iptables kezdőknek, kíváncsi, érdeklődő (2. rész)

Mikor DesdeLinux Még csak néhány hónapos voltam, és egy rendkívül egyszerűen érthető oktatóanyagot írtam az iptables-ról: iptables kezdőknek, kíváncsi, érdeklődő (1. rész) . Olyan metaforák segítségével, mint például a számítógépünk összehasonlítása a házunkkal, a tűzfal a ház ajtajával, valamint más példák, szórakoztató módon, annyi technikai és bonyolult koncepció nélkül elmagyaráztam, hogy mi a tűzfal, mi az iptables, és hogyan kell elkezdeni használni, és Beállítás. Ez a folytatás, az előző iptables oktatóanyag 2. része

Előfordul, hogy néhány nappal ezelőtt a Linksys AP (Access Point) használatával Wifi-t tettem a barátnőm házába, bár a helység nem a legismertebb a technológia szempontjából, vagyis nem az, hogy a repedéseknek sok veszélye van, hanem mindig Jó ötlet a Wifi és a számítógépek kiváló biztonsága.

Itt nem kommentálom a Wi-Fi biztonságát, mivel ez nem a bejegyzés célja, arra az iptables konfigurációra koncentrálok, amelyet jelenleg a laptopomon használok.

Az előző bejegyzésben kifejtettem, hogy egy tűzfalban először meg kell tagadni az összes bejövő forgalmat, ehhez:

sudo iptables -P INPUT DROP

Ezután engedélyeznünk kell saját számítógépünk számára az adatok bevitelét:

sudo iptables -A INPUT -i lo -j ACCEPT

A számítógépünkről származó kérések csomagjainak elfogadása mellett:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Eddig számítógépünk problémamentesen tud navigálni az interneten, de más környezetből (LAN, Internet, Wifi stb.) Senki sem férhet hozzá semmilyen módon. Megkezdjük az iptables konfigurálását az igényeinknek megfelelően.

Az ulogd használatával az iptables naplóit egy másik fájlba bocsátja ki:

Alapértelmezés szerint az iptables naplók a kernel naplóba, a rendszer naplóba, vagy valami hasonlóba mennek ... alapértelmezés szerint az Arch-ban, most már nem is emlékszem hova mennek, ezért használom ulogd hogy az iptables naplók egy másik fájlban legyenek.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Hozzáférés biztosítása a privát szerverhez:

Nem a VirtualBox-ot vagy hasonlót használok a virtualizáláshoz, a privát szerveremet virtualizálom Qemu + KVM amelynek képesnek kell lennie a laptopomra, mint olyanra csatlakozni, az iptables-szabályokkal, amelyeket a fentiekben adtam meg, ez nem lesz képes, ezért engedélyt kell adnom a virtuális szerverem IP-jére, hogy az hozzáférhessen a laptopomhoz:

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Részletezni fogjuk ezt a sort, fontos, hogy megértsd, mit jelentenek az egyes paraméterek, mert ezentúl sokat fognak ismételni:

-BEMENET : Azt mondom, hogy deklarálni fogok egy szabályt a bejövő forgalomra

-i virbr0 : Kijelentem, hogy az a felület, amelyen keresztül elfogadom a forgalmat, nem etho (LAN) vagy wlan0 (Wifi), kifejezetten azt mondom, hogy ez az én virbr0 interfészem, vagyis az a virtuális hálózati interfész (belső), amelyen keresztül a laptopom kommunikál a virtuális szerverem (és fordítva)

-p tcp : Megadom a protokollt, a leggyakrabban használt UDP és TCP, itt tényleg elég volt nem ezt feltenni, de ... szokás megadni az elfogadandó protokoll típusát

-s 192.168.122.88 : A csomagok forrása, forrása. Más szavakkal, a szabály olyan csomagokra vonatkozik, amelyek kifejezetten az IP 192.168.122.88 IP-címről származnak

-j ELFOGADÁS : Már itt mondom, hogy mit akarok kezdeni a fentieknek megfelelő csomagokkal, ebben az esetben elfogadom.

Más szóval, összefoglalásképpen elfogadom az IP 192.168.122.88 IP-címről érkező csomagokat, de abban az esetben, ha az IP-ből származó csomagokat akarja megadni, DE! Olyan felületről lépnek be, amely nem virbr0, azaz mondjuk megpróbálnak csomagokat megadni az IP 192.168.122.88 IP-címről, de a Wifi hálózatunk számítógépéről származnak, ha ez így van, akkor a csomagokat elutasítják. miért? Mivel egyértelműen meghatározzuk, hogy igen, elfogadjuk a 192.168.122.88 kezdetű csomagokat igen, de és csak, de nekik is be kell lépniük a virbr0 interfészről (belső, virtuális hálózati interfész), ha a csomagok másik interfészről származnak (LAN, RAS, Wifi, stb.), akkor nem fogadják el őket. A felület megadásával, amint láthatja, még jobban korlátozhatjuk, jobban ellenőrizhetjük, mi lép be (vagy nem lép be) a számítógépünkbe.

