iptables за начинаещи, любопитни, заинтересовани (2-ра част)

Когато DesdeLinux Бях само на няколко месеца и написах изключително лесен за разбиране урок за iptables: iptables за начинаещи, любопитни, заинтересовани (1-ва част) . Използвайки метафори като сравняване на нашия компютър с нашата къща, нашата защитна стена с вратата на къщата, както и други примери, обясних по един забавен начин, без толкова много технически или сложни концепции, какво е защитна стена, какво е iptables и как да започнете да го използвате и конфигуриране. Това е продължението, втората част на предишния урок за iptables 🙂

Случва се, че преди няколко дни, използвайки Linkys AP (точка за достъп), сложих Wifi в къщата на моята приятелка, въпреки че местността не е най-добре осведомена от гледна точка на технологията, тоест не е, че има много опасности от напукване, винаги е Добра идея е да имате отлична сигурност както в Wi-Fi, така и в компютрите.

Тук няма да коментирам защитата на Wi-Fi, тъй като това не е целта на публикацията, ще се съсредоточа върху конфигурацията iptables, която в момента използвам на лаптопа си.

В предишния пост бях обяснил, че е необходимо в защитна стена първо да се откаже целият входящ трафик, за това:

sudo iptables -P INPUT DROP

След това трябва да позволим на нашия собствен компютър да има разрешение за въвеждане на данни:

sudo iptables -A INPUT -i lo -j ACCEPT

Освен приемането на пакети от заявки, които произхождат от нашия компютър:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Досега компютърът ни може да навигира в интернет без проблеми, но никой от друга среда (LAN, интернет, Wifi и т.н.) няма да има достъп до нашия компютър по никакъв начин. Ще започнем да конфигурираме iptables според нашите нужди.

Използване на ulogd за извеждане на регистрационните файлове на iptables в друг файл:

По подразбиране регистрационните файлове на iptables влизат в дневника на ядрото, системния дневник или нещо подобно ... в Arch по подразбиране, в момента дори не помня къде отиват, затова използвам ulogd така че регистрационните файлове на iptables да са в друг файл.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Предоставяне на достъп до личния ми сървър:

Не използвам VirtualBox или нещо подобно за виртуализиране, имам виртуализиран личния си сървър Qemu + KVM който трябва да може да се свърже с моя лаптоп като такъв, с правилата на iptables, които току-що посочих по-горе, няма да може, затова трябва да дам разрешение на IP на моя виртуален сървър, за да има достъп до моя лаптоп:

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Ще детайлизираме този ред, важно е да разберете какво означава всеки параметър, защото оттук насетне те ще се повтарят много:

-А ВХОД : Казвам, че ще декларирам правило за входящ трафик

-i virbr0 : Декларирам, че интерфейсът, през който ще приема трафика, не е eto (LAN) или wlan0 (Wifi), специално казвам, че това е моят интерфейс virbr0, тоест виртуалният мрежов интерфейс (вътрешен), чрез който лаптопът ми комуникира с моят виртуален сървър (и обратно)

-p tcp : Посочвам протокола, най-използваните са UDP и TCP, тук наистина беше достатъчно да не се постави това, но ... обичайно е да се посочи вида на протокола, който да се приеме

-s 192.168.122.88 : Източникът, източникът на пакетите. Тоест правилото се отнася до пакети, които идват конкретно от IP 192.168.122.88

-j ПРИЕМ : Вече тук казвам какво искам да направя с пакетите, които съответстват на горното, в този случай приемете.

С други думи, като обобщение ще приема пакети, които идват от IP 192.168.122.88, но в случай, че искате да въведете пакети, които идват от този IP, НО! Те влизат от интерфейс, който не е virbr0, тоест, да кажем, че се опитват да въведат пакети от IP 192.168.122.88, но те са от компютър в нашата Wifi мрежа, ако случаят е такъв, пакетите ще бъдат отхвърлени. защо? Тъй като ясно посочваме, че да, приемаме пакети от 192.168.122.88 да, но и само, но те също трябва да влизат от интерфейса virbr0 (вътрешен, виртуален мрежов интерфейс), ако пакетите идват от друг интерфейс (LAN, RAS, Wifi, и т.н.) тогава те няма да бъдат приети. Като посочите интерфейса, както виждате, можем да го ограничим още повече, можем да имаме по-добър контрол върху това, което влиза (или не влиза) в нашия компютър.

