chiark - git - mdw - firewall/blob - local.m4

   1 ### -*-sh-*-
   2 ###
   3 ### Local firewall configuration
   4 ###
   5 ### (c) 2008 Mark Wooding
   6 ###
   7
   8 ###----- Licensing notice ---------------------------------------------------
   9 ###
  10 ### This program is free software; you can redistribute it and/or modify
  11 ### it under the terms of the GNU General Public License as published by
  12 ### the Free Software Foundation; either version 2 of the License, or
  13 ### (at your option) any later version.
  14 ###
  15 ### This program is distributed in the hope that it will be useful,
  16 ### but WITHOUT ANY WARRANTY; without even the implied warranty of
  17 ### MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  18 ### GNU General Public License for more details.
  19 ###
  20 ### You should have received a copy of the GNU General Public License
  21 ### along with this program; if not, write to the Free Software Foundation,
  22 ### Inc., 59 Temple Place - Suite 330, Boston, MA 02111-1307, USA.
  23
  24 ###--------------------------------------------------------------------------
  25 ### Local configuration.
  26
  27 m4_divert(6)m4_dnl
  28 ## Default NTP servers.
  29 defconf(ntp_servers,
  30         "158.152.1.76 158.152.1.204 194.159.253.2 195.173.57.232")
  31
  32 m4_divert(-1)
  33 ###--------------------------------------------------------------------------
  34 ### Packet classification.
  35
  36 ## IPv4 addressing.
  37 ##
  38 ## There are two small blocks of publicly routable IPv4 addresses, and a
  39 ## block of RFC1918 private-use addresses allocated from the Cambridge G-RIN.
  40 ## The former are as follows.
  41 ##
  42 ## 81.2.113.195, 81.187.238.128/28
  43 ##              House border network (dmz).  We have all of these; the loose
  44 ##              address is for the router.
  45 ##
  46 ## 212.13.18.64/28
  47 ##              Jump colocated network (jump).  .65--68 are used by Jump
  48 ##              network infrastructure; we get the rest.
  49 ##
  50 ## The latter is the block 172.29.196.0/22.  Currently the low half is
  51 ## unallocated (and may be returned to the G-RIN); the remaining addresses
  52 ## are allocated as follows.
  53 ##
  54 ## 172.29.198.0/24  Untrusted networks.
  55 ##      .0/25           house wireless net
  56 ##      .128/28         iodine (IP-over-DNS) network
  57 ##      .160/27         untrusted virtual network
  58 ##
  59 ## 172.29.199.0/24  Trusted networks.
  60 ##      .0/25           house wired network
  61 ##      .128/27         mobile VPN hosts
  62 ##      .160/28         reserved, except .160/30 allocated for ITS
  63 ##      .176/28         internal colocated network
  64 ##      .192/27         house safe network
  65 ##      .224/27         anycast services
  66
  67 ## IPv6 addressing.
  68 ##
  69 ## There are five blocks of publicly routable IPv6 addresses, though some of
  70 ## them aren't very interesting.  The ranges are as follows.
  71 ##
  72 ## 2001:8b0:c92::/48
  73 ##              Main house range (aaisp).  See below for allocation policy.
  74 ##              There is no explicit DMZ allocation (and no need for one).
  75 ##
  76 ## 2001:ba8:0:1d9::/64
  77 ##              Jump border network (jump): :1 is the router (supplied by
  78 ##              Jump); other addresses are ours.
  79 ##
  80 ## 2001:ba8:1d9::/48
  81 ##              Main colocated range.  See below for allocation policy.
  82 ##
  83 ## Addresses in the /64 networks are simply allocated in ascending order.
  84 ## The /48s are split into /64s by appending a 16-bit network number.  The
  85 ## top nibble of the network number classifies the network, as follows.
  86 ##
  87 ## axxx         Virtual, untrusted
  88 ## 8xxx         Untrusted
  89 ## 6xxx         Virtual, safe
  90 ## 4xxx         Safe
  91 ## 0xxx         Unsafe, trusted
  92 ##
  93 ## These have been chosen so that network properties can be deduced by
  94 ## inspecting bits of the network number:
  95 ##
  96 ## Bit 15       If set, the network is untrusted; otherwise it is trusted.
