iptables untuk pemula, ingin tahu, berminat (Bahagian 2)

Apabila DesdeLinux solo tenía pocos meses de vida escribí un tutorial extremadamente simple de entender sobre iptables: iptables untuk pemula, ingin tahu, berminat (bahagian 1) . Menggunakan metafora seperti membandingkan komputer kita dengan rumah kita, firewall kita dengan pintu rumah, dan juga contoh lain, saya menerangkan dengan cara yang menghiburkan, tanpa begitu banyak teknikal atau konsep yang rumit, apa itu firewall, apa itu iptables dan bagaimana mula menggunakannya dan konfigurasikan. Ini adalah kesinambungan, bahagian ke-2 dari tutorial iptables sebelumnya 🙂

Ia berlaku bahawa beberapa hari yang lalu menggunakan Linksys AP (Access Point) saya meletakkan Wifi di rumah teman wanita saya, walaupun kawasan ini bukan yang paling berpengetahuan dari segi teknologi, iaitu, tidak ada banyak bahaya keretakan, selalu Idea yang baik untuk mempunyai keselamatan yang sangat baik di Wifi dan di komputer.

Saya tidak akan mengulas mengenai keselamatan Wifi di sini, kerana ini bukan objektif siaran, saya akan memberi tumpuan kepada konfigurasi iptables yang saya gunakan pada komputer riba saya.

Dalam catatan sebelumnya, saya telah menjelaskan bahawa perlu di firewall untuk menolak semua lalu lintas yang masuk, untuk ini:

sudo iptables -P INPUT DROP

Maka kita mesti membiarkan komputer kita sendiri mempunyai kebenaran untuk memasukkan data:

sudo iptables -A INPUT -i lo -j ACCEPT

Serta menerima paket permintaan yang berasal dari komputer kami:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Sejauh ini komputer kita dapat menavigasi internet tanpa masalah, tetapi tidak seorang pun dari persekitaran lain (LAN, internet, Wifi, dll.) Akan dapat mengakses komputer kita dengan cara apa pun. Kami akan mula mengkonfigurasi iptables mengikut keperluan kami.

Menggunakan ulogd untuk mengeluarkan log iptables ke fail lain:

Secara lalai, log iptables masuk dalam kernel log, log sistem, atau seumpamanya ... di Arch secara lalai, sekarang saya tidak ingat ke mana ia pergi, itulah sebabnya saya menggunakan ulogd supaya log iptables ada dalam fail lain.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Memberi akses ke pelayan peribadi saya:

Saya tidak menggunakan VirtualBox atau yang serupa dengan maya, saya mempunyai pelayan peribadi saya yang maya Qemu + KVM yang mesti dapat menyambung ke komputer riba saya seperti itu, dengan peraturan iptables yang saya nyatakan di atas tidak akan dapat, sebab itulah saya harus memberi kebenaran kepada IP pelayan maya saya supaya dapat mengakses komputer riba saya:

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Kami akan memperincikan baris ini, penting bagi anda untuk memahami apa yang dimaksudkan oleh setiap parameter, kerana ia akan berulang dari sekarang:

-PASARAN : Saya mengatakan saya akan menyatakan peraturan untuk lalu lintas masuk

-saya virbr0 : Saya menyatakan bahawa antara muka di mana saya akan menerima trafik bukan eto (LAN) atau wlan0 (Wifi), saya secara khusus mengatakan bahawa itu adalah antara muka virbr0 saya, iaitu antara muka rangkaian maya (dalaman) melalui mana komputer riba saya berkomunikasi dengan pelayan maya saya (dan sebaliknya)

-p tcp : Saya menentukan protokol, yang paling banyak digunakan adalah UDP dan TCP, di sini sudah cukup untuk tidak meletakkan ini tetapi ... adalah kebiasaan untuk menentukan jenis protokol yang akan diterima

-s 192.168.122.88 : Sumber, sumber pakej. Artinya, peraturan tersebut merujuk kepada paket yang datang secara khusus dari IP 192.168.122.88

-j TERIMA : Sudah di sini saya menyatakan apa yang ingin saya lakukan dengan pakej yang sesuai dengan perkara di atas, dalam hal ini terima.

Dengan kata lain, sebagai ringkasan, saya akan menerima paket yang berasal dari IP 192.168.122.88, tetapi sekiranya anda ingin memasukkan paket yang berasal dari IP itu TETAPI! Mereka masuk dari antara muka yang bukan virbr0, iaitu mengatakan bahawa mereka cuba memasukkan paket dari IP 192.168.122.88 tetapi mereka berasal dari komputer di rangkaian Wifi kami, jika demikian, paket akan ditolak. kenapa? Kerana kami menyatakan dengan jelas bahawa ya, kami menerima paket dari 192.168.122.88 ya, tetapi dan hanya tetapi, mereka juga harus memasukkan dari antara muka virbr0 (dalaman, antara muka rangkaian maya), jika paket tersebut berasal dari antara muka lain (LAN, RAS, Wifi, dll) maka mereka tidak akan diterima. Dengan menentukan antara muka seperti yang anda lihat, kita dapat membataskannya lebih jauh lagi, kita dapat mempunyai kawalan yang lebih baik terhadap apa yang memasuki (atau tidak masuk) komputer kita.