A ping elfogadása az otthoni Wifi bármely IP-jéről:

Valamilyen más számítógépről, amely csatlakozik a Wifihez, ha megpróbálja pingelni a laptopomat, engedélyezni akarom. ok? Az ötlet az is, hogy az elkövetkező néhány hétben a szomszédos házban lévő számítógép összekapcsolása a hálózattal, így az információk megosztása kevésbé bonyolultabb és folyékonyabb lenne, amikor teszteket kezdek végezni az asztal és a Wifi összekapcsolása érdekében, meg kell pingelnem laptop a kapcsolat ellenőrzéséhez, ha a laptopom nem pingel vissza, azt gondolhatom, hogy az AP nem működik, vagy hogy hiba történt a Wifi elérésekor, ezért szeretném engedélyezni a pinget.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-BEMENET : Ugyanúgy, mint korábban, a bejövő forgalomra is utalok

-én wlo1 : Hasonló, mint korábban. Az előző esetben megadtam a virtuális interfészt, ebben az esetben egy másik interfészt, a wifimét: wlo1

-p icmp : Icmp protokoll, icmp = ping. Vagyis nem engedélyezem az SSH-t vagy hasonlót, csak a pinget (icmp) engedélyezem

-s 192.168.1.0/24 : A csomagok forrása, vagyis mindaddig, amíg a csomagok IP 192.168.1. elfogadják

-d 192.168.1.51 : Cél IP, vagyis az én IP.

-j ELFOGADÁS : Jelzem, mit kell kezdeni a fentieknek megfelelő csomagokkal, elfogadom.

Vagyis, hogy ezt futóan megmagyarázzam, elfogadom, hogy pingelnek (icmp protokoll), akiknek a célom kifejezetten az én IP, feltéve, hogy olyan IP-ről származnak, mint például a 192.168.1 .__, de nem érkezhetnek egyetlen hálózati csatolóról sem , kifejezetten a Wifi hálózati felületemről kell belépniük (wlo1)

Csak egy IP-n fogadja el az SSH-t:

Néha csatlakoznom kell SSH az okostelefonomról a laptop vezérléséhez, ezért engedélyeznem kell az SSH hozzáférését a laptopomhoz a Wifi-m IP-jéről, ehhez:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

Ebből a sorból az egyetlen, ami különbözik, vagy érdemes kiemelni: –Dport 22 (Az általam használt SSH port)

Más szavakkal, elfogadom azokat a kísérleteket, amelyek a 22-es porton keresztül csatlakoznak a laptopomhoz, amennyiben a wifim IP-jéről származnak, nekik is meg kell adniuk az IP-t, mint konkrét célpontot, és a wlo1 felületen, vagyis a wifi-n keresztül is. (nem a LAN stb.)

Lehetővé teszi számukra a webhely megtekintését:

Ez nem az én esetem, de ha bármelyikőtöknek van tárolt weboldala, és nem akarja senkinek megtagadni a hozzáférést, vagyis hogy bárhonnan bárki elérheti ezt a weboldalt, az sokkal egyszerűbb, mint gondolná:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Más szavakkal, itt engedélyezik az összes bejövő forgalmat (tcp) a 80-as porton keresztül. Mint látható, nem adom meg, hogy mely IP-kből vagy hálózatokból engedélyezem a hozzáférést, mivel nem adok meg egy IP-tartományt az engedélyezéshez, az iptables feltételezi, hogy engedélyezni szeretném a hozzáférést az összes létező IP tartomány, vagyis az egész világra 🙂

Egyéb kombinációk:

Sok más szabályom van, például elfogadom a pinget az otthoni LAN-ról érkező IP-k számára (ehhez alapvetően ugyanaz a sor, mint fent, megváltoztatva az IP-tartományokat), ami sokkal inkább ugyanaz, mint amit fentebb elmagyaráztam ... laptop, mint olyan, nem használok igazán összetett dolgokat, például a kapcsolatok korlátozását, az anti DDoS-t, ezt a szerverekre bízom, a laptopomon nincs rá szükségem 🙂

Egyébként eddig a cikk.

Amint láthatja, az iptables-szel való munkavégzés semmiképpen sem olyan bonyolult. Ha felépít egy szkriptet, amelybe a szabályokat írja, az nagyon egyszerű, majd módosítsa azt, adjon hozzá vagy távolítson el szabályokat a tűzfalhoz.

Nem tartom magam szakértőnek a témában messze, annak ellenére, hogy kétségei merülnének fel, itt kommentálják, megpróbálok segíteni, amennyire csak tudok.

Üdvözlet