Filtro de red

Los módulos del kernel denominados ip_tables, ip6_tables, arp_tables(el guion bajo forma parte del nombre) y ebtablescomprenden la parte heredada de filtrado de paquetes del sistema de ganchos de Netfilter. Proporcionan un sistema basado en tablas para definir reglas de firewall que pueden filtrar o transformar paquetes. Las tablas se pueden administrar mediante las herramientas de espacio de usuario iptables, ip6tables, arptables, y ebtables. Nótese que, aunque tanto los módulos del kernel como las utilidades de espacio de usuario tienen nombres similares, cada uno de ellos es una entidad diferente con una funcionalidad distinta.

Cada tabla es, en realidad, un gancho independiente, y cada una se creó para cumplir una función específica. En lo que respecta a Netfilter, ejecuta una tabla en particular en un orden específico con respecto a las demás. Cualquier tabla puede llamarse a sí misma y ejecutar sus propias reglas, lo que permite realizar procesamientos e iteraciones adicionales.

Las reglas se organizan en cadenas, o en otras palabras, "cadenas de reglas". Estas cadenas se nombran con títulos predefinidos, incluidos INPUT, OUTPUTy FORWARD. Estos títulos de cadena ayudan a describir el origen en la pila de Netfilter. La recepción de paquetes, por ejemplo, se encuentra en PREROUTING, mientras que INPUTrepresenta los datos entregados localmente, y el tráfico reenviado se encuentra en la FORWARDcadena. La salida generada localmente pasa a través de la OUTPUTcadena, y los paquetes que se enviarán están en la POSTROUTINGcadena.

Los módulos de Netfilter que no están organizados en tablas (véase más abajo) son capaces de comprobar el origen para seleccionar su modo de funcionamiento.

iptable_rawmódulo

Al cargarse, registra un gancho que se ejecutará antes que cualquier otro gancho de Netfilter. Proporciona una tabla llamada raw que se puede usar para filtrar paquetes antes de que lleguen a operaciones que consumen más memoria, como el seguimiento de conexiones.

iptable_manglemódulo

Registra una tabla de enganches y manipulación que se ejecutará después del seguimiento de conexiones (ver más abajo) (pero antes que cualquier otra tabla), de modo que se puedan realizar modificaciones en el paquete. Esto permite modificaciones adicionales mediante reglas posteriores, como NAT o filtrado adicional.

iptable_natmódulo

Registra dos ganchos: las transformaciones basadas en la traducción de direcciones de red de destino ("DNAT") se aplican antes del gancho de filtro, y las transformaciones basadas en la traducción de direcciones de red de origen ("SNAT") se aplican después. La tabla de traducción de direcciones de red (o "nat") que se pone a disposición de iptables es simplemente una "base de datos de configuración" para asignaciones NAT únicamente, y no está destinada a ningún tipo de filtrado.

iptable_filtermódulo

Registra la tabla de filtros , utilizada para el filtrado de propósito general (cortafuegos).

security_filtermódulo

Se utiliza para reglas de red de Control de Acceso Obligatorio (MAC), como las habilitadas por los objetivos SECMARKy CONNSECMARK. (Estos llamados "objetivos" se refieren a marcadores de Linux mejorados con seguridad). El Control de Acceso Obligatorio es implementado por Módulos de Seguridad de Linux como SELinux. La tabla de seguridad se llama después de la llamada a la tabla de filtros, lo que permite que cualquier regla de Control de Acceso Discrecional (DAC) en la tabla de filtros surta efecto antes que cualquier regla MAC. Esta tabla proporciona las siguientes cadenas integradas: INPUT(para paquetes que llegan al propio equipo), OUTPUT(para modificar paquetes generados localmente antes del enrutamiento) y FORWARD(para modificar paquetes que se enrutan a través del equipo).

nftables es la nueva parte de filtrado de paquetes de Netfilter. nftes la nueva utilidad de espacio de usuario que reemplaza a iptables, ip6tables, arptablesy ebtables.

El motor del kernel nftables agrega una máquina virtual simple al kernel de Linux, capaz de ejecutar código de bytes para inspeccionar un paquete de red y decidir cómo debe manejarse. Las operaciones implementadas por esta máquina virtual son intencionadamente básicas: puede obtener datos del propio paquete, examinar los metadatos asociados (interfaz de entrada, por ejemplo) y gestionar los datos de seguimiento de la conexión. Se pueden usar operadores aritméticos, de bits y de comparación para tomar decisiones basadas en esos datos. La máquina virtual también es capaz de manipular conjuntos de datos (normalmente direcciones IP), lo que permite reemplazar múltiples operaciones de comparación con una sola búsqueda de conjunto. ^{[ 6 ]}

Esto contrasta con el código heredado de Xtables (iptables, etc.), que tiene una conciencia de protocolo tan profundamente integrada en el código que ha tenido que ser replicado cuatro veces —para IPv4, IPv6, ARP y puenteo Ethernet —ya que los motores de firewall son demasiado específicos de protocolo para ser utilizados de manera genérica. ^{[ 6 ]} Las principales ventajas son la simplificación de la ABI del kernel de Linux , la reducción de la duplicación de código , la mejora de la notificación de errores y una ejecución, almacenamiento y cambios incrementales y atómicos más eficientes de las reglas de filtrado.iptables

Mediante el uso de módulos de complemento, el seguimiento de conexiones puede adquirir conocimiento de los protocolos de la capa de aplicación y, por lo tanto, comprender que dos o más conexiones distintas están "relacionadas". Por ejemplo, consideremos el protocolo FTP . Se establece una conexión de control, pero cada vez que se transfieren datos, se establece una conexión independiente para dicha transferencia. Cuando nf_conntrack_ftpse carga el módulo, el primer paquete de una conexión de datos FTP se clasificará como "relacionado" en lugar de "nuevo", ya que lógicamente forma parte de una conexión existente.