  97 ## Bit 14       If set, the network is safe; otherwise it is unsafe.
  98 ##
  99 ## Finally, the low-order nibbles identify the site.
 100 ##
 101 ## 0            No specific site: mobile VPN endpoints or anycast addresses.
 102 ## 1            House.
 103 ## 2            Jump colocation.
 104 ## fff          Local border network.
 105 ##
 106 ## Usually site-0 networks are allocated from the Jump range to improve
 107 ## expected performance from/to external sites which don't engage in our
 108 ## dynamic routing protocols.
 109
 110 ## Define the available network classes.
 111 m4_divert(42)m4_dnl
 112 defnetclass scary       scary           trusted             mcast
 113 defnetclass untrusted   scary untrusted trusted             mcast
 114 defnetclass trusted     scary untrusted trusted safe noloop mcast
 115 defnetclass safe                        trusted safe noloop mcast
 116 defnetclass noloop                      trusted safe        mcast
 117
 118 defnetclass link
 119 defnetclass mcast
 120 m4_divert(-1)
 121
 122 m4_divert(26)m4_dnl
 123 ###--------------------------------------------------------------------------
 124 ### Network layout.
 125
 126 ## House networks.
 127 defnet dmz trusted
 128         addr 81.2.113.195 81.187.238.128/28 2001:8b0:c92:fff::/64
 129         via unsafe untrusted
 130 defnet unsafe trusted
 131         addr 172.29.199.0/25 2001:8b0:c92:1::/64
 132         via househub
 133 defnet safe safe
 134         addr 172.29.199.192/27 2001:8b0:c92:4001::/64
 135         via househub
 136 defnet untrusted untrusted
 137         addr 172.29.198.0/25 2001:8b0:c92:8001::/64
 138         via househub
 139
 140 defnet househub virtual
 141         via housebdry dmz unsafe safe untrusted
 142 defnet housebdry virtual
 143         via househub hub
 144
 145 ## House hosts.
 146 defhost radius
 147         hosttype router
 148         iface eth0 dmz unsafe safe untrusted vpn sgo colobdry default
 149         iface eth1 dmz unsafe safe untrusted vpn sgo colobdry default
 150         iface eth2 dmz unsafe safe untrusted vpn sgo colobdry
 151         iface eth3 unsafe untrusted vpn default
 152         iface ppp0 default
 153         iface t6-he default
 154         iface vpn-precision colobdry vpn sgo
 155         iface vpn-chiark sgo
 156         iface vpn-+ vpn
 157 defhost roadstar
 158         iface eth0 dmz unsafe
 159         iface eth1 dmz unsafe
 160 defhost jem
 161         iface eth0 dmz unsafe
 162         iface eth1 dmz unsafe
 163 defhost universe
 164         iface eth0 dmz unsafe
 165         iface eth1 dmz unsafe
 166 defhost artist
 167         hosttype router
 168         iface eth0 dmz unsafe untrusted
 169         iface eth1 dmz unsafe untrusted
 170         iface eth3 unsafe untrusted
 171 defhost vampire
 172         hosttype router
 173         iface eth0.4 dmz unsafe untrusted safe vpn sgo colobdry
 174         iface eth0.5 dmz unsafe untrusted safe vpn sgo colobdry
 175         iface eth0.6 dmz unsafe safe untrusted vpn sgo colobdry
 176         iface eth0.7 unsafe untrusted vpn
 177         iface vpn-precision colobdry vpn sgo
 178         iface vpn-chiark sgo
 179         iface vpn-+ vpn
 180 defhost ibanez
 181         iface br-dmz dmz unsafe
 182         iface br-unsafe unsafe
 183 defhost orange
 184         iface wlan0 untrusted
 185         iface vpn-radius unsafe
 186 defhost groove
 187         iface eth0 unsafe
 188         iface wlan0 untrusted
 189         iface vpn-radius unsafe
 190
 191 defhost gibson
 192         hosttype client
 193         iface eth0 unsafe
 194
 195 ## Colocated networks.
