iptables สำหรับมือใหม่ขี้สงสัยสนใจ (Part 2)

เมื่อ DesdeLinux ฉันอายุเพียงไม่กี่เดือน และฉันเขียนบทช่วยสอนที่เข้าใจง่ายมากเกี่ยวกับ iptables: iptables สำหรับมือใหม่ขี้สงสัยสนใจ (ตอนที่ 1) . การใช้คำอุปมาอุปไมยเช่นการเปรียบเทียบคอมพิวเตอร์ของเรากับบ้านของเราไฟร์วอลล์ของเรากับประตูบ้านตลอดจนตัวอย่างอื่น ๆ ฉันอธิบายอย่างสนุกสนานโดยไม่ต้องใช้เทคนิคหรือแนวคิดที่ซับซ้อนมากมายไฟร์วอลล์คืออะไร iptables คืออะไรและ วิธีเริ่มใช้งานและกำหนดค่า นี่คือความต่อเนื่องส่วนที่ 2 ของบทช่วยสอน iptables ก่อนหน้า🙂

มันเกิดขึ้นเมื่อไม่กี่วันที่ผ่านมาโดยใช้ Linksys AP (Access Point) ฉันวาง Wifi ไว้ที่บ้านของแฟนแม้ว่าคนในพื้นที่จะไม่ค่อยมีความรู้ด้านเทคโนโลยีมากที่สุดนั่นคือไม่ใช่ว่าจะมีอันตรายมากมายจากการแตก เป็นความคิดที่ดีเสมอที่จะมีการรักษาความปลอดภัยที่ดีเยี่ยมทั้งใน Wifi และในคอมพิวเตอร์

ฉันจะไม่แสดงความคิดเห็นเกี่ยวกับความปลอดภัยของ Wifi ที่นี่เนื่องจากไม่ใช่วัตถุประสงค์ของโพสต์ฉันจะเน้นไปที่การกำหนดค่า iptables ที่ฉันใช้ในแล็ปท็อปของฉัน

ในโพสต์ก่อนหน้านี้ฉันได้อธิบายว่าจำเป็นในไฟร์วอลล์ที่จะต้องปฏิเสธการรับส่งข้อมูลขาเข้าทั้งหมดก่อนสำหรับสิ่งนี้:

sudo iptables -P INPUT DROP

จากนั้นเราต้องอนุญาตให้คอมพิวเตอร์ของเราเองได้รับอนุญาตให้ป้อนข้อมูล:

sudo iptables -A INPUT -i lo -j ACCEPT

เช่นเดียวกับการยอมรับแพ็คเก็ตของคำขอที่มาจากคอมพิวเตอร์ของเรา:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

จนถึงตอนนี้คอมพิวเตอร์ของเราสามารถนำทางอินเทอร์เน็ตได้โดยไม่มีปัญหา แต่ไม่มีใครจากสภาพแวดล้อมอื่น ๆ (LAN, อินเทอร์เน็ต, Wifi และอื่น ๆ ) จะสามารถเข้าถึงคอมพิวเตอร์ของเราได้ทุกทาง เราจะเริ่มกำหนดค่า iptables ตามความต้องการของเรา

การใช้ ulogd เพื่อส่งออกบันทึก iptables ไปยังไฟล์อื่น:

ตามค่าเริ่มต้นบันทึก iptables จะอยู่ในบันทึกเคอร์เนลบันทึกระบบหรืออะไรทำนองนั้น ... ใน Arch ตามค่าเริ่มต้นตอนนี้ฉันจำไม่ได้แล้วว่าพวกเขาไปไหนนั่นเป็นเหตุผลที่ฉันใช้ ยูล็อก เพื่อให้บันทึก iptables อยู่ในไฟล์อื่น

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

การให้สิทธิ์เข้าถึงเซิร์ฟเวอร์ส่วนตัวของฉัน:

ฉันไม่ได้ใช้ VirtualBox หรืออะไรที่คล้ายกับการจำลองเสมือนฉันมีเซิร์ฟเวอร์ส่วนตัวที่จำลองเสมือนด้วย คิวมู + KVM ซึ่งต้องสามารถเชื่อมต่อกับแล็ปท็อปของฉันได้ด้วยกฎ iptables ที่ฉันระบุไว้ข้างต้นจะไม่สามารถทำได้นั่นคือเหตุผลที่ฉันต้องให้สิทธิ์ IP ของเซิร์ฟเวอร์เสมือนของฉันเพื่อให้สามารถเข้าถึงแล็ปท็อปของฉันได้ :

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

เราจะลงรายละเอียดบรรทัดนี้เป็นสิ่งสำคัญที่คุณต้องเข้าใจว่าแต่ละพารามิเตอร์หมายถึงอะไรเพราะจะถูกทำซ้ำหลายครั้งต่อจากนี้:

- อินพุต : ฉันกำลังบอกว่าฉันจะประกาศกฎสำหรับการจราจรขาเข้า

-ฉัน virbr0 : ฉันขอประกาศว่าอินเทอร์เฟซที่ฉันจะยอมรับการรับส่งข้อมูลไม่ใช่ etho (LAN) หรือ wlan0 (Wifi) ฉันบอกโดยเฉพาะว่าเป็นอินเทอร์เฟซ virbr0 ของฉันนั่นคืออินเทอร์เฟซเครือข่ายเสมือน (ภายใน) ที่แล็ปท็อปของฉันสื่อสาร กับเซิร์ฟเวอร์เสมือนของฉัน (และในทางกลับกัน)

-พีทีซีพี : ฉันระบุโปรโตคอลที่ใช้มากที่สุดคือ UDP และ TCP ที่นี่ก็เพียงพอแล้วที่จะไม่ใส่สิ่งนี้ แต่ ... เป็นเรื่องปกติที่จะระบุประเภทของโปรโตคอลที่จะยอมรับ

-s 192.168.122.88 : แหล่งที่มาแหล่งที่มาของแพ็คเกจ กล่าวอีกนัยหนึ่งกฎหมายถึงแพ็กเก็ตที่มาจาก IP 192.168.122.88 โดยเฉพาะ

-j ยอมรับ : แล้วที่นี่ฉันบอกว่าฉันต้องการทำอะไรกับแพ็คเกจที่ตรงกับข้างต้นในกรณีนี้ยอมรับ

กล่าวอีกนัยหนึ่งโดยสรุปฉันจะยอมรับแพ็กเก็ตที่มาจาก IP 192.168.122.88 แต่ในกรณีที่คุณต้องการป้อนแพ็กเก็ตที่มาจาก IP นั้น! พวกเขาเข้าจากอินเทอร์เฟซที่ไม่ใช่ virbr0 นั่นคือสมมติว่าพวกเขาพยายามป้อนแพ็กเก็ตจาก IP 192.168.122.88 แต่มาจากคอมพิวเตอร์ในเครือข่าย Wifi ของเราหากเป็นเช่นนั้นแพ็กเก็ตจะถูกปฏิเสธ ทำไม? เนื่องจากเราระบุอย่างชัดเจนว่าใช่เรายอมรับแพ็กเก็ตจาก 192.168.122.88 ใช่ แต่และเท่านั้น แต่ยังต้องป้อนจากอินเทอร์เฟซ virbr0 (อินเทอร์เฟซเครือข่ายเสมือนภายใน) หากแพ็กเก็ตมาจากอินเทอร์เฟซอื่น (LAN, RAS, Wifi ฯลฯ ) จากนั้นจะไม่ได้รับการยอมรับ ด้วยการระบุอินเทอร์เฟซดังที่คุณเห็นเราสามารถ จำกัด ได้มากขึ้นเราสามารถควบคุมสิ่งที่เข้าสู่คอมพิวเตอร์ของเราได้ดีขึ้น (หรือไม่เข้า)

ยอมรับ ping จาก IP ใด ๆ ของ Wifi ในบ้าน:

จากคอมพิวเตอร์เครื่องอื่นที่เชื่อมต่อกับ Wifi หากคุณพยายาม ping แล็ปท็อปของฉันฉันต้องการอนุญาต เหตุผล? แนวคิดก็คือในอีกไม่กี่สัปดาห์ข้างหน้าเพื่อเชื่อมโยงพีซีของบ้านที่อยู่ติดกับเครือข่ายดังนั้นการแบ่งปันข้อมูลจะซับซ้อนน้อยลงและลื่นไหลมากขึ้นเมื่อฉันเริ่มทำการทดสอบเพื่อเชื่อมโยงเดสก์ท็อปกับ Wifi ฉันจะ จำเป็นต้อง ping แล็ปท็อปของฉันเพื่อตรวจสอบการเชื่อมต่อหากแล็ปท็อปของฉันไม่ ping ฉันกลับมาฉันคิดได้ว่า AP ล้มเหลวหรือมีข้อผิดพลาดเมื่อเข้าถึง Wifi นั่นคือเหตุผลที่ฉันต้องการอนุญาตให้ใช้ ping

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

- อินพุต : เหมือนเดิมฉันอ้างถึงการรับส่งข้อมูลขาเข้า

- ฉัน wlo1 : คล้ายกับเมื่อก่อน ในกรณีก่อนหน้านี้ฉันระบุอินเทอร์เฟซเสมือนในกรณีนี้ฉันระบุอินเทอร์เฟซอื่นนั่นคือ wifi ของฉัน: wlo1

-p ไอซีเอ็มพี : โปรโตคอล Icmp, icmp = ping นั่นคือฉันไม่อนุญาต SSH หรือสิ่งที่คล้ายกันฉันอนุญาตให้ใช้ ping (icmp) เท่านั้น