Los asistentes solo inspeccionan un paquete a la vez, por lo que si la información vital para el seguimiento de la conexión se divide entre dos paquetes, ya sea por fragmentación IP o segmentación TCP, el asistente no necesariamente reconocerá patrones y, por lo tanto, no realizará su operación. La fragmentación IP se gestiona mediante el subsistema de seguimiento de la conexión, que requiere desfragmentación, aunque la segmentación TCP no se gestiona. En el caso de FTP, se considera que la segmentación no ocurre "cerca" de un comando, como sucede PASVcon los tamaños de segmento estándar, por lo que Netfilter tampoco la gestiona.

Al igual que las herramientas de seguimiento de conexiones, las herramientas NAT inspeccionan los paquetes y sustituyen las direcciones originales por direcciones de respuesta en la carga útil.

conntrack-toolses un conjunto de herramientas de espacio de usuario para Linux que permiten a los administradores del sistema interactuar con las entradas y tablas de Seguimiento de conexiones. El paquete incluye el conntrackddemonio y la interfaz de línea de comandos conntrack. El demonio de espacio de usuario conntrackdse puede utilizar para habilitar cortafuegos con estado basados ​​en clústeres de alta disponibilidad y recopilar estadísticas del uso del cortafuegos con estado. La interfaz de línea de comandos conntrackproporciona una interfaz más flexible al sistema de seguimiento de conexiones que la obsoleta /proc/net/nf_conntrack.

A diferencia de otras extensiones como Connection Tracking, ipset^{[ 8 ]} está más relacionado con iptablesque con el código principal de Netfilter. ipsetPor ejemplo, no utiliza ganchos de Netfilter, sino que proporciona un iptablesmódulo para hacer coincidir y realizar modificaciones mínimas (establecer/borrar) en conjuntos de IP.

La herramienta de espacio de usuario ipsetse utiliza para configurar, mantener e inspeccionar los denominados "conjuntos de IP" en el kernel de Linux. Un conjunto de IP generalmente contiene un conjunto de direcciones IP , pero también puede contener conjuntos de otros números de red, según su "tipo". Estos conjuntos son mucho más eficientes en términos de búsqueda que iptableslas reglas simples, pero, por supuesto, pueden requerir mayor memoria. Se proporcionan diferentes algoritmos de almacenamiento (para las estructuras de datos en memoria) ipsetpara que el usuario seleccione la solución óptima.

Cualquier entrada de un conjunto puede vincularse a otro conjunto, lo que permite realizar operaciones de coincidencia sofisticadas. Un conjunto solo puede eliminarse (destruirse) si no existen iptablesreglas u otros conjuntos que hagan referencia a él.

SYNPROXYEl objetivo permite gestionar grandes inundaciones SYN sin las importantes penalizaciones de rendimiento que impone el seguimiento de conexiones en estos casos. Al redirigir SYNlas solicitudes iniciales al SYNPROXYobjetivo, las conexiones no se registran en el seguimiento de conexiones hasta que alcanzan un ACKestado final validado, lo que libera al seguimiento de conexiones de contabilizar un gran número de conexiones potencialmente inválidas. De esta forma, SYNse pueden gestionar inundaciones masivas de manera eficaz. ^{[ 9 ]}

El 3 de noviembre de 2013, SYNla funcionalidad de proxy se integró en Netfilter con el lanzamiento de la versión 3.12 del kernel principal de Linux. ^{[ 10 ] [ 11 ]}

ulogdes un demonio en el espacio de usuario para recibir y registrar paquetes y notificaciones de eventos de los subsistemas de Netfilter. ip_tablesPuede entregarle paquetes a través del mecanismo de colas del espacio de usuario, y el seguimiento de conexiones puede interactuar con él ulogdpara intercambiar más información sobre paquetes o eventos (como la finalización de la conexión, la configuración de NAT).

Netfilter también proporciona un conjunto de bibliotecas que tienen libnetfiltercomo prefijo en sus nombres, las cuales pueden usarse para realizar diferentes tareas desde el espacio de usuario. Estas bibliotecas se publican bajo la licencia GNU GPL versión 2. Específicamente, son las siguientes:

libnetfilter_queue

permite realizar la puesta en cola de paquetes en el espacio de usuario junto con iptables; basado enlibnfnetlink

libnetfilter_conntrack

permite la manipulación de las entradas de seguimiento de conexión desde el espacio de usuario; basado enlibnfnetlink

libnetfilter_log

permite la recopilación de mensajes de registro generados por iptables; basado enlibnfnetlink

libnl-3-netfilter

permite operaciones en colas, seguimiento de conexiones y registros; parte del libnlproyecto ^{[ 12 ]}

libiptc

Permite realizar cambios en los conjuntos de reglas del firewall iptables; no se basa en ninguna netlinkbiblioteca y su API es utilizada internamente por las iptablesutilidades.

libipset

permite operaciones en conjuntos IP; basado en libmnl.