Приемане на пинг от всеки IP на домашния Wifi:

От някой друг компютър, който се свързва с Wifi, ако се опитате да пингнете лаптопа ми, искам да го разреша. причина? Идеята е също така, че през следващите няколко седмици да свържете компютъра в съседната къща с мрежата, така че споделянето на информация ще бъде по-малко сложно и по-плавно, когато започна да правя тестове за свързване на работния плот с Wifi, ще трябва да пинг моя лаптоп, за да проверя свързаността, ако лаптопът ми не ми връща обратно, мога да мисля, че AP не е успешен или че има грешка при достъпа до Wi-Fi, затова искам да разреша пинга.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-А ВХОД : Същото като преди, имам предвид входящия трафик

-и wlo1 : Подобно на преди. В предишния случай посочих виртуалния интерфейс, в този случай посочих друг интерфейс, този на моя wifi: wlo1

-p icmp : Icmp протокол, icmp = ping. Тоест, не разрешавам SSH или нещо подобно, разрешавам само ping (icmp)

-s 192.168.1.0/24 : Източникът на пакетите, т.е. докато пакетите идват от IP 192.168.1.? ще бъдат приети

-d 192.168.1.51 : IP адрес на дестинация, тоест моят IP.

-j ПРИЕМ : Посочвам какво да правя с пакетите, които съответстват на горното, приемете.

Тоест и за да обясня това в бягане, приемам, че те ме пингват (протокол icmp), чиято дестинация е конкретно моят IP, стига да идват от IP като 192.168.1 .__, но също така, те не могат да идват от никакъв мрежов интерфейс , те трябва да влязат специално от моя Wifi мрежов интерфейс (wlo1)

Приемете SSH само за един IP:

Понякога трябва да се свържа с SSH от моя смартфон за управление на лаптопа, затова трябва да разреша SSH достъп до моя лаптоп от IP адресите на моя Wifi, за това:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

От този ред единственото нещо, което е различно или което заслужава да бъде подчертано, е: –Доклад 22 (SSH порт, който използвам)

Тоест, приемам опити да се свържа с моя лаптоп през порт 22, стига да идват от който и да е IP на моя wifi, те също трябва да имат моя IP като конкретна дестинация и също да идват през интерфейса wlo1, тоест моя wifi (не lan и т.н.)

Позволявайки им да разглеждат вашия уебсайт:

Това не е моят случай, но ако някой от вас има хостван уебсайт и не иска да откаже достъп на никого, тоест, че всеки отвсякъде има достъп до този уебсайт, това е много по-просто, отколкото си мислите:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

С други думи, тук те разрешават целия входящ трафик (tcp) през порт 80. Както можете да видите, не посочвам от кои IP или мрежи разрешавам достъп, като не посочвам IP обхват, който да разреша, iptables приема, че искам да разреша достъп до всички съществуващи IP диапазони, т.е. за целия свят 🙂

Други комбинации:

Имам много други правила, като например приемам ping за IP адреси от домашната си LAN (за това по същество е същият ред като по-горе, променяйки обхвата на IP адресите), което е по-скоро същото, което току-що обясних по-горе ... в моя лаптоп като такъв не използвам наистина сложни неща, това за ограничаване на връзките, анти DDoS, оставям това за сървърите, на моя лаптоп не ми трябва 🙂

Както и да е, засега статията.

Както можете да видите, работата с iptables по никакъв начин не е толкова сложна, след като изградите скрипт, в който пишете вашите правила, е много просто, след това го модифицирайте, добавете или премахнете правила към вашата защитна стена.

Не се считам за експерт по темата далеч от нея, въпреки всякакви съмнения, които може да имате, те коментират тук, ще се опитам да ви помогна с каквото мога.

поздрави