iptables für Neulinge, neugierig, interessiert (2. Teil)

wenn DesdeLinux Ich war erst ein paar Monate alt und habe ein äußerst einfach zu verstehendes Tutorial über iptables geschrieben: iptables für Neulinge, Neugierige, Interessierte (1. Teil) . Anhand von Metaphern wie dem Vergleich unseres Computers mit unserem Haus, unserer Firewall mit der Haustür sowie anderen Beispielen erklärte ich auf angenehme Weise, ohne so viele technische Details oder komplizierte Konzepte, was eine Firewall ist iptables und wie man es verwendet und konfiguriert. Dies ist die Fortsetzung, der 2. Teil des vorherigen iptables-Tutorials 🙂

Es kommt vor, dass ich vor ein paar Tagen mit einem Linksys AP (Access Point) WLAN im Haus meiner Freundin eingerichtet habe, obwohl die Stadt technisch nicht zu den sachkundigsten gehört, das heißt, es gibt nicht viele Gefahren Es ist immer eine gute Idee, sowohl im WLAN als auch auf den Computern über eine hervorragende Sicherheit zu verfügen.

Ich werde mich hier nicht zur WLAN-Sicherheit äußern, da dies nicht der Zweck des Beitrags ist. Ich werde mich auf die iptables-Konfiguration konzentrieren, die ich derzeit auf meinem Laptop verwende.

Im vorherigen Beitrag hatte ich erklärt, dass es in einer Firewall notwendig ist, zunächst den gesamten eingehenden Verkehr abzulehnen, und zwar dafür:

sudo iptables -P INPUT DROP

Dann müssen wir unserem eigenen Computer die Erlaubnis geben, Daten einzugeben:

sudo iptables -A INPUT -i lo -j ACCEPT

Sowie die Annahme von Anforderungspaketen, die von unserem Computer stammen:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Bisher kann unser Computer problemlos im Internet navigieren, aber niemand aus einer anderen Umgebung (LAN, Internet, WLAN usw.) wird in irgendeiner Weise auf unseren Computer zugreifen können. Wir werden damit beginnen, iptables entsprechend unseren Anforderungen zu konfigurieren.

Verwenden von ulogd zum Ausgeben der iptables-Protokolle in eine andere Datei:

Standardmäßig werden iptables-Protokolle im Kernel-Protokoll, im Systemprotokoll oder in etwas Ähnlichem abgelegt ... in Arch standardmäßig weiß ich im Moment nicht einmal, wo sie gespeichert sind, deshalb verwende ich ulogd sodass sich die iptables-Protokolle in einer anderen Datei befinden.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Zugriff auf meinen privaten Server gewähren:

Ich verwende VirtualBox oder ähnliches nicht zum Virtualisieren, sondern habe meinen privaten Server damit virtualisiert Qemu+KVM der in der Lage sein sollte, eine Verbindung zu meinem Laptop als solchen herzustellen, mit den iptables-Regeln, die ich gerade oben angegeben habe, ist dies nicht möglich. Deshalb muss ich der IP meines virtuellen Servers die Erlaubnis erteilen, damit er auf meinen Laptop zugreifen kann :

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Wir werden diese Zeile näher erläutern. Es ist wichtig, dass Sie verstehen, was die einzelnen Parameter bedeuten, da sie von nun an häufig wiederholt werden:

-EIN EINGANG : Ich sage, dass ich eine Regel für den eingehenden Verkehr festlegen werde

-i virbr0 : Ich erkläre, dass die Schnittstelle, über die ich den Datenverkehr akzeptiere, weder etho (LAN) noch wlan0 (Wifi) ist. Ich sage ausdrücklich, dass es meine virbr0-Schnittstelle ist, also die (interne) virtuelle Netzwerkschnittstelle, über die mein Laptop kommuniziert mit meinem virtuellen Server (und umgekehrt)

-p TCP : Ich gebe das Protokoll an, die am häufigsten verwendeten sind UDP und TCP, hier reicht es eigentlich aus, dies nicht anzugeben, aber ... es ist üblich, den Typ des zu akzeptierenden Protokolls anzugeben

-s 192.168.122.88 : Die Quelle, Quelle der Pakete. Das heißt, die Regel bezieht sich auf Pakete, die speziell von der IP 192.168.122.88 stammen

-j AKZEPTIEREN : Hier sage ich nun, was ich mit den Paketen machen möchte, die den oben genannten entsprechen, in diesem Fall akzeptieren.

Mit anderen Worten: Im Zusammenfassungsmodus akzeptiere ich Pakete, die von der IP 192.168.122.88 kommen, aber falls Sie Pakete eingeben möchten, die von dieser IP kommen, ABER! Sie kommen von einer Schnittstelle, die nicht virbr0 ist, das heißt, sagen wir, sie versuchen, Pakete von der IP 192.168.122.88 einzugeben, aber sie kommen von einem Computer in unserem Wi-Fi-Netzwerk. Wenn das der Fall ist, werden die Pakete abgelehnt . Weil? Denn wir legen klar fest, dass ja, wir akzeptieren Pakete von 192.168.122.88 ja, aber und nur aber, sie müssen auch von der virbr0-Schnittstelle (interne, virtuelle Netzwerkschnittstelle) eintreten, wenn die Pakete von einer anderen Schnittstelle (LAN, RAS, WLAN usw.), dann werden sie nicht akzeptiert. Durch die Angabe der Schnittstelle können wir, wie Sie sehen, eine weitere Einschränkung vornehmen und eine bessere Kontrolle darüber haben, was in unseren Computer gelangt (oder nicht eintritt).

