In informatica netfilter è un componente di default di tutte le moderne distribuzioni Linux, che consente l'intercettazione e la manipolazione dei pacchetti che attraversano il computer, permettendo la realizzazione di alcune funzionalità di rete avanzate come firewall basati sul filtraggio stateful dei pacchetti o configurazioni anche complesse di NAT, un sistema di traduzione automatica degli indirizzi IP, tra cui la condivisione di un'unica connessione Internet tra diversi computer di una rete locale, o ancora la manipolazione dei pacchetti in transito.
Descrizione
Estende le capacità native di instradamento pacchetti IP del kernel Linux, permettendo di realizzare dei router/firewall molto sofisticati, trovando anche applicazione in calcolatori che hanno una sola interfaccia di rete e non inoltrano pacchetti da un'interfaccia ad un'altra. In questo secondo caso viene utilizzato soprattutto come firewall. Per configurare netfilter attualmente si usa il programma iptables, che permette di definire le regole per i filtri di rete e il reindirizzamento NAT: spesso con tale termine ci si riferisce all'intera infrastruttura, incluso netfilter. Fu introdotto nella versione principale del sistema operativo nel marzo del 2000, durante lo sviluppo della versione 2.4.; nella versione 2.2 usava un sistema denominato ipchains, che a sua volta sostituì il sistema ipfwadm, usato nella versione 2.0.
Caratteristiche
I dati che transitano in una rete sono divisi in pacchetti di dimensioni prefissate; con netfilter è possibile controllare il contenuto di ogni singolo pacchetto, e definire le azioni o regole da compiere in base alle caratteristiche di quelli ricevuti. Ad esempio, si può definire una regola che impedisce la ricezione di pacchetti provenienti da un particolare indirizzo o che utilizzano una determinata porta per effettuare la connessione.
Il sistema netfilter è dunque basato su regole raggruppate in catene (chain), a loro volta raggruppate in tabelle (tables): ogni tabella definisce un tipo diverso di operazioni che è possibile effettuare sui pacchetti, mentre ogni catena definisce come vengono trattati i pacchetti nelle diverse fasi della loro elaborazione.
Le catene sono una forma di lista di controllo degli accessi (ACL): ogni regola è costituita da due parti: la specifica delle caratteristiche che un pacchetto deve avere affinché la regola stessa venga applicata (match) e un obiettivo o target, che indica cosa fare quando il pacchetto rispetta le caratteristiche indicate. A ciascuna catena è anche associata una politica di default, che definisce come vengono trattati i pacchetti che non corrispondono ad alcuna regola. Le caratteristiche più di frequente utilizzate per costruire delle regole sono l'indirizzo di partenza o di destinazione del pacchetto e il numero di porta associato alla connessione.
Ogni pacchetto di rete che arriva o parte dal computer attraversa almeno una catena e ogni regola della catena controlla se il pacchetto ne rispetta la specifica. Se questo accade, il pacchetto seguirà il comportamento descritto nell'obiettivo della regola, e le regole successive della catena verranno ignorate (a parte casi speciali). Se il pacchetto raggiunge la fine della catena senza essere processato da nessuna regola, la politica di default della catena determina cosa farne.
In ogni tabella esistono alcune catene predefinite, ma l'utente può crearne di nuove; uno dei possibili obiettivi è infatti il collegamento a un'altra catena. In questo caso, il pacchetto ricomincia ad essere valutato dalle regole della nuova catena, senza limiti di concatenazione. Una regola può semplicemente essere un collegamento a una catena. Solo se il pacchetto attraversa l'intera catena collegata esso continuerà nella catena principale.
