iptables voor nieuwkomers, nieuwsgierig, geïnteresseerd (2e deel)

Wanneer DesdeLinux Ik was nog maar een paar maanden oud en schreef een uiterst eenvoudig te begrijpen tutorial over iptables: iptables voor nieuwkomers, nieuwsgierig, geïnteresseerd (1e deel) . Gebruikmakend van metaforen zoals het vergelijken van onze computer met ons huis, onze firewall met de deur van het huis, en andere voorbeelden, legde ik op een vermakelijke manier uit, zonder zoveel technische details of ingewikkelde concepten, wat is een firewall, wat is iptables en hoe u het kunt gebruiken en configureren. Dit is het vervolg, het 2e deel van de vorige iptables-tutorial 🙂

Het gebeurt dat ik een paar dagen geleden met behulp van een Linksys AP (Access Point) een wifi-verbinding bij het huis van mijn vriendin heb geplaatst, hoewel de plaats niet de meest kennis heeft op het gebied van technologie, dat wil zeggen, het is niet zo dat er veel gevaren zijn om te kraken , is het altijd een goed idee om uitstekende beveiliging te hebben, zowel in wifi als in de computers.

Ik zal hier geen commentaar geven op Wi-Fi-beveiliging, aangezien dit niet het doel van de post is, zal ik me concentreren op de iptables-configuratie die ik momenteel gebruik op mijn laptop.

In de vorige post had ik al uitgelegd dat het in een firewall noodzakelijk is om eerst al het inkomende verkeer te weigeren, hiervoor:

sudo iptables -P INPUT DROP

Dan moeten we onze eigen computer toestemming geven om gegevens in te voeren:

sudo iptables -A INPUT -i lo -j ACCEPT

Naast het accepteren van pakketten met verzoeken die afkomstig zijn van onze computer:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Tot dusverre kan onze computer zonder problemen op internet navigeren, maar niemand uit een andere omgeving (LAN, internet, wifi, enz.) Zal op welke manier dan ook toegang hebben tot onze computer. We gaan iptables configureren volgens onze behoeften.

Ulogd gebruiken om de iptables-logboeken naar een ander bestand te sturen:

Standaard gaan de iptables-logboeken in de kernel, het systeemlogboek of iets dergelijks ... standaard in Arch, op dit moment weet ik niet eens meer waar ze naartoe gaan, daarom gebruik ik ulogd zodat de iptables-logboeken in een ander bestand staan.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Toegang geven tot mijn privéserver:

Ik gebruik geen VirtualBox of iets vergelijkbaars met virtualiseren, ik heb mijn privéserver gevirtualiseerd Qemu + KVM die als zodanig verbinding moet kunnen maken met mijn laptop, met de iptables-regels die ik zojuist hierboven heb gespecificeerd, zal het niet kunnen, daarom moet ik toestemming geven aan het IP van mijn virtuele server zodat deze toegang heeft tot mijn laptop :

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

We gaan deze regel in detail uitwerken, het is belangrijk dat je begrijpt wat elke parameter betekent, omdat ze vanaf nu veel zullen worden herhaald:

-EEN INGANG : Ik zeg dat ik een regel ga declareren voor inkomend verkeer

-ik virbr0 : Ik verklaar dat de interface waarmee ik het verkeer accepteer niet etho (LAN) of wlan0 (Wifi) is, ik zeg specifiek dat het mijn virbr0-interface is, dat wil zeggen de virtuele netwerkinterface (intern) waarmee mijn laptop communiceert mijn virtuele server (en vice versa)

-p tcp : Ik specificeer het protocol, de meest gebruikte zijn UDP en TCP, hier was het echt genoeg om dit niet te zeggen, maar ... het is gebruikelijk om het type protocol te specificeren dat moet worden geaccepteerd

-s 192.168.122.88 : De bron, bron van de pakketten. Met andere woorden, de regel verwijst naar pakketten die specifiek afkomstig zijn van het IP 192.168.122.88

-j ACCEPTEREN : Hier al zeg ik wat ik wil doen met de pakketten die overeenkomen met het bovenstaande, in dit geval accepteren.

Met andere woorden, als een samenvatting, zal ik pakketten accepteren die afkomstig zijn van het IP 192.168.122.88, maar voor het geval je pakketten wilt invoeren die van dat IP komen MAAR! Ze komen binnen via een interface die niet virbr0 is, dat wil zeggen, laten we zeggen dat ze pakketten proberen in te voeren vanaf het IP 192.168.122.88, maar ze zijn afkomstig van een computer in ons wifi-netwerk, als dat het geval is, worden de pakketten geweigerd. waarom? Omdat we duidelijk specificeren dat ja, we accepteren pakketten van 192.168.122.88 ja, maar alleen maar, ze moeten ook binnenkomen vanuit de virbr0-interface (interne, virtuele netwerkinterface), als de pakketten afkomstig zijn van een andere interface (LAN, RAS, Wifi, etc) dan worden ze niet geaccepteerd. Door de interface te specificeren, zoals u kunt zien, kunnen we deze nog meer beperken, we kunnen een betere controle hebben over wat onze computer binnenkomt (of niet binnenkomt).

