Файрвол-невидимка

Andrey Matveev

Хакер, номер #079, стр. 079-100-6

rule block in on ral0

[kernel hacking]

Есть способ, позволяющий сделать невидимый файрвол еще более невидимым :). Заключается он в том, чтобы научить ядро операционной системы возвращать ICMP-сообщения так, будто они отправлены с клиентского хоста, а не с файрвола. Экспериментальный патч для OpenBSD 3.5 можно взять здесь: marc.theaimsgroup.com/?l=openbsd-pf&m=108858252615179&w=2. Попробуй адаптировать его к своей версии операционки, если, конечно, ты действительно заинтересован в этой фиче.

[элегантный обход привязки IP к MAC]

Присутствует еще один интересный момент, о котором нельзя не упомянуть. С помощью прозрачного моста можно в некотором роде обойти привязку IP к MAC, сделанную на провайдерском сервере. Поясню на примере. Допустим, по некоторым причинам (это может быть кривой биллинг, отсутствие непосредственного доступа к компьютеру — из сейфа, ключи от которого неоднократно потеряны, торчит только шнурок и т.д.) у нас нет возможности заменить на шлюзе, который выпускает в Сеть мириады клиентов, привязанную на сервере провайдера сетевую карту и/или модифицировать правила файрвола. Нужно в кратчайшие сроки заблокировать чрезвычайно настойчивых спаммеров, прикрыть несколько порносайтов и (не)привилегированных портов. Возможно, тебе знакома эта ситуация. Решение сводится к установке между сервером прова и шлюзом компании транспарентного бриджа, разруливающего пакетами в соответствии с поставленными задачами. Поскольку мост функционирует на канальном уровне, обеспечивая связь между сетевым ПО и сетевыми картами, его работа не зависит от протоколов, соответственно, привязка обходится с невероятной легкостью.

INFO

Чтобы обмануть p0f, можно поэкспериментировать с директивой scrub и переменными sysctl: net.inet.tcp.sack, net.inet.ip.ttl, net.inet.tcp.sendspace, net.inet.tcp.recvspace.

DANGER

В настоящее время на всех видах бриджей правила pf "return-icmp" и "return-icmp6" для заблокированных пакетов не работают.