CGNAT na pratica - Histórico de revisão

Gondim em 02h55min de 11 de dezembro de 2023

2023-12-11T02:55:59Z

Gondim em 05h40min de 6 de julho de 2023

2023-07-06T05:40:35Z

Gondim em 05h39min de 6 de julho de 2023

2023-07-06T05:39:28Z

Mostrar alterações

Gondim em 05h38min de 6 de julho de 2023

2023-07-06T05:38:11Z

Mostrar alterações

Gondim em 20h24min de 28 de maio de 2023

2023-05-28T20:24:51Z

Mostrar alterações

Gondim em 17h14min de 9 de maio de 2023

2023-05-09T17:14:50Z

Gondim em 17h13min de 9 de maio de 2023

2023-05-09T17:13:27Z

Gondim em 17h10min de 9 de maio de 2023

2023-05-09T17:10:12Z

Gondim em 16h59min de 9 de maio de 2023

2023-05-09T16:59:47Z

Mostrar alterações

Gondim em 16h33min de 22 de agosto de 2021

2021-08-22T16:33:39Z

@@ Linha 637: / Linha 637: @@
   # limpa todas as regras da memoria
   flush ruleset
   # regras base para o CGNAT
   add table ip nat
   add chain ip nat POSTROUTING { type nat hook postrouting priority 100; policy accept; }
@@ Linha 645: / Linha 655: @@
   # libera o proprio CGNAT para acessar a Internet - para atualizacoes por exemplo
   add rule ip nat POSTROUTING oifname "bond0" ip saddr 10.0.10.172 counter snat to 198.18.0.0
   # faz o jump para as regras de CGNAT
   add rule ip nat POSTROUTING oifname "bond0" counter jump CGNATOUT
-  '''# carrega os arquivos de regras de CGNAT'''
+  # carrega os arquivos de regras de CGNAT
- include "/root/scripts/cgnat-0-31.conf"
+ '''include "/root/scripts/cgnat-0-31.conf"'''
 A última linha do script acima, em '''negrito''', é o arquivo de regras CGNAT que iremos gerar e será chamado pelo script quando for executado.

@@ Linha 625: / Linha 625: @@
 Vamos precisar também de um gerador de regras de CGNAT para '''nftables'''. Porque criar as regras manualmente não é uma tarefa rápida e para isso usaremos um programa em python criado por '''José Beiriz''' e disponibilizado aqui: '''[https://github.com/Beiriz/GRCN GRCN]'''
-Caso não consigam baixar por algum motivo o '''GRCN''', aqui '''<nowiki>https://github.com/gondimcodes/GRCN</nowiki>''' também pode ser encontrado o script '''cgnat-nft.py.'''
+Caso não consigam baixar por algum motivo o '''GRCN''', aqui '''https://github.com/gondimcodes/GRCN''' também pode ser encontrado o script '''cgnat-nft.py.'''
 Nosso sistema de regras CGNAT será dividido em 2 partes:
@@ Linha 679: / Linha 679: @@
 === Novo script gerador de regras nftables com suporte a netmap ===
-Com a versão nova que virá do '''Debian''', a '''versão 12 (Bookworm)''', teremos também uma versão nova do '''nftables''' '''1.0.6''' e essa versão já suporta o equivalente ao '''netmap''' que temos no '''Mikrotik''' e com isso teremos menos regras na memória e provavelmente mais performance. O sistema novo conta também com o '''kernel 6.1.27''' que possui diversas '''melhorias na pilha tcp/ip'''. Para aqueles que já quiserem testar nesse novo ambiente, fiz uma modificação no script python mostrado anteriormente, para gerar regras nesse novo formato e um arquivo tabela com o relacionamento de portas e IPs para quebra de sigilo tecnológico. Aqui '''<nowiki>https://github.com/gondimcodes/GRCN</nowiki>''' o novo código e estarei solicitando ao '''José Beiriz''' para incorporá-lo no '''GRCN'''.
+Com a versão nova que virá do '''Debian''', a '''versão 12 (Bookworm)''', teremos também uma versão nova do '''nftables''' '''1.0.6''' e essa versão já suporta o equivalente ao '''netmap''' que temos no '''Mikrotik''' e com isso teremos menos regras na memória e provavelmente mais performance. O sistema novo conta também com o '''kernel 6.1.27''' que possui diversas '''melhorias na pilha tcp/ip'''. Para aqueles que já quiserem testar nesse novo ambiente, fiz uma modificação no script python mostrado anteriormente, para gerar regras nesse novo formato e um arquivo tabela com o relacionamento de portas e IPs para quebra de sigilo tecnológico. Aqui '''https://github.com/gondimcodes/GRCN''' o novo código e estarei solicitando ao '''José Beiriz''' para incorporá-lo no '''GRCN'''.
 Para gerar as regras é só executar da mesma maneira. Exemplo:<pre>
 # ./cgnat-nft-netmap.py 0 198.18.0.0/27 100.64.0.0/22 1/32

