Configurando o Endian Firewall

Por muito tempo andei pesquisando na internet um sistema de firewall que atendesse as necessidades bsicas de segurana de redes e que ainda por cima fosse grtis. Estava quase desistindo quando numa conversa informal, no corredor da faculdade, um professor do curso de ps-graduao me falou sobre o Endian Firewall.

Ficou um pouco menos difcil, pois j podia direcionar as minhas pesquisas, mas o grande problema a falta de literatura sobre o assunto. Ento, para preencher essa lacuna, decidi escrever sobre esse sistema.

Ao longo dos posts sero abordados diversos temas como instalao, customizaes e etc. Para os interessados no assunto, recomendo a leitura do frum da Comunidade Brasileira do Endian Firewall http://endian.eth0.com.br . Aprende-se muita coisa legal l.

Endian Firewall 2.5.1

1 Apresentao

O endian firewall um poderoso sistema de segurana, de cdigo aberto (licena GPL), baseado em Linux e mantido por sua comunidade. Traz como caractersticas marcantes o conceito de Stateful Packet Inspection em nvel de aplicativo para vrios protocolos (http, smtp, pop3 e ftp), antivrus (CLAMAV), filtro anti-SPAM (smtp e pop3), filtro de contedo de trfego web (dansguardian) , IPS intrusion prevention system (snort), gerador de relatrios (sarg), VPN (openVPN) e etc.

2 Instalao e configurao

Para comearmos a instalao, primeiramente necessrio fazer o download do Endian Firewall. Clique aqui para fazer o download

O arquivo est em formato .iso, ento, ser necessrio gravar a imagem do Endian em um CD. Depois de gravado, d o boot no computador que deseja instalar o Endian com o CD no drive.

2.1 Passo a passo para a instalao

Aps o boot, voc ver a tela abaixo.

Basta apertar para que ele prossiga com a instalao.

Nesta tela voc dever escolher o idioma de instalao do Endian.

Tela de boas vindas... Aperte para prosseguir.

Essa uma tela de advertncia. Ele informa que todos os dados contidos no HD do computador sero perdidos. Se voc marcar a opo NO ele sair da instalao. Se voc marcar YES ele prosseguir com a instalao. Marque YES com as setas e aperte .

Nessa tela ele te pergunta se gostaria de habilitar a porta console sobre a porta serial do computador. Marque NO e aperte .

Tela de instalao dos pacotes necessrios ao Endian Firewall.

Aps alguns instantes, aparecer a tela para voc definir o IP da interface de rede verde. Escolha um endereo IP dentro do range de IPs da sua rede interna e que no esteja sendo usado por nenhum dispositivo. Lembrando que esse ser o endereo IP que voc dever configurar o campo gateway nas interfaces de rede dos computadores.

Importante: O Endian Firewall utiliza um conceito de cores para diferenciar as interfaces de rede. A placa de rede ou interface de rede verde atende a rede interna, a interface de rede vermelha atende a rede externa (link de internet), interface de rede laranja atende a DMZ (seguimento de rede acessvel atravs da internet) e a interface de rede azul atende aos usurios de rede wireless.

O Endian foi instalado com sucesso. Aperte para que ele d um boot no computador e carregue o firewall.

2.2 Configurao inicial

Aps a instalao, por outro computador da rede, com um navegador de internet funcionando, acesse o endereo que voc colocou na interface de rede verde. Exemplo: https://192.168.0.15:10443

Aonde https o protoloco http seguro, 192.168.0.15 o endereo IP da sua interface de rede verde e :10443 a porta onde o Endian firewall responde para fazer as configuraes.

Se tudo funcionar corretamente, ser exibida a tela de boas vindas abaixo.

Clique no boto >>> para passar para a prxima tela.

Tela de configurao do idioma e do fuso horrio.

Nesta tela voc dever configurar o idioma e o fuso horrio do Endian.

Tela de contrato de licena.

Marque a opo aceitar licena e depois no boto >>>.

Tela de restaurao de backup.

Se voc est restaurando um backup selecione a opo sim. Caso contrrio, marque a opo no e depois clique no boto >>>.

Tela de configurao das senhas.

Nessa tela voc configura a senha do administrador para acesso via web (navegador) e via SSH (putty).

Importante: Aconselho colocar senhas fortes e diferentes para o acesso web e SSH. Infelizmente boa parte das invases via SSH ocorrem porque o administrador de redes colocou uma senha fraca.

Tela de configurao da interface de rede vermelha.

