iptables za početnike, znatiželjnike, zainteresirane (2. dio)

Kada DesdeLinux Imao sam samo nekoliko mjeseci i napisao sam vrlo jednostavan za razumijevanje vodič o iptables: iptables za početnike, znatiželjnike, zainteresirane (1. dio) . Koristeći metafore poput usporedbe računala s kućom, vatrozida s vratima kuće, kao i druge primjere, na zabavan sam način, bez toliko tehničkih detalja ili kompliciranih koncepata, objasnio što je vatrozid, što je iptables i kako ga početi koristiti i konfigurirati. Ovo je nastavak, 2. dio prethodnog tutorijala za iptables 🙂

Dogodilo se da sam prije nekoliko dana koristeći Linksys AP (pristupnu točku) stavio Wifi u kuću svoje djevojke, iako lokalitet u tehnološkom smislu nije najinformiraniji, odnosno nije da postoje mnoge opasnosti od pucanja , uvijek je dobra ideja imati izvrsnu sigurnost i na Wifi-ju i na računalima.

Ovdje neću komentirati sigurnost Wi-Fi-ja, jer to nije cilj posta, usredotočit ću se na konfiguraciju iptables koju trenutno koristim na svom prijenosnom računalu.

U prethodnom postu objasnio sam da je potrebno u vatrozidu prvo zabraniti sav dolazni promet, jer ovo:

sudo iptables -P INPUT DROP

Tada moramo dopustiti vlastitom računalu da ima dozvolu za unos podataka:

sudo iptables -A INPUT -i lo -j ACCEPT

Uz prihvaćanje paketa zahtjeva koji potječu s našeg računala:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Do sada se naše računalo može bez problema kretati Internetom, ali nitko iz bilo kojeg drugog okruženja (LAN, Internet, Wifi itd.) Neće moći pristupiti našem računalu na bilo koji način. Počet ćemo konfigurirati iptables prema našim potrebama.

Korištenje ulogd-a za izlaz iptables dnevnika u drugu datoteku:

Prema zadanim postavkama iptables zapisnici idu u dnevnik jezgre, sistemski zapisnik ili nešto slično ... u Archu prema zadanim postavkama, trenutno se čak ni ne sjećam kamo idu, zato koristim ulogd tako da su zapisnici iptables u drugoj datoteci.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Davanje pristupa mom privatnom poslužitelju:

Ne koristim VirtualBox ili bilo što slično za virtualizaciju, moj je privatni poslužitelj virtualiziran sa Qemu + KVM koji se mora moći povezati s mojim prijenosnim računalom kao takvim, s iptables pravilima koja sam upravo naveo gore neće moći, zato moram dati odobrenje za IP svog virtualnog poslužitelja kako bi mogao pristupiti mom prijenosnom računalu :

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Detaljno ćemo opisati ovaj redak, važno je da razumijete što svaki parametar znači, jer će se oni od sada puno ponavljati:

-ULAZ : Kažem da ću proglasiti pravilo za dolazni promet

-i virbr0 : Izjavljujem da sučelje putem kojeg ću prihvatiti promet nije eto (LAN) ili wlan0 (Wifi), izričito kažem da je to moje sučelje virbr0, odnosno virtualno mrežno sučelje (interno) putem kojeg moj prijenosnik komunicira s mojim virtualnim poslužiteljem (i obrnuto)

-p tcp : Navodim protokol, najčešće se koriste UDP i TCP, ovdje je stvarno bilo dovoljno ne staviti ovo, ali ... uobičajeno je odrediti vrstu protokola koji se prihvaća

-s 192.168.122.88 : Izvor, izvor paketa. Drugim riječima, pravilo se odnosi na pakete koji konkretno dolaze s IP-a 192.168.122.88

-j PRIHVATI : Već ovdje kažem što želim učiniti s paketima koji odgovaraju gore navedenom, u ovom slučaju prihvatite.

Drugim riječima, kao sažetak prihvatit ću pakete koji dolaze s IP-a 192.168.122.88, ali u slučaju da želite unijeti pakete koji dolaze s te IP-a, ALI! Ulaze s sučelja koje nije virbr0, odnosno recimo da pokušavaju unijeti pakete s IP-a 192.168.122.88, ali su s računala u našoj Wifi mreži, ako je to slučaj, paketi će biti odbijeni. zašto? Budući da jasno preciziramo da, prihvaćamo pakete iz 192.168.122.88 da, ali i samo, ali oni također moraju ući iz virbr0 sučelja (interno, virtualno mrežno sučelje), ako paketi dolaze iz drugog sučelja (LAN, RAS, Wifi, itd.) Tada neće biti prihvaćeni. Određivanjem sučelja kao što vidite možemo ga još više ograničiti, možemo imati bolju kontrolu nad onim što ulazi (ili ne ulazi) u naše računalo.

