iptables pro nováčky, zvědaví, zajímají (2. část)

Kdy DesdeLinux Bylo mi jen pár měsíců a napsal jsem extrémně jednoduchý srozumitelný tutoriál o iptables: iptables pro nováčky, zvědavý, zájem (1. část) . Pomocí metafor, jako je porovnání našeho počítače s naším domem, našeho firewallu s dveřmi domu, a dalších příkladů, jsem zábavným způsobem, bez tolika technických či komplikovaných konceptů, vysvětlil, co je firewall, co jsou iptables a jak ho začít používat a konfigurovat. Toto je pokračování, 2. část předchozího tutoriálu iptables 🙂

Stává se, že jsem před několika dny pomocí Linksys AP (přístupového bodu) vložil Wifi do domu své přítelkyně, i když lokalita není z hlediska technologie nejznámější, to znamená, že neexistuje mnoho nebezpečí praskání, vždy je Dobrý nápad mít vynikající zabezpečení jak ve Wifi, tak v počítačích.

Nebudu zde komentovat bezpečnost Wifi, protože to není cílem příspěvku, zaměřím se na konfiguraci iptables, kterou aktuálně používám na svém notebooku.

V předchozím příspěvku jsem vysvětlil, že je nutné ve firewallu nejprve popřít veškerý příchozí provoz, a to:

sudo iptables -P INPUT DROP

Pak musíme umožnit našemu počítači mít oprávnění k zadávání údajů:

sudo iptables -A INPUT -i lo -j ACCEPT

Stejně jako přijímání paketů požadavků, které pocházejí z našeho počítače:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Náš počítač zatím může bez problémů navigovat na internetu, ale nikdo z jiného prostředí (LAN, internet, Wifi atd.) K němu nebude mít přístup. Začneme konfigurovat iptables podle našich potřeb.

Pomocí ulogd k výstupu protokolů iptables do jiného souboru:

Ve výchozím nastavení protokoly iptables jdou do protokolu jádra, systémového protokolu nebo něco takového ... v archu ve výchozím nastavení, právě teď si ani nepamatuji, kam jdou, proto používám ulogd takže protokoly iptables jsou v jiném souboru.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Poskytnutí přístupu na můj soukromý server:

K virtualizaci nepoužívám VirtualBox ani nic podobného, ​​mám svůj soukromý server virtualizovaný pomocí Qemu + KVM který musí být schopen se připojit k mému notebooku jako takovému, s pravidly iptables, která jsem právě zadal výše, to nebude schopen, proto musím dát povolení k IP mého virtuálního serveru, aby měl přístup k mému notebooku :

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Budeme podrobně popisovat tento řádek, je důležité, abyste pochopili, co každý parametr znamená, protože se od nynějška budou hodně opakovat:

-VSTUP : Říkám, že budu deklarovat pravidlo pro příchozí provoz

-i virbr0 : Prohlašuji, že rozhraní, přes které budu přijímat přenos, není etho (LAN) nebo wlan0 (Wifi), konkrétně říkám, že je to moje rozhraní virbr0, to znamená virtuální síťové rozhraní (interní), přes které můj notebook komunikuje můj virtuální server (a naopak)

-p TCP : Specifikuji protokol, nejpoužívanější jsou UDP a TCP, tady to bylo dost na to, abych to nedal, ale ... je obvyklé určit typ protokolu, který se má přijmout

-s 192.168.122.88 : Zdroj, zdroj balíčků. Jinými slovy, pravidlo se týká paketů, které pocházejí konkrétně z IP 192.168.122.88

-j PŘIJMOUT : Již zde říkám, co chci dělat s balíčky, které odpovídají výše uvedenému, v tomto případě přijmout.

Jinými slovy, jako souhrn přijímám pakety pocházející z IP 192.168.122.88, ale v případě, že chcete zadat pakety pocházející z této IP ALE! Vstupují z rozhraní, které není virbr0, tj. Řekněme, že se pokoušejí zadat pakety z IP 192.168.122.88, ale jsou z počítače v naší síti Wifi, pokud je to tak, pakety budou odmítnuty. proč? Protože jasně určujeme, že ano, přijímáme pakety od 192.168.122.88 ano, ale pouze, ale také musí vstupovat z rozhraní virbr0 (interní, virtuální síťové rozhraní), pokud pakety pocházejí z jiného rozhraní (LAN, RAS, Wifi, atd.), pak nebudou přijati. Zadáním rozhraní, jak vidíte, ho můžeme ještě více omezit, můžeme mít lepší kontrolu nad tím, co jde do (nebo nejde do) našeho počítače.