Como explicado anteriormente, o Endian tem um esquema de cores para diferenciar as funes das interfaces de rede. Nesta tela aonde configuramos a interface de rede na qual ser conectado o link de internet. Selecione a opo que se adeque ao seu link.

Obs.: No item informao de hardware aonde so exibidas quantas interfaces de rede o Endian detectou.

Tela de configurao das interfaces laranja e azul.

Nesta tela aonde deveramos configurar as interfaces de rede laranja e azul. Como na opo itens de hardware o Endian s detectou duas interfaces de rede (verde e vermelho), no existem opes para serem configuradas nessa tela.

Tela de configurao da interface de rede verde.

A opo endereo IP j vem configurada com o IP colocado na instalao. Na opo mascara de sub-rede, selecione a opo que atenda a sua rede interna. Na opo interfaces, marque a opo que tem o quadrado verde. Na opo nome do computador (host) coloque o nome que voc desejar. Na opo nome do domnio, coloque o nome do domnio que o computador est. Caso a sua rede no possua um domnio, coloque o nome do grupo de trabalho.

Tela de configurao da interface de rede vermelha.

As opes dessa tela podem variar de acordo com a opo selecionada na primeira tela de configurao da interface de rede vermelha. A opo que eu selecionei anteriormente foi Ethernet Static. Nos campos endereo IP, mascara de sub-rede e gateway padro, coloque as respectivas informaes fornecidas pelo seu provedor de acesso internet. Na opo interface marque a que no est com o quadrado verde. Os demais campos podem ficar em branco.

Tela de configurao dos servidores DNS.

Nessa tela aonde configuramos os servidores DNS. Essa informao tambm passada pelo provedor de acesso internet.

Dica: Caso no se lembre do servidor DNS do provedor, utilize o servidor DNS do Google. O endereo 8.8.8.8

Tela de configurao de e-mail de notificao.

Nessa tela aonde configuramos os endereos de e-mail para quem desejamos enviar alertas de uso ou anomalias.

Tela de aplicao das configuraes.

Para salvar as configuraes clique no boto OK, aplicar configurao.

Tela de finalizao.

Pronto, seu Endian firewall est instalado.

Nos prximos posts veremos mais a fundo o Endian Firewall. Abordaremos temas como filtro de contedo, bloqueio de portas, servios e etc.

Configurando o Endian Firewall Parte 2

Dando continuidade ao post do dia 09/03/2012, mostrarei como refinar a configurao do Endian Firewall.Dividirei esse tema em vrios posts, seno, a leitura ficar muito cansativa e criar esses posts demandam muito tempo de pesquisas, testes e escrita. A primeira vista, voc pode achar um pouco complicado, mas tendo uma noo bsica de rede TCP/IP, portas de comunicao e protocolos de rede, voc consegue se dar bem com esse sistema.

3 Primeiro acesso aps a configurao inicial

Aps a concluso da configurao inicial, execute o seu navegador e acesse o endereo que voc configurou a interface de rede verde. Exemplo: https://192.168.0.98:10443. Entre com o usurio e senha cadastrados e confirme. Se tudo deu certo, ser exibida a tela abaixo.

Essa a tela principal do Endian Firewall. Nela encontramos diversos tipos de informaes como, por exemplo, verso no Kernel, tempo ativo, consumo de CPU e memria, estado de alguns servios, consumo de banda e etc.

No canto esquerdo da tela principal, existe um menu com vrias opes. Faremos um tour nos menus e darei algumas dicas de configurao.

3.1 Configurao de Rede

Nesta opo possvel alterar as configuraes das interfaces de rede. Essa etapa j foi configurada na instalao, mas se quiser fazer alguma alterao, o lugar aqui.

3.2 Notificaes de Eventos

As notificaes de eventos so importantes para que sejam gerados alertas caso algum evento ocorra. Para que essa opo funcione

corretamente necessrio que as configuraes de e-mail tenham sido configuradas corretamente na instalao.

Selecione a opo notificao pelo endereo de e-mail predefinido e clique no boto salvar.

Caso no tenha configurado na instalao, selecione a opo notificao pelo endereo de e-mail indicado, preencha as informaes corretamente e clique no boto salvar.

Dica: Na opo smarthost de e-mail preencha com o endereo do servidor de envio (SMTP) do seu provedor.

3.3 Senhas

Nessa opo possvel alterar as senhas do Endian Firewall. Digite a senha desejada, confirme no campo de baixo e clique no boto alterar senha.

3.4 Console Web

No console web possvel digitar comandos para personalizao de arquivos e alterao de parmetros dos servios que no possvel faz-los pela interface web.

