BFW Firewall & Router

por **reginaldo** » Dom Dez 28, 2008 5:32 pm

ATENÇÃO !!!

Este tutorial tornou-se obsoleto. Ele abrange só até a versão 3.0.178 do BFW 3.0.
O Novo Tutorial para a versão 3.0 é: :arrow:

Tutorial da Versão do BrazilFW 3.0

******************************************************************************************************************************************

ATENÇÃO 2 !!!

Esta Versâo (3.0) ainda está em Desenvolvimento.
Não Possui ainda a interface Gráfica.
A Configuração é feita de forma manual.

******************************************************************************************************************************************

:arrow:

Introdução:

Pessoal, este tutorial é uma consolidação do que esta no tópico de Testes da Versão 3.0 do BrazilFW, mas também tem novas orientações, como por exemplo a instalação do certificado do BrazilFW.
Todas as informações necessárias para a confecção deste tutorial é de autoria do WoshMan.

A idéia é sempre deixar este tutorial com as ultimas orientações sobre o uso da versão 3.0 do BrazilFW.

Atualmente desenvolve a versão 3.0, o Woshman = Washington Filho tendo tido ajuda, nas primeiras versões de teste, do Peart = Felipe.

O que já temos:

Modos de Conecção
- STATIC (IP fixo)
- DHCP,
- Dinamico (PPPoE)
- edge
Acesso seguro ao WebAdmin pelo protocolo SSL
Servidor ntp
Servidor Bind (DNS Server)
Squid 3.0
QOS
Sub-Redes
Suporte a load balance (balanceamento de carga) integrado.
- Com qualquer tipo de Conecção (STATIC, PPPOE, DHCP e edge)
DHCP Server para rede e Sub-Redes
GSM
Novo Cálculo do conntrack automático:
- Com o novo cálculo, agora são possíveis 1.652 conexões aproximadamente por MB de memória RAM instalada.
Ipupdate 2.0 por link independente.
Suporte a wireless em modo cliente
Email com suporte a ssl (gmail)
Port Forwarding - (Redirecionamento de Portas)

Pendências - Próximas realizações:

Amarração IP x MAC
Config da Rede Wireless
DansGuardian
Sarg
Parte Gráfica do WebAdmin
P.S.: Não necessariamente na ordem acima

Requisitos rodar o BrazilFW 3.0

==> Computador necessário:

O mínimo para se rodar o BFW 3.0 é um Pentium 233 MHZ com 128 MB de memória RAM, mas recomenda-se pelo menos um "Pentium III 500 MHZ" com 256 MB de memória RAM.
- Obs.: Atenção com o video on-board.
  Se você for instalar um server com 128 MB de RAM e usar o vídeo on-board, a mémoria RAM que ficará disponível para o Sistema com certeza ficará abaixo de 128 MB.

==> Outros Itens:

Placas de Rede
Hubs ou switches ou hub-switches
Cabeamento
APs, Antenas e etc ...
- Nos itens acima certifique-se que os mesmos estejam boas condições de uso e verifique se foram instalados adequadamente.
- Evite usar cabos de baixa qualidade e ou reaproveitar cabos que já foram utilizados e se encontram em estado duvidoso.
- Evite utilizar Placas de Rede de baixa qualidade, como por exemplo uma SIS900.
- Pode não parecer, mas os alertas acima nos ajudam a ter uma rede ágil e confiável.

Download da versão 3.0:

Download da .iso do BrazilFW 3.0: :arrow:

http://brazilfw.com.br/users/woshman/bt/brazilfw.iso

Código: Selecionar todos: http://brazilfw.com.br/users/woshman/bt/brazilfw.iso

Download da Build-tree do BrazilFW 3.0: :arrow:

http://www.brazilfw.com.br/users/woshma ... ld.tar.bz2

Código: Selecionar todos: http://www.brazilfw.com.br/users/woshman/bt/brazilfw-3.0-build.tar.bz2

Boot pelo CD e Instalação:

==> Boot pelo CD:

Quando damos o boot pelo CD temos acesso ao Boot Menu com 3 opções auto-explicativas Imagem

Depois de optado pela Primeira ou Segunda Opção do Boot Menu temos a tela abaixo:

Instalação do BFW 3.0 em um "Disco" de Grande Capacidade:

O instalador cria a primeira partição com 100 MB e aloca o restante do espaço do HD na segunda Partição.

