Mengoptimalkan kemampuan firewall dan proxy server FreeBSD dalam sebuah network sederhana yang hanya memiliki satu IP global

Sumber: aa, aa.delphi@yahoo.com URL: http://opensource.telkomspeedy.com/forum/viewtopic.php?pid=22122

Dalam tulisan ini akan dibahas (mudah-mudahan) secara cukup detail, bagaimana mengoptimalkan kemampuan firewall dan proxy server FreeBSD dalam sebuah network sederhana yang hanya memiliki satu IP global, baik dinamik maupun statik (dial-up PPP, Cable-Modem atau DSL).

Model network seperti ini merupakan model yang sangat umum digunakan oleh warnet serta perusahaan kecil yang berniat untuk memberikan akses internet yang murah meriah bagi para karyawannya.

Teknik yang akan dibahas ini merupakan salah satu (mungkin merupakan yang terbaik) dibandingkan dengan alternatif lainnya seperti menggunakan hardware tertentu (modem dengan kapabilitas internet sharing), kelemahan: jumlah host sangat terbatas, antara 2 - 8, serta fleksibilitasnya sangat rendah, hampir tanpa menggunakan pengamanan dari intruder.

Pilihan lainnya adalah dengan sistem operasi MS Windows (yang sudah sangat familiar), fleksibilitas cukup, namun dengan tingkat pengamanan yang relatif rendah.

Pilihan OS lainnya seperti Linux, OpenBSD atau Solaris bisa juga diperhitungkan, namun overall performance, kombinasi FreeBSD dan IPF adalah yang terbaik dinilai dari segi keamanan/security, performansi, dukungan resources (software, kompatibilitas, utilitas dan dokumentasi) yang tersedia, serta biaya yang dibutuhkan. Dengan FreeBSD mesin 386 tua milik kita disulap menjadi sebuah server yang powerful, robust dan tahan banting.

cat: IPF (IPFilter) adalah paket firewal native dari OpenBSD, sistem operasi yang selama ini dinilai sebagai salah satu OS yang dianggap paling secure.

Topologi Network

=============================================== _____ | ISP | |_____| DNS: 202.155.0.10, 202.155.0.20 | | 10.20.30.40 ___|___ |FreeBSD|........... |_______| Virtual-Host 192.168.2.1 my.domain.box| Gateway 192.168.1.1 | Firewall - IPF/IPNAT | DNS Server - BIND Network: | HTTP Server - Apache 192.168.1.0 | Proxy Server - Squid 255.255.255.0| SQL Server - MySQL | | _________|____...___ | | | | __|__ __|__ __|__ __|__ Host1 Host2 Host3 HostN

Ada 3 pokok bahasan utama dalam kasus ini.

DNS
DHCP Server
IPF/IPNAT

lain-lain: Apache, MySQL dan Squid tidak akan dibahas panjang karena tidak esensial dalam konteks ini.

DNS

Untuk mengaktifkan name server jalankan /stand/sysinstal pilih menu Configure, kemudian Startup, lalu aktifkan (enable) named. Jika anda ingin menjalankan named dalam sandbox, isi named flags dengan argumen seperti dalam uraian butir 1.3.

Cara lainnya adalah dengan mengedit langsung /etc/rc.conf, ganti atau tambahkan entri di

/etc/rc.conf:
  named_enable="yes"
  named_flags=""  #lihat uraian selanjutnya

Cache-Only DNS Server

Konfigurasi DNS yang paling sederhana, yang kemungkinan besar akan berjalan lancar adalah menggunakan konfigurasi jenis cache-only DNS Server, artinya server DNS kita TIDAK memiliki otoritas atas satu zone-pun juga kecuali localhost dan loopback network 127.

Kekurangan dari model DNS Server seperti ini adalah, tentu saja, host-host dalam network kita tidak dapat saling mengenal. Hal ini bisa kita uji dengan perintah ping dari satu host terhadap host lainnya.

cat.: Dalam terminologi BIND, zone adalah suatu area network dimana sebuah server DNS memiliki otoritas atas pengaturan nama atas host-host yang ada di dalamnya.

Untuk network yang relatif sederhana seperti pada small-office atau di organisasi kecil, suatu zone umumnya hanya berupa satu domain, sementara di organisasi yang cukup besar, seperti di lingkungan kampus dan terutama di sebuah ISP, biasanya sebuah server DNS akan menangani suatu zone yang terdiri atas lebih dari satu domain.