Ping accepteren vanaf elk IP-adres van de wifi thuis:

Vanaf een andere computer die verbinding maakt met wifi, wil ik dit toestaan ​​als je mijn laptop probeert te pingen. reden? Het idee is ook dat ik in de komende weken de pc in het huis naast het netwerk moet koppelen, zodat het delen van informatie minder complex en vloeiender zou zijn. Als ik tests ga doen om de desktop aan wifi te koppelen, moet ik mijn pc pingen. laptop om de connectiviteit te controleren, als mijn laptop me niet terug pingt, kan ik denken dat het AP defect is, of dat er een fout is opgetreden bij het openen van de wifi, daarom wil ik de ping toestaan.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-EEN INGANG : Hetzelfde als voorheen, ik verwijs naar inkomend verkeer

-ik wlo1 : Net als voorheen. In het vorige geval specificeerde ik de virtuele interface, in dit geval specificeer ik een andere interface, die van mijn wifi: wlo1

-p icm : Icmp-protocol, icmp = ping. Dat wil zeggen, ik sta geen SSH of iets dergelijks toe, ik sta alleen ping (icmp) toe

-s 192.168.1.0/24 : De bron van de pakketten, dat wil zeggen, zolang de pakketten afkomstig zijn van een IP 192.168.1.? zal worden geaccepteerd

-d 192.168.1.51 : Destination IP, dat wil zeggen, mijn IP.

-j ACCEPTEREN : Ik geef aan wat te doen met de pakketten die overeenkomen met het bovenstaande, accepteren.

Dat wil zeggen, en om dit op een lopende manier uit te leggen, accepteer ik dat ze me pingen (icmp-protocol) waarvan de bestemming specifiek mijn IP is, zolang ze maar afkomstig zijn van een IP zoals 192.168.1 .__ maar ze kunnen ook niet komen vanaf elke netwerkinterface moeten ze specifiek invoeren vanuit mijn wifi-netwerkinterface (wlo1)

Accepteer SSH alleen voor één IP:

Soms moet ik verbinding maken via SSH vanaf mijn smartphone om de laptop te bedienen, daarom moet ik SSH-toegang tot mijn laptop toestaan ​​vanaf de IP's van mijn wifi, hiervoor:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

Van deze regel is het enige dat anders is of dat het verdient om benadrukt te worden: –Doorvoer 22 (SSH-poort die ik gebruik)

Met andere woorden, ik accepteer pogingen om via poort 22 verbinding te maken met mijn laptop, zolang ze afkomstig zijn van een IP van mijn wifi, ze ook mijn IP als een specifieke bestemming moeten hebben en ook via de wlo1-interface moeten komen, dat wil zeggen, die van mijn wifi (niet de lan, enz.)

Ze toestaan ​​uw website te bekijken:

Dat is niet mijn geval, maar als iemand van jullie een gehoste website heeft en niemand de toegang wil ontzeggen, dat wil zeggen dat iedereen van waar dan ook toegang heeft tot die website, is dat veel eenvoudiger dan je misschien denkt:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Met andere woorden, hier staan ​​ze al het inkomende verkeer (tcp) toe via poort 80. Zoals je kunt zien, specificeer ik niet vanaf welke IP's of welk netwerk ik toegang toesta, door geen IP-bereik op te geven om toe te staan, gaat iptables ervan uit dat ik dat wil om toegang te geven tot alle bestaande IP-bereiken, dat wil zeggen tot de hele wereld 🙂

Andere combinaties:

Ik heb veel andere regels, zoals, bijvoorbeeld, ping accepteren voor IP's van mijn thuis-LAN (hiervoor is het in feite dezelfde regel als hierboven, waarbij de IP-bereiken worden gewijzigd), wat meer van hetzelfde is dat ik zojuist hierboven heb uitgelegd ... in mijn laptop als zodanig gebruik ik niet echt complexe dingen, die van het beperken van verbindingen, anti DDoS, dat laat ik voor de servers, op mijn laptop heb ik het niet nodig 🙂

Hoe dan ook, tot nu toe het artikel.

Zoals je kunt zien, is het werken met iptables op geen enkele manier zo ingewikkeld, als je eenmaal een script hebt gebouwd waarin je je regels schrijft, is het heel eenvoudig om het vervolgens te wijzigen, regels toe te voegen of te verwijderen aan je firewall.

Ik beschouw mezelf niet als een expert op dit gebied, verre van dat, ondanks alle vragen die u heeft, zij reageren hier, ik zal proberen u zo goed mogelijk te helpen.

groeten