iptables pour les débutants, curieux, intéressés (2ème partie)

Quand DesdeLinux Je n'avais que quelques mois et j'ai écrit un tutoriel extrêmement simple à comprendre sur iptables : iptables pour les débutants, curieux, intéressés (1ère partie) . À l'aide de métaphores telles que comparer notre ordinateur avec notre maison, notre pare-feu avec la porte de la maison, ainsi que d'autres exemples, j'ai expliqué de manière ludique, sans tant de technicité ni de concepts compliqués, ce qu'est un pare-feu, ce qu'est iptables et comment commencer à l'utiliser et le configurer. C'est la suite, la 2ème partie du précédent tutoriel iptables 🙂

Il arrive qu'il y a quelques jours en utilisant un Linksys AP (Access Point) j'ai mis un Wifi chez ma copine, bien que la localité ne soit pas la plus informée en termes de technologie, c'est-à-dire qu'il n'y a pas beaucoup de dangers de fissuration , c'est toujours une bonne idée d'avoir une excellente sécurité à la fois dans le Wifi et dans les ordinateurs.

Je ne commenterai pas ici la sécurité du Wifi, car ce n'est pas l'objectif du post, je me concentrerai sur la configuration iptables que j'utilise actuellement sur mon ordinateur portable.

Dans le post précédent j'avais expliqué qu'il est nécessaire dans un pare-feu de refuser d'abord tout le trafic entrant, pour cela:

sudo iptables -P INPUT DROP

Ensuite, nous devons autoriser notre propre ordinateur à entrer des données:

sudo iptables -A INPUT -i lo -j ACCEPT

En plus d'accepter des paquets de requêtes provenant de notre ordinateur:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Jusqu'à présent, notre ordinateur peut naviguer sur Internet sans problème, mais personne d'un autre environnement (LAN, Internet, Wifi, etc.) ne pourra accéder à notre ordinateur de quelque manière que ce soit. Nous allons commencer à configurer iptables en fonction de nos besoins.

Utilisation d'ulogd pour générer les journaux iptables dans un autre fichier:

Par défaut, les journaux iptables vont dans le noyau, le journal système ou quelque chose comme ça ... dans Arch par défaut, pour le moment, je ne me souviens même pas où ils vont, c'est pourquoi j'utilise ulogd afin que les journaux iptables soient dans un autre fichier.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Donner accès à mon serveur privé:

Je n'utilise pas VirtualBox ou quelque chose de similaire à virtualiser, j'ai mon serveur privé virtualisé avec Qemu + KVM qui doit pouvoir se connecter à mon ordinateur portable en tant que tel, avec les règles iptables que je viens de spécifier ci-dessus, il ne le pourra pas, c'est pourquoi je dois donner la permission à l'IP de mon serveur virtuel pour qu'il puisse accéder à mon ordinateur portable :

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Nous allons détailler cette ligne, il est important que vous compreniez ce que signifie chaque paramètre, car ils seront beaucoup répétés à partir de maintenant:

-UNE ENTRÉE : Je dis que je vais déclarer une règle pour le trafic entrant

-je virbr0 : Je déclare que l'interface par laquelle j'accepterai le trafic n'est pas etho (LAN) ou wlan0 (Wifi), je dis spécifiquement que c'est mon interface virbr0, c'est-à-dire l'interface réseau virtuelle (interne) à travers laquelle mon ordinateur portable communique avec mon serveur virtuel (et vice versa)

-p TCP : Je précise le protocole, les plus utilisés sont UDP et TCP, ici il suffisait vraiment de ne pas mettre ça mais ... il est d'usage de préciser le type de protocole à accepter

-s 192.168.122.88 XNUMX : La source, source des paquets. Autrement dit, la règle se réfère aux paquets qui proviennent spécifiquement de l'IP 192.168.122.88

-j ACCEPTER : Déjà ici je dis ce que je veux faire avec les packages qui correspondent à ce qui précède, dans ce cas accepter.

En d'autres termes, en résumé, je vais accepter les paquets qui proviennent de l'IP 192.168.122.88, mais au cas où vous voudriez entrer des paquets qui proviennent de cette IP MAIS! Ils entrent depuis une interface qui n'est pas virbr0, c'est-à-dire qu'ils essaient de saisir des paquets de l'IP 192.168.122.88 mais ils proviennent d'un ordinateur de notre réseau Wifi, si tel est le cas, les paquets seront rejetés. parce que? Parce que nous spécifions clairement que oui, nous acceptons les paquets de 192.168.122.88 oui, mais et seulement mais, ils doivent également entrer depuis l'interface virbr0 (interface réseau interne virtuelle), si les paquets proviennent d'une autre interface (LAN, RAS, Wifi, etc.) alors ils ne seront pas acceptés. En spécifiant l'interface, comme vous pouvez le voir, nous pouvons la restreindre encore plus, nous pouvons avoir un meilleur contrôle sur ce qui entre (ou n'entre pas) dans notre ordinateur.