Konfigurasi dalam named.conf

options {
  directory "/etc/namedb";
  forwarders {
  // daftar DNS Server ISP kita misalnya:
    202.155.0.10;
    202.155.0.20; 
  };
};

zone "0.0.127.in-addr.arpa" {
  type master;
  file "localhost.rev";
};

zone "." {
  type hint;
  file "root.servers";
};

File-file database

File localhost.rev:

@TTL 3600
@ IN SOA my.domain.box. root.domain.box. (
  3600,900,36000,3600
  )
  IN NS my.domain.box.
1 IN PTR localhost.domain.box.

cat.: Untuk menghindari salah ketik, sebaiknya kita cukup menjalankan perintah: sh make-localhost di direktori /etc/namedb.

File root.servers:

File ini tidak perlu dirubah, biarkan saja sesuai defaultnya.

Internal-Root DNS Server

Seperti dapat dilihat pada gambar diatas, network kita termasuk kedalam network kelas C, dengan alamat 192.168.1.0 dan netmask 255.255.255.0. IP address network card pertama (if_1) ditetapkan oleh ISP, sementara if_2 dapat kita tentukan sendiri.

Selanjutnya kita dapat menetapkan hal-hal sebagai berikut:

Zone/domain: domain.box
Reverse-Network: 1.168.192.in-addr.arpa
Server address: 192.168.1.1
Server name: my.domain.box

Konfigurasi dalam named.conf:

Konfigurasi awal (Cache-Only DNS Server):

options {
  directory "/etc/namedb";
  forwarders {
  // daftar DNS Server ISP:
    202.155.0.10;
    202.155.0.20; 
  };
  version "19.09.1969";
};

zone "0.0.127.in-addr.arpa" {
  type master;
  file "localhost.rev";
};

Konfigurasi named.conf yang perlu ditambahkan (atau dirubah):

forward;

zone "domain.box" {
  type master;
  file "box/domain.db";
};

zone "1.168.192.in-addr.arpa" {
  type master;
  file "box/domain.rev";
};

zone "." {
  type hint;
  //file "root.servers";
  file "box/root.box";
};

File-file database

File localhost.rev:

Tidak perlu ada perubahan dalam file ini, sama dengan butir 1.1.2.1 diatas.

File domain.db:

Berisi daftar translasi name to address untuk seluruh host yang ada di domain domain.box, hati-hati character comment di sini adalah semi-colon (;) bukan hash (#).

@TTL 3600
@ IN SOA my.domain.box. root.domain.box. (
  3600,900,36000,3600
  )
  IN NS my.domain.box.

localhost IN A 127.0.0.1

my IN A 192.168.1.1
host1 in cname my
host2 IN A 192.168.1.2
host3 IN A 192.168.1.3
..
..
..
host254 IN A 192.168.1.254

cat.: Perhatikan bahwa dalam database ini kita perlu menambahkan entri untuk localhost, sehingga setiap rujukan atas localhost, dari manapun juga, akan diarahkan ke loopback masing-masing.

File domain.rev:

Kebalikan dari domain.db, merupakan reverse address to name atas domain.box untuk network 192.168.1.0/24

@TTL 3600
@ IN SOA my.domain.box. root.domain.box. (
  3600,900,36000,3600
  )
  IN NS my.domain.box.

1 IN PTR my
2 IN PTR host1
3 IN PTR host2
..
254 IN PTR host254

cat.: Perhatikan bahwa tidak bisa dilakukan reverse untuk alias atau CNAME (canonical-name). Tidak diperbolehkan terdapat *dua entri yang sama* untuk *satu nomor address*, atau dengan kata lain, satu nomor adress tidak boleh merujuk kepada dua nama yang berbeda. Sebaliknya bisa saja terdapat dua nomor address untuk satu nama, misalnya jika kita memiliki dua atau lebih network card dalam satu host yang masing-masing memiliki IP sendiri.

File root.box:

File ini merupakan modifikasi dari file root.servers, yaitu dengan menambahkan RR (Resource Record) yang menyatakan bahwa server kita memiliki otoritas atas root domain.

@TTL 3600
@ IN SOA my.domain.box. root.domain.box. (
  3600,900,36000,3600
  )
  IN NS my.domain.box.

;domain "domain.box" didelegasikan langsung dari root
domain.box. 9999999 IN NS my.domain.box.

;juga reverse dari class-C network 
1.168.192.in-addr.arpa 9999999 IN NS my.domain.box.

;glue records
my.domain.box. IN A 192.168.1.1

;daftar root server selanjutnya sama dengan default di file root.servers
..

DNS Server in the sand-box

Konfigurasi server DNS ini terutama ditujukan untuk memperketat sekuriti sistem network, prinsipnya sederhana, yaitu menjalankan servis DNS (named) oleh non-privilege user, untuk ini biasanya sengaja dibuat satu user khusus, tanpa fasilitas login. Sebenarnya untuk model network kita yang sederhana, ancaman sekuriti yang ada mungkin tidak akan terlalu serius. Konfigurasi ini bisa jadi sebagai opsi yang bisa diambil ataupun tidak.

