иптаблес за почетнике, радознале, заинтересоване (2. део)

Када DesdeLinux Имао сам само неколико месеци и написао сам изузетно једноставан за разумевање туторијал о иптаблес-у: иптаблес за почетнике, радознале, заинтересоване (1. део) . Користећи метафоре попут поређења рачунара са кућом, заштитног зида са вратима куће, као и друге примере, на забаван начин објаснио сам, без толико техничких и сложених концепата, шта је заштитни зид, шта је иптаблес и како започети употребу и конфигурисати. Ово је наставак, 2. део претходног водича за иптаблес 🙂

Дешава се да сам пре неколико дана користећи везу Линкис АП (приступна тачка) ставио Ви-Фи у кућу своје девојке, иако локалитет у технолошком смислу није најинформисанији, односно није да постоји много опасности од пуцања , увек је добра идеја имати изврсну сигурност како на Ви-Фи тако и на рачунарима.

Нећу овде коментарисати безбедност Ви-Фи-ја, јер то није циљ поста, фокусираћу се на конфигурацију иптаблес коју тренутно користим на свом лаптопу.

У претходном посту сам објаснио да је потребно у заштитном зиду прво забранити сав долазни саобраћај, јер ово:

sudo iptables -P INPUT DROP

Тада морамо да дозволимо нашем рачунару да има дозволу за унос података:

sudo iptables -A INPUT -i lo -j ACCEPT

Као и прихватање пакета захтева који потичу са нашег рачунара:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

До сада наш рачунар може без проблема да се креће Интернетом, али нико из било ког другог окружења (ЛАН, Интернет, Вифи, итд.) Неће моћи да приступи нашем рачунару на било који начин. Почећемо да конфигуришемо иптаблес према нашим потребама.

Коришћење улогд-а за излаз иптаблес евиденција у другу датотеку:

Подразумевано иптаблес евиденције иду у дневник језгра, системски дневник или нешто слично ... у Арцху по дефаулту, тренутно се чак ни не сећам куда иду, зато користим улогд тако да су иптаблес евиденције у другој датотеци.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Давање приступа мом приватном серверу:

Не користим ВиртуалБок или било шта слично за виртуелизацију, већ имам виртуелни свој приватни сервер Кему + КВМ који мора бити у стању да се повеже са мојим преносним рачунаром као таквим, са иптаблес правилима која сам управо навео горе неће моћи, зато морам да дам дозволу ИП-у свог виртуелног сервера како би могао да приступи мом преносном рачунару :

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Детаљно ћемо описати овај ред, важно је да разумете шта сваки параметар значи, јер ће се они од сада много понављати:

-УЛАЗ : Кажем да ћу прогласити правило за долазни саобраћај

-и вирбр0 : Изјављујем да интерфејс преко којег ћу прихватити саобраћај није ето (ЛАН) или влан0 (Вифи), изричито кажем да је то мој интерфејс вирбр0, односно виртуелни мрежни интерфејс (интерни) преко којег мој лаптоп комуницира са мојим виртуелним сервером (и обрнуто)

-п тцп : Наводим протокол, најчешће се користе УДП и ТЦП, овде је заиста било довољно да се ово не стави, али ... уобичајено је навести врсту протокола који треба прихватити

-с 192.168.122.88 : Извор, извор пакета. Другим речима, правило се односи на пакете који потичу конкретно са ИП 192.168.122.88

-ј ПРИХВАТИ : Већ овде кажем шта желим да урадим са пакетима који одговарају горе наведеном, у овом случају прихватите.

Другим речима, као резиме, прихватићу пакете који потичу са ИП 192.168.122.88, али у случају да желите да унесете пакете који потичу са те ИП АЛИ! Они улазе са интерфејса који није вирбр0, то јест, рецимо да покушавају да унесу пакете са ИП 192.168.122.88, али су са рачунара у нашој Ви-Фи мрежи, ако је то случај, пакети ће бити одбијени. зашто? Будући да јасно прецизирамо да, прихватамо пакете са 192.168.122.88 да, али и само, али они такође морају да уђу из вирбр0 интерфејса (интерни, виртуелни мрежни интерфејс), ако пакети долазе из другог интерфејса (ЛАН, РАС, ВиФи, итд.) Тада неће бити прихваћени. Одређивањем интерфејса као што видите можемо га још више ограничити, можемо имати бољу контролу над оним што улази (или не улази) у наш рачунар.

