chiark - git - mdw - firewall/blob - local.m4

   1 ### -*-sh-*-
   2 ###
   3 ### Local firewall configuration
   4 ###
   5 ### (c) 2008 Mark Wooding
   6 ###
   7
   8 ###----- Licensing notice ---------------------------------------------------
   9 ###
  10 ### This program is free software; you can redistribute it and/or modify
  11 ### it under the terms of the GNU General Public License as published by
  12 ### the Free Software Foundation; either version 2 of the License, or
  13 ### (at your option) any later version.
  14 ###
  15 ### This program is distributed in the hope that it will be useful,
  16 ### but WITHOUT ANY WARRANTY; without even the implied warranty of
  17 ### MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  18 ### GNU General Public License for more details.
  19 ###
  20 ### You should have received a copy of the GNU General Public License
  21 ### along with this program; if not, write to the Free Software Foundation,
  22 ### Inc., 59 Temple Place - Suite 330, Boston, MA 02111-1307, USA.
  23
  24 ###--------------------------------------------------------------------------
  25 ### Local configuration.
  26
  27 m4_divert(6)m4_dnl
  28 ## Default NTP servers.
  29 defconf(ntp_servers,
  30         "158.152.1.76 158.152.1.204 194.159.253.2 195.173.57.232")
  31
  32 m4_divert(-1)
  33 ###--------------------------------------------------------------------------
  34 ### Packet classification.
  35
  36 ## IPv4 addressing.
  37 ##
  38 ## There are two small blocks of publicly routable IPv4 addresses, and a
  39 ## block of RFC1918 private-use addresses allocated from the Cambridge G-RIN.
  40 ## The former are as follows.
  41 ##
  42 ## 62.49.204.144/28
  43 ##              House border network (dmz).  We have all of these, but .145
  44 ##              is reserved for the router.
  45 ##
  46 ## 212.13.18.64/28
  47 ##              Jump colocated network (jump).  .65--68 are used by Jump
  48 ##              network infrastructure; we get the rest.
  49 ##
  50 ## The latter is the block 172.29.196.0/22.  Currently the low half is
  51 ## unallocated (and may be returned to the G-RIN); the remaining addresses
  52 ## are allocated as follows.
  53 ##
  54 ## 172.29.198.0/24  Untrusted networks.
  55 ##      .0/25           house wireless net
  56 ##      .128/28         iodine (IP-over-DNS) network
  57 ##
  58 ## 172.29.199.0/24  Trusted networks.
  59 ##      .0/25           house wired network
  60 ##      .128/27         mobile VPN hosts
  61 ##      .160/28         reserved, except .160/30 allocated for ITS
  62 ##      .176/28         internal colocated network
  63 ##      .192/27         house safe network
  64 ##      .224/27         anycast services
  65
  66 ## IPv6 addressing.
  67 ##
  68 ## There are five blocks of publicly routable IPv6 addresses, though some of
  69 ## them aren't very interesting.  The ranges are as follows.
  70 ##
  71 ## 2001:470:1f08:1b98::/64
  72 ##              Hurricane Electric tunnel network: only :1 (HE) and :2
  73 ##              (radius) are used.
  74 ##
  75 ## 2001:470:1f09:1b98::/64
  76 ##              House border network (dmz).
  77 ##
  78 ## 2001:470:9740::/48
  79 ##              Main house range.  See below for allocation policy.
  80 ##
  81 ## 2001:ba8:0:1d9::/64
  82 ##              Jump border network (jump): :1 is the router (supplied by
  83 ##              Jump); other addresses are ours.
  84 ##
  85 ## 2001:ba8:1d9::/48
  86 ##              Main colocated range.  See below for allocation policy.
  87 ##
  88 ## Addresses in the /64 networks are simply allocated in ascending order.
  89 ## The /48s are split into /64s by appending a 16-bit network number.  The
  90 ## top nibble of the network number classifies the network, as follows.
  91 ##
  92 ## 8xxx         Untrusted
  93 ## 6xxx         Virtual
  94 ## 4xxx         Safe
  95 ## 0xxx         Unsafe, trusted
  96 ##
  97 ## These have been chosen so that network properties can be deduced by
  98 ## inspecting bits of the network number:
  99 ##
 100 ## Bit 15       If set, the network is untrusted; otherwise it is trusted.
 101 ## Bit 14       If set, the network is safe; otherwise it is unsafe.
 102 ##
 103 ## Finally, the low-order nibbles identify the site.
 104 ##
 105 ## 0            No specific site: mobile VPN endpoints or anycast addresses.
 106 ## 1            House.
 107 ## 2            Jump colocation.
 108 ##
 109 ## Usually site-0 networks are allocated from the Jump range to improve
 110 ## expected performance from/to external sites which don't engage in our
 111 ## dynamic routing protocols.
 112
 113 ## Define the available network classes.
