chiark - git - mdw - firewall/blob - local.m4

   1 ### -*-sh-*-
   2 ###
   3 ### Local firewall configuration
   4 ###
   5 ### (c) 2008 Mark Wooding
   6 ###
   7
   8 ###----- Licensing notice ---------------------------------------------------
   9 ###
  10 ### This program is free software; you can redistribute it and/or modify
  11 ### it under the terms of the GNU General Public License as published by
  12 ### the Free Software Foundation; either version 2 of the License, or
  13 ### (at your option) any later version.
  14 ###
  15 ### This program is distributed in the hope that it will be useful,
  16 ### but WITHOUT ANY WARRANTY; without even the implied warranty of
  17 ### MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  18 ### GNU General Public License for more details.
  19 ###
  20 ### You should have received a copy of the GNU General Public License
  21 ### along with this program; if not, write to the Free Software Foundation,
  22 ### Inc., 59 Temple Place - Suite 330, Boston, MA 02111-1307, USA.
  23
  24 ###--------------------------------------------------------------------------
  25 ### Local configuration.
  26
  27 m4_divert(6)m4_dnl
  28 ## Default NTP servers.
  29 defconf(ntp_servers,
  30         "158.152.1.76 158.152.1.204 194.159.253.2 195.173.57.232")
  31
  32 m4_divert(-1)
  33 ###--------------------------------------------------------------------------
  34 ### Packet classification.
  35
  36 ## IPv4 addressing.
  37 ##
  38 ## There are two small blocks of publicly routable IPv4 addresses, and a
  39 ## block of RFC1918 private-use addresses allocated from the Cambridge G-RIN.
  40 ## The former are as follows.
  41 ##
  42 ## 62.49.204.144/28
  43 ##              House border network (dmz).  We have all of these, but .145
  44 ##              is reserved for the router.
  45 ##
  46 ## 212.13.18.64/28
  47 ##              Jump colocated network (jump).  .65--68 are used by Jump
  48 ##              network infrastructure; we get the rest.
  49 ##
  50 ## The latter is the block 172.29.196.0/22.  Currently the low half is
  51 ## unallocated (and may be returned to the G-RIN); the remaining addresses
  52 ## are allocated as follows.
  53 ##
  54 ## 172.29.198.0/24  Untrusted networks.
  55 ##      .0/25           house wireless net
  56 ##      .128/28         iodine (IP-over-DNS) network
  57 ##
  58 ## 172.29.199.0/24  Trusted networks.
  59 ##      .0/25           house wired network
  60 ##      .128/27         mobile VPN hosts
  61 ##      .160/28         reserved, except .160/30 allocated for ITS
  62 ##      .176/28         internal colocated network
  63 ##      .192/27         house safe network
  64 ##      .224/27         anycast services
  65
  66 ## IPv6 addressing.
  67 ##
  68 ## There are five blocks of publicly routable IPv6 addresses, though some of
  69 ## them aren't very interesting.  The ranges are as follows.
  70 ##
  71 ## 2001:470:1f08:1b98::/64
  72 ##              Hurricane Electric tunnel network: only :1 (HE) and :2
  73 ##              (radius) are used.
  74 ##
  75 ## 2001:470:1f09:1b98::/64
  76 ##              House border network (dmz).
  77 ##
  78 ## 2001:470:9740::/48
  79 ##              Main house range.  See below for allocation policy.
  80 ##
  81 ## 2001:ba8:0:1d9::/64
  82 ##              Jump border network (jump): :1 is the router (supplied by
  83 ##              Jump); other addresses are ours.
  84 ##
  85 ## 2001:ba8:1d9::/48
  86 ##              Main colocated range.  See below for allocation policy.
  87 ##
  88 ## Addresses in the /64 networks are simply allocated in ascending order.
  89 ## The /48s are split into /64s by appending a 16-bit network number.  The
  90 ## top nibble of the network number classifies the network, as follows.