Akzeptieren von Ping von jeder IP des Heim-WLANs:

Wenn ein anderer Computer, der eine Verbindung zum WLAN herstellt, versucht, meinen Laptop anzupingen, möchte ich dies zulassen. Grund? Die Idee besteht auch darin, in den nächsten Wochen den PC des Nachbarhauses mit dem Netzwerk zu verbinden, damit der Informationsaustausch weniger komplex und flüssiger wird. Wenn ich anfange, Tests zur Verbindung des Desktops mit dem WLAN durchzuführen, werde ich das tun Ich muss meinen Laptop anpingen, um die Konnektivität zu überprüfen. Wenn mein Laptop den Ping nicht zurückgibt, kann ich davon ausgehen, dass der AP ausfällt oder dass beim Zugriff auf das WLAN ein Fehler aufgetreten ist. Deshalb möchte ich den Ping zulassen.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-EIN EINGANG : Wie zuvor, ich beziehe mich auf eingehenden Verkehr

-ich wlo1 : Ähnlich wie zuvor. Im vorherigen Fall habe ich die virtuelle Schnittstelle angegeben, in diesem Fall gebe ich eine andere Schnittstelle an, die meines WLANs: wlo1

-p icmp : ICMP-Protokoll, ICMP = Ping. Das heißt, ich erlaube kein SSH oder ähnliches, ich erlaube nur Ping (icmp)

-s 192.168.1.0/24 : Die Quelle der Pakete, d. h. wann immer die Pakete von einer IP 192.168.1 kommen? wird akzeptiert

-d 192.168.1.51 : Ziel-IP, also meine IP.

-j AKZEPTIEREN : Ich gebe an, was mit den Paketen geschehen soll, die den oben genannten entsprechen, akzeptiere.

Mit anderen Worten, und um dies fortlaufend zu erklären, akzeptiere ich, dass sie mich anpingen (ICMP-Protokoll), dessen Ziel speziell meine IP ist, solange sie von einer IP wie 192.168.1.__ stammen, aber das können sie auch nicht Wenn sie von einer beliebigen Netzwerkschnittstelle stammen, müssen sie speziell über meine WLAN-Netzwerkschnittstelle (wlo1) eingegeben werden.

Akzeptieren Sie SSH nur für eine IP:

Manchmal muss ich vorbeikommen SSH von meinem Smartphone aus, um den Laptop zu steuern, deshalb muss ich den SSH-Zugriff auf meinen Laptop von meinen WLAN-IPs aus zulassen, und zwar aus diesem Grund:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

Das Einzige, was sich von dieser Zeile unterscheidet oder hervorgehoben werden sollte, ist: –Dport 22 (SSH-Port, den ich verwende)

Mit anderen Worten, ich akzeptiere Verbindungsversuche zu meinem Laptop über Port 22, solange sie von einer IP meines WLANs kommen, sie müssen auch meine IP als bestimmtes Ziel haben und auch über die wlo1-Schnittstelle kommen, also , meine Wi-Fi-Schnittstelle. (nicht die im LAN usw.)

Erlauben Sie ihnen, eine Ihrer Websites anzuzeigen:

Das ist nicht mein Fall, aber wenn einer von Ihnen eine gehostete Website hat und Sie niemandem den Zugriff verweigern möchten, das heißt, dass jeder von überall auf diese Website zugreifen kann, ist das viel einfacher, als Sie vielleicht denken:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Das heißt, hier wird der gesamte eingehende Datenverkehr (TCP) über Port 80 zugelassen. Wie Sie sehen, gebe ich nicht an, von welchen IPs oder Netzwerken ich den Zugriff erlaube. Indem ich keinen zuzulassenden IP-Bereich spezifiziere, geht iptables davon aus, dass ich dies möchte um den Zugriff auf alle vorhandenen IP-Bereiche, also auf die ganze Welt, zu ermöglichen 🙂

Andere Kombinationen:

Ich habe viele andere Regeln, wie zum Beispiel das Akzeptieren von Pings für IPs aus meinem Heim-LAN (hierfür ist es im Grunde die gleiche Zeile wie zuvor, Änderung der IP-Bereiche), was eher dem entspricht, was ich oben gerade erklärt habe. . in meinem Daher verwende ich keine wirklich komplexen Dinge auf meinem Laptop, beschränke Verbindungen, Anti-DDoS, das überlasse ich den Servern, ich brauche es nicht auf meinem Laptop 🙂

Wie auch immer, hier ist der Artikel.

Wie Sie sehen, ist die Arbeit mit iptables keineswegs so komplex. Sobald Sie ein Skript erstellt haben, in dem Sie Ihre Regeln schreiben, ist es sehr einfach, es dann zu ändern, Regeln zu Ihrer Firewall hinzuzufügen oder daraus zu entfernen.

Ich halte mich nicht für einen Experten auf diesem Gebiet, ganz im Gegenteil. Wenn Sie jedoch Fragen haben, werde ich versuchen, Ihnen so gut wie möglich zu helfen.

Grüße