 114 m4_divert(42)m4_dnl
 115 defnetclass untrusted untrusted trusted mcast
 116 defnetclass trusted untrusted trusted safe noloop mcast
 117 defnetclass safe trusted safe noloop mcast
 118 defnetclass noloop trusted safe mcast
 119 defnetclass link
 120 defnetclass mcast
 121 m4_divert(-1)
 122
 123 m4_divert(26)m4_dnl
 124 ###--------------------------------------------------------------------------
 125 ### Network layout.
 126
 127 ## House networks.
 128 defnet dmz trusted
 129         addr 62.49.204.144/28 2001:470:1f09:1b98::/64
 130         forwards unsafe untrusted
 131 defnet unsafe trusted
 132         addr 172.29.199.0/25 2001:470:9740:1::/64
 133         forwards househub
 134 defnet safe safe
 135         addr 172.29.199.192/27 2001:470:9740:4001::/64
 136         forwards househub
 137 defnet untrusted untrusted
 138         addr 172.29.198.0/25 2001:470:9740:8001::/64
 139         forwards househub
 140
 141 defnet househub virtual
 142         forwards housebdry dmz unsafe safe untrusted
 143 defnet housebdry virtual
 144         forwards househub hub
 145         noxit dmz
 146
 147 ## House hosts.
 148 defhost radius
 149         hosttype router
 150         iface eth0 dmz unsafe safe untrusted vpn sgo colobdry default
 151         iface eth1 dmz unsafe safe untrusted vpn sgo colobdry default
 152         iface eth2 dmz unsafe safe untrusted vpn sgo colobdry
 153         iface eth3 untrusted vpn default
 154         iface ppp0 default
 155         iface t6-he default
 156         iface vpn-precision colobdry vpn sgo
 157         iface vpn-chiark sgo
 158         iface vpn-+ vpn
 159 defhost roadstar
 160         iface eth0 dmz unsafe
 161         iface eth1 dmz unsafe
 162 defhost jem
 163         iface eth0 dmz unsafe
 164         iface eth1 dmz unsafe
 165 defhost artist
 166         hosttype router
 167         iface eth0 dmz unsafe untrusted
 168         iface eth1 dmz unsafe untrusted
 169         iface eth3 untrusted
 170 defhost vampire
 171         hosttype router
 172         iface eth0.4 dmz unsafe untrusted safe vpn sgo colobdry
 173         iface eth0.5 dmz unsafe untrusted safe vpn sgo colobdry
 174         iface eth0.6 dmz unsafe safe untrusted vpn sgo colobdry
 175         iface eth0.7 untrusted
 176         iface vpn-precision colobdry vpn sgo
 177         iface vpn-chiark sgo
 178         iface vpn-+ vpn
 179 defhost ibanez
 180         iface br-dmz dmz unsafe
 181         iface br-unsafe unsafe
 182
 183 defhost gibson
 184         hosttype client
 185         iface eth0 unsafe
 186
 187 ## Colocated networks.
 188 defnet jump trusted
 189         addr 212.13.198.64/28 2001:ba8:0:1d9::/64
 190         forwards colohub
 191 defnet colo trusted
 192         addr 172.29.199.176/28 2001:ba8:1d9:2::/64
 193         forwards colohub
 194 defnet colohub virtual
 195         forwards colobdry jump colo iodine
 196 defnet colobdry virtual
 197         forwards colohub hub
 198         noxit jump
 199 defnet iodine untrusted
 200         addr 172.29.198.128/28
 201         forwards colohub
 202
 203 ## Colocated hosts.
 204 defhost fender
 205         iface br-jump jump colo
 206         iface br-colo jump colo
 207 defhost precision
 208         hosttype router
 209         iface eth0 jump colo sgo
 210         iface eth1 jump colo sgo
 211         iface vpn-radius housebdry vpn sgo
 212         iface vpn-chiark sgo
 213         iface vpn-+ vpn
 214 defhost telecaster
 215         iface eth0 jump colo
 216         iface eth1 jump colo
 217 defhost stratocaster
 218         iface eth0 jump colo
 219         iface eth1 jump colo
 220 defhost jazz
 221         iface eth0 jump colo
 222         iface eth1 jump colo
 223         iface dns0 iodine
 224
 225 ## Other networks.
 226 defnet hub virtual
 227         forwards housebdry colobdry
 228 defnet sgo noloop
 229         addr !172.29.198.0/23
 230         addr 10.0.0.0/8
 231         addr 172.16.0.0/12
 232         addr 192.168.0.0/16
 233         forwards househub colohub
 234 defnet vpn safe
 235         addr 172.29.199.128/27 2001:ba8:1d9:6000::/64
 236         forwards househub colohub
 237         host crybaby 1
 238         host terror 2
 239 defnet anycast trusted
 240         addr 172.29.199.224/27 2001:ba8:1d9:0::/64
 241         forwards dmz unsafe safe untrusted jump colo vpn
 242 defnet default untrusted
 243         addr 62.49.204.144/28 2001:470:1f09:1b98::/64
 244         addr 212.13.198.64/28 2001:ba8:0:1d9::/64
 245         addr 2001:ba8:1d9::/48 #temporary
 246         forwards dmz unsafe untrusted jump colo
 247
 248 m4_divert(80)m4_dnl
 249 ###--------------------------------------------------------------------------
 250 ### Special forwarding exemptions.
