID -j DROP

### Impedindo ataque Ping of Death na rede
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

### Impedindo ataque de Denial Of Service Dos na rede e servidor
iptables -I FORWARD -p tcp -m limit --limit 1/s -j ACCEPT
iptables -A INPUT -p tcp -m limit --limit 1/s -j ACCEPT

### Impedindo ataque Port Scanners na rede e no Firewall
iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
iptables -I INPUT -p udp --dport 33435:33525 -j LOG --log-level info --log-prefix 'SCANNERS DROPADO>'
iptables -A INPUT -p udp --dport 33435:33525 -j DROP
iptables -I FORWARD -p udp --dport 33435:33525 -j LOG --log-level info --log-prefix 'SCANNERS DROPADO NA REDE>'
iptables -A FORWARD -p udp --dport 33435:33525 -j DROP

### Bloquear Back Orifice na rede
iptables -I INPUT -p tcp --dport 31337 -j LOG --log-level info --log-prefix 'ORIFICE DROPADO>'
iptables -A INPUT -p tcp --dport 31337 -j DROP
iptables -I INPUT -p udp --dport 31337 -j LOG --log-level info --log-prefix 'ORIFICE UDP>'
iptables -A INPUT -p udp --dport 31337 -j DROP
iptables -I FORWARD -p tcp --dport 31337 -j LOG --log-level info --log-prefix 'ORIFICE NA REDE>'
iptables -A FORWARD -p tcp --dport 31337 -j DROP
iptables -I FORWARD -p udp --dport 31337 -j LOG --log-level info --log-prefix 'ORIFICE NA REDE UDP>'
iptables -A FORWARD -p udp --dport 31337 -j DROP

### Bloquear NetBus na rede
iptables -I INPUT -p tcp --dport 12345 -j LOG --log-level info --log-prefix 'NETBUS >'
iptables -A INPUT -p tcp --dport 12345 -j DROP
iptables -I INPUT -p udp --dport 12345 -j LOG --log-level info --log-prefix 'NETBUS UDP>'
iptables -A INPUT -p udp --dport 12345 -j DROP
iptables -I FORWARD -p tcp --dport 12345 -j LOG --log-level info --log-prefix 'NETBUS NA REDE>'
iptables -A FORWARD -p tcp --dport 12345 -j DROP
iptables -I FORWARD -p udp --dport 12345 -j LOG --log-level info --log-prefix 'NETBUS UDP>'
iptables -A FORWARD -p udp --dport 12345 -j DROP

### Desabilita resposta para pingecho 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

### Desabilita port scan
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

### Desabilita redirecionamento de ICMP
for f in /proc/sys/net/ipv4/conf/*/accept_redirects; do
echo 0 >$f
done

### Protecao contra synflood
echo "1" > /proc/sys/net/ipv4/tcp_syncookies

### Ativando protecao contra responses bogus
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses

### Protecao contra worms
iptables -I FORWARD -p tcp --dport 135 -j LOG --log-level info --log-prefix 'WORMS REDE>'
iptables -A FORWARD -p tcp --dport 135 -j DROP
iptables -I INPUT -p tcp --dport 135 -j LOG --log-level info --log-prefix 'WORMS >'
iptables -A INPUT -p tcp --dport 135 -j DROP

### Bloqueando tracertroute
#iptables -A INPUT -p udp -s 0/0 -i $ifinternet --dport 33435:33525 -j REJECT

### Permite o redirecionamento seguro dos pacotes
echo "1" > /proc/sys/net/ipv4/conf/all/secure_redirects

### IMPEDINDO O REDIRECIONAMENTO E UMA ROTA
echo "0" > /proc/sys/net/ipv4/conf/all/accept_redirects
echo Seguranca Carregada e logs gerados ..... [ok]

# Bloqueia conexão demais portas:
iptables -A INPUT -p tcp --syn -j DROP

# Garante que o firewall permitir conexões:
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Bloqueia as portas UDP de 0 a 1023 (com exceções abertas acima):
iptables -A INPUT -p udp --dport 0:1023 -j DROP

}
parar(){
iptables -F
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
}

case "$1" in
"start") iniciar ;;
"stop") parar ;;
"restart") parar; iniciar ;;
*) echo "Use os parâmetros start ou stop"
esac

Salve e saia do arquivo.

Como podemos verificar, criamos um Script de Firewall de nível intermediário caso sua empresa ou escritório, não conte com um Servidor de Internet ou Firewall.

Considerações Finais

Bom, seguindo todos nossos passos, estamos com um Servidor IPBX configurado e com recursos de melhoria funcionado. E o mais importante, sem ter que colocar a mão no bolso, afinal nada melhor que isso né.

Este artigo teve a participação de alguns amigos que compartilharam comigo no decorrer da jornada de trabalho algumas soluções e conhecimentos: Alexandre Keller e Danilo Bedani.

E alguns tópicos na Internet, é claro.

Caso tenha alguma duvida ou sugestão, estamos sempre disponível para novas ideias.

Tenho uma empresa que vende esta e outras soluções de telefonia IP e Redes.

Abraço a todos!