Para Instalação siga os passos abaixo:

:arrow:

Entre com: # root ==> Enter
Imagem

Entre com a senha Padrão: # root ==> Enter
Imagem

Entre com: # Install ==> Enter
Imagem

Agora siga os passos
Imagem

Depois de Concluido, dando o OK o server será reiniciado. Deixe agora que o boot se dê pelo HD.
- Não esqueça de retirar o CD do Drive, pois mesmo dando o boot pelo
  HD estando ainda o cd no drive com certeza vai dar problema

Atualização/Updade do BrazilFW 3.0 depois de Instalado:

Depois de instalada, ao ser lançada uma nova versão basta baixar a nova .iso e copiar os arquivos brazilfw.gz e version.inf para o diretório /mnt e reiniciar o server. Com isso você terá o seu server atualizado.

Senha padrão do BrazilFW 3.0:

A partir da versão 3.0.176 a senha padrão é:

Código: Selecionar todos: root

Favor alterar a senha após a instalação com o comando abaixo:

Código: Selecionar todos: passwd

Faça Backup:

Código: Selecionar todos: backup

Veja as Telas:

Imagem

Configurando a Conexão:

A eth0 é a rede local e a eth1 é a internet, seguiremos a frente.

Para alterar a rede local e link de internet entre em /etc/brazilfw/logical

Código: Selecionar todos: # cd /etc/brazilfw/logical # edit local Aqui muda o IP da sua Rede e Mascara,Salve e Saia

Considerando que a conexão seja Static, faça conforme abaixo:

Código: Selecionar todos: # edit internet Aqui você muda o ip, mascara e gateway. Salve e Saia

Faça Backup

Código: Selecionar todos: # backup

Considerando que a conexão seja pppoe, faça conforme abaixo:

Código: Selecionar todos: # edit internet Onde esta LINK_TYPE="static", mude para LINK_TYPE="pppoe" E Acrescente: LINK_USERNAME="xxxxx@xxxxx" LINK_PASSWORD="xxxxxxxxxx" Salve e Saia.

Faça Backup

Código: Selecionar todos: # backup

Reinicie o serviço usando o comando abaixo:

Código: Selecionar todos: /etc/rc.d/rc.inet

OBS.: Na máquina cliente não esqueça de colocar no DNS o ip do BFW, se não não haverá navegação.

Configurando o LoadBalance (Usando a Discagem pppoe):

Vamos a um Exemplo:

LoadBalance usando dois links ADSL (1 de 2 MB e 1 de MB). Usando pppoe nos dois links.

Em /etc/brazifw/physical temos o arquivo internet que faz referencia a eth1. O que temos de fazer é criar arquivos para cada ethX que adicionarmos.

Exemplo: internet2 para eth2 e assim por diante diante (Nota: O nome internet2 você troca pelo que achar melhor)

Então em /etc/brazifw/physical teriamos, além de outros, os seguintes arquivos:

internet para eth1 (Esse ja vem por Padrão)

Código: Selecionar todos: # edit /etc/brazilfw/physical/internet INTERFACE_TYPE="cabled" INTERFACE_PHYSICAL="eth1"

internet2 para eth2 (Temos que Criar)

Código: Selecionar todos: /# edit /etc/brazilfw/physical/internet2 INTERFACE_TYPE="cabled" INTERFACE_PHYSICAL="eth2"

Existindo mais placas de redes sigam a mesma lógica.

