iptables til nybegyndere, nysgerrige, interesserede (2. del)

Hvornår DesdeLinux solo tenía pocos meses de vida escribí un tutorial extremadamente simple de entender sobre iptables: iptables til nybegyndere, nysgerrige, interesserede (1. del) . Ved at gøre brug af metaforer som at sammenligne vores computer med vores hus, vores firewall med døren til huset, samt andre eksempler, forklarede jeg på en behagelig måde, uden så mange teknikaliteter eller komplicerede begreber, hvad er en firewall, hvad er iptables, og hvordan man begynder at bruge og konfigurere den. Dette er fortsættelsen, 2. del af den tidligere iptables tutorial 🙂

Det sker, at jeg for et par dage siden ved hjælp af et Linksys AP (Access Point) satte en Wifi i min kærestes hus, selvom byen ikke er en af ​​de mest vidende med hensyn til teknologi, det vil sige, at det ikke er, at der er mange farer ved at revne, det er altid en god idé at have fremragende sikkerhed både i Wifi'en og i computerne.

Jeg vil ikke kommentere Wifi-sikkerhed her, da det ikke er formålet med indlægget, vil jeg fokusere på den iptables-konfiguration, som jeg i øjeblikket bruger på min bærbare computer.

I det forrige indlæg havde jeg forklaret, at det er nødvendigt i en firewall først at nægte al indgående trafik, for dette:

sudo iptables -P INPUT DROP

Så skal vi give vores egen computer tilladelse til at indtaste data:

sudo iptables -A INPUT -i lo -j ACCEPT

Samt at acceptere anmodningspakker, der stammer fra vores computer:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Indtil videre kan vores computer navigere på internettet uden problemer, men ingen fra noget andet miljø (LAN, internet, Wifi osv.) vil på nogen måde kunne få adgang til vores computer. Vi vil begynde at konfigurere iptables efter vores behov.

Brug af ulogd til at udsende iptables-logfilerne til en anden fil:

Som standard går iptables-logfilerne i kerneloggen, systemloggen eller noget lignende ... i Arch som standard, lige nu kan jeg ikke engang huske, hvor de går, det er derfor, jeg bruger ulogd så iptables-logfilerne er i en anden fil.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Adgang til min private server:

Jeg bruger ikke VirtualBox eller noget lignende til at virtualisere, jeg har min private server virtualiseret med Qemu + KVM som burde være i stand til at oprette forbindelse til min bærbare computer som sådan, med de iptables-regler, som jeg lige har specificeret ovenfor, vil den ikke være i stand til det, det er derfor, jeg skal give tilladelse til IP'en på min virtuelle server, så den kan få adgang til min bærbare computer:

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Vi vil detaljere denne linje, det er vigtigt, at du forstår, hvad hver parameter betyder, da det vil blive gentaget meget fra nu af:

-EN INDGANG : Jeg siger, at jeg har tænkt mig at erklære en regel for indgående trafik

-i virbr0 : Jeg erklærer, at grænsefladen, hvorigennem jeg vil acceptere trafikken, ikke er etho (LAN) eller wlan0 (Wifi), jeg siger specifikt, at det er min virbr0-grænseflade, det vil sige den (interne) virtuelle netværksgrænseflade, hvorigennem min bærbare computer kommunikerer med min virtuelle server (og omvendt)

-p tcp : Jeg angiver protokollen, de mest brugte er UDP og TCP, her var det faktisk nok ikke at sætte dette, men... det er sædvanligt at angive den type protokol, der skal accepteres

-s 192.168.122.88 : Kilden, kilden til pakkerne. Det vil sige, at reglen refererer til pakker, der kommer specifikt fra IP 192.168.122.88

-j ACCEPTERER : Nu siger jeg, hvad jeg vil gøre med de pakker, der matcher ovenstående, i dette tilfælde acceptere.

Med andre ord, som et resumé, vil jeg acceptere pakker, der kommer fra IP 192.168.122.88, men hvis du vil indtaste pakker, der kommer fra den IP MEN! De kommer ind fra en grænseflade, der ikke er virbr0, det vil sige, lad os sige, at de prøver at indtaste pakker fra IP 192.168.122.88, men de kommer fra en computer i vores Wifi-netværk, hvis det er tilfældet, afvises pakkerne. hvorfor? Fordi vi tydeligt angiver, at ja, accepterer vi pakker fra 192.168.122.88 ja, men og kun men, de skal også indtaste fra virbr0-grænsefladen (intern, virtuel netværksgrænseflade), hvis pakkerne kommer fra en anden grænseflade (LAN, RAS, Wifi osv.), Så accepteres de ikke. Ved at specificere grænsefladen, som du kan se, kan vi begrænse den endnu mere, vi kan have en bedre kontrol over, hvad der kommer ind (eller ikke kommer ind) på vores computer.

