Tutorial utilizare iptables

 

Toate încep cu un prim pas….

1. Ștergere reguli existente

Înainte de a construe un nou set de reguli trebuie resetate toate regulile existente.

Comanda este iptables –F   sau iptables –flush

2. Stabilire reguli implicite

Regula implicit este ACCEPT. Motivul pentru care se folosește iptables este simplu- nu se dorește ca aceasta să rămână  regula  implicită. Se va schimba cu DROP (respingere pachete fără atenționare) pentru   INPUT, FORWARD, and OUTPUT astfel

iptables -P INPUT DROP

iptables -P FORWARD DROP

iptables -P OUTPUT DROP

Dacă pentru INPUT și OUTPUT regula implicit este DROP pentru fiecare excepție firewall trebuiesc definite 2 reguli, una pentru pachetele de intrare și alta pentru pachetele de ieșire

Dacă aveți încredere în utilizatorii rețelei interne  nu rulați comanda iptables -P OUTPUT DROP.  În acest caz trebuiesc definite reguli numai pentru conexiunile de intrare (INPUT din exteriorul rețelei interne către calculatoarele din rețeaua internă). Aceasta este de fapt setarea implicită la rețelele Windows.

3. Blocarea unei adrese IP

Blocarea unei adrese IP se realizează direct cu comanda

iptables -A INPUT -i eth0 -s x.x.x.x -j DROP  

sau

iptables -A INPUT -i eth0 -p tcp -s x.x.x.x  -j DROP  unde x.x.x.x este adresa IP

Tag-ul –A înseamnă adăugarea unei noi reguli. Tagul –p tcp arată că vor fi blocate pachetele transmise prin protocolul TCP. Tagul –j specifică ce se va întâmpla cu pachetele de date astfel ACCEPT –accept, DROP –refuz, QUEQUE- trimiterea în coada de așteptare și RETURN retransmiterea la expeditor.

Tagul -s arată sursa pachetelor de date. Dacă dorim stergerea acestei reguli se folosește tag-ul –D de exemplu

iptables -D INPUT -i eth0 -s x.x.x.x -j DROP  

iptables -D INPUT -i eth0 -p tcp -s x.x.x.x  -j DROP 

Regulile sunt numerotate  de aceea se poate folosi pentru stergere comanda

iptables -D INPUT 1

Pentru a vizualiza regulile din iptables comanda este

iptables -L

O altă modalitatea este folosirea unui fisier script (fișier text făcut executabil cu comanda chmod 700 file.txt și rulat cu comanda  ./file.txt din folderul fișierului

În acest caz putem defini o variabila căreia îi atribuim valoarea adresei IP astfel

BLOCK_THIS_IP="x.x.x.x"

iptables -A INPUT -s "$BLOCK_THIS_IP" -j DROP

Acest mod de lucru în aparență mai complicat este foarte util pentru a vizualiza mai rapid în log-uri adresa IP care generează „trafic suplimentar”.

Se poate bloca traficul de pe o adresă IP pe o anumită interfață de rețea de exemplu

iptables -A INPUT -i eth0 -s "$BLOCK_THIS_IP" -j DROP

iptables -A INPUT -i eth0 -p tcp -s "$BLOCK_THIS_IP" -j DROP

4. Permiterea conexiunilor SSH

Următoarea regulă permite efectuarea de conexiuni SSH pe interfața de rețea  eth0 .

iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

Tagul port permite specificarea unui port anume (în cazul ssh portul 22) iar prefixul -d arată destinația către portul 22 . Similar –sport indică ca sursă a traficului portul 22

Setul de două instrucţiuni este necesar pentru INPUT/OUTPUT. Este recomandat ca în loc de prima instrucțiune pentru ssh să se folosească următoarele

iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW, ESTABLISHED  -m recent --set --name SSH -j ACCEPT

iptables -A INPUT -i eth0 -p tcp --dport 22 -m recent --update --seconds 60 --hitcount 4 --rttl --name SSH -j DROP.

Și, bineînțeles, ar trebui ca portul implicit pentru SSH să fie modificat.

5.Permiterea conexiunilor SSH numai dintr-o anumită reţea

Dacă dorim să fie premise conexiunile SSH numai din reţeaua 192.168.33.0 comanda este

iptables -A INPUT -i eth0 -p tcp -s 192.168.33.0/24 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

În loc de masca restrânsă de reţea se poate folosi masaca extinsă de reţea astfel în loc de

 192.168.33.0/24  folosim 192.168.33.0/255.255.255.0.

6. Permiterea conexiunilor HTTP şi HTTPS

Regulile următoare permit traffic web nesecurizat (Protocolul http port 80)

iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT

Regulile următoare permit traffic web securizat (Protocolul https port 443)

iptables -A INPUT -i eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT

7. Crearea de reguli de acces multiple.

Dacă se doreşte permiterea de conexiuni de intrare de tipuri diferite este suficient să se insereze lista porturilor pe care se efectuează accesul fără a se creea reguli individuale pe fiecare port în parte..

