Como habilitar IP masquerade no Kernel da máquina gateway

Para habilitar IP masquerade é preciso primeiramente compilar o kernel da máquina Linux que funcionará como gateway, com suporte ao processo de masquerading. Algumas distribuições já trazem o kernel com suporte à IP masquerade. Detalhes de como compilar o kernel do Linux fogem do escopo deste artigo, mas podem ser encontrados em diversos documentos na Internet e no "Kernel-howto".

Sem muitos detalhes, abaixo estão as opções relacionadas ao IP masquerade que devem ser compiladas no kernel - ver quadro (vale ressaltar novamente que neste artigo estamos usando as versões 2.2.x do kernel).

É importante, depois de compilar o novo kernel, não esquecer de compilar e instalar os módulos do kernel para que módulos responsáveis pelo tratamento de protocolos complexos possam ser carregados e usados no processo de masquerading:

# make modules; 
make modules_install
  

Alguns protocolos de aplicação TCP/IP não trabalham perfeitamente com IP masquerade porque eles podem codificar ou usar endereços IP e números de porta em seu fluxo de dados. Como esses campos do cabeçalho IP são reescritos no processo de masquerading para valores diferentes, esses protocolos não chegarão aos resultados esperados. Alguns outros protocolos também usam os problemáticos "back-channels", como é o caso do FTP. Nesses protocolos, computadores remotos podem fazer pedidos de conexão, usando números de portas negociados no decorrer de uma sessão, como resposta a certas requisições das máquinas internas. O IP masquerade por si só é incapaz de tratar tais protocolos. Isso explica a necessidade de módulos auxiliares especiais para o tratamento de protocolos com essas características. Se algum serviço ou protocolo de aplicação não funciona depois de terminada a configuração da rede para IP masquerade, é possível que ele necessite ainda de algum módulo ou configuração especial para fazer com sucesso o seu trabalho.

Usando o Ipchains e módulos especiais para IP masquerade

O Ipchains é uma ferramenta que permite a manipulação, por parte do usuário, das regras de filtragem usadas pelo filtro de pacotes implementado nas versões do kernel da série 2.2.x. O objetivo de um filtro de pacotes é controlar o fluxo de pacotes entrando e saindo de uma rede. Portanto, é uma ferramenta útil para a implementação de firewalls. Desde as versões 1.3.x, quando IP masquerade foi introduzido como uma função do kernel no Linux, os processos de filtragem de pacotes e masquerading são implementados juntos. Isso não mais será verdade na próxima série do kernel de produção (versões 2.4.x). Nessa última, o processo de filtragem de pacotes será responsabilidade do módulo Iptables e o masquerading será realizado junto com o módulo de tratamento de NAT, o Ipnatacl (isso faz mais sentido, uma vez que masquerading é um caso especial de NAT).

Depois de compilado o kernel com suporte à IP masquerade, como foi mostrado na seção anterior, usaremos o Ipchains para incluir as regras de masquerading e carregaremos os módulos auxiliares para tratamento especial de alguns protocolos mais complexos. Para automatizar esse trabalho pode-se criar um script (figura 2) com os comandos necessários e invocá-lo de algum arquivo de inicialização durante o boot da máquina. Neste ponto, pressupõe-se que o leitor já tenha uma rede local devidamente configurada e funcionando com todas as máquinas usando endereços IP não oficiais. Além disso, supõe-se também que a máquina gateway tenha uma interface na rede e uma outra interface na Internet, seja configurada para rotear pacotes entre essas interfaces (opção ip_forward habilitada) e que todas as máquinas na rede sejam capazes de resolver nomes de máquinas na Internet. Montar e configurar a rede foge do escopo deste artigo, mas informações podem ser obtidas nos Howtos ou na documentação encontrada na distribuição Linux usada.

Configurando as máquinas internas

Para fazer uso do masquerading, as demais máquinas numa rede local devem ser configuradas tendo a máquina Linux como default gateway. Dessa forma, todo tráfego da rede interna com destino à Internet passará obrigatoriamente pelo gateway, onde os endereços IP inválidos serão reescritos para o endereço válido dessa máquina. Como todas as comunicações com a Internet compartilham o endereço IP do gateway, todos os pacotes voltando à rede interna são destinados ao gateway e ele se encarrega de reescrever e enviar os pacotes para os destinos corretos dentro da rede interna. Os computadores na rede interna não precisam necessariamente ter o Linux como sistema operacional. Windows 9x, outros sabores do Unix (Solaris, por exemplo), Macintosh OS, OS/2, Novell, Amiga, são sistemas que podem estar instalados nessas máquinas da rede.

Oferecendo serviços internamente

Por padrão, IP masquerade não pode tratar de requisições remotas a serviços rodando em máquinas dentro da rede interna. Assim, se um usuário quer que um servidor de FTP em uma máquina dentro da rede local usando endereço IP inválido possa responder a essas requisições vindas da Internet, ele precisará de algum programa especial sendo executado no gateway, para fazer "port forwarding". Um desses programas para versões do kernel 2.2.x é o ipmasqadm. O que esses programas fazem é simplesmente redirecionar os pacotes para a máquina interna quando eles chegam destinados a um determinado número de porta no gateway. Para o cliente remoto é como se o serviço estivesse sendo oferecido no gateway, que é a única máquina na rede que tem um número IP válido. Vale ressaltar aqui que essa solução em nada protege esse servidor de possíveis ataques vindos da Internet. Daí, se a rede local exige uma segurança maior e precisa oferecer um certo serviço a computadores remotos, uma alternativa melhor é usar um proxy dedicado para o serviço. Com um proxy, pode-se fazer uma filtragem nos dados, criar logs das comunicações e dos dados trocados e autenticar usuários.

IP masquerade e segurança

Quando uma rede local é conectada à Internet, torna-se possível o estabelecimento de um canal virtual de comunicação entre as máquinas que fazem parte dessa rede e milhões de outros computadores espalhados pelo mundo. Em conseqüência, essa rede pode também tornar-se alvo de ataques de pessoas localizadas nos mais remotos pontos da rede. O IP masquerade pode ser usado para implementar um firewall, isolando as máquinas na rede interna. No entanto, a máquina responsável pelo processo de masquerading está diretamente conectada à Internet e merece uma preocupação especial. É essencial "blindar" essa máquina para evitar que ela seja usada como trampolim para algum atacante entrar em sua rede interna ou usá-la como origem para ataques a outras redes remotas. O leitor é, então, fortemente estimulado a criar, no gateway, regras de filtragem de pacotes com Ipchains e eliminar serviços desnecessários que possam apresentar vulnerabilidades de segurança, implementando, desta forma, um firewall bastante seguro. Como fortalecer essa máquina para amenizar efeitos de ataques é assunto para um próximo artigo.