-ส 192.168.1.0/24 : แหล่งที่มาของแพ็กเก็ตนั่นคือตราบใดที่แพ็กเก็ตนั้นมาจาก IP 192.168.1? จะได้รับการยอมรับ

-d 192.168.1.51 : Destination IP นั่นคือ IP ของฉัน

-j ยอมรับ : ฉันระบุว่าจะทำอย่างไรกับแพ็คเกจที่ตรงกับข้างต้นยอมรับ

นั่นคือและเพื่ออธิบายสิ่งนี้ในทางวิ่งฉันยอมรับว่าพวกเขา ping ฉัน (โปรโตคอล icmp) ซึ่งปลายทางคือ IP ของฉันโดยเฉพาะตราบใดที่มาจาก IP เช่น 192.168.1 .__ แต่ก็ไม่สามารถมาได้ จากอินเทอร์เฟซเครือข่ายใด ๆ พวกเขาต้องป้อนโดยเฉพาะจากอินเทอร์เฟซเครือข่าย Wifi ของฉัน (wlo1)

ยอมรับ SSH สำหรับ IP เดียวเท่านั้น:

บางครั้งฉันต้องเชื่อมต่อด้วย SSH จากสมาร์ทโฟนของฉันเพื่อควบคุมแล็ปท็อปนั่นคือเหตุผลที่ฉันต้องอนุญาตให้ SSH เข้าถึงแล็ปท็อปของฉันจาก IP ของ Wifi สำหรับสิ่งนี้:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

จากบรรทัดนี้สิ่งเดียวที่แตกต่างหรือสมควรได้รับการเน้นคือ: - พอร์ต 22 (พอร์ต SSH ที่ฉันใช้)

กล่าวอีกนัยหนึ่งฉันยอมรับความพยายามในการเชื่อมต่อกับแล็ปท็อปของฉันผ่านพอร์ต 22 ตราบใดที่พวกเขามาจาก IP ของ wifi ของฉันพวกเขาจะต้องมี IP ของฉันเป็นปลายทางที่เฉพาะเจาะจงและยังมาจากอินเทอร์เฟซ wlo1 นั่นคือ wifi ของฉัน (ไม่ใช่ lan ฯลฯ )

อนุญาตให้พวกเขาดูเว็บไซต์ของคุณ:

ไม่ใช่กรณีของฉัน แต่ถ้าคุณมีเว็บไซต์ที่โฮสต์และไม่ต้องการปฏิเสธการเข้าถึงของใคร ๆ นั่นคือทุกคนจากทุกที่สามารถเข้าถึงเว็บไซต์นั้นได้ง่ายกว่าที่คุณคิดไว้มาก:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

กล่าวอีกนัยหนึ่งคือที่นี่อนุญาตให้มีการรับส่งข้อมูลขาเข้าทั้งหมด (tcp) ผ่านพอร์ต 80 อย่างที่คุณเห็นฉันไม่ได้ระบุว่าฉันอนุญาตให้เข้าถึง IP หรือเครือข่ายใดโดยไม่ระบุช่วง IP ที่จะอนุญาต iptables จะถือว่าฉันต้องการ เพื่ออนุญาตให้เข้าถึงช่วง IP ที่มีอยู่ทั้งหมดนั่นคือกับคนทั้งโลก🙂

ชุดอื่น ๆ :

ฉันมีกฎอื่น ๆ อีกมากมายเช่นยอมรับ ping สำหรับ IP จาก LAN ที่บ้านของฉัน (สำหรับสิ่งนี้โดยทั่วไปแล้วจะเป็นบรรทัดเดียวกับด้านบนการเปลี่ยนช่วง IP) ซึ่งเหมือนกับที่ฉันได้อธิบายไว้ข้างต้นมากกว่า .. . ในแล็ปท็อปของฉันฉันไม่ได้ใช้สิ่งที่ซับซ้อนจริงๆที่ จำกัด การเชื่อมต่อต่อต้าน DDoS ฉันปล่อยไว้สำหรับเซิร์ฟเวอร์บนแล็ปท็อปของฉันฉันไม่ต้องการมัน🙂

อย่างไรก็ตามจนถึงตอนนี้บทความ

อย่างที่คุณเห็นการทำงานกับ iptables นั้นไม่ซับซ้อนไม่ว่าจะด้วยวิธีใดก็ตามเมื่อคุณสร้างสคริปต์ที่คุณเขียนกฎของคุณมันจะง่ายมากจากนั้นแก้ไขเพิ่มหรือลบกฎลงในไฟร์วอลล์ของคุณ

ฉันไม่คิดว่าตัวเองเป็นผู้เชี่ยวชาญในเรื่องนี้แม้จะมีคำถามใด ๆ ก็ตามพวกเขาแสดงความคิดเห็นที่นี่ฉันจะพยายามช่วยคุณให้มากที่สุดเท่าที่จะทำได้

ความนับถือ