iptables za početnike, znatiželjnike, zainteresovane (2. dio)

Kada DesdeLinux Imao sam samo nekoliko mjeseci i napisao sam izuzetno jednostavan za razumijevanje tutorijal o iptables-u: iptables za početnike, znatiželjnike, zainteresovane (1. dio) . Koristeći metafore poput usporedbe računara s kućom, vatrozida s vratima kuće, kao i druge primjere, na zabavan sam način, bez toliko tehničkih i složenih koncepata, objasnio što je vatrozid, što je iptables i kako početi koristiti i konfigurirati. Ovo je nastavak, 2. dio prethodnog vodiča za iptables 🙂

Dogodilo se da sam prije nekoliko dana koristeći Linksys AP (pristupnu točku) stavio Wi-Fi u kuću svoje djevojke, iako lokalitet u tehnološkom smislu nije najinformiraniji, odnosno nije da postoji mnogo opasnosti od pucanja , uvijek je dobra ideja imati izvrsnu sigurnost kako na Wi-Fi tako i na računalima.

Ovdje neću komentirati sigurnost Wi-Fi-ja, jer to nije cilj posta, fokusiraću se na konfiguraciju iptables koju trenutno koristim na svom laptopu.

U prethodnom postu objasnio sam da je potrebno u vatrozidu prvo zabraniti sav dolazni promet, zbog ovoga:

sudo iptables -P INPUT DROP

Tada moramo dopustiti našem računaru da ima dozvolu za unos podataka:

sudo iptables -A INPUT -i lo -j ACCEPT

Uz prihvaćanje paketa zahtjeva koji potječu s našeg računara:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Do sada naše računalo može bez problema upravljati Internetom, ali niko iz bilo kojeg drugog okruženja (LAN, Internet, Wifi itd.) Neće moći pristupiti našem računaru na bilo koji način. Počet ćemo konfigurirati iptables prema našim potrebama.

Korištenje ulogd-a za izlaz iptables dnevnika u drugu datoteku:

Po defaultu iptables evidencije idu u dnevnik kernela, sistemski dnevnik ili nešto slično ... u Archu po defaultu, trenutno se ni ne sjećam kamo idu, zato koristim ulogd tako da su iptables dnevnici u drugoj datoteci.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Davanje pristupa mom privatnom serveru:

Ne koristim VirtualBox ili bilo šta slično za virtuelizaciju, imam svoj virtuelni server sa kojim virtueliziram Qemu + KVM koji mora biti u mogućnosti da se poveže sa mojim laptopom kao takvim, sa iptables pravilima koja sam upravo naveo gore neće moći, zato moram dati dozvolu IP-u svog virtualnog servera kako bi mogao pristupiti mom laptopu :

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Detaljno ćemo opisati ovaj redak, važno je da razumijete što svaki parametar znači, jer će se oni od sada puno ponavljati:

-ULAZ : Kažem da ću proglasiti pravilo za dolazni promet

-i virbr0 : Izjavljujem da sučelje putem kojeg ću prihvatiti promet nije eto (LAN) ili wlan0 (Wifi), izričito kažem da je to moje sučelje virbr0, odnosno virtualno mrežno sučelje (interno) putem kojeg moj laptop komunicira sa mojim virtualnim serverom (i obrnuto)

-p tcp : Navodim protokol, najčešće se koriste UDP i TCP, ovdje je zaista bilo dovoljno da se ovo ne stavi, ali ... uobičajeno je odrediti vrstu protokola koji treba prihvatiti

-s 192.168.122.88 : Izvor, izvor paketa. Drugim riječima, pravilo se odnosi na pakete koji posebno dolaze iz IP 192.168.122.88

-j PRIHVATI : Već ovdje kažem šta želim raditi s paketima koji odgovaraju gore navedenom, u ovom slučaju prihvatite.

Drugim riječima, kao sažetak, prihvatit ću pakete koji dolaze s IP-a 192.168.122.88, ali u slučaju da želite unijeti pakete koji dolaze s te IP-a, ALI! Ulaze iz sučelja koje nije virbr0, odnosno recimo da pokušavaju unijeti pakete s IP-a 192.168.122.88, ali su s računara u našoj Wifi mreži, ako je to slučaj, paketi će biti odbijeni. zašto? Budući da jasno preciziramo da, prihvaćamo pakete iz 192.168.122.88 da, ali i samo, ali oni također moraju ući iz virbr0 sučelja (interno, virtualno mrežno sučelje), ako paketi dolaze iz drugog sučelja (LAN, RAS, WiFi, itd.) Tada neće biti prihvaćeni. Određivanjem interfejsa kao što vidite možemo ga još više ograničiti, možemo imati bolju kontrolu nad onim što ulazi (ili ne ulazi) u naš računar.