1.3.1

 Buat user baru untuk servis DNS, misalnya dengan nama: bind.
 User group: bind (default)
 User home: /usr/local/bind
 shell: no, nologin atau nonexistent

1.3.2

 ganti atau tambahkan entri di /etc/rc.conf:
 named_flags="-u bind -g bind -w /usr/local/bind -c named.conf -t /usr/local/bind"

 Penjelasan atas argumen:
 -u dan -g: user serta group yang menjalankan servis DNS adalah "bind".
 -w dan -c: direktori kerja dan nama file konfigurasi yang dipakai.
 -t: setelah melakukan inisialisasi, servis DNS menjadikan /usr/local/bind
 sebagai root direktorinya (chroot).

 Dengan penggantian user, group dan chroot, servis DNS ini tidak lagi memiliki akses tak-terbatas atas resources, sehingga perlu dilakukan lagi beberapa penyesuaian:

1.3.2.1

 Servis named dan ndc biasanya menampilkan prosess-id-nya dibawah sub-direktori /var/run, karena root-directory-nya berubah, maka kita harus membuat secara manual subdirektori /var/run dibawah /usr/local/bind, jangan lupa ownershipnya harus disesuaikan menjadi bind:bind

1.3.2.1

 Jika penyesuaian sub-direktori diatas tidak dilakukan maka setidaknya harus dibuat penyesuaian dalam option named.conf:

[pre]

 options {
   ...

   directory "/"; //(atau mudahnya hapus saja option ini)
   pid-file "named.pid" //named.pid berada di direktori root yang baru

   ...
 }

[/pre]

1.3.3

 Pindahkan atau salin /etc/namedb ke /usr/local/bind.

 cat.: Perhatikan ownership dari /usr/local/bind, jika kita menyalinnya dengan tool atau file-manager seperti midnight- commander, biasanya ownership akan berubah dari bind ke root (atau privileged user pada saat itu), sehingga harus dikembalikan lagi dengan chown -r bind:bind /usr/local/bind.

 Penyesuaian ownership ini juga berlaku untuk direktori baru dibawahnya yang kelak digunakan untuk file-file yang meminta akses-tulis seperti log, dump, stat, pid, dsb.

1.3.4 [pre]

 Hentikan proses named yang saat itu berlangsung (dengan kill, killall atau top), lalu aktifkan kembali named (dengan argumen seperti named_flags diatas), atau reboot server.

[/pre]

2. DHCP Server

2.1. Instalasi dan Setup

Dengan /stand/sysinstall, install package isc-dhcpd. Instalasi ini hanya sekedar mengekstrak program dan dokumentasi dhcpd, kita *harus* membuat sebuah file yaitu /var/db/dhcpd.lease secara manual: touch /var/db/dhcpd.leases. Edit file /usr/local/etc/dhcpd.conf dengan editor kesayangan anda, fi-ay :), dan buat alokasi dinamis IP addresses untuk network 192.168.1.0/24 misalnya:

jangan lupa menggunakan fasilitas syslog
dalam syslog.conf tambahkan entry sbb:
local7* /var/log/dhcpd.log #awas: pake TAB, jangan pake spasi!

log-facility local7; authoritative; ddns-update-style ad-hoc;

option domain-name "domain.box";

subnet 192.168.1.0 netmask 255.255.255.0 {

 option netbios-name-servers 192.168.1.3; #server NT kita
 option domain-name-servers 192.168.1.1;
 option routers 192.168.1.1;
 pool { range 192.168.1.10 192.168.1.190; }

}

2.2. Menjalankan dhcpd DHCP server sebaiknya dijalankan pada saat boot-up dengan membuat file startup di /usr/local/etc/rc.d Untuk menjalankan secara manual ketikan perintah: dhcpd if_2 (if_2 adalah interface yang terhubung dengan network lokal)

3.IPF/IPNAT

'Official' firewall dari FreeBSD adalah ipfw/natd, kelebihan ipfw terutama adalah kemampuan untuk mengatur kuota bandwith, sementara kelebihan ipf/ipnat yang paling utama adalah performansi. Juga menurut authornya, ipf benar-benar melakukan kontrol terhadap TCP/IP state, tidak cuma artifisial (sekedar mengecek kombinasi flags tertentu seperti SYN/ACK) seperti yang dilakukan dalam paket firewall lainnya.

Dalam bahasan kali ini, kita akan menggunakan IPFilter/IPNAT.