Prihvaćanje ping-a s bilo koje IP adrese kućnog Wifi-ja:

Ako pokušate pingirati moje prijenosno računalo s nekog drugog računala koje se spaja na Wifi, želim to dopustiti. razlog? Ideja je također da u sljedećih nekoliko tjedana povežem računalo u susjednoj kući s mrežom, tako da bi razmjena informacija bila manje složena i fluidnija, kad počnem raditi testove za povezivanje radne površine s Wifi-om, moram pingati prijenosno računalo kako bih provjerio povezanost, ako me prijenosno računalo ne vrati, mogu pomisliti da AP ne uspije ili da je došlo do pogreške prilikom pristupa Wi-Fi-ju, zato želim dopustiti ping.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-ULAZ : Isto kao i prije, referiram se na dolazni promet

-ja wlo1 : Slično kao prije. U prethodnom slučaju odredio sam virtualno sučelje, u ovom slučaju specificiram drugo sučelje, ono svog wifi-a: wlo1

-p icmp : Icmp protokol, icmp = ping. Odnosno, ne dopuštam SSH ili nešto slično, dopuštam samo ping (icmp)

-s 192.168.1.0/24 : Izvor paketa, odnosno sve dok paketi dolaze s IP 192.168.1.? bit će prihvaćen

d 192.168.1.51 : IP odredišta, odnosno moj IP.

-j PRIHVATI : Naznačim što učiniti s paketima koji odgovaraju gore navedenom, prihvatite.

Odnosno, i da bih to objasnio u trku, prihvaćam da me ping-uju (icmp protokol) čije je odredište konkretno moja IP adresa, sve dok potječu s IP-a kao što je 192.168.1 .__, ali isto tako, ne mogu doći s bilo kojeg mrežnog sučelja, oni moraju ući posebno s mog Wifi mrežnog sučelja (wlo1)

Prihvati SSH samo za jedan IP:

Ponekad se moram povezati do SSH s mog pametnog telefona za upravljanje prijenosnim računalom, zato moram dopustiti SSH pristup svom prijenosnom računalu s IP-a Wifi-a, za ovo:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

Iz ovog retka jedino što se razlikuje ili što zaslužuje biti istaknuto je: –Dport 22 (SSH priključak koji koristim)

Drugim riječima, prihvaćam pokušaje povezivanja s mojim prijenosnim računalom putem porta 22, sve dok dolaze s IP-a mog wifi-a, oni također moraju imati moju IP kao određeno odredište i također dolaze preko sučelja wlo1, to jest, onaj moje WiFi mreže (ne lan, itd.)

Omogućavanje im da vide vašu web stranicu:

To nije moj slučaj, ali ako bilo tko od vas ima hostiranu web stranicu i ne želi uskratiti pristup nikome, odnosno da svi od bilo kojeg mjesta mogu pristupiti toj web stranici, to je puno jednostavnije nego što mislite:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Drugim riječima, ovdje dopuštaju sav dolazni promet (tcp) preko porta 80. Kao što vidite, ne određujem s kojih IP-ova ili mreže dopuštam pristup, ne navodeći IP raspon koji će dopustiti, iptables pretpostavlja da želim omogućiti pristup svim postojećim rasponima IP-a, odnosno cijelom svijetu 🙂

Ostale kombinacije:

Imam mnoga druga pravila kao što je, na primjer, prihvaćanje pinga za IP-ove iz mog kućnog LAN-a (jer je ovo u osnovi isti redak kao gore, mijenjanje raspona IP-a), što je više isto kao što sam upravo objasnio gore ... laptop kao takav ne koristim stvarno složene stvari, onu ograničavanja veza, anti DDoS, ostavljam to za poslužitelje, na mom laptopu mi to nije potrebno 🙂

Svejedno, zasad članak.

Kao što vidite, rad s iptables-om ni na koji način nije toliko složen, kad jednom napravite skriptu u koju pišete svoja pravila, vrlo je jednostavno, a zatim je izmijenite, dodajte ili uklonite pravila na svoj vatrozid.

Ne smatram se stručnjakom za tu temu, unatoč bilo kakvim sumnjama, oni ovdje komentiraju, pokušat ću vam pomoći koliko god mogu.

pozdravi