iptables для новачків, допитливих, зацікавлених (2-а частина)

Коли DesdeLinux Мені було лише кілька місяців, і я написав надзвичайно простий для розуміння підручник про iptables: iptables для новачків, цікавих, зацікавлених (1-а частина) . Використовуючи такі метафори, як порівняння нашого комп’ютера з нашим будинком, нашого брандмауера з дверима будинку, а також інші приклади, я розважально, без такої кількості технічних чи складних концепцій, пояснив, що таке брандмауер, що таке iptables та як почати використовувати його та налаштувати. Це продовження, 2-а частина попереднього підручника iptables 🙂

Трапляється, що кілька днів тому за допомогою точки доступу Linksys AP (точка доступу) я поставив Wi-Fi у будинку своєї подруги, хоча місцевість не є найбільш обізнаною з точки зору технологій, тобто це не означає, що існує багато небезпек розтріскування , це завжди гарна ідея мати відмінний захист як у Wi-Fi, так і в комп’ютерах.

Я не буду коментувати безпеку Wi-Fi тут, оскільки це не є метою поста, я зупинюсь на конфігурації iptables, яку я зараз використовую на своєму ноутбуці.

У попередньому дописі я пояснив, що в брандмауері потрібно спершу заборонити весь вхідний трафік, для цього:

sudo iptables -P INPUT DROP

Тоді ми повинні дозволити нашому власному комп’ютеру мати дозвіл на введення даних:

sudo iptables -A INPUT -i lo -j ACCEPT

Окрім прийому пакетів запитів, що надходять з нашого комп’ютера:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Поки наш комп’ютер може без проблем керувати Інтернетом, але ніхто з будь-якого іншого середовища (локальної мережі, Інтернету, Wi-Fi тощо) не зможе отримати доступ до нашого комп’ютера будь-яким способом. Ми почнемо налаштовувати iptables відповідно до наших потреб.

Використання ulogd для виведення журналів iptables в інший файл:

За замовчуванням журнали iptables потрапляють у журнал ядра, системний журнал або щось подібне ... в Arch за замовчуванням, зараз я навіть не пам’ятаю, куди вони йдуть, тому я використовую ulogd так що журнали iptables знаходяться в іншому файлі.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Надання доступу до мого приватного сервера:

Я не використовую VirtualBox або щось подібне для віртуалізації, у мене є свій віртуальний приватний сервер Qemu + KVM який повинен мати можливість підключитися до мого ноутбука як такого, з правилами iptables, які я щойно вказав, він не зможе, тому я повинен дати дозвіл на IP мого віртуального сервера, щоб він міг отримати доступ до мого ноутбука :

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Ми збираємося детально описати цей рядок, важливо, щоб ви розуміли, що означає кожен параметр, тому що відтепер вони будуть багато повторюватися:

-ВХІД : Я кажу, що збираюся оголосити правило щодо вхідного трафіку

-і вірбр0 : Я заявляю, що інтерфейс, через який я прийму трафік, не є eto (LAN) або wlan0 (Wifi), я конкретно кажу, що це мій інтерфейс virbr0, тобто віртуальний мережевий інтерфейс (внутрішній), через який мій ноутбук спілкується з моїм віртуальним сервером (і навпаки)

-p tcp : Я вказую протокол, найбільш використовуваними є UDP і TCP, тут насправді було достатньо цього не ставити, але ... прийнято вказувати тип протоколу, який потрібно прийняти

-с 192.168.122.88 : Джерело, джерело пакетів. Іншими словами, правило посилається на пакети, що надходять конкретно з IP 192.168.122.88

-j ПРИЙМІТЬ : Вже тут я кажу, що хочу зробити з пакунками, які відповідають вищезазначеному, в даному випадку приймаю.

Іншими словами, як підсумок, я збираюся приймати пакети, що надходять з IP 192.168.122.88, але у випадку, якщо ви хочете ввести пакети, що надходять з цього IP, АЛЕ! Вони входять з інтерфейсу, який не є virbr0, тобто, скажімо, вони намагаються ввести пакети з IP 192.168.122.88, але вони з комп’ютера в нашій мережі Wi-Fi, якщо це так, пакети будуть відхилені. чому? Оскільки ми чітко вказуємо, що так, ми приймаємо пакети з 192.168.122.88 так, але і тільки, але вони також повинні входити з інтерфейсу virbr0 (внутрішній, віртуальний мережевий інтерфейс), якщо пакети надходять з іншого інтерфейсу (LAN, RAS, Wi-Fi тощо), тоді вони не будуть прийняті. Визначивши інтерфейс, як бачите, ми можемо обмежити його ще більше, ми можемо мати кращий контроль над тим, що входить (або не входить) у наш комп’ютер.

