Laboratório: Firewall Linux com Netfilter/iptables segmentando duas redes

Duração estimada

120 min

Passos

12

Validações

5

Versões da documentação consultada

iptables (Netfilter) a versão estável atual · iproute2 a versão estável atual

Topologia

Três máquinas virtuais: uma como firewall (duas interfaces), uma como estação interna (rede LAN1, 192.168.10.0/24) e uma como estação de DMZ (rede LAN2, 192.168.20.0/24). O firewall conecta ambas as redes e tem saída controlada para a Internet.

           [Internet]
                |
         [eth1] Firewall [eth2]
           |                 |
      192.168.10.1      192.168.20.1
           |                 |
    [LAN1: 192.168.10.2] [LAN2: 192.168.20.2]

Equipamentos e software

Roteiro

1. Preparar as máquinas virtuais e redes

   Crie três VMs. Configure as redes conforme a topologia. O firewall precisa de duas interfaces (eth1 e eth2).

   O que você deve ver: As VMs se comunicam conforme a topologia, sem firewall ainda.

2. Configurar IPs nas interfaces

   Atribua IPs estáticos nas interfaces das VMs. O firewall terá 192.168.10.1/24 (eth1) e 192.168.20.1/24 (eth2).

   sudo ip addr add 192.168.10.1/24 dev eth1
   sudo ip addr add 192.168.20.1/24 dev eth2Copiar

   O que você deve ver: ifconfig ou ip addr mostra os IPs atribuídos.

3. Configurar roteamento no firewall

   Habilite o encaminhamento de pacotes para que o firewall possa rotear entre as redes.

   echo 1 | sudo tee /proc/sys/net/ipv4/ip_forwardCopiar

   O que você deve ver: cat /proc/sys/net/ipv4/ip_forward retorna 1.

4. Configurar gateway nas estações

   Defina o firewall como gateway padrão nas VMs LAN1 e LAN2.

   sudo ip route add default via 192.168.10.1 # na LAN1
   sudo ip route add default via 192.168.20.1 # na LAN2Copiar

   O que você deve ver: ip route mostra o gateway correto em cada estação.

5. Testar conectividade sem firewall

   Antes de aplicar regras, teste ping entre as estações e para o firewall.

   ping 192.168.20.2 # da LAN1 para LAN2Copiar

   O que você deve ver: Ping funciona entre todas as máquinas.

6. Zerar regras existentes no firewall

   Limpe todas as regras para garantir ambiente limpo.

   sudo iptables -F
   sudo iptables -t nat -F
   sudo iptables -XCopiar

   O que você deve ver: iptables -L mostra chains vazias.

7. Bloquear todo o tráfego por padrão

   Implemente política default DROP para INPUT, FORWARD e OUTPUT.

   sudo iptables -P INPUT DROP
   sudo iptables -P FORWARD DROP
   sudo iptables -P OUTPUT DROPCopiar

   O que você deve ver: iptables -L mostra policy DROP.

8. Liberar tráfego essencial

   Permita SSH no firewall, DNS e ICMP (ping) entre as redes. Permita saída HTTP/HTTPS da LAN1 para Internet.

   sudo iptables -A INPUT -i lo -j ACCEPT
   sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
   sudo iptables -A FORWARD -p icmp -j ACCEPT
   sudo iptables -A FORWARD -p tcp --dport 53 -j ACCEPT
   sudo iptables -A FORWARD -p udp --dport 53 -j ACCEPT
   sudo iptables -A FORWARD -s 192.168.10.0/24 -o eth1 -p tcp -m multiport --dports 80,443 -j ACCEPTCopiar

   O que você deve ver: iptables -L mostra as regras aplicadas.

9. Permitir resposta de conexões estabelecidas

   Permita pacotes de retorno para conexões já estabelecidas.

   sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
   sudo iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPTCopiar

   O que você deve ver: iptables -L mostra regras com ESTABLISHED,RELATED.

10. Testar isolamento entre as redes

    Tente pingar e acessar serviços entre as redes. Só o que foi liberado deve funcionar.

    O que você deve ver: Ping funciona, mas acesso a portas não liberadas é bloqueado.

11. Habilitar NAT para saída à Internet

    Implemente masquerade para permitir que LAN1 acesse a Internet usando o IP do firewall.

    sudo iptables -t nat -A POSTROUTING -o eth1 -s 192.168.10.0/24 -j MASQUERADECopiar

    O que você deve ver: Acesso à Internet funciona a partir da LAN1.

12. Salvar as regras

    Salve as regras para que persistam após reboot (consulte a documentação para o seu sistema).

    sudo iptables-save > /etc/iptables/rules.v4 # exemplo Debian/UbuntuCopiar

    O que você deve ver: Arquivo salvo com as regras atuais.

Como saber que funcionou

Troubleshooting

Segurança e hardening

• Nunca deixe política default ACCEPT em produção
• Permita apenas serviços essenciais no firewall
• Restrinja acesso SSH por IP se possível
• Monitore logs de iptables para tentativas suspeitas
• Atualize o sistema e o iptables regularmente

Checklist final

• Firewall roteando entre as redes
• Política default DROP aplicada
• SSH ao firewall liberado
• ICMP entre redes funcionando
• NAT funcionando para saída à Internet
• Regras persistentes após reboot