 196 defnet jump trusted
 197         addr 212.13.198.64/28 2001:ba8:0:1d9::/64
 198         via colohub
 199 defnet colo trusted
 200         addr 172.29.199.176/28 2001:ba8:1d9:2::/64
 201         via colohub
 202 defnet colohub virtual
 203         via colobdry jump colo
 204 defnet colobdry virtual
 205         via colohub hub
 206 defnet iodine untrusted
 207         addr 172.29.198.128/28
 208         via colohub
 209
 210 ## Colocated hosts.
 211 defhost fender
 212         iface br-jump jump colo
 213         iface br-colo jump colo
 214 defhost precision
 215         hosttype router
 216         iface eth0 jump colo vpn sgo
 217         iface eth1 jump colo vpn sgo
 218         iface vpn-mango binswood
 219         iface vpn-radius housebdry vpn sgo
 220         iface vpn-chiark sgo
 221         iface vpn-national upn
 222         iface vpn-+ vpn
 223 defhost telecaster
 224         iface eth0 jump colo
 225         iface eth1 jump colo
 226 defhost stratocaster
 227         iface eth0 jump colo
 228         iface eth1 jump colo
 229 defhost jazz
 230         hosttype router
 231         iface eth0 jump colo vpn
 232         iface eth1 jump colo vpn
 233         iface dns0 iodine
 234         iface vpn-+ vpn
 235
 236 ## Other networks.
 237 defnet hub virtual
 238         via housebdry colobdry
 239 defnet sgo noloop
 240         addr !172.29.198.0/23
 241         addr 10.0.0.0/8
 242         addr 172.16.0.0/12
 243         addr 192.168.0.0/16
 244         via househub colohub
 245 defnet vpn trusted
 246         addr 172.29.199.128/27 2001:ba8:1d9:6000::/64
 247         via househub colohub
 248         host crybaby 1 ::1:1
 249         host terror 2 ::2:1
 250         host orange 3 ::3:1
 251         host haze 4 ::4:1
 252         host groove 5 ::5:1
 253 defnet anycast trusted
 254         addr 172.29.199.224/27 2001:ba8:1d9:0::/64
 255         via dmz unsafe safe untrusted jump colo vpn
 256 defnet default scary
 257         addr 81.2.113.195 81.187.238.128/28 2001:8b0:c92::/48
 258         addr 212.13.198.64/28 2001:ba8:0:1d9::/64
 259         addr 2001:ba8:1d9::/48 #temporary
 260         via dmz unsafe untrusted jump colo
 261 defnet upn untrusted
 262         addr 172.29.198.160/27 2001:ba8:1d9:a000::/64
 263         via colohub
 264         host national 1 ::1:1
 265
 266 ## Linode hosts.
 267 defhost national
 268         iface eth0 default
 269         iface vpn-precision colohub
 270
 271 ## Satellite networks.
 272 defnet binswood noloop
 273         addr 10.165.27.0/24
 274         via colohub
 275 defhost mango
 276         hosttype router
 277         iface eth0 binswood default
 278         iface vpn-precision colo
 279
 280 m4_divert(80)m4_dnl
 281 ###--------------------------------------------------------------------------
 282 ### Connection tracking helper modules.
 283
 284 for i in ftp; do
 285   modprobe nf_conntrack_$i
 286 done
 287
 288 m4_divert(80)m4_dnl
 289 ###--------------------------------------------------------------------------
 290 ### Special forwarding exemptions.
 291
 292 case $forward in
 293   1)
 294
 295     ## Only allow these packets if they're not fragmented.  (Don't trust safe
 296     ## hosts's fragment reassembly to be robust against malicious fragments.)
 297     ## There's a hideous bug in iptables 1.4.11.1 which botches the meaning
 298     ## of `! -f', so we do the negation using early return from a subchain.
 299     clearchain fwd-spec-nofrag
 300     run iptables -A fwd-spec-nofrag -j RETURN --fragment
 301     run ip6tables -A fwd-spec-nofrag -j RETURN \
 302             -m ipv6header --soft --header frag
 303     run ip46tables -A FORWARD -j fwd-spec-nofrag
 304
 305     ## Allow ping from safe/noloop to untrusted networks.