3.5 Acesso SSH

O acesso SSH destinado administrao do Endian atravs de linha de comando.

Fiz alguns testes e consegui acessar o sistema de arquivos do Endian Firewall atravs do software WinSCP. Esse software ajuda bastante porque ele oferece acesso ao sistema de arquivos do Endian como se fosse um windows explorer, podendo copiar, mover e excluir arquivos com auxilio do mouse.

Para que isso funcione necessrio que o servio SSH esteja habilitado.

Para habilita-lo clique no boto habilitar acesso seguro ao shell e depois clique no boto salvar.

Dica: Somente deixe habilitado esse servio se realmente for usar. Caso contrrio deixe-o desabilitado. Muitos dos ataques de hackers acontecem porque o administrador de rede deixou o servio habilitado sem necessidade e com senha fraca.

3.6 Configuraes da Interface

Nessa opo voc pode escolher o idioma da interface web do Endian Firewall. Selecione do desejado e clique no boto salvar alteraes.

3.7 Cpia de Segurana

Nessa opo voc cria uma cpia de segurana das configuraes do Endian Firewall.

Dica: Sempre que fizer alteraes, crie uma cpia e exporte para uma fora do Endian Firewall.

3.8 Desligamento

Nessa opo voc pode reiniciar ou desligar o Endian Firewall. Para executar essas aes s clicar no boto desejado.

3.9 Crditos

Nessa tela so mostrados os nomes das pessoas envolvidas na produo do Endian Firewall. Nos prximos posts sero mostrados mais funes e configuraes do Endian Firewall.

Um grande abrao e at o prximo post.

Configurando Endian Firewall - Parte 3

Dando continuidade aos posts de configurao do Endian Firewall, hoje vou falar de uma aba que no dada muita ateno, mas muito importante que a aba "estado".

Quem est comeando agora no mundo do Endian Firewall vai se deparar com problemas que por muitas vezes vai dizer que no tem soluo. Vai configurar as regras do firewall e no vai entender porque no est funcionando. At eu conseguir "subir" o meu primeiro Endian Firewall eu o refiz trs vezes. Isso mesmo, formatei o computador e reinstalei o Endian trs vezes. Ento, se isso acontecer com voc, no desista.

A aba estado como o nome j diz, traz os estados dos servios oferecidos pelo sistema. No Endian, os servios podem ter dois estados: parado ou executando.O filtro de contedo craque em pegadinhas na hora de ser configurado. Voc configura ele todo e na hora de acessar um site proibido pelas regras para testar o bloqueio... ih... no funcionou. Antes de se desesperar, acesse a aba estado e veja o status do servio. Se o servio estiver com status de parado, procure a opo em sua aba de configurao para que ele seja habilitado.

O menu estado da rede traz informaes sobre as interfaces de rede. Nesse menu voc poder ver se a interface de rede est up (funcionando) ou down (parada). Poder ver tambm as configuraes como endereo IP, endereo de broadcast, entradas da tabela de roteamento e as entradas da tabela ARP.

No menu grficos do sistema voc poder ver os grficos relativos ao consumo de CPU, memria, rea de swap e disco rgido.

No menu grficos de trfego possvel ver o consumo de banda nas interfaces de rede instaladas no Endian Firewall.

No menu grficos de proxy possvel visualizar os grficos referentes ao consumo de banda do proxy HTTP.

No menu conexes, mostrada a lista de conexes atuais a partir do Endian Firewall ou passadas por ele. A origem e o destino de cada conexo so realadas na cor das zonas a que pertencem. Alm das quatro zonas (verde, vermelho, laranja e azul), duas outras cores so mostradas. O cor preta usada para as conexes locais no firewall e a cor roxa usada para as conexes de VPNs.

No menu Conexes OpenVPN possvel visualizar as informaes como endereo IP de origem e IP da rede interna atribudo ao dispositivo que se conectou atravs da VPN. Tambm possvel encerrar a conexo de quem estiver conectado via VPN.

Nos menus estatsticas de email SMTP e fila de Email possvel visualizar informaes sobre a quantidade de e-mails trafegados e que e-mail est na fila para ser enviado.

Obs.: Para que seja possvel visualizar as informaes sobre um determinado servio necessrio que ele esteja ativo e que exista trfego de rede para ele.

Configurando o Endian Firewall - Parte 4

Dando sequncia aos posts sobre o Endian Firewall, hoje falarei sobre a aba rede.

Nesta aba possvel ajustar as opes relacionadas s configuraes de rede:

Editar hosts: nessa opo aonde so cadastrados os nomes dos computadores, IPs e nome do domnio para resoluo de nomes.