Prihvaćanje ping-a s bilo koje IP adrese kućnog Wifi-ja:

Ako pokušate pingati moj laptop sa nekog drugog računara koji se povezuje na Wifi, želim to dozvoliti. razlog? Ideja je također da ću u sljedećih nekoliko tjedana povezati računalo u susjednoj kući s mrežom, tako da bi razmjena informacija bila manje složena i fluidnija, kad počnem raditi testove za povezivanje radne površine s Wifi mrežom, moram pingati svoj laptop da provjerim povezanost, ako mi laptop ne vrati ping, mogu pomisliti da AP ne uspije ili da je došlo do greške pri pristupu Wifiju, zato želim dopustiti ping.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-ULAZ : Isto kao i prije, mislim na dolazni promet

-i wlo1 : Slično kao prije. U prethodnom slučaju odredio sam virtualno sučelje, u ovom slučaju specificiram drugo sučelje, ono svog wifi-a: wlo1

-p icmp : Icmp protokol, icmp = ping. Odnosno, ne dozvoljavam SSH ili nešto slično, dopuštam samo ping (icmp)

-s 192.168.1.0/24 : Izvor paketa, odnosno sve dok paketi dolaze iz IP 192.168.1.? će biti prihvaćeni

-d 192.168.1.51 : IP odredišta, odnosno moj IP.

-j PRIHVATI : Naznačim šta da radim sa paketima koji se podudaraju sa gore navedenim, prihvatite.

Odnosno, i da bih to objasnio u trku, prihvaćam da me ping-uju (icmp protokol) čije je odredište konkretno moja IP adresa, sve dok dolaze s IP-a kao što je 192.168.1 .__, ali isto tako ne mogu doći sa bilo kog mrežnog sučelja, oni moraju ući posebno sa mog Wifi mrežnog sučelja (wlo1)

Prihvati SSH samo za jednu IP adresu:

Ponekad se moram povezati SSH sa mog pametnog telefona za kontrolu laptopa, zato moram dozvoliti SSH pristup svom laptopu sa IP-a svog Wifi-a, za ovo:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

Iz ovog retka jedino što se razlikuje ili što zaslužuje da se istakne je: –Dport 22 (SSH port koristim)

Drugim riječima, prihvaćam pokušaje povezivanja s mojim prijenosnim računalom putem porta 22, sve dok dolaze s IP-a moje WiFi mreže, oni također moraju imati moju IP-u kao određeno odredište i također dolaze preko wlo1 sučelja, tj. onaj moje WiFi mreže (ne lan, itd.)

Omogućavanje im da vide vašu web stranicu:

To nije moj slučaj, ali ako bilo tko od vas ima hostiranu web stranicu i ne želi nikome uskratiti pristup, odnosno da svi od bilo kojeg mjesta mogu pristupiti toj web stranici, mnogo je jednostavnije nego što mislite:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Drugim riječima, ovdje dopuštaju sav dolazni promet (tcp) preko porta 80. Kao što vidite, ne određujem s kojih IP-ova ili mreže dopuštam pristup, ne navodeći IP opseg koji će dozvoliti, iptables pretpostavlja da želim omogućiti pristup svim postojećim rasponima IP-a, odnosno cijelom svijetu 🙂

Ostale kombinacije:

Imam mnoga druga pravila kao što je, na primjer, prihvatanje ping-a za IP-ove iz mog kućnog LAN-a (za ovo je u osnovi ista linija kao gore, mijenjanje opsega IP-a), što je više isto što sam gore objasnio. u svom laptopu kao takvom ne koristim zaista složene stvari, ograničenje veza, anti DDoS, ostavljam to za servere, na laptopu mi to ne treba 🙂

Svejedno, zasad članak.

Kao što vidite, rad s iptables-om ni na koji način nije toliko složen, kad jednom napravite skriptu u koju pišete svoja pravila, vrlo je jednostavno, a zatim je izmijenite, dodajte ili uklonite pravila na svoj zaštitni zid.

Ne smatram se stručnjakom za tu temu, unatoč bilo kakvim sumnjama, oni ovdje komentarišu, pokušat ću vam pomoći koliko god mogu.

Saludos