O administrador da rede do IFMG detectou que os alunos estão utilizando um servidor proxy externo para burlar as regras de firewall existentes na rede. Sabe-se que os laboratórios e o acesso wireless dos alunos estão nas sub-redes 192.168.32.0/20, que o endereço do servidor proxy é 172.80.200.76, que todo o tráfego dos laboratórios e da rede sem fio passa pelo firewall e este possui como política padrão permitir encaminhamento de todos os pacotes. A regra a ser adicionada ao firewall, considerando que o firewall esteja sem nenhuma regra, para bloqueio do uso do proxy é:
- A)iptables -A OUTPUT -s 192.168.32/20 -d 172.80.200.76 -p http -j DROP
Errada, porque OUTPUT vale para tráfego gerado pelo próprio firewall, e além disso -p http não é a forma correta de identificar o protocolo nessa regra.
- B)iptables -D OUTPUT -s 192.168.32/20 -d 172.80.200.76 -p tcp -j DROP
Errada, porque usa -D, que remove uma regra, quando o enunciado pede adicionar uma regra de bloqueio.
- C)iptables -A INPUT -s 192.168.32/20 -d 172.80.200.76 -p tcp -j DROP
Errada, porque INPUT se aplica a pacotes destinados ao próprio firewall, não a tráfego encaminhado entre redes.
- D)iptables -A FORWARD -s 192.168.32/20 -d 172.80.200.76 -p tcp -j DROP
Certa, porque bloqueia o encaminhamento do tráfego vindo da rede dos alunos para o proxy externo na cadeia FORWARD.
- E)iptables -D FORWARD -s 192.168.32/20 -d 172.80.200.76 -p http -j DROP
Errada, porque usa -D para excluir regra e ainda emprega -p http, que não é adequado nesse contexto.
Gabarito: D
Quando o assunto é firewall, a lógica mais importante é descobrir em qual cadeia a regra deve atuar. Se o tráfego sai de uma rede interna, passa pelo firewall e segue para outra rede, estamos falando de encaminhamento de pacotes, isto é, da cadeia FORWARD. Não faz sentido usar INPUT, que trata de pacotes destinados ao próprio firewall, nem OUTPUT, que cuida do tráfego gerado pelo próprio firewall. Neste caso, os alunos estão saindo das sub-redes 192.168.32.0/20 para acessar um proxy externo no endereço 172.80.200.76. Como a política padrão do firewall é permitir tudo, é preciso criar uma regra de bloqueio explícita para esse fluxo. A alternativa D faz exatamente isso ao negar o encaminhamento desses pacotes com iptables -A FORWARD ... -j DROP. Outro detalhe importante é o protocolo. O tráfego de proxy web normalmente ocorre sobre TCP, então o filtro por TCP faz sentido. Já usar -p http é incorreto no iptables, porque http não é um protocolo de camada 4 reconhecido dessa forma na regra básica. Em prova, a banca gosta de testar justamente essa mistura de cadeia errada com protocolo errado, para ver quem confunde o caminho do pacote com o destino dele. Em resumo: como o pacote vem da rede dos alunos, atravessa o firewall e vai para um servidor externo, a regra correta deve ser aplicada em FORWARD. Por isso, o gabarito é a letra D.