iptables för nybörjare, nyfikna, intresserade (2: a del)

När DesdeLinux Jag var bara några månader gammal och jag skrev en extremt enkel att förstå handledning om iptables: iptables för nybörjare, nyfikna, intresserade (första delen) . Med metaforer som att jämföra vår dator med vårt hus, vår brandvägg med husets dörr, liksom andra exempel, förklarade jag på ett underhållande sätt utan så många tekniska eller komplicerade koncept, vad är en brandvägg, vad är iptables och hur man börjar använda den och konfigurera. Detta är fortsättningen, den andra delen av föregående iptables-handledning 🙂

Det händer att jag för ett par dagar sedan med hjälp av en Linksys AP (Access Point) satte ett wifi i min flickvän, även om orten inte är den mest kunniga tekniska, det vill säga det är inte så att det finns många faror med sprickbildning, det är alltid En bra idé att ha utmärkt säkerhet både i Wifi och i datorer.

Jag kommer inte att kommentera Wifi-säkerheten här, eftersom det inte är syftet med inlägget, jag kommer att fokusera på iptables-konfigurationen som jag för närvarande använder på min bärbara dator.

I föregående inlägg hade jag förklarat att det är nödvändigt i en brandvägg att först neka all inkommande trafik, för detta:

sudo iptables -P INPUT DROP

Då måste vi tillåta vår egen dator att ha tillstånd att ange data:

sudo iptables -A INPUT -i lo -j ACCEPT

Förutom att acceptera paket med förfrågningar som härstammar från vår dator:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Hittills kan vår dator navigera på internet utan problem, men ingen från någon annan miljö (LAN, internet, Wifi, etc.) kommer att kunna komma åt vår dator på något sätt. Vi ska börja konfigurera iptables efter våra behov.

Använda ulogd för att mata ut iptables-loggarna till en annan fil:

Som standard går iptables-loggarna i kärnloggen, systemloggen eller något liknande ... i Arch som standard, just nu kommer jag inte ens ihåg vart de går, det är därför jag använder ulogd så att iptables-loggarna finns i en annan fil.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Ge åtkomst till min privata server:

Jag använder inte VirtualBox eller något liknande för att virtualisera, jag har min privata server virtualiserad med Qemu + KVM som måste kunna ansluta till min bärbara dator som sådan, med de iptables-regler som jag precis angav ovan kommer den inte att kunna, det är därför jag måste ge behörighet till min virtuella servers IP så att den kan komma åt min bärbara dator:

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Vi kommer att detaljera den här raden, det är viktigt att du förstår vad varje parameter betyder, eftersom de kommer att upprepas mycket från och med nu:

-EN INGÅNG : Jag säger att jag ska förklara en regel för inkommande trafik

-i virbr0 : Jag förklarar att gränssnittet genom vilket jag accepterar trafiken inte är etho (LAN) eller wlan0 (Wifi), jag säger specifikt att det är mitt virbr0-gränssnitt, det vill säga det virtuella nätverksgränssnittet (internt) genom vilket min bärbara dator kommunicerar med min virtuella server (och vice versa)

-p tcp : Jag specificerar protokollet, de mest använda är UDP och TCP, här var det verkligen nog att inte lägga detta men ... det är vanligt att ange vilken typ av protokoll som ska accepteras

-s 192.168.122.88 : Källan, källan till paketen. Med andra ord hänvisar regeln till paket som kommer specifikt från IP 192.168.122.88

-j ACCEPTERA : Redan här säger jag vad jag vill göra med paketen som matchar ovanstående, i det här fallet accepterar.

Med andra ord, som en sammanfattning kommer jag att acceptera paket som kommer från IP 192.168.122.88, men om du vill ange paket som kommer från den IP MEN! De går in från ett gränssnitt som inte är virbr0, det vill säga, låt oss säga att de försöker skriva in paket från IP 192.168.122.88 men de kommer från en dator i vårt Wifi-nätverk, om så är fallet kommer paketen att avvisas. Varför? Eftersom vi tydligt anger att ja, accepterar vi paket från 192.168.122.88 ja, men och bara men de måste också ange från virbr0-gränssnittet (internt, virtuellt nätverksgränssnitt), om paketen kommer från ett annat gränssnitt (LAN, RAS, Wifi, etc) då kommer de inte att accepteras. Genom att ange gränssnittet som du kan se kan vi begränsa det ännu mer, vi kan ha bättre kontroll över vad som kommer in (eller inte går in) på vår dator.