Depois temos que criarmos os discadores em /etc/brazifw/logical

Lá ja temos o arquivo internet que faz refencia a eth1

Código: Selecionar todos: # edit /etc/brazilfw/logical/internet LINK_ALIAS="internet" LINK_CONNECTION="internet" LINK_TYPE="pppoe" LINK_USERNAME="xxxxxx@xxxxx" LINK_PASSWORD="xxxxxxx" LINK_WEIGHT="2"

Agora, temos que criar o arquivo, como por exemplo, internet2 que será o segundo "discador" para a eth2

Código: Selecionar todos: # edit /etc/brazilfw/logical/internet2 LINK_ALIAS="internet2" LINK_CONNECTION="internet" LINK_TYPE="pppoe" LINK_USERNAME="xxxxxx@xxxxx" LINK_PASSWORD="xxxxxxx" LINK_WEIGHT="1"

Existindo mais placas de redes sigam a mesma lógica.

Faça Backup:

Código: Selecionar todos: # backup

Reinicie o serviço usando o comando abaixo:

Código: Selecionar todos: /etc/rc.d/rc.inet

Habiltando Serviços:

==> Squid

Espeficações do Squid 3.0 para o BrazilFW 3.0:

* Para que o Squid 3.0 rode no BFW 3.0 é necessário ter no mínimo na máquina um HD de 840 MB,
com espaço livre de aproximadamente 541 MB

* O espaço para o squid em um HD é calculado em 60% da capacidade da partição.
Por Exemplo: Para uma Partição de 10 GB o sistema libera 6 GB de cache.

* No Squid do BrazilFW 2.X é criado automaticamente 16 diretórios independente do tamanho do disco.
Já no Squid 3.0 do BrazilFW 3.0 os diretórios são criados de acordo com o tamanho do disco.
Por exemplo: 541 MB cria 1 diretório, 10 GB cria 14 diretórios

* Para cada 1 GB de cache é so adicionar 10 MB de memória RAM, então o sistema faz o calcula automatico
do espaço máximo do Cache.

* No momento o modo de trabalho do squid é o Transparente.

Definições do Squid 3.0 para o BFW 3.0:

Estas "configurações" por enquanto estão fixas, não sendo "permitidas" alterações das mesmas.

Para habilitar o Squid faça conforme abaixo:

Código: Selecionar todos: # edit /etc/brazilfw/brazilfw.cfg ==> onde estiver CACHE_DISK='no' colocar CACHE_DISK='yes' Salve e Saia

Faça Backup

Código: Selecionar todos: # backup

Para iniciar o Squid:

Código: Selecionar todos: # /etc/init.d/squid start

==> QOS

Código: Selecionar todos: # edit /etc/brazilfw/brazilfw.cfg lá está USE_QOS='no' = QOS desabilitado Para habilita-lo mude para USE_QOS='yes'

Código: Selecionar todos: QOS_DEFAULT_UP='128' QOS_DEFAULT_DOWN='256' QOS_DEFAULT_GUARANTEE='10'

/etc/brazilfw/qos.cfg

Obs.: Você pode modificar os valores default ao seu "gosto"

qos.cfg:

Código: Selecionar todos: # edit /etc/brazilfw/qos.cfg lá tem o exemplo: #Example #IP DOWN kbits UP kbits GUARANTEE % #192.168.1.1 512 128 30

Obs.: Aqui a garantia só será preenchida se for diferente da do default

Código: Selecionar todos: Se você for usar a garantia do default o qos.cfg ficará assim: Exemplo: 192.168.1.2 256 64 192.168.1.3 256 64 192.168.1.4 256 64 assim por diante ....

Habiltando ou modificando o qos, dê o seguinte comando:

Código: Selecionar todos: # /etc/rc.d/rc.qos

==> Criando Sub-redes:

Primeiro uma explicação do porque a máscara esta fixa em /30 (255.255.255.252) no arquivo subnet.cfg:

subnet.cfg

Caso haja necessidade de uma máscara diferente de /30, que seja para aumentar a Sub-Rede ou limitar um grupo, siga o item 2.