Menerima ping dari mana-mana IP Wifi rumah:

Dari beberapa komputer lain yang menyambung ke Wifi, jika anda cuba melakukan ping komputer riba saya, saya mahu membenarkannya. akal? Ideanya juga adalah bahawa dalam beberapa minggu ke depan untuk menghubungkan PC di rumah di sebelah rangkaian, jadi berkongsi maklumat akan menjadi lebih rumit, lebih lancar, ketika saya mula melakukan ujian untuk menghubungkan desktop ke Wifi, saya perlu melakukan ping komputer riba untuk memeriksa kesambungan, jika komputer riba saya tidak menunda saya, saya dapat berfikir bahawa AP gagal, atau ada ralat semasa mengakses Wifi, sebab itulah saya mahu membenarkan ping.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-PASARAN : Sama seperti sebelumnya, saya merujuk kepada lalu lintas masuk

-saya wlo1 : Sama seperti sebelumnya. Dalam kes sebelumnya saya menentukan antara muka maya, dalam kes ini saya menentukan antara muka lain, iaitu wifi saya: wlo1

-p icmp : Protokol Icmp, icmp = ping. Maksudnya, saya tidak membenarkan SSH atau yang serupa, saya hanya membenarkan ping (icmp)

-s 192.168.1.0/24 : Sumber paket, selagi paket itu berasal dari IP 192.168.1.? akan diterima

-d 192.168.1.51 : IP Destinasi, iaitu IP saya.

-j TERIMA : Saya menunjukkan apa yang harus dilakukan dengan pakej yang sesuai dengan perkara di atas, terima.

Maksudnya, dan untuk menerangkan ini secara berjalan, saya menerima bahawa mereka melakukan ping saya (protokol icmp) yang tujuannya adalah IP saya secara khusus, asalkan mereka berasal dari IP seperti 192.168.1 .__ tetapi juga, mereka tidak boleh datang dari antara muka rangkaian mana pun , mereka harus memasukkan secara khusus dari antara muka rangkaian Wifi saya (wlo1)

Terima SSH hanya untuk satu IP:

Kadang-kadang saya perlu berhubung dengan SSH dari telefon pintar saya untuk mengawal komputer riba, sebab itulah saya mesti membenarkan SSH mengakses komputer riba saya dari IP Wifi saya, untuk ini:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

Dari baris ini, satu-satunya perkara yang berbeza atau wajar diketengahkan adalah: –Dport 22 (Port SSH yang saya gunakan)

Maksudnya, saya menerima percubaan untuk menyambung ke komputer riba melalui port 22, selagi mereka berasal dari mana-mana IP wifi saya, mereka juga harus mempunyai IP saya sebagai tujuan tertentu dan juga melalui antara muka wlo1, iaitu wifi saya (bukan lan, dll)

Membolehkan mereka melihat laman web anda:

Ini bukan masalah saya, tetapi jika ada di antara anda yang mempunyai laman web yang dihoskan dan tidak mahu menolak akses kepada sesiapa, iaitu setiap orang dari mana sahaja boleh mengakses laman web itu, jauh lebih mudah daripada yang anda fikirkan:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Dengan kata lain, di sini mereka membenarkan semua lalu lintas masuk (tcp) melalui port 80. Seperti yang anda lihat, saya tidak menentukan dari mana IP atau rangkaian mana yang saya izinkan untuk mengakses, dengan tidak menentukan julat IP yang dibenarkan, iptables menganggap bahawa saya ingin membenarkan akses ke semua julat IP yang ada, iaitu ke seluruh dunia 🙂

Kombinasi lain:

Saya mempunyai banyak peraturan lain seperti, misalnya, menerima ping untuk IP dari LAN rumah saya (untuk ini pada dasarnya adalah garis yang sama seperti di atas, mengubah julat IP), yang lebih kurang sama seperti yang saya jelaskan di atas ... di saya komputer riba seperti itu saya tidak menggunakan perkara yang sangat rumit, iaitu hubungan yang terhad, anti DDoS, saya membiarkannya untuk pelayan, pada komputer riba saya tidak memerlukannya 🙂

Bagaimanapun, setakat ini artikel.

Seperti yang anda lihat, bekerja dengan iptables tidak terlalu rumit atau lebih kurang, setelah anda membina skrip di mana anda menulis peraturan anda, sangat mudah kemudian ubah, tambahkan atau hapus peraturan ke firewall anda.

Saya tidak menganggap diri saya seorang pakar dalam subjek ini, jauh dari itu, walaupun ada sebarang pertanyaan yang anda ada, mereka memberi komen di sini, saya akan berusaha menolong anda semampu saya.

salam