3.1. Kompilasi kernel

Untuk memasang firewall kita harus mengkompile ulang kernel (selanjutnya kita bisa mencopot-pasang lagi lewat loadable kernel module).

3.1.1 Konfigurasi kernel

cd /usr/src/sys/i386/conf option tambahan kernel kita dari GENERIC adalah sbb:

--- start kernel options ---
hapus semua options cpu kecuali model tertinggi sesuai cpu anda
cpu I386_CPU
cpu I486_CPU
cpu I586_CPU

cpu I686_CPU maxusers 32

kostumisasi kernel (lihat juga catatan tambahan)

ident AA makeoptions KERNEL=AA

jangan lupa mengganti entri di /boot atau /etc/defaults/rc.conf
userconfig_script_load="YES"
kernel="/AA"
verbose_loading="YES"
autoboot_delay="3"
bootfile="AA,aa,kernel"

kita tidak memakai 386SX kebawah, jadi emulasi mathco bisa dihapus saja
options GPL_MATH_EMULATE #Support for x87 emulation

console menggunakan teks mode 90x60

device vga0 at isa? options VGA_WIDTH90 #90 baris VGA options VESA

jangan lupa nanti tambahkan font dan screenflags di /etc/rc.conf sbb:
font8x14="cp437-8x14"
font8x16="cp437-8x16"
font8x8="cp437-8x8"
allscreens_flags="VGA_90x60"

hapus splash screen/screen saver.
pseudo-device splash

selain UFS, dalam box kita terdapat juga NTFS dan EXT2FS

options NTFS #NT options EXT2FS #Linux options NFS_NOSERVER #Membuang kode NFS

options UNION #UFS bisa digabung
options NULLFS #null
options UMAPFS #UID Map FileSystem
options KERNFS #kernel
options SMBFS #SMB/File Sharing ala Windows
options PROCFS #memetakan Process ID

Tambahkan flags 0xb0ff (maks. drive blok transfer) untuk hard-disk
untuk sepasang hard-disk per-interface flagsnya adalah 0xb0ffb0ff

device ata0 at isa? port IO_WD1 irq 14 flags 0xb0ffb0ff device ata1 at isa? port IO_WD2 irq 15 flags 0xb0ffb0ff

options SOFTUPDATES #penting untuk meningkatkan performansi options ATA_STATIC_ID #Static device numbering

hapus saja tape-drive.
device atapist # ATAPI tape drives

jika menggunakan APM, sebaiknya tidak.
device apm0 at nexus? disable flags 0x20 # Advanced Power Management

PCCARD (PCMCIA) support, buang saja
device card
device pcic0 at isa? irq 0 port 0x3e0 iomem 0xd0000
device pcic1 at isa? irq 0 port 0x3e2 iomem 0xd4000 disable

Buang saja serial 2 dan 3
device sio2 at isa? disable port IO_COM3 irq 5
device sio3 at isa? disable port IO_COM4 irq 9

Buang juga koneksi lewat Parallel port
device plip # TCP/IP over parallel
device ppi # Parallel port interface device
device vpo # Requires scbus and da

Buang semua entri ethernet yang tidak ada
saya cuma punya 3Com 3C509, 3C905 dan realtek

device ep # 3Com 3C509 (10 MBps) device xl # 3Com 3c905 (10/100) device rl # RealTek 8129/8139 (10/100)

device de # Realtek lama (10)

Banyak software yang tergantung kepada bpf
(discouraged), tapi sebaiknya tetap dipasang

pseudo-device bpf #Berkeley packet filter

Buang semua options USB yang hardwarenya tidak ada

device uhci # UHCI PCI->USB interface device ohci # OHCI PCI->USB interface device usb # USB Bus (required) device ugen # Generic

device uhid # "Human Interface Devices"
device ukbd # Keyboard
device ulpt # Printer
device umass # Disks/Mass storage - Requires scbus and da
device ums # Mouse
device uscanner # Scanners
USB Ethernet, requires mii
device aue # ADMtek USB ethernet
device cue # CATC USB ethernet
device kue # Kawasaki LSI USB ethernet

Soundcard (generik)

device pcm

jangan lupa nanti untuk membuat entri2 sound
(audio, mixer, sequencer dll) di /dev:
cd /dev
./MAKEDEV snd

Intel PIIX4 Power Management Unit
device smbus
device intpm

Berhubung SCSI card saya sudah sangat kuno, akhirnya saya cabut :)
Jika tidak memiliki SCSI, semua options yang behubungan dengan skasi
bisa dibuang

options SCSI_DELAY=8000 #Delay (in ms) before probing SCSI
SCSI Controllers
...
SCSI peripherals
...

