iptables cho người mới, tò mò, thích thú (Phần 2)

Khi DesdeLinux Tôi chỉ mới được vài tháng tuổi và tôi đã viết một bài hướng dẫn cực kỳ đơn giản dễ hiểu về iptables: iptables cho người mới, tò mò, thích thú (phần 1) . Sử dụng các phép ẩn dụ như so sánh máy tính của chúng ta với ngôi nhà của chúng ta, tường lửa của chúng ta với cánh cửa của ngôi nhà, cũng như các ví dụ khác, tôi đã giải thích một cách thú vị, không có quá nhiều kỹ thuật hoặc khái niệm phức tạp, tường lửa là gì, iptables là gì và cách bắt đầu sử dụng nó và cấu hình. Đây là phần tiếp theo, phần thứ 2 của hướng dẫn iptables trước 🙂

Chuyện xảy ra là cách đây vài ngày khi sử dụng Linksys AP (Access Point) tôi có đặt Wifi tại nhà bạn gái, tuy ở địa phương không phải là người am hiểu nhất về công nghệ, tức là không có nhiều nguy cơ bị bẻ khóa, nó luôn Một ý tưởng hay để có bảo mật tuyệt vời cả trong Wifi và máy tính.

Tôi sẽ không bình luận về bảo mật Wi-Fi ở đây, vì nó không phải là mục tiêu của bài đăng, tôi sẽ tập trung vào cấu hình iptables mà tôi hiện đang sử dụng trên máy tính xách tay của mình.

Trong bài trước, tôi đã giải thích rằng cần phải có tường lửa để từ chối tất cả lưu lượng đến trước tiên, vì điều này:

sudo iptables -P INPUT DROP

Sau đó, chúng tôi phải cho phép máy tính của mình có quyền nhập dữ liệu:

sudo iptables -A INPUT -i lo -j ACCEPT

Cũng như chấp nhận các gói yêu cầu bắt nguồn từ máy tính của chúng tôi:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Cho đến nay máy tính của chúng tôi có thể điều hướng Internet mà không gặp sự cố, nhưng không ai từ bất kỳ môi trường nào khác (LAN, Internet, Wifi, v.v.) sẽ có thể truy cập máy tính của chúng tôi theo bất kỳ cách nào. Chúng tôi sẽ bắt đầu cấu hình iptables theo nhu cầu của chúng tôi.

Sử dụng ulogd để xuất nhật ký iptables sang một tệp khác:

Theo mặc định, nhật ký iptables đi trong nhật ký hạt nhân, nhật ký hệ thống, hoặc những thứ tương tự ... trong Arch theo mặc định, ngay bây giờ tôi thậm chí không nhớ chúng đi đâu, đó là lý do tại sao tôi sử dụng ulogd để các nhật ký iptables nằm trong một tệp khác.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Cấp quyền truy cập vào máy chủ riêng của tôi:

Tôi không sử dụng VirtualBox hoặc bất kỳ thứ gì tương tự để ảo hóa, tôi đã ảo hóa máy chủ riêng của mình với Qemu + KVM mà phải có thể kết nối với máy tính xách tay của tôi, với các quy tắc iptables mà tôi vừa chỉ định ở trên, nó sẽ không thể thực hiện được, đó là lý do tại sao tôi phải cấp quyền cho IP của máy chủ ảo của mình để nó có thể truy cập máy tính xách tay của tôi:

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Chúng tôi sẽ trình bày chi tiết dòng này, điều quan trọng là bạn phải hiểu ý nghĩa của từng tham số, bởi vì chúng sẽ được lặp lại rất nhiều từ bây giờ:

- ĐẦU VÀO : Tôi đang nói rằng tôi sẽ tuyên bố một quy tắc cho lưu lượng truy cập vào

-i vibr0 : Tôi tuyên bố rằng giao diện mà tôi sẽ chấp nhận lưu lượng thông qua đó không phải etho (LAN) hoặc wlan0 (Wifi), tôi đặc biệt nói rằng đó là giao diện virbr0 của tôi, nghĩa là, giao diện mạng ảo (nội bộ) mà máy tính xách tay của tôi giao tiếp với máy chủ ảo của tôi (và ngược lại)

-p tcp : Tôi chỉ định giao thức, được sử dụng nhiều nhất là UDP và TCP, ở đây thực sự là đủ để không đặt điều này nhưng ... theo thói quen là chỉ định loại giao thức để chấp nhận

-s 192.168.122.88 : Nguồn, nguồn của các gói. Đó là, quy tắc đề cập đến các gói đặc biệt đến từ IP 192.168.122.88

-j CHẤP NHẬN : Đã có ở đây tôi nói những gì tôi muốn làm với các gói phù hợp với ở trên, trong trường hợp này là chấp nhận.

Nói cách khác, như một bản tóm tắt, tôi sẽ chấp nhận các gói đến từ IP 192.168.122.88, nhưng trong trường hợp bạn muốn nhập các gói đến từ IP đó NHƯNG! Họ nhập từ một giao diện không phải là virbr0, tức là họ cố gắng nhập các gói từ IP 192.168.122.88 nhưng họ đến từ một máy tính trong mạng Wifi của chúng tôi, nếu đúng như vậy, các gói sẽ bị từ chối. tại sao? Bởi vì chúng tôi chỉ định rõ ràng rằng có, chúng tôi chấp nhận các gói từ 192.168.122.88 có, nhưng và chỉ nhưng, chúng cũng phải nhập từ giao diện virbr0 (nội bộ, giao diện mạng ảo), nếu các gói đến từ giao diện khác (LAN, RAS, Wifi, vv) thì chúng sẽ không được chấp nhận. Bằng cách chỉ định giao diện như bạn có thể thấy, chúng tôi có thể hạn chế nó hơn nữa, chúng tôi có thể kiểm soát tốt hơn những gì đi vào (hoặc không vào) máy tính của mình.