De exemplu pentru a permite conexiuni de intrare SSH, HTTP și HTTPS.

iptables -A INPUT -i eth0 -p tcp -m multiport --dports 22,80,443 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp -m multiport --sports 22,80,443 -m state --state ESTABLISHED -j ACCEPT

Apare tagul –m multiport care precizează o listă de porturi.

8. Permiterea conexiunilor  SSH în rețele externe

Dacă dorim să ne conectăm la un server extern prin  SSH trebuiesc create regulie următoare

iptables -A OUTPUT -o eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

Se observă diferența față de conexiunile de intrare tag-urile NEW și ESTABLISHED se aplică pe OUTPUT iar pe INPUT numai ESTABLISHED, invers față de conexiunile de intrare

9. Permiterea conexiunilor  SSH într-o anumită rețea externă.

Regula următoare permite efectuarea conexiunilor SSH numai pentru o rețea specifică (de exemplu 192.168.33.0 ).

iptables -A OUTPUT -o eth0 -p tcp -d 192.168.33.0/24 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

10. Permiterea conexiunilor  HTTP și HTTPS externe

Pentru a permite traficul HTTPS se folosesc următoarele reguli.

iptables -A OUTPUT -o eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A INPUT -i eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT

Această regulă permite și conexiuni wget.

Pentru a permite conexiuni HTTP se inserează următoarele reguli

iptables -A OUTPUT -o eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A INPUT -i eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT

11. Efectuare Load Balancing pentru traffic web de intrare

Se poate efectua loadbalance cu iptables. Se folosește taguș nth. In exemplu următor efectuăm load balance pe 2 adrese IP pentru HTTPS. Un pachet va fi transmis la o adresă IP iar următorul pachet la altă adresă IP.

iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 2 --packet 0 -j DNAT --to-destination 192.168.1.33:443

iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 2 --packet 1 -j DNAT --to-destination 192.168.1.34:443

12. Permitere ping din exterior în interior

Regulile următoare permit efectuarea de ping-uri către serverele din rețeaua locală.

iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT

13. Permitere ping din interior în exterior

iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT

iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT

14. Permitere Loopback Access

Majoritatea serverelor necesită acces Loopback (localhost -127.0.0.1). Se folosește tagul lo

iptables -A INPUT -i lo -j ACCEPT

iptables -A OUTPUT -o lo -j ACCEPT

15. Permitere trafic din rețeaua internă în rețeaua externă

În mod normal un server firewall are o placă de rețea conectată la rețeaua internă și o pălacă de rețea conectată la internet (rețeaua externă).Pentru a permite traficul din rețeaua externă în rețeaua internă se folosesc următoarele reguli (rețeaua internă este 192.168.1.x și este conectată la server prin interfața eth1.

iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT

Tagul –o reprezintă output destination și tagul –i input destination.

Pentru a efectua corect MASQUERADE regulile sunt :

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -m state --state NEW -i ! eth1 -j ACCEPT

iptables -A FORWARD -i eth0 -o eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A FORWARD -i eth1 -o eth0 -j REJECT

iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

16. Permiterea cererilor către DNS externe

The following rules allow outgoing DNS connections.

iptables -A OUTPUT -p udp -o eth1 --dport 53 -j ACCEPT

iptables -A INPUT -p udp -i eth1 --sport 53 -j ACCEPT

17. Permiterea conexiunilor NIS

Dacă se folosește NIS pentru management conturi utilizator trebuiesc premise conexiuni NIS. Chiar dacă sunt permise conexiunile SSH dacă nu sunt premise conexiunile NIS utilizatorii nu se pot loga.

Porturile NIS sunt alocate dynamic de ypbind la lansarea în execuție.

Folosind comanda rpcinfo –p vedem că sunt folosie porturile 851 și 852 de exemplu. Pentru a identifica port ypbind folosim comanda rpcinfo -p | grep ypbind. Observăm că ypbind utilizează portul 114 e.g.

Permitem conexiuni de intrare tcp and udp pe porturile menționate.

iptables -A INPUT -p tcp --dport 114 -j ACCEPT

iptables -A INPUT -p udp --dport 114 -j ACCEPT

iptables -A INPUT -p tcp --dport 851 -j ACCEPT

iptables -A INPUT -p udp --dport 851 -j ACCEPT

iptables -A INPUT -p tcp --dport 852 -j ACCEPT

iptables -A INPUT -p udp --dport 852 -j ACCEPT

NB.  Dacă se restartează ypbind porturile vor fi altele.

Sunt două soluții:

1) Folosire adresă static pentru serverul NIS

2)Folosirea de scripturi automate care prelucreaza output-ul lui rpcinfo -p .