Accept af ping fra enhver IP i hjemmets Wifi:

Fra en anden computer, der opretter forbindelse til Wifi, hvis du prøver at pinge min bærbare computer, vil jeg tillade det. grund? Ideen er også, at i de næste par uger at linke pc'en i huset ved siden af ​​til netværket, så deling af oplysninger ville være mindre kompleks, mere flydende, når jeg begynder at lave tests for at linke skrivebordet til Wifi, vil jeg har brug for at pinge min bærbare computer for at kontrollere tilslutningsmuligheder, hvis min bærbare computer ikke pinger mig tilbage, kan jeg tro, at AP fejler, eller at der var en fejl ved adgang til Wifi, det er derfor, jeg vil tillade ping.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-EN INDGANG : Samme som før, jeg henviser til indgående trafik

-jeg vil1 : Svarende til før. I det forrige tilfælde specificerede jeg den virtuelle grænseflade, i dette tilfælde specificerede jeg en anden grænseflade, den for min wifi: wlo1

-p icmp : icmp protokol, icmp = ping. Det vil sige, jeg tillader ikke SSH eller noget lignende, jeg tillader kun ping (icmp)

-s 192.168.1.0/24 : Kilden til pakkerne, det vil sige, når pakkerne kommer fra en IP 192.168.1.? vil blive accepteret

-d 192.168.1.51 : Destination IP, det vil sige min IP.

-j ACCEPTERER : Jeg angiver, hvad jeg skal gøre med de pakker, der matcher ovenstående, accepterer.

Med andre ord, og for at forklare dette på en kontinuerlig måde, accepterer jeg, at de pinger mig (icmp-protokol), hvis destination specifikt er min IP, så længe de kommer fra en IP såsom 192.168.1.__ men også, de kan ikke komme fra nogen netværksgrænseflade, de skal indtaste specifikt fra min Wifi-netværksgrænseflade (wlo1)

Accepter kun SSH for en IP:

Nogle gange har jeg brug for at oprette forbindelse SSH fra min smartphone til at styre den bærbare computer, det er derfor, jeg skal tillade SSH-adgang til min bærbare computer fra mine Wifi-IP'er, for dette:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

Det eneste, der er forskelligt fra denne linje, eller som fortjener at blive fremhævet, er: –Deport 22 (SSH-port, jeg bruger)

Med andre ord, jeg accepterer forbindelsesforsøg til min bærbare computer gennem port 22, så længe de kommer fra en IP på mit Wi-Fi, skal de også have min IP som en specifik destination og også komme gennem wlo1-grænsefladen, det vil sige den fra min Wi-Fi (ikke den fra LAN, osv.)

Tillader dem at se dit websted:

Det er ikke mit tilfælde, men hvis en af ​​jer har en hostet hjemmeside, og du ikke vil nægte nogen adgang, dvs. alle fra hvor som helst kan få adgang til den hjemmeside, er det meget enklere, end du måske tror:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Det vil sige, her tillader de al indgående trafik (tcp) gennem port 80. Som du kan se, specificerer jeg ikke fra hvilke IP'er eller netværk jeg tillader adgang, ved ikke at angive et IP-område, der skal tillades, antager iptables, at jeg vil tillade adgang til alle eksisterende IP-områder, altså til alle 🙂

Andre kombinationer:

Jeg har mange andre regler som for eksempel at acceptere ping til IP'er fra mit hjem-LAN (for dette er det grundlæggende den samme linje som ovenfor, ændring af IP-intervaller), hvilket er mere af det samme som jeg lige har forklaret ovenfor .. på min bærbare computer som sådan bruger jeg ikke rigtig komplekse ting, det at begrænse forbindelser, anti DDoS, jeg overlader det til serverne, på min bærbare computer har jeg ikke brug for det 🙂

Anyway, indtil videre artiklen.

Som du kan se, er det ikke så komplekst at arbejde med iptables på nogen måde, når du først har oprettet et script, hvor du skriver dine regler, er det meget enkelt, og derefter ændre det, tilføje eller fjerne regler fra din firewall.

Jeg betragter ikke mig selv som en ekspert på emnet, langt fra, men hvis du har spørgsmål, kommenterer jeg her, jeg vil forsøge at hjælpe dig så meget jeg kan.

hilsen