Accepter le ping depuis n'importe quelle adresse IP du Wifi domestique:

À partir d'un autre ordinateur qui se connecte au Wifi, si vous essayez d'envoyer une requête ping à mon ordinateur portable, je veux l'autoriser. raison? L'idée est aussi que dans les prochaines semaines pour relier le PC de la maison voisine au réseau, donc le partage d'informations serait moins complexe, plus fluide, quand je commencerai à faire des tests pour relier le bureau au Wifi, je le ferai besoin de cingler mon ordinateur portable pour vérifier la connectivité, si mon ordinateur portable ne me répond pas, je peux penser que l'AP échoue, ou qu'il y a eu une erreur lors de l'accès au Wifi, c'est pourquoi je veux autoriser le ping.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-UNE ENTRÉE : Comme avant, je fais référence au trafic entrant

-je wlo1 : Similaire à avant. Dans le cas précédent j'ai spécifié l'interface virtuelle, dans ce cas je spécifie une autre interface, celle de mon wifi: wlo1

-p icmp : Protocole Icmp, icmp = ping. Autrement dit, je n'autorise pas SSH ou quelque chose de similaire, je n'autorise que le ping (icmp)

-s192.168.1.0/24 : La source des paquets, c'est-à-dire tant que les paquets proviennent d'un IP 192.168.1.? sera accepté

-d 192.168.1.51 : IP de destination, c'est-à-dire mon IP.

-j ACCEPTER : J'indique quoi faire avec les paquets qui correspondent à ce qui précède, acceptez.

Autrement dit, et pour expliquer cela de manière courante, j'accepte qu'ils me cinglent (protocole icmp) dont la destination est spécifiquement mon IP, tant qu'ils proviennent d'une IP telle que 192.168.1 .__ mais aussi, ils ne peuvent pas venir depuis n'importe quelle interface réseau, ils doivent entrer spécifiquement depuis mon interface réseau Wifi (wlo1)

Acceptez SSH uniquement pour une adresse IP:

Parfois, j'ai besoin de me connecter par SSH depuis mon smartphone pour contrôler l'ordinateur portable, c'est pourquoi je dois autoriser l'accès SSH à mon ordinateur portable depuis les IP de mon Wifi, pour cela:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

La seule chose différente de cette ligne ou qui mérite d'être soulignée est: –Dport 22 (Port SSH que j'utilise)

En d'autres termes, j'accepte les tentatives de connexion à mon ordinateur portable via le port 22, tant qu'elles proviennent d'une IP de mon wifi, elles doivent également avoir mon IP comme destination spécifique et également passer par l'interface wlo1, c'est-à-dire celui de mon wifi (pas celui du réseau local, etc.)

Leur permettre de consulter votre site Web:

Ce n'est pas mon cas, mais si l'un d'entre vous a un site Web hébergé et ne veut pas refuser l'accès à qui que ce soit, c'est-à-dire que tout le monde de n'importe où peut accéder à ce site Web, c'est beaucoup plus simple que vous ne le pensez:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

En d'autres termes, ici, ils autorisent tout le trafic entrant (tcp) via le port 80. Comme vous pouvez le voir, je ne spécifie pas à partir de quelles adresses IP ou réseau j'autorise l'accès, en ne spécifiant pas de plage IP à autoriser, iptables suppose que je veux pour permettre l'accès à toutes les plages IP existantes, c'est-à-dire au monde entier 🙂

Autres combinaisons:

J'ai de nombreuses autres règles telles que, par exemple, accepter le ping pour les IP de mon LAN domestique (pour cela, il s'agit essentiellement de la même ligne que ci-dessus, en changeant les plages d'adresses IP), ce qui est plus ou moins le même que je viens d'expliquer ci-dessus. .dans mon ordinateur portable en tant que tel je n'utilise pas de choses vraiment complexes, celle de limiter les connexions, anti DDoS, je laisse ça pour les serveurs, sur mon ordinateur portable je n'en ai pas besoin 🙂

Quoi qu'il en soit, jusqu'à présent l'article.

Comme vous pouvez le voir, travailler avec iptables n'est en aucun cas si complexe, une fois que vous créez un script dans lequel vous écrivez vos règles, c'est très simple, puis modifiez-le, ajoutez ou supprimez des règles à votre pare-feu.

Je ne me considère pas comme un expert en la matière loin de là, malgré les doutes que vous pourriez avoir, commentent-ils ici, je vais essayer de vous aider autant que je peux.

salutations