18. Permiterea cererilor DHCP

Pentru a permite cereri DHCP

iptables -A OUTPUT -o eth0  -p udp --dport 68 -j ACCEPT

iptables -A INPUT -i eth1 -p udp --dport 67 -j ACCEPT

19.Permiterea traficului SAMBA 3 numai în rețeaua curentă

Asumăm că rețeaua locala este 192.168.1.0/24

iptables -A INPUT -s 192.168.1.0/24 -p udp -m udp --dport 137 -j ACCEPT

iptables -A INPUT -s 192.168.1.0/24 -p udp -m udp --dport 138 -j ACCEPT

iptables -A INPUT  -m state --state NEW -m tcp -p tcp -s 192.168.1.0/24 --dport 139 -j ACCEPT

iptables -A INPUT  -m state --state NEW -m tcp -p tcp -s 192.168.1.0/24 --dport 445 -j ACCEPT

20. Permiterea Rsync dintr-o rețea specificată

iptables -A INPUT -i eth0 -p tcp -s 192.168.101.0/24 --dport 873 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth1 -p tcp --sport 873 -m state --state ESTABLISHED -j ACCEPT

21. Permiterea MySQL din rețeaua internă

În mod normal nu se permit conexiuni SQL directe dar este util ca rețeaua locală să se poată conecta la serverul SQL.

iptables -A INPUT -i eth0 -p tcp -s 192.168.33.0/24 --dport 3306 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp --sport 3306 -m state --state ESTABLISHED -j ACCEPT

22. Permiterea traffic Mail

The following rules allow mail traffic. It may be sendmail or postfix.

iptables -A INPUT -i eth0 -p tcp --dport 25 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp --sport 25 -m state --state ESTABLISHED -j ACCEPT

23. Permiterea IMAP și IMAPS

iptables -A INPUT -i eth0 -p tcp --dport 143 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp --sport 143 -m state --state ESTABLISHED -j ACCEPT

Și pentru IMAPS.

iptables -A INPUT -i eth0 -p tcp --dport 993 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp --sport 993 -m state --state ESTABLISHED -j ACCEPT

24. Permiterea POP3 și POP3S

iptables -A INPUT -i eth0 -p tcp --dport 110 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp --sport 110 -m state --state ESTABLISHED -j ACCEPT

Și pentru POP3S.

iptables -A INPUT -i eth0 -p tcp --dport 995 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp --sport 995 -m state --state ESTABLISHED -j ACCEPT

25. Prevenirea DoS Attack

Următoarea regulă ajută la reducerea efectelor atacurilor Denial of Service (DoS) attack pe webserverul dumneavoastră.

iptables -A INPUT -p tcp --dport 80 -m limit --limit 60/minute --limit-burst 10 -j ACCEPT

În acest exemplu

·       -m limit: Tagul – limit definește limită de conexiuni

·       –limit 60/minute: Există o limitare de maximum 60 conexiuni pe minut. Această valoare poate fi modificată

·       –limit-burst 5: Această valoare indică că limitarea conexiunilor va fi aplicată numai după  lce numărul conexiunilor va depăși 60 conexiuni în ultimile 5 minute.

·        

26. Port Forwarding

Următorul exemplu arată modul în care traficul extern pe portul 6022 va fi transferat pe portul 22.

iptables -t nat -A PREROUTING -p tcp -d 192.168.101.37 --dport 6022 -j DNAT --to 192.168.101.37:22

De asemena trebuiesc premise conexiunile pe portul 6022

iptables -A INPUT -i eth0 -p tcp --dport 6022 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp --sport 6022 -m state --state ESTABLISHED -j ACCEPT

27. Blocarea traficului de la adresă fizică MAC

iptables -A INPUT -m mac --mac-source x:x:x:x:x:x -j DROP

iptables -A FORWARD -m mac --mac-source x:x:x:x:x:x -j DROP

Dacă dorim permiterea traficului doar de la o adresă MAC regulile sunt

iptables -A INPUT -m mac! --mac-source x:x:x:x:x:x -j DROP

iptables -A FORWARD -m mac! --mac-source x:x:x:x:x:x -j DROP

Se observă apariția tag-ului ! care reprezintă cunoscutul not (sensul mac! este nu această adresă)

28. Log pachete drop

Este foarte util să se efectueze log cu toate pachetele drop. Aceasta este întotdeauna ultima regulă în iptables.

Prima data se creează un nou chain numit LOGGING.

iptables -N LOGGING

După aceea toate conexiunile de intrare sunt rulate prin LOGGING cu comanda

iptables -A INPUT -j LOGGING

Vom loga pachetele sub o denumire particularizată.

iptables -A LOGGING -m limit --limit 2/min -j LOG --log-prefix "Packet Drops: " --log-level 7

În final se dă DROP la aceste pachete.

iptables -A LOGGING -j DROP

Descărcați acest tutorial în format PDF