  91 ##
  92 ## 8xxx         Untrusted
  93 ## 6xxx         Virtual, safe
  94 ## 4xxx         Safe
  95 ## 0xxx         Unsafe, trusted
  96 ##
  97 ## These have been chosen so that network properties can be deduced by
  98 ## inspecting bits of the network number:
  99 ##
 100 ## Bit 15       If set, the network is untrusted; otherwise it is trusted.
 101 ## Bit 14       If set, the network is safe; otherwise it is unsafe.
 102 ##
 103 ## Finally, the low-order nibbles identify the site.
 104 ##
 105 ## 0            No specific site: mobile VPN endpoints or anycast addresses.
 106 ## 1            House.
 107 ## 2            Jump colocation.
 108 ##
 109 ## Usually site-0 networks are allocated from the Jump range to improve
 110 ## expected performance from/to external sites which don't engage in our
 111 ## dynamic routing protocols.
 112
 113 ## Define the available network classes.
 114 m4_divert(42)m4_dnl
 115 defnetclass untrusted   untrusted trusted             mcast
 116 defnetclass trusted     untrusted trusted safe noloop mcast
 117 defnetclass safe                  trusted safe noloop mcast
 118 defnetclass noloop                trusted safe        mcast
 119
 120 defnetclass link
 121 defnetclass mcast
 122 m4_divert(-1)
 123
 124 m4_divert(26)m4_dnl
 125 ###--------------------------------------------------------------------------
 126 ### Network layout.
 127
 128 ## House networks.
 129 defnet dmz trusted
 130         addr 62.49.204.144/28 2001:470:1f09:1b98::/64
 131         via unsafe untrusted
 132 defnet unsafe trusted
 133         addr 172.29.199.0/25 2001:470:9740:1::/64
 134         via househub
 135 defnet safe safe
 136         addr 172.29.199.192/27 2001:470:9740:4001::/64
 137         via househub
 138 defnet untrusted untrusted
 139         addr 172.29.198.0/25 2001:470:9740:8001::/64
 140         via househub
 141
 142 defnet househub virtual
 143         via housebdry dmz unsafe safe untrusted
 144 defnet housebdry virtual
 145         via househub hub
 146
 147 ## House hosts.
 148 defhost radius
 149         hosttype router
 150         iface eth0 dmz unsafe safe untrusted vpn sgo colobdry default
 151         iface eth1 dmz unsafe safe untrusted vpn sgo colobdry default
 152         iface eth2 dmz unsafe safe untrusted vpn sgo colobdry
 153         iface eth3 unsafe untrusted vpn default
 154         iface ppp0 default
 155         iface t6-he default
 156         iface vpn-precision colobdry vpn sgo
 157         iface vpn-chiark sgo
 158         iface vpn-+ vpn
 159 defhost roadstar
 160         iface eth0 dmz unsafe
 161         iface eth1 dmz unsafe
 162 defhost jem
 163         iface eth0 dmz unsafe
 164         iface eth1 dmz unsafe
 165 defhost artist
 166         hosttype router
 167         iface eth0 dmz unsafe untrusted
 168         iface eth1 dmz unsafe untrusted
 169         iface eth3 unsafe untrusted
 170 defhost vampire
 171         hosttype router
 172         iface eth0.4 dmz unsafe untrusted safe vpn sgo colobdry
 173         iface eth0.5 dmz unsafe untrusted safe vpn sgo colobdry
 174         iface eth0.6 dmz unsafe safe untrusted vpn sgo colobdry
 175         iface eth0.7 unsafe untrusted vpn
 176         iface vpn-precision colobdry vpn sgo
 177         iface vpn-chiark sgo
 178         iface vpn-+ vpn
 179 defhost ibanez
 180         iface br-dmz dmz unsafe
 181         iface br-unsafe unsafe
 182 defhost orange
 183         iface wlan0 untrusted
 184         iface vpn-radius unsafe
 185 defhost groove
 186         iface eth0 unsafe
 187         iface wlan0 untrusted
 188         iface vpn-radius unsafe
 189
 190 defhost gibson
 191         hosttype client
 192         iface eth0 unsafe
 193
 194 ## Colocated networks.