Jika menggunakan firewall bawaan FreeBSD:
options IPFIREWALL
options IPDIVERT
options IPFIREWALL_VERBOSE
options IPFIREWALL_VERBOSE_LIMIT=32
options IPFIREWALL_DEFAULT_TO_ACCEPT

Jika anda memasang bandwith quota tambahkan entri dibawah ini
options IPDIVERT #digunakan juga oleh ipfw/natd
options DUMMYNET
options QUOTA

Konfigurasi ipfilter/ipnat ini yang kita pakai
cat. jika menggunakan IPFilter TIDAK PERLU ditambahkan
lagi options IPDIVERT seperti yang terdapat dalam
beberapa dokumentasi online

options IPFILTER options IPFILTER_LOG options IPFILTER_DEFAULT_BLOCK

untuk memperketat firewall bisa ditambahkan options dibawah ini:

options IPSTEALTH options TCP_DROP_SYNFIN options TCP_RESTRICT_RST

options MROUTING options RANDOM_IP_ID

beberapa options lainnya untuk memacu performa

options NBUF=4096 options NMBCLUSTERS=8192

catatan tambahan:

Jika anda ingin mengubah release, copyright et-al., lakukan perubahan ini
di /usr/src/sys/conf/newvers.sh

dari original
TYPE="FreeBSD"
REVISION="4.3"
BRANCH="RELEASE"
RELEASE=4.3-RELEASE
VERSION="${TYPE} ${RELEASE}"

if [ X"$COPYRIGHT" = X ]; then COPYRIGHT="/*

* Copyright (c) $year
*	FreeBSD Inc. All rights reserved.
*
*/"

fi

menjadi violated

TYPE="mbakNunix" REVISION="1.31" BRANCH="BURIX" RELEASE=1.31-BURIX VERSION="${TYPE} ${RELEASE}" COPYRIGHT=" /*** aa, aa.delphi@yahoo.com, 1995-$year ***/ "

2.1.2 Kompilasi

Akhirnya kita kompile kernel sbb:

su (kita harus root) cd /usr/src/sys/i386/conf chflags noschg AA (jika sekuriti diperketat, biasanya kernel diberi flag schg)

 /usr/sbin/config -r AA && \
 cd ../../compile/$1 && \
 (make depend) 2>~/err1 && \
 make 2>~/err2 && \
 (make install) 2>~/err3

semua error message masing-masing akan dicatat di /root, file: err1, err2 dan err3

3.2. Mengkonfigurasi IPF/IPNAT

3.2.1. Konfigurasi rc.conf Konfigurasi umum seperti biasa dilakukan di rc.conf

3.2.2. Konfigurasi syslog.conf

3.2.3. Tuning sysctl.conf net.inet.ip.forwarding=1 net.inet.ip.fastforwarding=1

3.2.4. ipnat.rules Rules untuk IPNAT dibahas lebih dulu karena relatif jauh lebih sederhana daripada rules untuk IPF

Catatan: map artinya: remap SOURCE packet's IP address rdr artinya: redirect DESTINATION of packet's IP address

Tambahkan baris berikut untuk mengemap :) port ftp

 map rl1 192.168.1.0/24 -> 0/32 proxy port 21 ftp/tcp
 map rl1 192.168.1.0/24 -> 0/32 portmap tcp/udp 49152:65535 #nomor port bebas antara 0-65535
 map rl1 192.168.1.0/24 -> 0/32

HTTP request di redirect ke server

 rdr rl1 0/32 port 80 -> 192.168.1.1 port 80 tcp

jika perlu permintaan http dari lokal bisa di redirect ke SQUID port 3128
rdr rl0 0.0.0.0/0 port 80 -> 192.168.1.1 port 3128 tcp

3.2.5. ipf.rules

Default konfigurasi adalah block in all, block out all artinya dengan konfigurasi seperti ini server kita benar-benar jadi mahluk egois, tidak mau melihat kanan-kiri sedikitpun :)

konfigurasi paling sederhana yang bisa berjalan adalah:

 pass in all
 pass out all

Artinya sama saja dengan tidak memasang firewall.

jika server kita hanya digunakan untuk mengakses internet keluar (outward-only), cukup kita isi firewall rules dengan satu baris:

 pass out quick all keep state keep frags

untuk ipf ver 4.32 (FreeBSD 4.5+) rule "keep" tidak bisa diterapkan kepada paket selain tcp/udp/icmp, jadi rule diatas dibagi menjadi:

 pass out quick proto tcp/udp all keep state keep frags
 pass out quick proto icmp all keep state keep frags
 pass out quick all