@@ Linha 533: / Linha 533: @@
 === Protegendo contra static loop e preparando o ambiente do CGNAT ===
-O '''static loop''' é algo que, definitivamente, pode derrubar toda a sua operação se não for devidamente tratado e pode ser facilmente explorado por pessoas mal intencionadas. A causa do problema é uma rota estática para um prefixo IP (seja IPv4 ou IPv6), que aponta para um next-hop e nesse destino não existe nenhuma informação sobre o prefixo IP na tabela de rotas local, obrigando o pacote a retornar para o seu gateway default e ficando nesse loop até que '''expire o TTL (Time To Live) do pacote'''. Isso ocorre muito nos casos em que temos concentradores PPPoE (BNG) e caixas CGNAT como esta que estaremos fazendo. Em '''[[Recomendacao Mitigacao DDoS|Recomendações sobre Mitigação DDoS]]''' temos outras dicas de segurança sobre o assunto '''DDoS'''.
+O '''static loop''' é algo que, definitivamente, pode derrubar toda a sua operação se não for devidamente tratado e pode ser facilmente explorado por pessoas mal intencionadas. A causa do problema é uma rota estática para um prefixo IP (seja IPv4 ou IPv6), que aponta para um next-hop e nesse destino não existe nenhuma informação sobre o prefixo IP na tabela de rotas local, obrigando o pacote a retornar para o seu gateway default e ficando nesse loop até que '''expire o TTL (Time To Live) do pacote'''. Isso ocorre muito nos casos em que temos concentradores PPPoE (BNG) e caixas CGNAT como esta que estaremos fazendo. Em '''[[Recomendações sobre Mitigação DDoS]]''' temos outras dicas de segurança sobre o assunto '''DDoS'''.
 Crie um arquivo /etc/rc.local e dentro colocaremos algumas coisas como as blackholes para cada prefixo IPv4 público que usaremos no nosso servidor de exemplo e rotas de retorno para o nosso BNG:

@@ Linha 59: / Linha 59: @@
 A seguir veremos um exemplo de datasheet da '''motherboard S2600WF''':
-[[Arquivo:S2600wf.png|nenhum|miniaturadaimagem|903x903px]]Se observarmos o datasheet acima veremos que temos o '''PCIe Riser #1''', '''Riser #2''' e '''Riser #3'''. Cada Riser possui slots PCIe que são gerenciados por determinada CPU. Se colocássemos as duas interfaces de rede nos '''slots do Riser #2''' e '''Riser #3''', estaríamos pendurando tudo apenas no '''processador 2'''. Isso foi apenas para mostrar a complexidade de quando usamos um equipamento '''NUMA''' e estamos somente escolhendo o hardware adequado. Ainda não chegamos na configuração do '''CPU Affinity'''.
+[[Arquivo:903px-S2600wf.png|nenhum|miniaturadaimagem|903x903px]]
 Para sabermos quais cores estão relacionados para uma determinada CPU, utilizamos os comandos abaixo:

@@ Linha 1: / Linha 1: @@
 __TOC__
-[[Arquivo:Cgnat nic br.jpg|nenhum|miniaturadaimagem|773x773px]]
+[[Arquivo:773px-Cgnat nic br.jpg|nenhum|miniaturadaimagem|773x773px]]
 ==Objetivo==
@@ Linha 6: / Linha 6: @@
 == Diagrama ==
-[[Arquivo:Cgnat diagrama2.png|miniaturadaimagem|776x776px|esquerda]]No '''BNG''' é configurado uma '''PBR (Policy Based Routing)''' onde apenas IPs do bloco '''100.64.0.0/22''' serão roteados diretamente para a '''caixa CGNAT'''. Qualquer IPv4 público ou IPv6, serão roteados diretamente para a '''Borda'''. Isso evita processamento e tráfego desnecessário na '''caixa CGNAT'''.
+[[Arquivo:776px-Cgnat diagrama2.png|esquerda|miniaturadaimagem|776x776px]]
 No diagrama ao lado a linha '''amarela''' simboliza o tráfego do bloco '''100.64.0.0/22''' indo para o '''CGNAT'''. A linha '''vermelha''' seria o tráfego já traduzido para um IP da rede '''198.18.0.0/27''' e encaminhado para a '''Borda'''. A linha '''verde''' é o tráfego mais limpo, sem "gambiarras" e o real objetivo que devemos seguir para uma '''Internet''' melhor usando IPv6.
@@ Linha 911: / Linha 912: @@
   add rule ip nat POSTROUTING oifname "bond0" counter jump CGNATOUT
-  '''# carrega os arquivos de regras de CGNAT
+  '''# carrega os arquivos de regras de CGNAT'''
-  include "/root/scripts/cgnat-0-31.conf"'''
+  include "/root/scripts/cgnat-0-31.conf"
 A última linha do script acima, em '''negrito''', é o arquivo de regras CGNAT que iremos gerar e será chamado pelo script quando for executado.
@@ Linha 929: / Linha 930: @@
 === Executando o gerador de regras ===
   # ./cgnat-nft.py 0 198.18.0.0/27 100.64.0.0/22 1/32
-[[Arquivo:Grcn.png|nenhum|miniaturadaimagem|1022x1022px]]
+[[Arquivo:1022px-Grcn.png|nenhum|miniaturadaimagem|1022x1022px]]
 Após teclar '''ENTER''' será gerado o arquivo '''cgnat-0-31.conf''' com as regras conforme a tela abaixo de exemplo:
-[[Arquivo:Regras01.png|nenhum|miniaturadaimagem|1027x1027px]]
+[[Arquivo:1027px-Regras01.png|nenhum|miniaturadaimagem|1027x1027px]]
 Na tela abaixo se observarmos o '''retângulo vermelho''' veremos a regra que faz o '''NAT de tudo que não for TCP ou UDP''' e por fim a regra que faz o '''jump''' '''de tudo que for origem 100.64.0.0/27''' para o '''CGNATOUT_0''' onde esse '''0 é o índice'''.
-[[Arquivo:Regras02.png|nenhum|miniaturadaimagem|1029x1029px]]
+[[Arquivo:1029px-Regras02.png|nenhum|miniaturadaimagem|1029x1029px]]
 === Explicando a função dos índices ===
@@ Linha 1 016: / Linha 1 017: @@
 == Conclusão ==
-Essa documentação foi útil? Compartilhe, divulgue e ajude outras pessoas. Meus contatos podem ser vistos [[Sobre mim|aqui]].
+Essa documentação foi útil? Compartilhe, divulgue e ajude outras pessoas.

@@ Linha 77: / Linha 77: @@
 # modprobe nf_nat_pptp
-Para que carreguem automaticamente no boot adicione as linhas em /etc/modules:
+Carregando módulos kernel 5.x:
-nf_nat_proto_gre
+# modprobe nf_nat_pptp
 nf_nat_pptp
 </pre>