iptables aloittelijoille, uteliaille, kiinnostuneille (2. osa)

Kun DesdeLinux Olin vain muutaman kuukauden ikäinen ja kirjoitin äärimmäisen helposti ymmärrettävän opetusohjelman iptablesista: iptables aloittelijoille, uteliaille, kiinnostuneille (1. osa) . Käyttämällä metaforoja, kuten vertaamalla tietokonettamme taloon, palomuuriamme talon oveen, sekä muita esimerkkejä selitin viihdyttävällä tavalla ilman niin monia teknisiä tai monimutkaisia ​​käsitteitä, mikä on palomuuri, mikä on iptables ja kuinka aloittaa sen käyttö ja määrittää. Tämä on jatkoa, edellisen iptables-opetusohjelman toinen osa 🙂

Sattuu, että muutama päivä sitten asetin Linksys AP: n (tukiasema) avulla tyttöystäväni kotiin Wi-Fi-yhteyden, vaikka paikkakunta ei olekaan tekniikan kannalta parhaiten perehtynyt, eli ei ole, että halkeamalla on monia vaaroja. , on aina hyvä idea varmistaa erinomainen suojaus sekä Wifissä että tietokoneissa.

En kommentoi Wi-Fi-tietoturvaa täällä, koska se ei ole viestin tavoite, keskityn iptables-kokoonpanoon, jota käytän tällä hetkellä kannettavalla tietokoneellani.

Edellisessä viestissä olin selittänyt, että palomuurissa on välttämätöntä kieltää ensin kaikki saapuva liikenne:

sudo iptables -P INPUT DROP

Sitten meidän on annettava omalle tietokoneellemme lupa tietojen syöttämiseen:

sudo iptables -A INPUT -i lo -j ACCEPT

Sen lisäksi, että hyväksymme tietokoneeltamme peräisin olevia pyyntöjä:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Toistaiseksi tietokoneemme voi selata Internetiä ongelmitta, mutta kukaan muu ympäristö (lähiverkko, internet, Wifi jne.) Ei pääse tietokoneellemme millään tavalla. Aloitamme konfiguroida iptables tarpeidemme mukaan.

Ulpt: n käyttäminen iptables-lokien tulostamiseen toiseen tiedostoon:

Oletuksena iptables-lokit menevät ytimen lokiin, järjestelmälokiin tai vastaavaan ... Archissa oletuksena, nyt en edes muista, minne ne menevät, siksi käytän ulogd niin, että iptables-lokit ovat toisessa tiedostossa.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Yksityisen palvelimen käyttöoikeuden antaminen:

En käytä VirtualBoxia tai muuta vastaavaa virtualisointiin, yksityinen palvelin on virtualisoitu Qemu + KVM jonka on pystyttävä muodostamaan yhteys kannettavaan tietokoneeseen sellaisenaan, juuri edellä määritettyjen iptables-sääntöjen kanssa, se ei pysty, minkä vuoksi minun on annettava lupa virtuaalipalvelimen IP-osoitteeseen, jotta se voi käyttää kannettavaa tietokonetta :

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Aiomme yksityiskohtaisesti tämän rivin, on tärkeää, että ymmärrät, mitä kukin parametri tarkoittaa, koska ne toistetaan paljon tästä lähtien:

-TULO : Sanon, että julistan säännön saapuvalle liikenteelle

-i virbr0 : Vakuutan, että käyttöliittymä, jonka kautta hyväksyn liikenteen, ei ole etho (LAN) tai wlan0 (Wifi), sanon erityisesti, että se on virbr0-liitäntäni, toisin sanoen virtuaalinen verkkoliitäntä (sisäinen), jonka kautta kannettava tietokone kommunikoi virtuaalipalvelimeni kanssa (ja päinvastoin)

-p tcp : Määritän protokollan, eniten käytetään UDP: tä ja TCP: tä, tässä riitti todellakin jättää tämä mutta ... on tapana määrittää hyväksyttävän protokollan tyyppi

-s 192.168.122.88 : Pakettien lähde, lähde. Toisin sanoen sääntö viittaa paketteihin, jotka tulevat nimenomaisesti IP 192.168.122.88: sta

-J HYVÄKSY : Sanon jo täällä, mitä haluan tehdä edellä mainituilla paketeilla, tässä tapauksessa hyväksyn.

Toisin sanoen, hyväksyn tiivistelmänä paketit, jotka tulevat IP 192.168.122.88: sta, mutta jos haluat kirjoittaa paketteja, jotka tulevat kyseiseltä IP: ltä, MUTTA! He saapuvat käyttöliittymästä, joka ei ole virbr0, eli sanotaan, että he yrittävät syöttää paketteja IP 192.168.122.88: sta, mutta ne ovat Wifi-verkkomme tietokoneelta, jos näin on, paketit hylätään. miksi? Koska määrittelemme selvästi, että kyllä, hyväksymme paketit 192.168.122.88: sta kyllä, mutta ja vain, mutta heidän on myös syötettävä virbr0-liitännältä (sisäinen, virtuaalinen verkkoliitäntä), jos paketit tulevat toisesta rajapinnasta (LAN, RAS, Wifi jne.), Niin niitä ei hyväksytä. Määrittämällä käyttöliittymä, kuten näet, voimme rajoittaa sitä vielä enemmän, voimme paremmin hallita sitä, mitä tietokoneeseen tulee (tai ei).

