Hur man säkrar FreeBSD med PF Firewall

Denna handledning visar dig hur du skyddar din FreeBSD-server med OpenBSD PF-brandväggen. Vi antar att du har en ren FreeBSD-installation utplacerad av Vultr utan några användare tillagda. Vi kommer att göra några andra saker förutom brandväggskonfiguration som också kommer att förstärka säkerheten för vår FreeBSD-server. Innan brandväggskonfigurationen kommer vi att installera några paket eftersom standardinstallationen av FreeBSD kommer med en minimal uppsättning verktyg och paket (vilket är korrekt), för att göra det lättare för oss att arbeta.

Standardskalet i FreeBSD är /bin/sh. Detta är ett grundläggande skal utan automatiska kompletteringsfunktioner. Vi kommer att använda något bättre. Vi kommer att installera zsh.

Installera först dessa paket:

# pkg install zsh gnuls
The package management tool is not yet installed on your system.
Do you want to fetch and install it now? [y/N]: y
Bootstrapping pkg from pkg+http://pkg.FreeBSD.org/freebsd:10:x86:64/latest, please wait...
...

GNULS är lsprogrammet från Linux. Vi vill bara ha samma lskommando i Linux och FreeBSD.

Lägg till en normal användare till systemet: (byt ut john med ditt användarnamn och glöm inte att lägga till användare i hjulgruppen)

# adduser
Username: john
Full name: John Doe
Uid (Leave empty for default): 
Login group [john]: 
Login group is john. Invite john into other groups? []: wheel
Login class [default]: 
Shell (sh csh tcsh zsh rzsh nologin) [sh]: zsh
Home directory [/home/john]: 
Home directory permissions (Leave empty for default): 
Use password-based authentication? [yes]: 
Use an empty password? (yes/no) [no]: 
Use a random password? (yes/no) [no]: 
Enter password: 
Enter password again: 
Lock out the account after creation? [no]: 
Username   : john
Password   : *****
Full Name  : John Doe
Uid        : 1001
Class      : 
Groups     : john wheel
Home       : /home/john
Home Mode  : 
Shell      : /usr/local/bin/zsh
Locked     : no
OK? (yes/no): yes
adduser: INFO: Successfully added (john) to the user database.
Add another user? (yes/no): no
Goodbye!

Skapa zsh-konfigurationsfil:

# ee /home/your-username/.zshrc

Kopiera detta till din .zshrc-fil:

PS1="<%U%m%u>$[%B%1~%b]%(#.#.$) "

bindkey -e
alias su='su -m'
alias du='du -h -d0'
alias df='df -h'
alias l=less
alias ll='gnuls --color=always -l'
alias ls='gnuls --color=always'
alias pkg_ver='pkg version -v -l "<" | > upgrade'

export EDITOR=ee

autoload -U colors && colors
autoload -U promptinit && promptinit
autoload -U compinit && compinit

# History settings
SAVEHIST=1000
HISTSIZE=1000
HISTFILE=~/.history
setopt histignoredups appendhistory

Kör detta kommando: (ersätt john med ditt användarnamn)

chown john:john /home/john/.zshrc

Logga nu in på FreeBSD-servern med ditt användarnamn och ändra standardlösenordet för root:

<vultr>[~]$ su
Password:
<vultr>[~]# passwd 
Changing local password for root
New Password:
Retype New Password:
<vultr>[~]# 

Vi behöver inte skicka mail. Stoppa och inaktivera den här tjänsten:

<vultr>[~]# /etc/rc.d/sendmail stop
Stopping sendmail.
Waiting for PIDS: 7843.
sendmail_submit not running? (check /var/run/sendmail.pid).
Stopping sendmail_msp_queue.
Waiting for PIDS: 7846.

Därefter kommer vi att ändra vår rc.conf-fil så att den ser mer naturlig ut:

# ee /etc/rc.conf

Ändra det så att det ser ut så här:

#----------- NETWORKING ------------------------------------------------#
hostname="ceph.domain1.com" # replace ceph.domain1.com with your domain
ifconfig_vtnet0="dhcp"
static_routes=linklocal
route_linklocal="-net 169.254.0.0/16 -interface vtnet0"

#--------- SERVICES BSD LOCAL ----------------------------------------#
sshd_enable="YES"
ntpd_enable="YES"

#pf_enable="YES"
#pf_rules="/etc/firewall"
#pf_flags=""
#pflog_enable="YES"              
#pflog_logfile="/var/log/pflog"  
#pflog_flags=""    

sendmail_enable="NONE"
sendmail_submit_enable="NO"
sendmail_outbound_enable="NO"
sendmail_msp_queue_enable="NO"

Redigera /etc/hostsfil:

# ee /etc/hosts

Lägg till din IP-adress och värdnamn:

::1                     localhost localhost.ceph ceph
127.0.0.1               localhost localhost.ceph ceph
108.61.178.110          ceph.domain1.com       ceph

Ställ in tidszon:

# bsdconfig

När du kan, inaktivera fjärråtkomst för rotanvändaren. De flesta attacker på SSH kommer att försöka komma åt via root-användarkontot. Anslut alltid med ditt användarnamn och sedan sutill root. Endast användare från wheelgruppen kan surota. Det är därför vi har lagt till vår användare i hjulgruppen.