Прихватање пинг-а са било које ИП адресе кућног Ви-Фи-ја:

Са другог рачунара који се повезује на Вифи, ако покушате да пингујете мој лаптоп, желим то да дозволим. разлог? Идеја је такође да у наредних неколико недеља повежем рачунар у суседној кући са мрежом, тако да би размена информација била мање сложена и флуиднија, када почнем да радим тестове за повезивање радне површине са Ви-Фи мрежом, треба да пингам лаптоп да бих проверио повезаност, ако ме лаптоп не пинга назад, могу да мислим да АП не успева или да је дошло до грешке приликом приступа Ви-Фи-ју, зато желим да дозволим пинг.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-УЛАЗ : Исто као и раније, мислим на долазни саобраћај

-и вло1 : Слично као раније. У претходном случају сам навео виртуелни интерфејс, у овом случају наведем други интерфејс, онај свог вифи-а: вло1

-п ицмп : Ицмп протокол, ицмп = пинг. Односно, не дозвољавам ССХ или нешто слично, дозвољавам само пинг (ицмп)

-с 192.168.1.0/24 : Извор пакета, односно све док пакети потичу са ИП 192.168.1.? биће прихваћен

-д 192.168.1.51 : ИП одредишта, односно мој ИП.

-ј ПРИХВАТИ : Назначим шта да радим са пакетима који се подударају са горе наведеним, прихватите.

Односно, и да бих то објаснио у трку, прихватам да ме пинг-ују (ицмп протокол) чије је одредиште конкретно моја ИП адреса, све док потичу из ИП-а као што је 192.168.1 .__, али такође не могу доћи са било ког мрежног интерфејса, они морају да уђу конкретно са мог Вифи мрежног интерфејса (вло1)

Прихвати ССХ само за једну ИП адресу:

Понекад треба да се повежем до ССХ са мог паметног телефона за контролу лаптопа, зато морам да дозволим ССХ приступ свом лаптопу са ИП-а Ви-Фи-ја, за ово:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

Из овог ретка једино што се разликује или што заслужује да се истакне је: –Дпорт 22 (ССХ порт који користим)

Односно, прихватам покушаје повезивања са преносним рачунаром преко порта 22, све док долазе са било које ИП адресе мог вифи-а, они такође морају имати моју ИП адресу као одређено одредиште и такође долазе преко интерфејса вло1, то јест мог вифи (не лан, итд.)

Омогућавајући им да виде вашу веб страницу:

То није мој случај, али ако неко од вас има хостовану веб локацију и не жели никоме да ускрати приступ, односно да сви од било ког места могу приступити тој веб локацији, много је једноставније него што мислите:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Другим речима, овде дозвољавају сав долазни саобраћај (тцп) преко порта 80. Као што видите, не прецизирам са којих ИП-ова или мреже дозвољавам приступ, не наводећи опсег ИП-а који ће дозволити, иптаблес претпоставља да желим како би се омогућио приступ свим постојећим опсезима ИП-а, односно целом свету 🙂

Остале комбинације:

Имам многа друга правила као што је, на пример, прихватање пинг-а за ИП-ове из мог кућног ЛАН-а (за ово је у основи исти ред као горе, мењање опсега ИП-а), што је више исто што сам управо објаснио горе. у свом лаптопу као таквом не користим заиста сложене ствари, ограничавање веза, анти ДДоС, остављам то за сервере, на лаптопу ми то није потребно 🙂

Свеједно, засад чланак.

Као што видите, рад са иптаблес-ом није толико сложен или још мање, једном када направите скрипту у коју пишете своја правила, врло је једноставно затим је измените, додајте или уклоните правила на заштитни зид.

Не сматрам се стручњаком за ту тему, далеко од тога, упркос свим питањима која имате, они овде коментаришу, покушаћу да вам помогнем колико год могу.

поздрави