Chấp nhận ping từ bất kỳ IP nào của Wifi gia đình:

Từ một số máy tính khác kết nối với Wifi, nếu bạn cố gắng ping máy tính xách tay của tôi, tôi muốn cho phép. lý do? Ý tưởng cũng là trong vài tuần tới để liên kết PC của ngôi nhà bên cạnh với mạng, vì vậy việc chia sẻ thông tin sẽ ít phức tạp hơn, trôi chảy hơn, khi tôi bắt đầu thực hiện các bài kiểm tra để liên kết máy tính để bàn với Wifi, tôi sẽ cần ping của mình. máy tính xách tay để kiểm tra kết nối, nếu máy tính xách tay của tôi không ping lại tôi có thể nghĩ rằng AP bị lỗi hoặc đã xảy ra lỗi khi truy cập Wifi, đó là lý do tại sao tôi muốn cho phép ping.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

- ĐẦU VÀO : Giống như trước đây, tôi đề cập đến lưu lượng truy cập đến

-tôi wlo1 : Tương tự như trước đây. Trong trường hợp trước, tôi chỉ định giao diện ảo, trong trường hợp này, tôi chỉ định một giao diện khác, đó là wifi của tôi: wlo1

-p icmp : Giao thức Icmp, icmp = ping. Đó là, tôi không cho phép SSH hoặc bất kỳ thứ gì tương tự, tôi chỉ cho phép ping (icmp)

-s 192.168.1.0/24 : Nguồn của các gói, nghĩa là, miễn là các gói đến từ IP 192.168.1.? sẽ được chấp nhận

-d 192.168.1.51 : IP đích, tức là IP của tôi.

-j CHẤP NHẬN : Tôi cho biết phải làm gì với các gói phù hợp với trên, chấp nhận.

Đó là, và để giải thích điều này một cách dễ hiểu, tôi chấp nhận rằng họ ping tôi (giao thức icmp) có đích cụ thể là IP của tôi, miễn là chúng đến từ một IP chẳng hạn như 192.168.1 .__ nhưng ngoài ra, chúng không thể đến từ bất kỳ giao diện mạng nào , họ phải nhập cụ thể từ giao diện mạng Wifi của tôi (wlo1)

Chỉ chấp nhận SSH cho một IP:

Đôi khi tôi cần kết nối bằng SSH từ điện thoại thông minh của tôi để điều khiển máy tính xách tay, đó là lý do tại sao tôi phải cho phép truy cập SSH vào máy tính xách tay của mình từ các IP của Wi-Fi, vì điều này:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

Từ dòng này, điều duy nhất khác biệt hoặc đáng được đánh dấu là: – Cổng 22 (Cổng SSH tôi sử dụng)

Đó là, tôi chấp nhận các nỗ lực kết nối với máy tính xách tay của mình thông qua cổng 22, miễn là chúng đến từ bất kỳ IP nào của wifi của tôi, chúng cũng phải có IP của tôi làm điểm đến cụ thể và cũng đến qua giao diện wlo1, tức là wifi của tôi. (không phải lan, v.v.)

Cho phép họ xem trang web của bạn:

Đó không phải là trường hợp của tôi, nhưng nếu bất kỳ ai trong số các bạn có một trang web được lưu trữ và không muốn từ chối quyền truy cập vào bất kỳ ai, tức là mọi người từ bất kỳ đâu đều có thể truy cập trang web đó, thì điều đó đơn giản hơn nhiều so với bạn nghĩ:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Nói cách khác, ở đây họ đang cho phép tất cả lưu lượng đến (tcp) thông qua cổng 80. Như bạn thấy, tôi không chỉ định IP hoặc mạng nào mà tôi cho phép truy cập, bằng cách không chỉ định dải IP để cho phép, iptables giả định rằng tôi muốn cho phép truy cập tất cả các dải IP hiện có, nghĩa là trên toàn thế giới 🙂

Các kết hợp khác:

Tôi có nhiều quy tắc khác, chẳng hạn như chấp nhận ping cho các IP từ mạng LAN gia đình của tôi (về cơ bản nó giống như dòng ở trên, thay đổi dải IP), giống như tôi vừa giải thích ở trên ... trong máy tính xách tay như vậy tôi không sử dụng những thứ thực sự phức tạp, đó là giới hạn kết nối, chống DDoS, tôi để đó cho máy chủ, trên máy tính xách tay của tôi, tôi không cần nó lo

Dù sao, cho đến nay bài báo.

Như bạn có thể thấy, làm việc với iptables không quá phức tạp, một khi bạn xây dựng một tập lệnh mà bạn viết các quy tắc của mình thì rất đơn giản, sau đó sửa đổi nó, thêm hoặc xóa các quy tắc cho tường lửa của bạn.

Tôi không coi mình là một chuyên gia về chủ đề này, mặc dù bạn có bất kỳ nghi ngờ nào, họ có thể bình luận ở đây, tôi sẽ cố gắng giúp bạn nhiều nhất có thể.

Liên quan