tabuľky iptables pre nováčikov, zvedavé, zaujímavé (2. časť)

Kedy DesdeLinux Mal som len pár mesiacov a napísal som mimoriadne jednoduchý návod na pochopenie iptables: tabuľky iptables pre nováčikov, zvedavé, zaujímavé (1. časť) . Pomocou metafor, ako je porovnanie nášho počítača s naším domom, nášho firewallu s dverami domu, ako aj ďalších príkladov, som zábavnou formou bez toľkých technických podrobností a komplikovaných konceptov vysvetlil, čo je firewall, čo sú iptables a ako ho začať používať a konfigurovať. Toto je pokračovanie, 2. časť predchádzajúceho tutoriálu iptables 🙂

Stáva sa, že pred pár dňami pomocou AP (Linksys AP) (prístupový bod) som umiestnil Wifi k domu mojej priateľky, aj keď lokalita nie je z hľadiska technológie najinformovanejšia, to znamená, že neexistuje veľa nebezpečenstiev prasknutia. , je vždy dobrý nápad mať vynikajúcu bezpečnosť v sieti Wifi aj v počítačoch.

Tu nebudem komentovať bezpečnosť Wifi, pretože to nie je cieľom príspevku, zameriam sa na konfiguráciu iptables, ktorú momentálne používam na svojom notebooku.

V predchádzajúcom príspevku som vysvetlil, že je potrebné vo firewalle najskôr zakázať všetku prichádzajúcu komunikáciu, a to z tohto dôvodu:

sudo iptables -P INPUT DROP

Potom musíme povoliť nášmu počítaču povolenie na zadávanie údajov:

sudo iptables -A INPUT -i lo -j ACCEPT

Rovnako ako prijímanie balíkov požiadaviek, ktoré pochádzajú z nášho počítača:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Náš počítač zatiaľ dokáže bez problémov navigovať na internete, ale nikto z iného prostredia (LAN, internet, Wifi atď.) Nebude mať k nášmu počítaču žiadny prístup. Začneme konfigurovať iptables podľa našich potrieb.

Použitie ulogd na výstup protokolov iptables do iného súboru:

Štandardne idú protokoly iptables do denníka jadra, systémového denníka alebo podobne ... v Arche si štandardne, práve teraz ani nepamätám, kam idú, preto používam ulogd aby protokoly iptables boli v inom súbore.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Poskytnutie prístupu na môj súkromný server:

Na virtualizáciu nepoužívam VirtualBox ani nič podobné, mám svoj súkromný server virtualizovaný pomocou Qemu + KVM ktoré musia byť schopné pripojiť sa k môjmu notebooku ako takému, s pravidlami iptables, ktoré som práve špecifikoval vyššie, to nebudú môcť, preto musím dať povolenie na IP môjho virtuálneho servera, aby mal prístup k môjmu notebooku :

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Tento riadok podrobne popíšeme. Je dôležité, aby ste pochopili, čo jednotlivé parametre znamenajú, pretože odteraz sa budú veľa opakovať:

-VSTUP : Hovorím, že vyhlásim pravidlo pre prichádzajúci prenos

-i virbr0 : Vyhlasujem, že rozhranie, cez ktoré budem prijímať prenos, nie je etho (LAN) alebo wlan0 (Wifi), konkrétne hovorím, že je to moje rozhranie virbr0, to znamená virtuálne sieťové rozhranie (interné), cez ktoré komunikuje môj laptop. s mojim virtuálnym serverom (a naopak)

-p TCP : Zadávam protokol, najpoužívanejšie sú UDP a TCP, tu to naozaj stačilo nedať, ale ... je obvyklé určiť typ protokolu, ktorý sa má prijať

-s 192.168.122.88 : Zdroj, zdroj balíkov. Inými slovami, toto pravidlo sa týka paketov, ktoré pochádzajú konkrétne z adresy IP 192.168.122.88

-j PRIJAŤ : Už tu hovorím, čo chcem robiť s balíkmi, ktoré zodpovedajú vyššie uvedenému, v tomto prípade prijať.

Inými slovami, ako zhrnutie prijmem pakety pochádzajúce z adresy IP 192.168.122.88, ale v prípade, že chcete zadať pakety pochádzajúce z tejto adresy IP, ALE! Vstupujú z rozhrania, ktoré nie je virbr0, teda povedzme, že sa pokúšajú zadávať pakety z IP 192.168.122.88, ale sú z počítača v našej sieti Wifi, v takom prípade budú pakety odmietnuté. prečo? Pretože jasne určujeme, že áno, prijímame pakety od 192.168.122.88 áno, ale iba, ale musia tiež vstupovať z rozhrania virbr0 (interné, virtuálne sieťové rozhranie), ak pakety pochádzajú z iného rozhrania (LAN, RAS, Wifi atď.), Potom nebudú akceptované. Špecifikácia rozhrania, ako vidíte, ho môžeme ešte viac obmedziť, môžeme mať lepšiu kontrolu nad tým, čo vstupuje (alebo nevstupuje) do nášho počítača.

