iptables за почетници, iousубопитни, заинтересирани (2-ри дел)

Кога имав само неколку месеци Линукс, напишав многу едноставен за разбирање упатство за iptables: iptables за почетници, iousубопитни, заинтересирани (1 дел) . Користејќи метафори, како што е споредување на нашиот компјутер со нашата куќа, нашиот заштитен allид со вратата од куќата, како и други примери, објаснив на забавен начин, без толку многу технички карактеристики или комплицирани концепти, што е заштитен allид, што е iptables и како да започнете да го користите и конфигурирате. Ова е продолжение, 2-ри дел од претходното упатство за iptables 🙂

Се случува пред неколку дена да користам Linksys AP (Access Point) да ставам Wifi во куќата на мојата девојка, иако локалитетот не е најупатен од аспект на технологија, односно не е дека има многу опасности од пукање , секогаш е добра идеја да имате одлична безбедност и во Wi-Fi и во компјутерите.

Нема да коментирам за безбедноста на Wi-Fi тука, бидејќи тоа не е целта на објавата, ќе се фокусирам на конфигурацијата на iptables што во моментов ја користам на мојот лаптоп.

Во претходниот пост објаснив дека е потребно во заштитен allид прво да се негира целиот влезен сообраќај, за ова:

sudo iptables -P INPUT DROP

Тогаш мора да дозволиме нашиот сопствен компјутер да има дозвола за внесување податоци:

sudo iptables -A INPUT -i lo -j ACCEPT

Како и прифаќање на пакети барања кои потекнуваат од нашиот компјутер:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Досега нашиот компјутер може да навигира на Интернет без проблеми, но никој од која било друга околина (LAN, интернет, Wi-Fi, итн.) Нема да може да пристапи до нашиот компјутер на кој било начин. Toе започнеме да ги конфигурираме iptables според нашите потреби.

Користење на ulogd за излез на дневниците на iptables во друга датотека:

Стандардно, дневниците за iptables одат во дневникот на јадра, системскиот дневник или нешто слично ... во Arch стандардно, сега не се ни сеќавам каде одат, затоа користам улог така што дневниците на iptables се во друга датотека.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Давање пристап до мојот приватен сервер:

Јас не користам VirtualBox или нешто слично на виртуелизирање, имам виртуелизиран мојот приватен сервер Qemu + KVM што мора да може да се поврзе со мојот лаптоп како таков, со правилата за iptables што ги посочив погоре, нема да може, затоа морам да дадам дозвола за IP на мојот виртуелен сервер за да може да има пристап до мојот лаптоп :

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Toе ја детализираме оваа линија, важно е да разберете што значи секој параметар, бидејќи тие отсега ќе се повторуваат многу:

-ВЛЕЗ : Велам дека ќе прогласам правило за влезен сообраќај

-и вирбр0 : Изјавувам дека интерфејсот преку кој ќе го прифатам сообраќајот не е ето (LAN) или wlan0 (Wifi), конкретно велам дека тоа е мојот интерфејс virbr0, односно виртуелниот мрежен интерфејс (внатрешен) преку кој комуницира мојот лаптоп со мојот виртуелен сервер (и обратно)

-p tcp : Јас го специфицирам протоколот, најчесто користени се UDP и TCP, тука беше навистина доволно да не се стави ова, но ... вообичаено е да се наведе типот на протокол што треба да се прифати

-с 192.168.122.88 : Изворот, изворот на пакетите. Со други зборови, правилото се однесува на пакети кои доаѓаат конкретно од IP 192.168.122.88

-j ПРИФААТ : Веќе тука велам што сакам да направам со пакетите што одговараат на горенаведеното, прифатете го во овој случај.

Со други зборови, како резиме, ќе прифатам пакети кои доаѓаат од IP 192.168.122.88, но во случај да сакате да внесете пакети кои доаѓаат од таа IP НО! Влегуваат од интерфејс кој не е virbr0, односно да речеме дека се обидуваат да внесат пакети од IP 192.168.122.88, но тие се од компјутер во нашата Wifi мрежа, ако е така, пакетите ќе бидат одбиени. зошто? Бидејќи јасно прецизираме дека да, прифаќаме пакети од 192.168.122.88 да, но и само но, тие исто така треба да влезат од интерфејсот virbr0 (внатрешен, виртуелен мрежен интерфејс), ако пакетите доаѓаат од друг интерфејс (LAN, RAS, Wi-Fi, итн.) Тогаш тие нема да бидат прифатени. Со специфицирање на интерфејсот, како што можете да видите, можеме да го ограничиме уште повеќе, можеме да имаме подобра контрола врз она што влегува (или не влегува) во нашиот компјутер.