Roteamento: nessa opo aonde so definidas as polticas de roteamento e as rotas estticas.

Interfaces: nessa opo aonde so configurados os links e as VLANs.

Menu editar host:

Clicando em adicionar host aberta a tela acima.

No campo endereo IP, digite o IP do computador.No campo nome do computador, digite o nome do computador que possui o IP digitado no campo endereo IP.No campo nome do domnio, digite o nome do domnio que o computador pertence.

Menu Roteamento:

Neste menu possvel associar endereos de rede especficos com gateways ou conexes.

Clique no link Adicionar Nova Rota para especificar uma regra de roteamento esttico usando os seguintes campos:

Rede de Origem: rede de origem na notao CIDR (exemplo: 192.168.10.0/24)Rede de Destino: rede de destino na notao CIDR (exemplo: 192.168.20.0/24)

Rotear atravs de: digite o endereo IP de um gateway ou pode escolher entre os links disponveis.Habilitado: habilita a regra.Observao: uma observao para lembrar o propsito desta regra posteriormente.

Clique no boto Salvar para confirmar a regra.

Voc pode, ento, ativar / desativar, editar ou excluir cada regra da lista de regras, clicando no cone apropriado no lado direito da tabela (veja a legenda do cone na parte inferior).

Politica de Roteamento:

Permite associar endereos de rede especficos, portas de servios e protocolos com gateways. Clique no boto criar uma regra de poltica de roteamento para especificar uma nova poltica . Os seguintes campos esto disponveis:

Origem: A origem pode ser uma lista das zonas ou interfaces, uma lista de IPs ou redes em notao CIDR (exemplo: 192.168.10.0/24),

uma lista de usurios do OpenVPN ou uma lista de endereos MAC. Ao selecionar a regra ir corresponder a todas as origens.

Destino: O destino pode ser uma lista de IPs, redes em notao CIDR ou uma lista de usurios do OpenVPN. Ao selecionar a regra ir corresponder a todas as origens.

Servio / Porta: Opcionalmente voc pode especificar o protocolo, como por exemplo, TCP, UDP ou TCP + UDP e uma porta para a regra. Algumas combinaes pr-definidas, como por exemplo, HTTP (protocolo TCP, porta 80), podem ser selecionados a partir da lista de servios.

Rotear atravs de: Escolha o link que deve ser usado para esta regra.

Tipo de Servio: O tipo de servio (TOS) pode ser escolhido aqui.

Observao: Definir uma observao para lembrar o propsito da regra.

Posio: Defina onde deseja inserir a regra (posio relativa na lista de regras).

Habilitado: Marque esta caixa para ativar a regra (padro).

Registrar todos os pacotes aceitos: Marque esta opo para registrar todos os pacotes que so afetados por esta regra.

Clique no boto Criar regra para confirmar a regra.

Voc tambm pode alterar a ordem das regras clicando nos cones seta para baixo e seta para cima. Depois de fazer alteraes em uma regra, no se esquea de clicar no boto Aplicar no topo da lista!

Menu Interfaces:

Conexes adicionais podem ser criadas clicando na guia editor de conexes. Selecione o tipo de conexo, em seguida, preencha o formulrio.

Tipo: Nesta opo voc pode escolher vrios tipos de links. As opes de configurao vo variar de acordo com o tipo escolhido. Normalmente essas informaes so passadas pela empresa que prov o link.

Ligar uplink na inicializao: Esta opo especifica se um link deve ser ativado no momento da inicializao ou no. Isso til para links de backup.

Se essa conexo falhar: Se ativado, este campo d-lhe a possibilidade de escolher um link alternativo a partir da lista suspensa. Este link ser ativado se o link atual falhar.

Tempo de reconexo: Com este tempo limite que voc pode especificar o tempo (em segundos) que o link tenta reconectar se ele falhar. Este valor depende das configuraes do seu provedor. Se voc est inseguro deixe este campo vazio.

Aps terminar a configurao clique no boto criar conexo.

VLANs

LANs virtuais (VLANs) podem ser definidas clicando na guia VLANs.

Interface: a interface fsica da VLAN

ID da VLAN: Identificao da VLAN (0-4095). Sempre que uma LAN virtual criada uma nova interface tambm criada. Esta interface denominada ethX.y onde X o nmero da interface e y a ID da VLAN. Esta interface atribuda zona escolhida. "NENHUM" pode ser escolhido, se a interface usada como porta de alta disponibilidade.