Firewalling

shorewall

Wir nutzen shorewall als iptables-Frontend. Die Regeln für IPv4 und IPv6 stehen in /etc/shorewall/rules. Die Shorewall-Konfiguration kommt aus Ansible.

Wenn schnell eine Änderung gemacht werden muss, kann die Konfiguration manuell editiert werden. Die Änderung muss danach im Ansible nachgezogen werden!

Regeln

• Weniger ist mehr
  • So wenig wie möglich und so viel wie nötig freischalten
• Keine "Magic-Numbers"
  • Bitte immer Macros nutzen
• Mehrere Hosts/Adressen in Param zusammenfassen und Param nutzen
  • Das Rules-File wird sonst schnell zu unübersichtlich

Nutzung

Wenn die shorewall-Config manuell editiert wurde, kann sie mit shorewall safe-restart und shorewall6 safe-restart (Wichtig: Immer beides ausführen) angewendet werden.

"Badguys"

Es gibt im params-File einen Alias BADGUYS_V4 und BADGUYS_V6. IP-Adressen oder Netze, die dort eingetragen werden, dürfen nicht auf unsere Infrastruktur zugreifen und werden gedropped.

keepalived

Unsere beiden Firewalls bilden einen HA-Cluster. Die aktive Firewall hat mehrere virtuelle IP-Adressen, die per keepalived verwaltet werden. Die keepalived-Config findet man im Ansible: keepalived-Config.

Die Prioritäten kommen als Host-Parametern im Foreman.

Um eine der Firewalls zu deaktivieren, kann der keepalived-Service gestoppt werden:
systemctl stop keepalived

OpenVPN

Aktuell läuft OpenVPN nur auf rz-sp-fw-01. Es ist grundlegend für Zertifikatsauthentifizierung konfiguriert und dient z.B. dazu, portable Hosts auf Veranstaltungen in die Infrastruktur einzubinden.