Aktiivisen IPCop-palomuurin yliheitto

Abstract

Opinnäytetyön tarkoituksena oli päivittää Terasoft Oy:n vanha IPCop-palomuuri uuteen versioon ja ottaa se käyttöön uudella palvelinkoneella. Samalla palomuurin tietoturvaa pyrittiin parantamaan ottamalla käyttöön lisäosia, jotka tarkastelevat palomuurin läpi kulkevaa tietoliikennettä. Tavoitteena oli tehdä palomuurin yliheitto vanhalta työasemalta uudelle palvelinkoneelle mahdollisimman pienellä käyttökatkoksella vaarantamatta yrityksen toimintaa. Uusi palomuuri konfiguroitiin käyttäen sisäverkon työasemaa, johon voitiin muodostaa etäyhteys. Yliheitto suoritettiin noudattamalla ennalta laadittuja suunnitelmia.

Palomuurin yliheitto onnistui, ja se otettiin käyttöön ensimmäisellä yrityksellä. Uudella palomuurilla on käytössä vanhalta palomuurilta vain aktiivisessa käytössä olevat osoitteiden- ja porttien muunnokset. Käytöstä poistuneet muunnokset kartoitettiin Terasoft Oy:n yhteistyökumppaneilta ennen palomuurin konfiguroimista. Uudelle palomuurille asennettiin myös Copfilter-lisäosapaketti, joka tarkkailee liikennettä myös OSI-mallin sovelluskerroksella. Copfilterin avulla palomuurin tietoturvaa voitiin kasvattaa normaalia tilallista palomuuria paremmaksi. Terasoft Oy oli tyytyväinen projektiin. Uusi palomuuri tarkkailee liikennettä paremmin kuin vanha palomuuri, ja työ saatiin tehtyä sovitun aikataulun mukaisesti.

Tulevaisuudessa Terasoft Oy:n kannattaa tarkkailla eri Linux-palomuurien kehitystä ja harkita, onko IPCop-palomuurin päivittäminen jatkossa kannattavaa vai pitäisikö ohjelmisto vaihtaa kokonaan toiseen. Työtä tehdessä kävi ilmi, että IPCopin suosio ja kehitys on ollut aktiivisempaa projektin alkuaikoina kuin viimeisten vuosien aikana. Tällä hetkellä IPCop on kuitenkin toimiva palomuuriohjelmisto.

The purpose of this thesis was to update the IPCop firewall of Terasoft Oy to a newer version, and deploy it on a new server. The firewall’s security was also aimed to be improved by introducing add-ons that would monitor the traffic that flows through the firewall. The main objective of the project was to carry out the live migration with minimal downtime and without compromising the company’s data. The migration and configuration was done using a remote desktop that is in the same subnet with the firewall.

The migration of the firewall was successful and the new firewall was deployed on the first attempt. The new firewall only uses the port forwards that were in active use on the old firewall. Copfilter add-on package was installed on the firewall. It allows the firewall to scan the packets on the application layer of the OSI-model. With the help of Copfilter, the new firewall has better overall security than an average stateful firewall. Terasoft Oy was pleased with the success of the project. The new firewall monitors the traffic more profoundly than the old one, and the whole project was completed in the agreed time frame.

In the future, Terasoft Oy should follow and observe the development of different Linux-based firewalls and consider if updating IPCop is still worthwhile, or whether the whole firewall be replaced with a more promising alternative. During the project it appeared as if the development of IPCop used to be more active in its early years than lately. However, in its current state, IPCop is still a worthy firewall.