Prijímanie príkazov ping z ľubovoľnej adresy IP domácej siete Wifi:

Z nejakého iného počítača, ktorý sa pripája k sieti Wi-Fi, ak chcete vyskúšať ping na môj laptop, chcem to povoliť. dôvod? Myšlienka je tiež taká, že v najbližších týždňoch prepojím počítač v susednom dome so sieťou, takže zdieľanie informácií by bolo menej zložité a plynulejšie, keď začnem robiť testy na prepojenie pracovnej plochy s Wifi, je potrebné skontrolovať ping na môj laptop, aby som skontroloval pripojenie, ak mi môj laptop nevypne ping, myslím si, že zlyháva AP, alebo že sa vyskytla chyba pri prístupe k Wifi, preto chcem ping povoliť.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-VSTUP : Rovnako ako predtým hovorím o prichádzajúcej premávke

- ja chcem 1 : Podobne ako predtým. V predchádzajúcom prípade som určil virtuálne rozhranie, v tomto prípade zadám iné rozhranie, to môjho wifi: wlo1

-p icmp : Protokol Icmp, icmp = ping. To znamená, že nepovoľujem SSH ani nič podobné, povoľujem iba ping (icmp)

-s 192.168.1.0/24 : Zdroj paketov, to znamená, pokiaľ pakety pochádzajú z adresy IP 192.168.1.? bude prijatý

-d 192.168.1.51 : Cieľová adresa IP, to znamená moja adresa IP.

-j PRIJAŤ : Naznačujem, čo robiť s balíkmi, ktoré zodpovedajú vyššie uvedenému, prijať.

To znamená, a aby som to priebežne vysvetlil, akceptujem, že mi pingujú (protokol icmp), ktorého cieľom je konkrétne moja IP adresa, pokiaľ pochádzajú z IP adresy ako napríklad 192.168.1 .__, ale tiež nemôžu prísť z ľubovoľného sieťového rozhrania, musia vstúpiť konkrétne z môjho sieťového rozhrania Wifi (wlo1)

Prijať SSH iba pre jednu adresu IP:

Niekedy sa potrebujem spojiť SSH z môjho smartfónu na ovládanie notebooku, preto musím povoliť prístup SSH k môjmu notebooku z adries IP mojej Wi-Fi, a to z tohto dôvodu:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

Z tohto riadku je jediná vec, ktorá je iná alebo si zaslúži zdôraznenie,: –Dport 22 (Port SSH, ktorý používam)

Inými slovami, akceptujem pokusy o pripojenie k môjmu notebooku cez port 22, pokiaľ pochádzajú z IP mojej wifi, musia tiež mať moju IP ako konkrétny cieľ a tiež pochádzajú cez rozhranie wlo1, to znamená, to z mojej wifi (nie lan, atd.)

Umožniť im zobraziť váš web:

Nie je to môj prípad, ale ak niekto z vás má hostenú webovú stránku a nechce nikomu odoprieť prístup, to znamená, že na ňu má prístup každý odkiaľkoľvek, je to oveľa jednoduchšie, ako si myslíte:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Inými slovami, tu povoľujú všetku prichádzajúcu komunikáciu (tcp) cez port 80. Ako vidíte, nešpecifikujem, z ktorých adries IP alebo siete povoľujem prístup, nezadaním rozsahu adries IP, ktoré umožňujú, iptables predpokladá, že chcem umožniť prístup ku všetkým existujúcim rozsahom adries IP, to znamená k celému svetu 🙂

Iné kombinácie:

Mám veľa ďalších pravidiel, napríklad prijímam ping na adresy IP z domácej siete LAN (jedná sa v podstate o rovnaký riadok ako vyššie, ktorý mení rozsahy adries IP), čo je skôr to isté, ako som vysvetlil vyššie ... notebook ako taký nepoužívam naozaj zložité veci, to obmedzujúce spojenia, anti DDoS, to nechávam na servery, na svojom notebooku to nepotrebujem 🙂

Každopádne zatiaľ článok.

Ako vidíte, práca s iptables nie je nijako zložitá, akonáhle vytvoríte skript, do ktorého napíšete svoje pravidlá, je to veľmi jednoduché, potom ho upravte, pridajte alebo odstráňte pravidlá z vášho firewallu.

Nepovažujem sa za odborníka v tejto oblasti, ani zďaleka nie, napriek akýmkoľvek vašim prípadným otázkam, ktoré tu komentujú, sa vám pokúsim pomôcť, ako budem môcť.

pozdravy