 195 defnet jump trusted
 196         addr 212.13.198.64/28 2001:ba8:0:1d9::/64
 197         via colohub
 198 defnet colo trusted
 199         addr 172.29.199.176/28 2001:ba8:1d9:2::/64
 200         via colohub
 201 defnet colohub virtual
 202         via colobdry jump colo
 203 defnet colobdry virtual
 204         via colohub hub
 205 defnet iodine untrusted
 206         addr 172.29.198.128/28
 207         via colohub
 208
 209 ## Colocated hosts.
 210 defhost fender
 211         iface br-jump jump colo
 212         iface br-colo jump colo
 213 defhost precision
 214         hosttype router
 215         iface eth0 jump colo vpn sgo
 216         iface eth1 jump colo vpn sgo
 217         iface vpn-mango binswood
 218         iface vpn-radius housebdry vpn sgo
 219         iface vpn-chiark sgo
 220         iface vpn-+ vpn
 221 defhost telecaster
 222         iface eth0 jump colo
 223         iface eth1 jump colo
 224 defhost stratocaster
 225         iface eth0 jump colo
 226         iface eth1 jump colo
 227 defhost jaguar
 228         iface eth0 jump
 229 defhost jazz
 230         hosttype router
 231         iface eth0 jump colo vpn
 232         iface eth1 jump colo vpn
 233         iface dns0 iodine
 234         iface vpn-+ vpn
 235
 236 ## Other networks.
 237 defnet hub virtual
 238         via housebdry colobdry
 239 defnet sgo noloop
 240         addr !172.29.198.0/23
 241         addr 10.0.0.0/8
 242         addr 172.16.0.0/12
 243         addr 192.168.0.0/16
 244         via househub colohub
 245 defnet vpn safe
 246         addr 172.29.199.128/27 2001:ba8:1d9:6000::/64
 247         via househub colohub
 248         host crybaby 1 ::1:1
 249         host terror 2 ::2:1
 250         host orange 3 ::3:1
 251         host haze 4 ::4:1
 252         host groove 5 ::5:1
 253 defnet anycast trusted
 254         addr 172.29.199.224/27 2001:ba8:1d9:0::/64
 255         via dmz unsafe safe untrusted jump colo vpn
 256 defnet default untrusted
 257         addr 62.49.204.144/28 2001:470:1f09:1b98::/64
 258         addr 212.13.198.64/28 2001:ba8:0:1d9::/64
 259         addr 2001:ba8:1d9::/48 #temporary
 260         via dmz unsafe untrusted jump colo
 261
 262 ## Satellite networks.
 263 defnet binswood noloop
 264         addr 10.165.27.0/24
 265         via colohub
 266
 267 defhost mango
 268         hosttype router
 269         iface eth0 binswood default
 270         iface vpn-precision colo
 271
 272 m4_divert(80)m4_dnl
 273 ###--------------------------------------------------------------------------
 274 ### Connection tracking helper modules.
 275
 276 for i in ftp; do
 277   modprobe nf_conntrack_$i
 278 done
 279
 280 m4_divert(80)m4_dnl
 281 ###--------------------------------------------------------------------------
 282 ### Special forwarding exemptions.
 283
 284 case $forward in
 285   1)
 286
 287     ## Only allow these packets if they're not fragmented.  (Don't trust safe
 288     ## hosts's fragment reassembly to be robust against malicious fragments.)
 289     ## There's a hideous bug in iptables 1.4.11.1 which botches the meaning
 290     ## of `! -f', so we do the negation using early return from a subchain.
