iptables per neofiti, curiosi, interessati (2a parte)

Quando DesdeLinux Avevo solo pochi mesi e ho scritto un tutorial estremamente semplice da capire su iptables: iptables per neofiti, curiosi, interessati (prima parte) . Usando metafore come confrontare il nostro computer con la nostra casa, il nostro firewall con la porta di casa, così come altri esempi, ho spiegato in modo divertente, senza tanti tecnicismi o concetti complicati, cos'è un firewall, cos'è iptables e come iniziare a usarlo e configurare. Questa è la continuazione, la seconda parte del precedente tutorial di iptables 🙂

Succede che qualche giorno fa utilizzando un AP (Access Point) di Linksys ho messo un Wifi a casa della mia ragazza, anche se la località non è la più informata in termini di tecnologia, cioè non è che ci siano molti pericoli di cracking , è sempre una buona idea avere un'eccellente sicurezza sia nel Wifi che nei computer.

Non commenterò qui la sicurezza del Wifi, poiché non è l'obiettivo del post, mi concentrerò sulla configurazione di iptables che attualmente utilizzo sul mio laptop.

Nel post precedente avevo spiegato che è necessario in un firewall prima negare tutto il traffico in entrata, per questo:

sudo iptables -P INPUT DROP

Quindi dobbiamo consentire al nostro computer di avere il permesso di inserire i dati:

sudo iptables -A INPUT -i lo -j ACCEPT

Oltre ad accettare pacchetti di richieste che provengono dal nostro computer:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Finora il nostro computer può navigare in Internet senza problemi, ma nessuno da qualsiasi altro ambiente (LAN, Internet, Wifi, ecc.) Potrà accedere al nostro computer in alcun modo. Inizieremo a configurare iptables in base alle nostre esigenze.

Utilizzando ulogd per visualizzare i log di iptables in un altro file:

Per impostazione predefinita i registri di iptables vanno nel registro del kernel, nel registro di sistema o qualcosa del genere ... in Arch per impostazione predefinita, in questo momento non ricordo nemmeno dove vanno, ecco perché uso ulogd in modo che i log di iptables siano in un altro file.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Dare accesso al mio server privato:

Non uso VirtualBox o qualcosa di simile per virtualizzare, ho virtualizzato il mio server privato con Qemu + KVM che deve essere in grado di connettersi al mio laptop in quanto tale, con le regole di iptables che ho appena specificato sopra non sarà in grado di farlo, ecco perché devo dare il permesso all'IP del mio server virtuale in modo che possa accedere al mio laptop :

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Descriveremo in dettaglio questa riga, è importante che tu capisca cosa significa ogni parametro, perché da ora in poi verranno ripetuti molto:

-UN INGRESSO : Sto dicendo che dichiarerò una regola per il traffico in entrata

-io virbr0 : Dichiaro che l'interfaccia attraverso la quale accetterò il traffico non è etho (LAN) o wlan0 (Wifi), dico specificatamente che è la mia interfaccia virbr0, ovvero l'interfaccia di rete virtuale (interna) attraverso la quale comunica il mio laptop con il mio server virtuale (e viceversa)

-p tcp : Specifico il protocollo, i più usati sono UDP e TCP, qui bastava proprio non metterlo ma ... è consuetudine specificare il tipo di protocollo da accettare

-s192.168.122.88 : L'origine, l'origine dei pacchetti. Cioè, la regola si riferisce ai pacchetti che provengono specificamente dall'IP 192.168.122.88

-j ACCETTO : Già qui dico cosa voglio fare con i pacchetti che corrispondono a quanto sopra, in questo caso accetto.

In altre parole, in sintesi, accetterò pacchetti che provengono dall'IP 192.168.122.88, ma nel caso in cui tu voglia inserire pacchetti che provengono da quell'IP MA! Entrano da un'interfaccia che non è virbr0, cioè diciamo che provano a inserire pacchetti dall'IP 192.168.122.88 ma provengono da un computer nella nostra rete Wifi, in tal caso i pacchetti verranno rifiutati. perché? Perché specifichiamo chiaramente che sì, accettiamo pacchetti da 192.168.122.88 sì, ma e solo ma, devono anche entrare dall'interfaccia virbr0 (interfaccia di rete virtuale interna), se i pacchetti provengono da un'altra interfaccia (LAN, RAS, Wifi, ecc.) Quindi non saranno accettati. Specificando l'interfaccia come puoi vedere possiamo restringerla ancora di più, possiamo avere un controllo migliore su ciò che entra (o non entra) nel nostro computer.