 251
 252 case $forward in
 253   1)
 254
 255     ## Only allow these packets if they're not fragmented.  (Don't trust safe
 256     ## hosts's fragment reassembly to be robust against malicious fragments.)
 257     ## There's a hideous bug in iptables 1.4.11.1 which botches the meaning
 258     ## of `! -f', so we do the negation using early return from a subchain.
 259     clearchain fwd-spec-nofrag
 260     run iptables -A fwd-spec-nofrag -j RETURN --fragment
 261     run ip6tables -A fwd-spec-nofrag -j RETURN \
 262             -m ipv6header --soft --header frag
 263     run ip46tables -A FORWARD -j fwd-spec-nofrag
 264
 265     ## Allow ping from safe/noloop to untrusted networks.
 266     run iptables -A fwd-spec-nofrag -j ACCEPT \
 267             -p icmp --icmp-type echo-request \
 268             -m mark --mark $to_untrusted/$MASK_TO
 269     run iptables -A fwd-spec-nofrag -j ACCEPT \
 270             -p icmp --icmp-type echo-reply \
 271             -m mark --mark $from_untrusted/$MASK_FROM \
 272             -m state --state ESTABLISHED
 273     run ip6tables -A fwd-spec-nofrag -j ACCEPT \
 274             -p icmpv6 --icmpv6-type echo-request \
 275             -m mark --mark $to_untrusted/$MASK_TO
 276     run ip6tables -A fwd-spec-nofrag -j ACCEPT \
 277             -p icmpv6 --icmpv6-type echo-reply \
 278             -m mark --mark $from_untrusted/$MASK_FROM \
 279             -m state --state ESTABLISHED
 280
 281     ## Allow SSH from safe/noloop to untrusted networks.
 282     run ip46tables -A fwd-spec-nofrag -j ACCEPT \
 283             -p tcp --destination-port $port_ssh \
 284             -m mark --mark $to_untrusted/$MASK_TO
 285     run ip46tables -A fwd-spec-nofrag -j ACCEPT \
 286             -p tcp --source-port $port_ssh \
 287             -m mark --mark $from_untrusted/$MASK_FROM \
 288             -m state --state ESTABLISHED
 289
 290     ;;
 291 esac
 292
 293 m4_divert(80)m4_dnl
 294 ###--------------------------------------------------------------------------
 295 ### Kill things we don't understand properly.
 296 ###
 297 ### I don't like having to do this, but since I don't know how to do proper
 298 ### multicast filtering, I'm just going to ban it from being forwarded.
 299
 300 errorchain poorly-understood REJECT
 301
 302 ## Ban multicast destination addresses in forwarding.
 303 case $forward in
 304   1)
 305     run iptables -A FORWARD -g poorly-understood \
 306             -d 224.0.0.0/4
 307     run ip6tables -A FORWARD -g poorly-understood \
 308             -d ff::/8
 309     ;;
 310 esac
 311
 312 m4_divert(84)m4_dnl
 313 ###--------------------------------------------------------------------------
 314 ### Locally-bound packet inspection.
 315
 316 clearchain inbound
 317
 318 ## Track connections.
 319 commonrules inbound
 320 conntrack inbound
 321
 322 ## Allow incoming bootp.  Bootp won't be forwarded, so this is obviously a
 323 ## local request.
 324 run iptables -A inbound -j ACCEPT \
 325         -s 0.0.0.0 -d 255.255.255.255 \
 326         -p udp --source-port $port_bootpc --destination-port $port_bootps
 327 run iptables -A inbound -j ACCEPT \
 328         -s 172.29.198.0/23 \
 329         -p udp --source-port $port_bootpc --destination-port $port_bootps
 330
 331 ## Allow incoming ping.  This is the only ICMP left.
 332 run ip46tables -A inbound -j ACCEPT -p icmp
 333
 334 m4_divert(88)m4_dnl
 335 ## Allow unusual things.
 336 openports inbound
 337
 338 ## Inspect inbound packets from untrusted sources.
 339 run ip46tables -A inbound -j forbidden
 340 run ip46tables -A INPUT -m mark --mark $from_untrusted/$MASK_FROM -g inbound
 341
 342 ## Otherwise process as indicated by the mark.
 343 for i in $inchains; do
 344   run ip46tables -A $i -m mark ! --mark 0/$MASK_MASK -j ACCEPT
 345 done
 346
 347 m4_divert(-1)
 348 ###----- That's all, folks --------------------------------------------------