Iptables è progettato per poter essere facilmente esteso attraverso moduli che aggiungono funzionalità: predicati per identificare i pacchetti (match) operazioni da applicare ai pacchetti (target) analizzare un protocollo. Questo è spesso necessario per gestire un protocollo che utilizza più connessioni e in cui una connessione viene usata per controllarne altre. L'esempio più popolare è FTP. Un modulo apposito analizza il contenuto dei pacchetti della connessione di controllo per poter identificare gli estremi di livello rete e trasporto delle altre connessioni, permettendo di associare la connessione dati e la connessione di controllo. supportare il NAT di un protocollo analizzare il traffico alla ricerca di particolari protocolli di livello applicazione (l7_filters), per identificare protocolli che non è possibile riconoscere solo sulla base delle porte utilizzate.
Ciascuna estensione può essere implementata come un modulo del kernel Linux, e fornisce specifiche ed obiettivi aggiuntivi.
Le tabelle Esistono quattro tabelle prestabilite, ognuna delle quali contiene delle catene predefinite. Esiste anche la possibilità di creare altre tabelle. L'amministratore può creare e cancellare le catene definite dall'utente in qualsiasi tabella. Inizialmente, tutte le catene sono vuote e hanno una politica che permette a tutti i pacchetti di passare senza essere bloccati o alterati in alcun modo, esse vanno poi modificate a seconda delle proprie esigenze. Le tabelle predefinite sono le seguenti:
tabella filtro (filter): è responsabile del filtraggio dei pacchetti, permette cioè di bloccarli o di farli passare. Ogni pacchetto passa attraverso la tabella filtro. Essa contiene le seguenti catene predefinite: catena INPUT: tutti i pacchetti destinati al sistema passano attraverso questa catena. catena OUTPUT: tutti i pacchetti creati dal sistema passano attraverso questa catena. catena FORWARD: tutti i pacchetti che hanno come destinazione finale un altro sistema e che non sono stati generati dal sistema stesso, cioè tutti i pacchetti che vengono meramente instradati dal sistema, passano attraverso questa catena. tabella nat: questa tabella è responsabile dell'impostazione delle regole per la modifica degli indirizzi e porte dei pacchetti. Il primo pacchetto di una connessione passa attraverso questa tabella, e il risultato del passaggio del primo pacchetto determina come tutti gli altri pacchetti della stessa connessione verranno modificati. La tabella nat contiene le seguenti catene predefinite: catena PREROUTING: passano attraverso questa catena i pacchetti in entrata, il passaggio avviene prima che la locale tabella di routing venga consultata per effettuare l'instradamento. Essa è usata per il NAT sulla destinazione o DNAT. catena POSTROUTING: passano attraverso questa catena i pacchetti in uscita dopo che la locale tabella di routing sia stata consultata. Usata per il NAT sulla sorgente o SNAT. catena OUTPUT: permette un DNAT limitato sui pacchetti generati localmente. tabella mangle: questa tabella è responsabile delle modifiche alle opzioni dei pacchetti, come ad esempio quella che determina la qualità del servizio. Tutti i pacchetti passano attraverso questa tabella. Essa contiene tutte le catene predefinite: catena PREROUTING: esamina tutti i pacchetti che in qualche modo entrano nel sistema. Questo processo avviene prima che il routing decida se il pacchetto debba essere inoltrato (catena FORWARD) o se sia destinato al sistema. Viene utilizzata per manipolare l'header del pacchetto (catena INPUT). catena INPUT: tutti i pacchetti destinati al sistema passano per questa catena. catena FORWARD: tutti i pacchetti che vengono instradati dal sistema ma di cui il sistema non è né sorgente iniziale né destinazione finale, passano per questa catena. catena OUTPUT: tutti i pacchetti generati dal sistema passano per questa catena. catena POSTROUTING: tutti i pacchetti che lasciano il sistema, sia quelli in OUTPUT sia quelli in FORWARD, passano poi per questa catena. tabella raw: questa tabella, introdotta ufficialmente nel corso dello sviluppo della serie 2.6 del kernel, ha lo scopo di evitare il connection tracking per quei pacchetti che, per una qualche ragione, non si vogliono filtrare in maniera stateful. Le catene previste per la tabella raw sono solo due: catena OUTPUT: in tale catena si andrà ad operare sui pacchetti generati da processi locali. catena PREROUTING: in tale catena si andrà, invece, ad operare sui pacchetti provenienti da qualsiasi interfaccia di rete.