Přijímání příkazu ping z jakékoli adresy IP domácí sítě Wifi:

Z nějakého jiného počítače, který se připojuje k Wifi, pokud zkusíte ping na můj laptop, chci to povolit. důvod? Myšlenka je také to, že v příštích několika týdnech propojím počítač v sousedním domě se sítí, takže sdílení informací by bylo méně složité a plynulejší, když začnu dělat testy na propojení plochy s Wifi, budu muset vyzkoušet ping laptop ke kontrole připojení, pokud mi můj laptop nepinguje zpět, myslím, že selhává AP, nebo že došlo k chybě při přístupu k Wifi, proto chci povolit ping.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-VSTUP : Stejně jako dříve, odkazuji na příchozí provoz

-já chci 1 : Podobně jako dříve. V předchozím případě jsem určil virtuální rozhraní, v tomto případě určím jiné rozhraní, to mého wifi: wlo1

-p icmp : Protokol Icmp, icmp = ping. To znamená, že nepovoluji SSH ani nic podobného, ​​povoluji pouze ping (icmp)

-s 192.168.1.0/24 : Zdroj paketů, tj. Pokud pakety pocházejí z IP 192.168.1.? bude přijat

-d 192.168.1.51 : Cílová IP, tedy moje IP.

-j PŘIJMOUT : Naznačuji, co dělat s balíčky, které odpovídají výše uvedenému, přijmout.

To znamená, a abych to vysvětlil průběžně, přijímám, že mi pingují (protokol icmp), jehož cílem je konkrétně moje IP, pokud pocházejí z IP, jako je 192.168.1 .__, ale také nemohou pocházet ze žádného síťového rozhraní , musí vstoupit konkrétně z mého síťového rozhraní Wifi (wlo1)

Přijměte SSH pouze pro jednu IP adresu:

Někdy se potřebuji připojit SSH z mého smartphonu k ovládání notebooku, proto musím povolit SSH přístup k mému notebooku z IP adres mé Wifi, a to:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

Z tohoto řádku je jediná věc, která se liší nebo si zaslouží zdůraznění, je: –Dport 22 (Port SSH, který používám)

Jinými slovy, přijímám pokusy o připojení k mému notebooku přes port 22, pokud pocházejí z IP mé wifi, musí také mít moji IP jako konkrétní cíl a také procházet přes rozhraní wlo1, to znamená rozhraní mé wifi (ne lan atd.)

Umožnění prohlížení vašeho webu:

Není to můj případ, ale pokud někdo z vás má hostovaný web a nechce nikomu odepřít přístup, to znamená, že k němu může mít přístup odkudkoli, je to mnohem jednodušší, než si myslíte:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Jinými slovy, tady povolují veškerý příchozí provoz (tcp) přes port 80. Jak vidíte, nespecifikuji, ze kterých IP nebo sítí povoluji přístup, nezadáním povoleného rozsahu IP, iptables předpokládá, že chci umožnit přístup ke všem stávajícím rozsahům IP adres, tedy k celému světu 🙂

Další kombinace:

Mám mnoho dalších pravidel, jako je například přijímat ping pro IP z mé domácí LAN (pro toto je to v podstatě stejný řádek jako výše, měnící rozsahy IP), což je více stejné, jak jsem právě vysvětlil výše .. .v mém notebooku jako takovém nepoužívám opravdu složité věci, omezení připojení, anti DDoS, to nechávám na serverech, na svém notebooku to nepotřebuji 🙂

Každopádně zatím článek.

Jak vidíte, práce s iptables není tak složitá nebo mnohem méně, jakmile vytvoříte skript, do kterého budete psát svá pravidla, je to velmi jednoduché, poté jej upravte, přidejte nebo odeberte pravidla do brány firewall.

Nepovažuji se za odborníka na toto téma, daleko od toho, navzdory jakýmkoli dotazům, které byste mohli mít, zde komentují, pokusím se vám pomoci, jak jen mohu.

pozdravy