Dengan menggunakan keep state, kita tinggal membuka port yang kita perlukan saja, lalu-lintas koneksi yang terkait dengan servis/port tsb selanjutnya ditangani oleh ipf, misalnya:

 block in quick all
 pass out quick proto icmp all icmp-type echo keep state

meski diatas terdapat block, icmp-reply akan tetap bisa masuk masuk karena memang diminta oleh icmp-echo. pada protokol tcp/udp lainnya, pembukaan gerbang masuk ini mencakup juga control messages berupa icmp atau bahkan segmen IP dengan nomor port lainnya yang berbeda, yang masih terkait dalam koneksi tersebut.

catatan tambahan: Sebaiknya keep-state jangan terlalu di-obral supaya tidak menghabiskan resources atau bahkan membuka celah security berupa Denial of Service (DoS) Attack, lebih tepat kiranya jika hanya protokol TCP dengan SYN Flag serta port-port tertentu saja yang dipasangi keep-state seperti FTP (21), SSH (22), SMTP (25), DNS (53), DHCP (67/58), serta ICMP echo. Jika hanya permintaan koneksi (ditandai dengan SYN flag) dari servis/port tertentu yang dibuka, jalur masuk semua ditutup (block in all), port FTP mau tidak mau harus diberi keep state karena setelah koneksi terjadi dia akan membuka port/jalur baru (UDP port 20, atau TCP dengan unassigned [high number] port) untuk komunikasi data.

 pass out quick proto tcp flags S keep state
 pass out quick proto udp port = 53 keep state
 pass out quick proto icmp all icmp-type echo keep state
 pass out quick all

Karena pembahasan ipf ini cukup panjang, maka akan kita singkat saja dengan menggunakan rules yang berguna secara umum

[pre]

UMUM

pass in quick on lo0 pass out quick on lo0

NBNS

block return-rst in quick proto tcp all port 136 >< 140 block return-icmp-as-dest(port-unr) in quick all port 136 >< 140

============================================================
if_1 adalah eksternal interface (yang terhubung ke internet)
============================================================

INWARD
------

block in quick on if_1 all head 10000

Start group 10000

  block in quick all with opt lsrr group 10000 #block loose src routing
  block in quick all with opt ssrr group 10000 #block strict src routing
  block in quick proto tcp all with frags group 10000

  #block no. ip address yang diketahui berbahaya, bervirus dsb.
  #block in quick proto tcp/udp from Danger_IPs group 10000
  #(lihat daftar 3.2.5.2)

  pass in quick proto tcp all port = http flags S keep state group 10000 #jika kita pasang web server

  block in quick proto icmp all head 11000 group 10000 #blok icmp yang tidak perlu
  #Start group 11000
     #pass in log first quick proto icmp all icmp-type echo group 11000
     pass in quick proto icmp all icmp-type echorep group 11000
     pass in quick proto icmp all icmp-type unreach group 11000
     pass in quick proto icmp all icmp-type redir group 11000
     pass in quick proto icmp all icmp-type timex group 11000
     block in return-icmp-as-dest(host-unr) in quick all group 11000
  #End group 11000

  #__________________________________________________
  block return-rst in quick proto tcp all group 10000
  block return-icmp-as-dest(port-unr) in quick all group 10000

End group 10000

OUTWARD bebas
-------------

block out quick on if_1 all head 20000 pass out quick proto tcp/udp all keep state keep frags group 20000 pass out quick proto icmp all keep state keep frags 20000 pass out quick all 20000

===========================================================
if_2 adalah internal interface (yang terhubung ke intranet)
===========================================================

INWARD
------

block in quick on if_2 all head 30000

Start group 30000

  #Test User, tahan uninitialized host
  block in quick from !192.168.1.1/24 to any head 31000 group 30000
  #Start group 31000

     #Unknown User, harus daftar dhcp dulu
     pass in log first quick proto tcp/udp from any port = 68 to any port = 67 group 31000
     block return-icmp-as-dest(host-unk) in log first quick all group 31000 #Unknown
   
     #HTTP
     #Tahan dulu http untuk diinterogasi, mau kemanakah tujuannya.
     block in log first quick all port = http head 32000 group 31000
     #Start group 32000
   
        #HTTP block template: popups, junker, spammer etc. dilarang!
        block return-rst in log first quick proto tcp from any to 64.38.238.0/18 group 32000 #ADS!
        block return-rst in log first quick proto tcp from any to 66.28.153.36/24 group 32000 #porn&spy!
        #...dst (lihat daftar 3.2.5.1 yang berisi IP popups/spyies)
     
        #aman...
        pass in log first quick proto tcp all flags S keep state keep frags group 32000
        
        #HTTP-TCP only, yg lainnya di-blok by default!
        block return-rst in quick proto tcp all group 32000
   