Прийом пінгу з будь-якого IP домашнього Wi-Fi:

З іншого комп’ютера, який під’єднується до Wi-Fi, якщо ви намагаєтеся пінгувати мій ноутбук, я хочу це дозволити. причина? Ідея також полягає в тому, що в найближчі кілька тижнів підключити ПК сусіднього будинку до мережі, тому обмін інформацією буде менш складним і більш плавним, коли я почну проводити тести для прив’язки робочого столу до Wi-Fi, я буду потрібно перевірити свій ноутбук, щоб перевірити підключення, якщо ноутбук не пінгує мене назад, я можу думати, що точка доступу не працює, або що сталася помилка під час доступу до Wi-Fi, тому я хочу дозволити пінг.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-ВХІД : Так само, як і раніше, я маю на увазі вхідний трафік

-я wlo1 : Подібно до раніше. У попередньому випадку я вказав віртуальний інтерфейс, у цьому випадку я вказую інший інтерфейс, це мій wifi: wlo1

-p icmp : Протокол Icmp, icmp = ping. Тобто, я не дозволяю SSH або щось подібне, я дозволяю лише пінг (icmp)

-s 192.168.1.0/24 : Джерело пакетів, тобто до тих пір, поки пакети надходять з IP 192.168.1.? буде прийнято

-д 192.168.1.51 : IP-адреса призначення, тобто моя IP-адреса.

-j ПРИЙМІТЬ : Я вказую, що робити з пакунками, які відповідають вищевказаному, прийміть.

Тобто, і щоб пояснити це в запущеному вигляді, я приймаю, що вони пінгують мене (протокол icmp), місцем призначення якого є саме моя IP-адреса, якщо вони походять з такої IP-адреси, як 192.168.1 .__, але також вони не можуть прийти з будь-якого мережевого інтерфейсу, вони повинні входити спеціально з мого мережевого інтерфейсу Wifi (wlo1)

Приймати SSH лише для одного IP:

Іноді мені потрібно підключитися SSH з мого смартфона для управління ноутбуком, ось чому я повинен дозволити SSH доступ до свого ноутбука з IP-адрес мого Wi-Fi, для цього:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

З цього рядка єдине, що відрізняється або що заслуговує на виділення, це: –Доклад 22 (SSH-порт, який я використовую)

Іншими словами, я приймаю спроби підключитися до свого ноутбука через порт 22, доки вони надходять з IP-адреси мого wi-fi, вони також повинні мати мій IP-адресу як конкретне призначення і також надходити через інтерфейс wlo1, тобто, що мого Wi-Fi (не мережа, і т.д.)

Дозволяючи їм переглядати ваш веб-сайт:

Це не мій випадок, але якщо хтось із вас має розміщений веб-сайт і не хоче нікому відмовляти у доступі, тобто те, що кожен з будь-якого місця може отримати доступ до цього веб-сайту, це набагато простіше, ніж ви думаєте:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Іншими словами, тут вони дозволяють весь вхідний трафік (tcp) через порт 80. Як бачите, я не вказую, з яких IP-адрес або мережі я дозволяю доступ, не вказуючи діапазон IP для дозволу, iptables передбачає, що я хочу дозволити доступ до всіх існуючих діапазонів IP, тобто до цілого світу 🙂

Інші комбінації:

У мене є багато інших правил, таких як, наприклад, приймати пінг для IP-адрес з моєї домашньої локальної мережі (для цього це в основному той самий рядок, що і вище, змінюючи діапазони IP-адрес), який є тим самим, що я тільки що пояснив вище. . у своєму ноутбуці як такому я не використовую справді складних речей, таких як обмеження з'єднань, анти DDoS, я залишаю це для серверів, на ноутбуці це мені не потрібно 🙂

У всякому разі, поки що стаття.

Як бачите, робота з iptables не така вже й складна, коли ви створюєте сценарій, в якому ви пишете свої правила, стає дуже просто, а потім змінюйте його, додайте або видаліть правила у своєму брандмауері.

Я не вважаю себе експертом з даного питання, незважаючи на будь-які сумніви у вас, вони коментують тут, я постараюся допомогти вам чим можу.

привіт