Questão de Redes de Computadores — Endereçamento IP — FGV 2024

Firewall iptables: análise de regras de acesso entre redes

Gabarito: letra D — apenas a afirmativa II está correta. As máquinas da rede 192.168.1.0/24 podem acessar a internet, pois a regra de saída (OUTPUT) permite o tráfego para a interface externa. As afirmativas I e III estão incorretas: a rede 192.168.1.0/24 não pode acessar todos os serviços da rede 192.168.2.0/24 (a regra de entrada na interface eth1 bloqueia o tráfego vindo da rede 192.168.1.0/24), e os serviços da rede 192.168.2.0/24 não podem ser acessados pela internet (a regra de entrada na interface eth0 bloqueia o tráfego vindo da internet). A análise se baseia nas regras de firewall iptables e no fluxo de pacotes entre as interfaces.

O iptables é um firewall de filtro de pacotes que opera em três cadeias principais: INPUT (pacotes que chegam ao servidor), OUTPUT (pacotes que saem do servidor) e FORWARD (pacotes que são encaminhados pelo servidor, ou seja, que não são destinados a ele, mas sim a outras redes). Para analisar o cenário, é fundamental entender que o servidor Linux atua como roteador entre as duas redes corporativas e a internet, e que as regras de firewall definem o que pode ou não passar por ele.

A tabela de regras apresentada na questão descreve as políticas de acesso. Para cada afirmativa, é preciso verificar se existe uma regra que permita o tráfego na direção solicitada. A afirmativa I fala sobre o acesso da rede 192.168.1.0/24 aos serviços da rede 192.168.2.0/24. Isso envolve o tráfego que entra na interface eth1 (conectada à rede 192.168.2.0/24) vindo da rede 192.168.1.0/24. Se a regra de INPUT na eth1 bloquear esse tráfego, o acesso não é permitido. A afirmativa II fala sobre o acesso da rede 192.168.1.0/24 à internet. Isso envolve o tráfego que sai pela interface eth0 (conectada à internet) vindo da rede 192.168.1.0/24. Se a regra de OUTPUT na eth0 permitir esse tráfego, o acesso é permitido. A afirmativa III fala sobre o acesso da internet aos serviços da rede 192.168.2.0/24. Isso envolve o tráfego que entra na interface eth0 (conectada à internet) e é destinado à rede 192.168.2.0/24. Se a regra de INPUT na eth0 bloquear esse tráfego, o acesso não é permitido.

A pegadinha da questão está em confundir as direções do tráfego e as interfaces envolvidas. O candidato pode pensar que, por existir uma regra de FORWARD permitindo o tráfego entre as redes, o acesso é liberado. No entanto, as regras de INPUT e OUTPUT nas interfaces específicas são as que determinam o acesso aos serviços do próprio servidor ou o encaminhamento para outras redes. É preciso analisar cada regra individualmente e verificar se ela permite o tráfego na direção solicitada pela afirmativa.

Item I — ❌ Incorreto

A afirmativa I está incorreta. As máquinas da rede 192.168.1.0/24 não podem acessar todos os serviços disponíveis na rede 192.168.2.0/24. A regra de entrada (INPUT) na interface eth1, que está conectada à rede 192.168.2.0/24, bloqueia o tráfego vindo da rede 192.168.1.0/24. Isso significa que qualquer pacote originado na rede 192.168.1.0/24 e destinado a um serviço na rede 192.168.2.0/24 será descartado pelo firewall. A regra de FORWARD, que poderia permitir o encaminhamento entre as redes, não é suficiente para liberar o acesso, pois a regra de INPUT na interface de destino bloqueia o tráfego antes que ele possa ser processado.

Item II — ✅ Correto

A afirmativa II está correta. As máquinas da rede 192.168.1.0/24 podem acessar a internet. A regra de saída (OUTPUT) na interface eth0, que está conectada à internet, permite o tráfego vindo da rede 192.168.1.0/24. Isso significa que os pacotes originados na rede 192.168.1.0/24 e destinados a qualquer endereço na internet serão encaminhados pelo servidor. A regra de FORWARD também deve permitir o encaminhamento desse tráfego, mas a regra de OUTPUT na interface de saída é a que garante a permissão final para o pacote deixar o servidor.

Item III — ❌ Incorreto

A afirmativa III está incorreta. Os serviços disponíveis na rede 192.168.2.0/24 não podem ser acessados por dispositivos na internet. A regra de entrada (INPUT) na interface eth0, que está conectada à internet, bloqueia o tráfego vindo da internet. Isso significa que qualquer pacote originado na internet e destinado a um serviço na rede 192.168.2.0/24 será descartado pelo firewall. A regra de FORWARD, que poderia permitir o encaminhamento entre a internet e a rede 192.168.2.0/24, não é suficiente para liberar o acesso, pois a regra de INPUT na interface de entrada bloqueia o tráfego antes que ele possa ser processado.

Conclusão: Apenas a afirmativa II está correta. Portanto, a alternativa correta é a letra D.

Gabarito: letra D