     #End group 32000
  #End group 31000

  #Pada tahap ini user telah dikenal (dari 192.168.1.1/24) dan dengan permintaan port selain http
  #atau user dari 192.168.1.1/24 dengan port http namun protokolnya selain tcp
  
  #Tahan permintaan DNS keluar
  block return-icmp-as-dest(filter-prohib) in quick proto tcp/udp from any to 202.155.0.10/24 port = domain group 30000

  pass in log first quick proto tcp/udp all port < 1024 keep state group 30000 #regular ports
  pass in log first quick proto tcp/udp all port = 3130 keep state group 30000 #SQUID
  pass in log first quick proto tcp/udp all port = 3306 keep state group 30000 #MySQL

  #__________________________________________________
  #lainnya secara default di-blok
  block return-rst in quick proto tcp all group 30000
  block return-icmp-as-dest(port-unr) in quick all group 30000

End group 30000

OUTWARD bebas
-------------

block out quick on if_2 all head 40000 pass out quick proto tcp/udp all keep state keep frags 40000 pass out quick proto icmp all keep state keep frags 40000 pass out quick all 40000 [/pre]

3.2.5.1 Daftar alamat IP popup Berikut ini daftar ip popup dan advertising banner, spy, spammer dll yang selain menyebalkan juga kadang berbahaya. cat.: ganti kata "BLOK" dengan: "block return-rst in log first quick proto tcp from any to", juga nomor group disesuaikan dengan konfigurasi

 #HTTP block template

 #Hall Of Fames - top of sh*ts!-
 BLOK 64.38.238.0/18 group 42000 #popups.ini
 BLOK 64.38.223.51/24 group 42000 #!!!trafficcashgold.com
 BLOK 64.38.226.6/24 group 42000 #maxcash.cavecreek.net
 BLOK 64.38.247.60/24 group 42000 #count1-old.paycounter.com[]
 BLOK 205.180.85.40/24 group 42000 #popups.ini TOP!!! media.fastclick.net
 BLOK 202.180.8.129/24 group 42000 #ns1.servercyber.com
 BLOK 207.68.178.251/24 group 42000 #ads.msn.com
 BLOK 207.68.185.58/24 group 42000 #autosearch.msn.com
 BLOK 207.68.171.254/24 group 42000 #adobe-spy
 BLOK 207.68.172.253/24 group 42000 #adobe-spy
 BLOK 207.68.173.254/22 group 42000 #adobe-spy
 BLOK 209.225.0.6/24 group 42000 #servedby.advertising.com
 BLOK 209.225.4.72/24 group 42000 #advertising.com

 #telkom!dont-block: BLOK 203.130.252.36/24 group 42000 #mencurigakan sih

 #dangerous!
   BLOK 66.28.38.3/24 group 42000 #
   BLOK 209.50.252.100/24 group 42000 #4bigcash.com
   BLOK 209.5.187.10/24 group 42000 #freepopups.com
   #BLOK 209.5.187.16/24 group 42000 #adpowerzone.com
   #BLOK 213.249.1.67/24 group 42000 #d67.kif2.nas.panafonet.gr
 #End dangerous

 #from popups.ini
   BLOK 12.42.235.3/24 group 42000 #popups.ini
   #...long-list...
   BLOK 216.95.228.15/24 group 42000 #popups.ini
 #end-from popups.ini

 #new compilation
   #BLOK 66.206.15.201/24 group 42000 #indo-porn, gapapa-lah
   BLOK 63.167.204.56/24 group 42000 #7adpower.com
   #...long-list...
   BLOK 128.11.42.61/24 group 42000 #burstnet.com
   #dont-block-yahoo: BLOK 66.218.71.80/24 group 42000 #w1.scd.yahoo.com
 #end-new compilation

 #old compilation
   BLOK 12.90.179.10/16 group 42000
   BLOK 63.215.149.25/24 group 42000 #porno
   BLOK 192.150.10.120/16 group 42000 #adobe spyier!!!
   #...long-list...
   BLOK 216.218.220.42/24 group 42000 #servergold.com - porn
   #beware! Namezeroes are always peeking our nbns port!
   BLOK 216.34.13.245 port != 80 group 42000

 #end-old-compilation

3.2.5.2 Daftar alamat IP berbahaya Berikut ini daftar alamat IP berbahaya karena menyebarkan virus nimda atau code-red hingga tulisan ini dibuat (mungkin IP anda tercantum disini, selamat! :)). penggunaannya dalam ipf.rules misalnya:

 block return-rst in log first quick on rl1 proto tcp from 202.10.35.227 to any Group 23456 #Nimda