Inaktivera root-inloggning:

# ee /etc/ssh/sshd_config

Avkommentera denna rad:

PermitRootLogin no

Starta om:

# reboot

När omstarten är klar kommer du att se ett meddelande så här i Vultr-konsolen:

time correction of 3600 seconds exceeds sanity limit (1000); set clock manually to
correct UTC time.

Det är därför vi måste korrigera klockan manuellt. Följ dessa kommandon, först för suatt roota:

$ su
Password:
# ntpdate 0.europe.pool.ntp.org

Nu ska vi konfigurera brandväggen. OpenBSD PF ingår i FreeBSD-kärnan, så du behöver inte installera några paket.

Med eeeditor, skapa fil /etc/firewall:

# ee /etc/firewall

Infoga detta: (ersätt eventuella IP-adresser med dina)

#######################################################################
me="vtnet0"                
table <bruteforcers> persist    
table <trusted> persist file "/etc/trusted"
icmp_types = "echoreq"          
junk_ports="{ 135,137,138,139,445,68,67,3222 }"
junk_ip="224.0.0.0/4"           

set loginterface vtnet0           
scrub on vtnet0 reassemble tcp no-df random-id

# ---- First rule obligatory "Pass all on loopback"
pass quick on lo0 all           

# ---- Block junk logs
block quick proto { tcp, udp } from any to $junk_ip 
block quick proto { tcp, udp } from any to any port $junk_ports

# ---- Second rule "Block all in and pass all out"
block in log all                
pass out all keep state         

############### FIREWALL ###############################################
# ---- Allow all traffic from my Home
pass quick proto {tcp, udp} from 1.2.3.4 to $me keep state

# ---- block SMTP out 
block quick proto tcp from $me to any port 25

# ---- Allow incoming Web traffic
pass quick proto tcp from any to $me port { 80, 443 } flags S/SA keep state

# ---- Allow my team member SSH access 
pass quick proto tcp from 1.2.3.5 to $me port ssh flags S/SA keep state

# ---- Block bruteforcers
block log quick from <bruteforcers>

# ---- Allow SSH from trusted sources, but block bruteforcers
pass quick proto tcp from <trusted> to $me port ssh \
flags S/SA keep state \
(max-src-conn 10, max-src-conn-rate 20/60, \
overload <bruteforcers> flush global)

# ---- Allow ICMP 
pass in inet proto icmp all icmp-type $icmp_types keep state
pass out inet proto icmp all icmp-type $icmp_types keep state

Skapa /etc/trustedfil. I den här filen kommer vi att lägga IP:er som vi "litar på".

# ee /etc/trusted

Lägg till några IP:er:

# Hosting
1.2.0.0/16

# My friends
1.2.4.0/24

Nu lite förklaring. Skräpportar och skräp-IP:er är bara några portar/IP:er som vi inte vill se i loggar. Vi har gjort detta med denna regel:

# ---- Block junk logs
block quick proto { tcp, udp } from any to $junk_ip 
block quick proto { tcp, udp } from any to any port $junk_ports

Dessa är bara standardinställningar och du behöver inte oroa dig för det:

icmp_types = "echoreq"                                            
set loginterface vtnet0           
scrub on vtnet0 reassemble tcp no-df random-id
pass quick on lo0 all
block in log all                
pass out all keep state

Denna regel blockerar utgående SMTP-trafik från din server (vilket är standard på Vultr).

# ---- block SMTP out 
block quick proto tcp from $me to any port 25

Förutom bruteforcersatt resten är ganska rakt fram.

# ---- Allow SSH from trusted sources, but block bruteforcers
pass quick proto tcp from <trusted> to $me port ssh \
flags S/SA keep state \
(max-src-conn 10, max-src-conn-rate 20/60, \
overload <bruteforcers> flush global)

Bruteforcers säger bara: Tillåt från <betrodda> IP-adresser till port 22 men endast 10 samtidiga anslutningar kan göras från en käll-IP. Om det är fler än 10, blockera denna IP och lägg den i tabellen bruteforcers. Detsamma gäller 20/60-regeln. Det innebär max 20 anslutningar på 60 sekunder.

Aktivera brandvägg:

# ee /etc/rc.conf

Avkommentera dessa rader:

pf_enable="YES"
pf_rules="/etc/firewall"
pf_flags=""
pflog_enable="YES"
pflog_logfile="/var/log/pflog"
pflog_flags=""

Starta om:

# reboot 

Om du har gjort allt rätt kommer du att kunna logga in och brandväggen aktiveras. Du behöver inte starta om varje gång du ändrar /etc/firewallfilen. Bara gör:

# /etc/rc.d/pf reload

Se vem som försöker ansluta till din server i realtid:

# tcpdump -n -e -ttt -i pflog0

Visa historik:

# tcpdump -n -e -ttt -r /var/log/pflog

Se om du har någon i bruteforcers table:

# pfctl -t bruteforcers -T show

Och det är allt. Du har framgångsrikt implementerat PF-brandväggen på FreeBSD-servern!