Прифаќање пинг од која било IP на домашна Wi-Fi:

Од некој друг компјутер што се поврзува со Wi-Fi, ако се обидете да ми го пинг лаптопот, сакам да го дозволам тоа. причина? Идејата е исто така во следните неколку недели да го поврзам компјутерот во соседната куќа со мрежата, така што споделувањето информации ќе биде помалку комплексно, пофлуидно, кога ќе започнам да правам тестови за поврзување на работната површина со Wifi, ќе треба да го пингам мојот лаптоп за да ја проверам поврзаноста, ако мојот лаптоп не ме врати, можам да мислам дека АП не успева или има грешка при пристап до Wi-Fi, затоа сакам да дозволам пинг-картичка.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-ВЛЕЗ : Исто како порано, се осврнувам на дојдовниот сообраќај

- јас ќе1 : Слично како порано. Во претходниот случај го наведов виртуелниот интерфејс, во овој случај наведувам друг интерфејс, оној на мојот wifi: wlo1

-p icmp : Icmp протокол, icmp = пинг. Тоа е, јас не дозволувам SSH или нешто слично, дозволувам само пинг (icmp)

-с 192.168.1.0/24 : Изворот на пакетите, односно сè додека пакетите потекнуваат од IP 192.168.1.? ќе бидат прифатени

-д 192.168.1.51 : IP-дестинација, т.е. мојата IP-адреса.

-j ПРИФААТ : Посочувам што да правам со пакетите што одговараат на горенаведеното, прифати.

Тоа е, и за да го објаснам ова на трчачки начин, прифаќам дека ме пингуваат (протокол од icmp) чија дестинација е конкретно мојата IP, сè додека доаѓаат од IP како што е 192.168.1 .__, но исто така и тие не можат да дојдат од кој било мрежен интерфејс, тие треба да влезат конкретно од мојот мрежен интерфејс Wifi (wlo1)

Прифатете SSH само за една IP:

Понекогаш треба да се поврзам од SSH од мојот паметен телефон за контрола на лаптопот, затоа мора да дозволам SSH пристап до мојот лаптоп од IP-адресите на мојот Wi-Fi, за ова:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

Од оваа линија единственото нешто што е различно или што заслужува да се истакне е: –Дорт 22 (SSH порта што ја користам)

Со други зборови, прифаќам обиди да се поврзам со мојот лаптоп преку портата 22, сè додека доаѓаат од IP на мојот wifi, тие исто така треба да ја имаат мојата IP како одредена дестинација и исто така да доаѓаат преку интерфејсот wlo1, т.е. оној на мојот wifi (не lan, итн.)

Овозможувајќи им да ја видат вашата веб-страница:

Не е мој случај, но ако некој од вас има хостирана веб-страница и не сака да му забрани пристап до никого, односно дека секој од каде било може да пристапи до таа веб-страница, тоа е многу поедноставно отколку што може да мислите:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Со други зборови, овде тие го дозволуваат целиот дојдовен сообраќај (tcp) преку портата 80. Како што можете да видите, јас не наведувам од кои IP-мрежи или мрежа дозволувам пристап, не наведувајќи IP опсег што ќе го дозволам, iptables претпоставува дека сакам да се овозможи пристап до сите постоечки опсези на IP, односно до целиот свет

Други комбинации:

Имам многу други правила, како што е, на пример, прифаќање пинг за IP од мојот домашен LAN (за ова во основа е истата линија како погоре, менување на опсезите на IP), што е повеќе од истото што го објаснив погоре .. во мојот лаптоп како таков не користам навистина комплексни работи, тоа на ограничување на врските, анти DDoS, го оставам тоа за серверите, на мојот лаптоп не ми треба

Како и да е, досега статијата.

Како што можете да видите, работата со iptables не е толку сложена или уште помалку, откако ќе изградите скрипта во која ќе ги напишете вашите правила, тоа е многу едноставно, потоа изменете го, додадете или отстранете правила на вашиот заштитен allид.

Јас не се сметам за експерт за оваа тема, далеку од тоа, и покрај сите прашања што ги имате, тие коментираат овде, ќе се обидам да ви помогнам колку што можам.

Со почит