Accettare ping da qualsiasi IP del Wi-Fi domestico:

Da un altro computer che si connette al Wifi, se provi a eseguire il ping del mio laptop voglio consentirlo. Motivo? L'idea è anche quella che nelle prossime settimane collegherò alla rete il pc della casa attigua, così la condivisione delle informazioni sarebbe meno complessa, più fluida, quando comincerò a fare dei test per collegare il desktop al Wifi, lo farò è necessario eseguire il ping del mio laptop per verificare la connettività, se il mio laptop non mi esegue il ping, posso pensare che l'AP non funziona o che si è verificato un errore durante l'accesso al Wifi, ecco perché voglio consentire il ping.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-UN INGRESSO : Come prima, mi riferisco al traffico in entrata

-io wlo1 : Simile a prima. Nel caso precedente ho specificato l'interfaccia virtuale, in questo caso specifico un'altra interfaccia, quella del mio wifi: wlo1

-p icmp : Protocollo Icmp, icmp = ping. Cioè, non sto consentendo SSH o qualcosa di simile, consento solo ping (icmp)

-s192.168.1.0/24 : L'origine dei pacchetti, ovvero, purché i pacchetti provengano da un IP 192.168.1. sarà accettato

-d192.168.1.51 : IP di destinazione, ovvero il mio IP.

-j ACCETTO : Indico cosa fare con i pacchetti che corrispondono a quanto sopra, accetto.

Cioè, e per spiegarlo in modo continuo, accetto che mi eseguano un ping (protocollo icmp) la cui destinazione è specificamente il mio IP, purché provengano da un IP come 192.168.1 .__ ma inoltre, non possono venire da qualsiasi interfaccia di rete, devono entrare specificatamente dalla mia interfaccia di rete Wifi (wlo1)

Accetta SSH solo per un IP:

A volte ho bisogno di connettermi SSH dal mio smartphone per controllare il laptop, ecco perché devo consentire l'accesso SSH al mio laptop dagli IP del mio Wifi, per questo:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

Da questa riga l'unica cosa che è diversa o che merita di essere evidenziata è: –Dport 22 (Porta SSH che utilizzo)

In altre parole, accetto i tentativi di connessione al mio laptop tramite la porta 22, purché provengano da un IP del mio wifi, devono anche avere il mio IP come destinazione specifica e arrivano anche tramite l'interfaccia wlo1, cioè, quella del mio wifi (non la lan, ecc.)

Consentire loro di visualizzare il tuo sito web:

Non è il mio caso, ma se qualcuno di voi ha un sito Web ospitato e non vuole negare l'accesso a nessuno, ovvero che chiunque da qualsiasi luogo possa accedere a quel sito Web, è molto più semplice di quanto si possa pensare:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

In altre parole, qui consentono tutto il traffico in entrata (tcp) attraverso la porta 80. Come puoi vedere, non specifico da quale IP o rete consento l'accesso, non specificando un intervallo IP da consentire, iptables presume che io per consentire l'accesso a tutti gli intervalli IP esistenti, cioè a tutto il mondo 🙂

Altre combinazioni:

Ho molte altre regole come, ad esempio, accettare ping per IP dalla mia LAN domestica (per questo è fondamentalmente la stessa linea di sopra, cambiando gli intervalli IP), che è più o meno la stessa che ho appena spiegato sopra .. . nel mio laptop in quanto tale non uso cose veramente complesse, quella del limitatore di connessioni, anti DDoS, lascio quella ai server, sul mio laptop non ne ho bisogno 🙂

Comunque, finora l'articolo.

Come puoi vedere, lavorare con iptables non è affatto complesso, una volta che hai costruito uno script in cui scrivi le tue regole è molto semplice quindi modificalo, aggiungi o rimuovi regole dal tuo firewall.

Non mi considero un esperto in materia tutt'altro, nonostante i dubbi che potresti avere, commentano qui, cercherò di aiutarti il ​​più possibile.

saluti