 291     clearchain fwd-spec-nofrag
 292     run iptables -A fwd-spec-nofrag -j RETURN --fragment
 293     run ip6tables -A fwd-spec-nofrag -j RETURN \
 294             -m ipv6header --soft --header frag
 295     run ip46tables -A FORWARD -j fwd-spec-nofrag
 296
 297     ## Allow ping from safe/noloop to untrusted networks.
 298     run iptables -A fwd-spec-nofrag -j ACCEPT \
 299             -p icmp --icmp-type echo-request \
 300             -m mark --mark $to_untrusted/$MASK_TO
 301     run iptables -A fwd-spec-nofrag -j ACCEPT \
 302             -p icmp --icmp-type echo-reply \
 303             -m mark --mark $from_untrusted/$MASK_FROM \
 304             -m state --state ESTABLISHED
 305     run ip6tables -A fwd-spec-nofrag -j ACCEPT \
 306             -p icmpv6 --icmpv6-type echo-request \
 307             -m mark --mark $to_untrusted/$MASK_TO
 308     run ip6tables -A fwd-spec-nofrag -j ACCEPT \
 309             -p icmpv6 --icmpv6-type echo-reply \
 310             -m mark --mark $from_untrusted/$MASK_FROM \
 311             -m state --state ESTABLISHED
 312
 313     ## Allow SSH from safe/noloop to untrusted networks.
 314     run ip46tables -A fwd-spec-nofrag -j ACCEPT \
 315             -p tcp --destination-port $port_ssh \
 316             -m mark --mark $to_untrusted/$MASK_TO
 317     run ip46tables -A fwd-spec-nofrag -j ACCEPT \
 318             -p tcp --source-port $port_ssh \
 319             -m mark --mark $from_untrusted/$MASK_FROM \
 320             -m state --state ESTABLISHED
 321
 322     ;;
 323 esac
 324
 325 m4_divert(80)m4_dnl
 326 ###--------------------------------------------------------------------------
 327 ### Kill things we don't understand properly.
 328 ###
 329 ### I don't like having to do this, but since I don't know how to do proper
 330 ### multicast filtering, I'm just going to ban it from being forwarded.
 331
 332 errorchain poorly-understood REJECT
 333
 334 ## Ban multicast destination addresses in forwarding.
 335 case $forward in
 336   1)
 337     run iptables -A FORWARD -g poorly-understood \
 338             -d 224.0.0.0/4
 339     run ip6tables -A FORWARD -g poorly-understood \
 340             -d ff::/8
 341     ;;
 342 esac
 343
 344 m4_divert(84)m4_dnl
 345 ###--------------------------------------------------------------------------
 346 ### Locally-bound packet inspection.
 347
 348 clearchain inbound
 349
 350 ## Track connections.
 351 commonrules inbound
 352 conntrack inbound
 353
 354 ## Allow incoming bootp.  Bootp won't be forwarded, so this is obviously a
 355 ## local request.
 356 run iptables -A inbound -j ACCEPT \
 357         -s 0.0.0.0 -d 255.255.255.255 \
 358         -p udp --source-port $port_bootpc --destination-port $port_bootps
 359 run iptables -A inbound -j ACCEPT \
 360         -s 172.29.198.0/23 \
 361         -p udp --source-port $port_bootpc --destination-port $port_bootps
 362
 363 ## Allow incoming ping.  This is the only ICMP left.
 364 run ip46tables -A inbound -j ACCEPT -p icmp
 365
 366 m4_divert(88)m4_dnl
 367 ## Allow unusual things.
 368 openports inbound
 369
 370 ## Inspect inbound packets from untrusted sources.
 371 run ip46tables -A inbound -j forbidden
 372 run ip46tables -A INPUT -m mark --mark $from_untrusted/$MASK_FROM -g inbound
 373
 374 ## Otherwise process as indicated by the mark.
 375 for i in $inchains; do
 376   run ip46tables -A $i -m mark ! --mark 0/$MASK_MASK -j ACCEPT
 377 done
 378
 379 m4_divert(-1)
 380 ###----- That's all, folks --------------------------------------------------