Pingin hyväksyminen mistä tahansa kodin Wifi-verkon IP-osoitteesta:

Jostain muusta tietokoneesta, joka on yhteydessä Wifiin, jos yritän pingata kannettavaa tietokonetta, haluan sallia sen. syy? Ajatuksena on myös, että seuraavien viikkojen aikana naapuritalon tietokone kytketään verkkoon, joten tietojen jakaminen olisi vähemmän monimutkaista ja sujuvampaa, kun aloitan testien tekemisen linkittääksesi työpöydän Wifi-verkkoon, täytyy pingata kannettavaa tietokonetta yhteyden tarkistamiseksi, jos kannettava tietokone ei pingistä minua takaisin, voin ajatella, että tukiasema epäonnistuu tai että Wifiä käytettäessä tapahtui virhe, siksi haluan sallia pingin.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-TULO : Sama kuin aiemmin, viittaan saapuvaan liikenteeseen

-minä wlo1 : Samanlainen kuin aikaisemmin. Edellisessä tapauksessa määritin virtuaalisen käyttöliittymän, tässä tapauksessa määritän toisen käyttöliittymän, wifi: n: wlo1

-p icmp : Icmp-protokolla, icmp = ping. Eli en salli SSH: ta tai vastaavaa, sallin vain pingin (icmp)

-s 192.168.1.0/24 : Pakettien lähde, niin kauan kuin paketit tulevat IP 192.168.1: sta? hyväksytään

-d 192.168.1.51 : Kohde-IP, eli IP-osoitteeni.

-J HYVÄKSY : Ilmoitan mitä tehdä paketeille, jotka vastaavat edellä mainittuja, hyväksy.

Toisin sanoen, ja selittääkseni tämän juoksevalla tavalla, hyväksyn, että he pingoittavat minua (icmp-protokolla), jonka kohde on nimenomaan IP-osoitteeni, kunhan he tulevat IP-osoitteesta, kuten 192.168.1 .__, mutta eivät myöskään voi tulla mistä tahansa verkkoliitännästä, heidän on syötettävä erityisesti Wifi-verkkoliittymästäni (wlo1)

Hyväksy SSH vain yhdelle IP: lle:

Joskus minun täytyy muodostaa yhteys SSH älypuhelimestani ohjata kannettavaa tietokonetta, siksi minun on sallittava SSH: n pääsy kannettavaan tietokoneeseen Wifi-verkon IP-osoitteista tätä varten:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

Tältä linjalta ainoa asia, joka on erilainen tai ansaitsee tulla esiin, on: –Tuki 22 (SSH-portti, jota käytän)

Toisin sanoen, hyväksyn yritykset muodostaa yhteys kannettavaan tietokoneeseen portin 22 kautta, kunhan ne tulevat wifi: n IP-osoitteesta, heillä on myös oltava IP-osoitteeni tiettyä kohdetta ja myös wlo1-liitännän kautta, wifi: n (ei LAN-verkon jne.)

Salliminen heidän tarkastella verkkosivustoasi:

Se ei ole minun tapaukseni, mutta jos jollakin teistä on isännöity verkkosivusto ja hän ei halua kieltää pääsyä kenellekään, toisin sanoen, että kaikki mistä tahansa pääsevät tälle verkkosivustolle, se on paljon yksinkertaisempaa kuin luulette:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Toisin sanoen tässä he sallivat kaiken saapuvan liikenteen (tcp) portin 80 kautta. Kuten näette, en määritä, mistä IP: stä tai verkosta sallin pääsyn, en määrittelemällä sallittavaa IP-aluetta, iptables olettaa, että haluan sallia pääsy kaikkiin olemassa oleviin IP-alueisiin, toisin sanoen koko maailmaan 🙂

Muut yhdistelmät:

Minulla on monia muita sääntöjä, kuten esimerkiksi IP-pingien hyväksyminen kodin lähiverkosta (tätä varten se on pohjimmiltaan sama rivi kuin yllä, muuttamalla IP-alueita), mikä on enemmän samaa kuin juuri selitin edellä. . kannettavassa tietokoneessa en käytä todella monimutkaisia ​​asioita, kuten yhteyksien rajoittamista, anti DDoS, jätän sen palvelimille, kannettavalla tietokoneellani en tarvitse sitä 🙂

Joka tapauksessa, toistaiseksi artikkeli.

Kuten näette, työskentely iptablesin kanssa ei ole millään tavalla monimutkaista. Kun luot komentosarjan, johon kirjoitat säännöt, se on hyvin yksinkertaista ja muokkaa sitä, lisää tai poista sääntöjä palomuuriin.

En pidä itseäni asiantuntijana aiheesta kaukana siitä huolimatta, että sinulla on epäilyksiä, he kommentoivat täällä, yritän auttaa sinua niin paljon kuin pystyn.

terveiset