Le regole Le regole di netfilter sono divise in due parti, la specifica e l'obiettivo. La specifica definisce l'insieme di caratteristiche dei pacchetti che devono essere gestite dalla regola stessa, e si ottiene combinando per esempio:
per pacchetti che transitano attraverso le catene INPUT, FORWARD and PREROUTING, l'interfaccia o l'insieme di interfacce (es. eth0,eth1) attraverso la quale il pacchetto è ricevuto; per pacchetti che transitano attraverso le catene FORWARD, OUTPUT e POSTROUTING, l'interfaccia o l'insieme di interfacce attraverso la quale il pacchetto sarà inviato; l'indirizzo IP, il dominio o la sottorete da cui proviene il pacchetto l'indirizzo IP, il dominio o la sottorete a cui è destinato il pacchetto la porta da cui proviene o a cui è destinato il pacchetto il protocollo (ad esempio icmp, udp e tcp) specificato nelle intestazioni del pacchetto.
L'obiettivo di una regola è invece l'azione da compiere se un pacchetto rispetta la regola, e può essere: una catena definita dall'utente uno degli obiettivi predefiniti (ACCEPT, DROP, QUEUE, o RETURN) un obiettivo aggiuntivo definito da un'estensione
Se una regola non contiene la specifica dell'obiettivo, il destino del pacchetto non verrà modificato, tuttavia il contatore della regola verrà ugualmente incrementato.
Quando l'obiettivo è il nome di una catena definita dall'utente, il pacchetto viene fatto passare per quella catena, analogamente a quanto avviene per una chiamata a funzione in un linguaggio di programmazione; per questo motivo il comando iptables specifica l'obiettivo con l'opzione --jump ("salta"). Se il pacchetto non viene processato da nessuna regola della catena, in quanto non rispetta la specifica di nessuna delle sue regole, esso ritorna ad essere processato dalla catena di partenza.
Ogni obiettivo predefinito indica un'azione da compiere sul pacchetto:
ACCEPT — accetta Questo obiettivo comporta che netfilter accetterà il pacchetto. Il risultato pratico di questa accettazione dipende da quale catena sta processando il pacchetto. Per esempio, un pacchetto che è accettato dalla catena INPUT può essere ricevuto dal sistema, un pacchetto accettato dalla catena OUTPUT può essere inoltrato dal sistema, e un pacchetto accettato dalla catena FORWARD potrà essere smistato dal sistema a un'altra destinazione, un pacchetto "accettato" in una catena della tabella nat non subirà alterazioni.
DROP — scarta Questo obiettivo determina che il pacchetto venga scartato senza effettuare ulteriori operazioni su di esso. Il pacchetto scomparirà senza che alcuna indicazione del fatto che sia stato scartato venga fornita all'applicazione o al sistema che ha inviato il pacchetto. Il mittente del pacchetto vedrà semplicemente scadere il tempo a disposizione per la comunicazione, e non potrà distinguere tra il caso in cui il pacchetto è stato ricevuto e poi scartato e il caso in cui il pacchetto non è mai stato ricevuto. Questo comportamento aumenta la sicurezza di un sistema in quanto un potenziale nemico non potrà neppure determinare se il sistema esiste effettivamente.
QUEUE — metti in coda Questo obiettivo fa in modo che il pacchetto sia inserito in una coda, in modo che possa essere processato da una applicazione. La libreria libipq, facente parte del progetto netfilter/iptables, permette ad una applicazione di modificare i pacchetti inseriti in una coda. Se non vi è nessuna applicazione che processa i messaggi in coda, questo obiettivo sarà equivalente all'obiettivo DROP.
RETURN — ritorna