 4.47.218.144#code_red

internal INDOSAT NET-10.X.X.X

 10.1.8.108#nimda
 10.6.2.4#nimda
 #...long-list...
 10.6.18.68#nimda

end: internal INDOSAT NET-10.X.X.X

 24.73.201.22#code_red
 24.80.172.120#code_red
 #...long-list...
 24.196.16.168#code_red
 219.8.104.74#nimda

4.Lain-lain Dalam bagian ini diasumsikan bahwa kita akan menginstal program dari source kodenya, yang diekstrak ke direktori /usr/local/src, mis.: tar -xpvzf apache.tgz -C /usr/local/src. bagian version number, jika ada, sebaiknya dihilangkan, mis.: mv apache-1.1.23pl8 apache

4.1. Squid /configure --enable-ipf-transparent \

parameter lain yang perlu:

--prefix=/usr/local \ --bindir=\${prefix}/sbin \ --libexecdir=\${prefix}/libexec \ --sysconfdir=\${prefix}/etc/squid \

parameter lain yang mungkin perlu:

--enable-storeio="ufs diskd null" \ --enable-removal-policies="lru heap" \

parameter tambahan:

--localstatedir=\${prefix}/squid \ --host=i686 \ --disable-ident-lookups \ --disable-wccp \ --enable-kill-parent-hack \ --enable-time-hack \ --with-pthreads

make all; make install

Dengan parameter diatas kita akan memperoleh konfigurasi squid yang mirip seperti jika kita menginstalnya melalui package. Kemudian file logs dan cache di direktori /usr/local/etc/squid di chown nobody:nogroup (atau sesuai dengan usernya jika telah dibuat user untuk squid, seperti user mysql dibawah). Setelah itu kita buat intial cache directory dengan menjalankan: squid -z. Default cache size adalah 100MB.

Konfigurasi MySQL, PHP dan Apache

MySQL

/configure \
 --localstatedir=/var/db/mysql \
 --with-unix-socket-path=/var/run/mysql.sock \
 --host=i686 \
 --enable-assembler \
 --with-libwrap \
 --with-berkeley-db \
 --with-named-z-lib \
 --with-mysqld-ldflags=-all-static \
 --with-client-ldflags=-all-static \
 --without-debug \
 --without-bench \
 --without-docs \
 --without-readline

make; make install

Tambahkan user mysql dengan ID misalkan = 3036

pw add group mysql -g 3036
pw add user mysql -u mysql -g mysql -wno -s /sbin/nologint -d /var/db/mysql -c "MySQL"

Direktori localstatedir (/var/db/mysql) diatas, *harus* read/write by user mysql: chown -R /var/db/mysql mysql:mysql

PHP

Sebelumnya kita harus cd ke source apache dulu: cd /usr/local/src/apache, lalu jalankan ./configure (plain).

Kemudian baru cd ke source php: cd /usr/local/src/php dan mengkonfigurasi php sesuai preferensi kita.

/configure \
 --build=i686 \
 --prefix=/usr/local \
 --with-mysql=/usr/local \
 --with-apache=../apache \
 --with-pcre-regex=/usr/local \
 --with-mcrypt \
 --with-zlib \
 --with-ftp \
 --enable-track-vars \
 --enable-ctype

make; make install

Apache

/configure \
 --enable-module=most \
 --enable-shared=max \
 --server-uid=www \
 --server-gid=www \
 --activate-module=src/modules/php4/libphp4.a

make; make install

Penutup

Sesuai dengan tujuan utama tulisan ini, beberapa sub-sistem mungkin hanya sedikit atau sama sekali tidak dibahas, bagian-bagian tersebut dianggap sesuai dengan instalasi default. Terakhir, penulis dengan senang hati akan menerima kritik dan saran dari pembaca semua, semoga ada manfaatnya.

aa, aa.delphi@yahoo.com

URL: http://opensource.telkomspeedy.com/forum/viewtopic.php?pid=22122

Mengoptimalkan kemampuan firewall dan proxy server FreeBSD dalam sebuah network sederhana yang hanya memiliki satu IP global

Contents

Topologi Network

DNS

Cache-Only DNS Server

Konfigurasi dalam named.conf

File-file database

File localhost.rev:

File root.servers:

Internal-Root DNS Server

Konfigurasi dalam named.conf:

Konfigurasi awal (Cache-Only DNS Server):

Konfigurasi named.conf yang perlu ditambahkan (atau dirubah):

File-file database

File localhost.rev:

File domain.db:

File domain.rev:

File root.box:

DNS Server in the sand-box

Konfigurasi MySQL, PHP dan Apache

MySQL

PHP

Apache

Penutup

Navigation menu

Search