1 - Sub-Redes com Máscara /30
Para criar sub-redes trabalharemos com o arquivo subnet.cfg que está em /etc/brazilfw/ e as criaremos com o comando /etc/rc.d/rc.subnet

Exemplo: Iremos criar 10 Sub-redes. Para isso colocaremos em /etc/brazilfw/subnet.cfg o seguinte:

local 10.50 1 10

Serão criadas 10 sub-redes de 10.50.1.1 a 10.50.10.1 com máscara /30

Explicando o local 10.50 1 10:

Salve e Saia

Depois dê o seguinte comando:

Código: Selecionar todos: # /etc/rc.d/rc.subnet

Se quizer conferir dê um ifconfig:

Código: Selecionar todos: # ifconfig

Na máquina cliente ficará assim:

Cliente 1:

Cliente 2:

Para criar intervalos de sub-redes coloque o seguinte em /etc/brazilfw/subnet.cfg:

criando intervalos de 10 em 10

Salve e Saia:

Depois dê o seguinte comando para cria-las:

Código: Selecionar todos: # /etc/rc.d/rc.subnet

Faça Backup:

Código: Selecionar todos: # backup

2 - Sub-Redes com Máscara Diferente de /30

Para isso será necessário criar uma nova interface logica. Lembrando que existe a interface logica chamada local que esta ligada a interface fisica

Criando a uma nova interface lógica, por exemplo "local2"

Código: Selecionar todos: # edit /etc/brafilw/logical/local2 e coloque isto: LINK_ALIAS="local" # Nome da interface fisica LINK_CONNECTION="local" # Tipo de conexão LINK_TYPE="static" LINK_IP="10.50.0.1" # Nova sub-rede LINK_NETMASK="255.255.255.128" # /25 (128 micros) salve e Saia

Reinicie a a rede:

Código: Selecionar todos: # /etc/rc.d/rc.inet

No dhcp acrescente o intervalo da Sub-Rede:

Código: Selecionar todos: # edit /etc/brazilfw/dhcp.cfg 10.50.0.2 10.50.0.127 salve e Saia

Reinicie o dhcp:

Código: Selecionar todos: # /etc/init.d/dhcp reload

==> Habilitando o DHCP:

1 - DHCP convencional para Redes sem sud-redes

brazilfw.cfg

/etc/brazilfw/

= por padrão vem desabilitado. Para habita-lo troque o ´no´ por ´yes´

= que corresponde a 2 Horas (Você pode mudar este valor ao seu gosto)

/etc/brazilfw/

dhcp.cfg

reserve.cfg

dhcp.cfg

reserve.cfg

==> Comandos para editar os arquivos:

Para editar o brazilfw.cfg

Código: Selecionar todos: # edit /etc/brazilfw/brazilfw.cfg Salve e Saia

Para editar o dhcp.cfg

Código: Selecionar todos: # edit /etc/brazilfw/dhcp.cfg Salve e Saia

Para editar o reserve.cfg

Código: Selecionar todos: # edit /etc/brazilfw/reserve.cfg Salve e Saia

Depois feitas as devidas alterações, faça backup

Código: Selecionar todos: # backup

Para iniciar o DHCP

Código: Selecionar todos: /etc/init.d/dhcp start

Para reiniciar o DHCP

Código: Selecionar todos: /etc/init.d/dhcp reload

Para parar o DHCP

Código: Selecionar todos: /etc/init.d/dhcp stop

2 - DHCP para Redes com sud-redes e QOS

"criando sub-redes"

subnet.cfg

/etc/brazilfw/

/etc/rc.d/rc.subnet

dhcp

subnet.cfg

No subnet.cfg

Código: Selecionar todos: local 10.10 0 254 dhcp

No qos.cfg

Código: Selecionar todos: 10.10.0.0 256 128

No subnet.cfg

Código: Selecionar todos: local 10.20 0 254 dhcp

No qos.cfg

Código: Selecionar todos: 10.20.0.0 512 128

Amarrando os clientes no reserve.cfg

Código: Selecionar todos: <ip> <mac> 10.20.1.2 00:00:00:00:00:00

Observação:

Como utilizar o sistema de email:

configurações:

Código: Selecionar todos: edit /etc/brazilfw/mail.cfg

#Se for Utilizar o gmail

Código: Selecionar todos: SERVER="smtp.gmail.com" EMAIL="blabla@gmail.com" NAME="Nome de exibição" AUTH="on" PORT="587" SSL="yes" PASSWORD="blabla" ctrl+qy

#Se for utilizar o terra

Código: Selecionar todos: SERVER="smtp.poa.terra.com.br" EMAIL="blabla@terra.com.br" NAME="Nome de exibição" AUTH="login" # login = autenticação por pop3 PASSWORD="blabla" ctrl+qy

Programa exemplo:

Código: Selecionar todos: edit teste

Código: Selecionar todos: #!/bin/sh . /lib/system-mail to "teste@teste.com.br" subject "Hello World" message "<html><p>Hello World</p><img src=\"oi.jpg\"></html>" image /teste/oi.jpg logread | dos2unix -d > /tmp/log.txt attach /tmp/log.txt rm -fr /tmp/log.txt priority high send ctrl+qy

Código: Selecionar todos: chmod +x teste

Código: Selecionar todos: ./teste

Ipupdate

Código: Selecionar todos: edit /etc/brazilfw/ipupdate.cfg

Código: Selecionar todos: #<alias> <serviço> <dominio> <usuario> <senha> é valido pro no-ip e pro zoneedit internet no-ip woshman.no-ip.info blablabla 123456 #<alias> <serviço> <dominio> <usuario> <senha> <sistema> <backup mx (yes/no)> <wildcard * (yes/no)> <mail exchanger> internet dyndns woshman.dyndns.info blablabla 123456 dyndns no yes (caso use, coloque o ip) ctrl+qy

Código: Selecionar todos: edit /etc/brazilfw/brazilfw.cfg

Código: Selecionar todos: IPUPDATE="yes" ctrl+qy

Código: Selecionar todos: /etc/init.d/ipupdate start

Instalando o certificado:

https://ns.brazilfw.local:8181

Abaixo serão relacionados os passos para instalação do certicado.

==> 1 - Passos válidos para o internet Explorer 6.0, 7.0 ou 8.0 :
Na barra de endereço entre com o seguinte: https://ns.brazilfw.local:8181/getcert.cgi
Agora siga as telas:

login e senha: Entre com o login e senha criados para o BrazilFW
Imagem

Abrir

Clicar em instalar certificado
Imagem

Avançar

Colocar todos os certificados no armazenamento a seguir ==> Procurar
Imagem

Autoridades de Certificação Raiz Confiáveis ==> OK
Imagem

Avançar

Concluir

Esse processo instalará o certificado brazilfw cert 3. Com isso tudo que vier do BFW assinado não dará mais a mensagem vermelha

Clicando em cima do cadeado você verá o certificado. Assim você saberá quem assinou, pra qual site e a validade.
Imagem

==> 2 - Passos válidos para o Mozila FireFox:

No FireFox, primeiro é necessário baixar e salvar o certificado.

Na barra de endereço entre com o seguinte: https://ns.brazilfw.local:8181/getcert.cgi

Agora siga as telas:

Clique em "Ou você pode adicionar uma exceção"
Imagem

Clique em "adicionar exceção"
Imagem

Verificar certificado ==> confirmar exceção de segurança"
Imagem

Entrar com login e Senha
Imagem

Clique em "Salvar arquivo"
Imagem

Salve o certificado numa pasta de sua preferência"
Imagem

==> Depois do Certificado baixado e salvo siga os passos abaixo:

Ferramentas ==> Opções
Imagem

Aba Avançado ==> Criptografia ==> Certificados
Imagem

Autoridades ==> Importar
Imagem

Aponte para onde você baixou e salvou o certificado
Imagem

Marcar
==>Considerar confiável esta CA para identificar Sites
==> ............................ para identificar usuários
==> ............ para identificar autores de programas
==> ............................................................ OK
==> ...................................................................OK
Imagem

Observação:
1 - Se entrar com o ip em vez do dns aparecerá em vermelho novamente, pois foi assinado somente com o nome.
2 - Se mudar o nome do bfw de ns.brazilfw.local, é so apagar o certificado e reiniciar o webadmin então será gerado um novo certificado para o novo dominio. Para isso, siga os Passos abaixo:

Entre pelo Puty

Código: Selecionar todos: # /etc/init.d/webadmin stop # cd /etc/brazilfw/cert # rm -fr brazilfw_ssl.* # /etc/init.d/webadmin start # backup

Renove o Bind

Código: Selecionar todos: # /etc/init.d/named reload

Acessando o WebAdmin:

https://ns.brazilfw.local:8181

Veja as Telas:

Imagem

Acesso externo ao WebAdmin:

Código: Selecionar todos: # edit /etc/brazilfw/ports/blocked.cfg onde estiver yes 8181 tcp coloque no 8181 tcp Salve e Saia

Faça Backup

Código: Selecionar todos: # backup

Renove o serviço:

Código: Selecionar todos: # /etc/rc.d/rc.blocked

Resumo de comandos para Iniciar, recarregar (reiniciar) e parar serviços:

Backup:

Código: Selecionar todos: # backup

Reiniciar a rede:

Código: Selecionar todos: # /etc/rc.d/rc.inet

Reiniciar bloqueios:

Código: Selecionar todos: # /etc/rc.d/rc.blocked

Reiniciar Sub-Rede:

Código: Selecionar todos: # /etc/rc.d/rc.subnet

Reiniciar o QOS:

Código: Selecionar todos: # /etc/rc.d/rc.qos

Squid
Iniciar o Squid:

Código: Selecionar todos: # /etc/init.d/squid start

Reiniciar o Squid:

Código: Selecionar todos: # /etc/init.d/squid reload

Parar o Squid:

Código: Selecionar todos: # /etc/init.d/squid stop

DHCP
Iniciar o DHCP:

Código: Selecionar todos: /etc/init.d/dhcp start

Reiniciar o DHCP:

Código: Selecionar todos: # /etc/init.d/dhcp reload

Parar o DHCP:

Código: Selecionar todos: # /etc/init.d/dhcp stop

WebAdmin
Iniciar o WebAdmin:

Código: Selecionar todos: # /etc/init.d/webadmin start

Reiniciar o WebAdmin:

Código: Selecionar todos: # /etc/init.d/webadmin reload

Parar o WebAdmin:

Código: Selecionar todos: # /etc/init.d/webadmin stop

BIND
Iniciar o Bind:

Código: Selecionar todos: # /etc/init.d/named start

Reiniciar o Bind

Código: Selecionar todos: # /etc/init.d/named reload

Parar o Bind

Código: Selecionar todos: # /etc/init.d/named stop

******************************************************************************************************************************************

ATENÇÃO !!!

Este tutorial tornou-se obsoleto. Ele abrange só até a versão 3.0.178 do BFW 3.0.
O Novo Tutorial para a versão 3.0 é: :arrow:

Tutorial da Versão do BrazilFW 3.0

******************************************************************************************************************************************

ATENÇÃO 2 !!!

Esta Versâo (3.0) ainda está em Desenvolvimento.
Não Possui ainda a interface Gráfica.
A Configuração é feita de forma manual.

BFW Firewall & Router

BrazilFW 3.0 - Primeiros Passos-Válido ate a Versão 3.0.178

BrazilFW 3.0 - Primeiros Passos-Válido ate a Versão 3.0.178

Quem está online