 306     run iptables -A fwd-spec-nofrag -j ACCEPT \
 307             -p icmp --icmp-type echo-request \
 308             -m mark --mark $to_untrusted/$MASK_TO
 309     run iptables -A fwd-spec-nofrag -j ACCEPT \
 310             -p icmp --icmp-type echo-reply \
 311             -m mark --mark $from_untrusted/$MASK_FROM \
 312             -m state --state ESTABLISHED
 313     run ip6tables -A fwd-spec-nofrag -j ACCEPT \
 314             -p icmpv6 --icmpv6-type echo-request \
 315             -m mark --mark $to_untrusted/$MASK_TO
 316     run ip6tables -A fwd-spec-nofrag -j ACCEPT \
 317             -p icmpv6 --icmpv6-type echo-reply \
 318             -m mark --mark $from_untrusted/$MASK_FROM \
 319             -m state --state ESTABLISHED
 320
 321     ## Allow SSH from safe/noloop to untrusted networks.
 322     run ip46tables -A fwd-spec-nofrag -j ACCEPT \
 323             -p tcp --destination-port $port_ssh \
 324             -m mark --mark $to_untrusted/$MASK_TO
 325     run ip46tables -A fwd-spec-nofrag -j ACCEPT \
 326             -p tcp --source-port $port_ssh \
 327             -m mark --mark $from_untrusted/$MASK_FROM \
 328             -m state --state ESTABLISHED
 329
 330     ;;
 331 esac
 332
 333 m4_divert(80)m4_dnl
 334 ###--------------------------------------------------------------------------
 335 ### Kill things we don't understand properly.
 336 ###
 337 ### I don't like having to do this, but since I don't know how to do proper
 338 ### multicast filtering, I'm just going to ban it from being forwarded.
 339
 340 errorchain poorly-understood REJECT
 341
 342 ## Ban multicast destination addresses in forwarding.
 343 case $forward in
 344   1)
 345     run iptables -A FORWARD -g poorly-understood \
 346             -d 224.0.0.0/4
 347     run ip6tables -A FORWARD -g poorly-understood \
 348             -d ff::/8
 349     ;;
 350 esac
 351
 352 m4_divert(84)m4_dnl
 353 ###--------------------------------------------------------------------------
 354 ### Locally-bound packet inspection.
 355
 356 clearchain inbound
 357
 358 ## Track connections.
 359 commonrules inbound
 360 conntrack inbound
 361
 362 ## Allow incoming bootp.  Bootp won't be forwarded, so this is obviously a
 363 ## local request.
 364 run iptables -A inbound -j ACCEPT \
 365         -s 0.0.0.0 -d 255.255.255.255 \
 366         -p udp --source-port $port_bootpc --destination-port $port_bootps
 367 run iptables -A inbound -j ACCEPT \
 368         -s 172.29.198.0/23 \
 369         -p udp --source-port $port_bootpc --destination-port $port_bootps
 370
 371 ## Allow incoming ping.  This is the only ICMP left.
 372 run iptables -A inbound -j ACCEPT -p icmp
 373 run ip6tables -A inbound -j ACCEPT -p icmpv6
 374
 375 m4_divert(88)m4_dnl
 376 ## Allow unusual things.
 377 openports inbound
 378
 379 ## Inspect inbound packets from untrusted sources.
 380 run ip46tables -A inbound -j forbidden
 381 run ip46tables -A INPUT -m mark --mark $from_scary/$MASK_FROM -g inbound
 382 run ip46tables -A INPUT -m mark --mark $from_untrusted/$MASK_FROM -g inbound
 383
 384 ## Allow responses from the scary outside world into the untrusted net, but
 385 ## don't let untrusted things run services.
 386 case $forward in
 387   1)
 388     run ip46tables -A FORWARD -j ACCEPT \
 389         -m mark --mark $(( $from_scary | $to_untrusted ))/$(( $MASK_FROM | $MASK_TO )) \
 390         -m state --state ESTABLISHED,RELATED
 391     ;;
 392 esac
 393
 394 ## Otherwise process as indicated by the mark.
 395 for i in $inchains; do
 396   run ip46tables -A $i -m mark ! --mark 0/$MASK_MASK -j ACCEPT
 397 done
 398
 399 m4_divert(-1)
 400 ###----- That's all, folks --------------------------------------------------