Accepterar ping från vilken IP som helst i hemmets Wifi:

Från någon annan dator som ansluter till Wifi, om du försöker pinga min bärbara dator vill jag tillåta det. anledning? Tanken är också att under de närmaste veckorna att länka datorn i huset intill nätverket, så att dela information skulle vara mindre komplex, mer flytande, när jag börjar göra tester för att länka skrivbordet till Wifi måste jag pinga min bärbar dator för att kontrollera anslutning, om min bärbara dator inte pingar tillbaka kan jag tro att AP misslyckas, eller att det uppstod ett fel vid åtkomst till Wifi, det är därför jag vill tillåta ping.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-EN INGÅNG : Samma som tidigare, jag hänvisar till inkommande trafik

-Jag vill : Liknar tidigare. I föregående fall specificerade jag det virtuella gränssnittet, i det här fallet specificerar jag ett annat gränssnitt, det för mitt wifi: wlo1

-p icmp : Icmp-protokoll, icmp = ping. Det vill säga att jag inte tillåter SSH eller något liknande, jag tillåter bara ping (icmp)

-s 192.168.1.0/24 : Källan till paketen, det vill säga så länge paketen kommer från en IP 192.168.1.? kommer att accepteras

-d 192.168.1.51 : Destination IP, det vill säga min IP.

-j ACCEPTERA : Jag anger vad jag ska göra med paketen som matchar ovanstående, acceptera.

Det vill säga, och för att förklara detta på ett löpande sätt, accepterar jag att de pingar mig (icmp-protokoll) vars mål är specifikt min IP, så länge de kommer från en IP som 192.168.1 .__ men de kan inte heller komma från något nätverksgränssnitt , de måste ange specifikt från mitt Wifi-nätverksgränssnitt (wlo1)

Acceptera SSH endast för en IP:

Ibland måste jag ansluta SSH från min smartphone för att styra den bärbara datorn, det är därför jag måste tillåta SSH-åtkomst till min bärbara dator från IP-adresserna för min Wifi, för detta:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

Från den här raden är det enda som är annorlunda eller som förtjänar att markeras: –Dport 22 (SSH-port jag använder)

Med andra ord accepterar jag försök att ansluta till min bärbara dator via port 22, så länge de kommer från en IP på min wifi, måste de också ha min IP som en specifik destination och kommer också genom wlo1-gränssnittet, det vill säga, min wifi (inte lan, etc)

Tillåt dem att se din webbplats:

Det är inte mitt fall, men om någon av er har en värdwebbplats och inte vill neka någon åtkomst, det vill säga att alla från var som helst kan komma åt den webbplatsen är det mycket enklare än man kanske tror:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Med andra ord, här tillåter de all inkommande trafik (tcp) genom port 80. Som ni kan se anger jag inte från vilka IP-adresser eller nätverk jag tillåter åtkomst, genom att inte ange ett IP-intervall som ska tillåtas, antar iptables att jag vill ha för att ge åtkomst till alla befintliga IP-intervall, det vill säga till hela världen 🙂

Andra kombinationer:

Jag har många andra regler som till exempel att acceptera ping för IP-adresser från mitt hem-LAN (för detta är det i princip samma rad som ovan, att ändra IP-intervall), vilket är mer av samma som jag just förklarade ovan .. i min bärbara dator som sådan använder jag inte riktigt komplexa saker, det att begränsa anslutningar, anti DDoS, jag lämnar det åt servrarna, på min bärbara dator behöver jag det inte 🙂

Hur som helst, hittills artikeln.

Som du kan se är det inte så komplicerat att arbeta med iptables på något sätt. När du har skapat ett skript där du skriver dina regler är det väldigt enkelt att ändra det, lägga till eller ta bort regler i din brandvägg.

Jag anser mig inte vara en expert i ämnet långt ifrån det, trots alla tvivel du kan ha, kommenterar de här, jag kommer att försöka hjälpa dig så mycket jag kan.

hälsningar