Једноставна конфигурација ИПТаблес-а и примери на Убунту 16.04

Увод

iptablesје моћан алат који се користи за конфигурисање интегрисаног заштитног зида Линук кернела. Долази унапред инсталиран на већини Убунту дистрибуција, али ако користите прилагођену верзију Убунтуа или радите у контејнеру, највероватније ћете морати да је инсталирате ручно.

sudo apt-get install iptables iptables-persistent

Након инсталације, ако будете упитани да ли да сачувате тренутна правила, то тренутно није важно јер ћете касније уклонити или креирати нова правила.

Савети

Можете користити netcatкоманду (на другом рачунару од вашег сервера) да бисте тестирали који су ваши портови отворени или затворени.

nc -z -w5 -v SERVER_IP PORT

• nc је команда нетцат.
• -z само пошаљите пакет без терета.
• -w5 сачекајте до 5 секунди за одговор.
• -v вербосе моде.
• Замените SERVER_IPса адресом вашег сервера.
• Замените PORTпортом који желите да тестирате да ли је отворен (нпр. 22).

На вашем серверу можете користити netstatкоманду да видите који портови тренутно ослушкују везе.

sudo netstat -tulpn

Напомена: Иако netstatје згодно пронаћи портове са којима желите да радите, требало би да будете свесни апликација које сте тренутно инсталирали на вашем серверу и који портови слушају, не морате да дозволите сваки порт који пронађете у netstatизлазу .

Синтакса

sudo iptables -A INPUT -p tcp -m tcp --dport 22 --m geoip --src-cc PE -j ACCEPT

• -A INPUTдодајте правило у INPUTланац, ланац је група правила, она која најчешће користимо у овом водичу биће INPUT, OUTPUTи PREROUTING.
• -p tcpако поставите tcpкао протокол на који ће се ово правило односити, можете користити и друге протоколе као што су udp, icmpили all.
• -m tcpкористите tcpмодул. iptablesподржава додатне функције преко модула, од којих су неки већ унапред инсталирани, iptablesа други, као што је geoipмодул.
• --dport 22команде које почињу са --означавају додатне опције за претходно коришћени модул, у овом случају ћемо рећи tcpмодулу да се примењује само на порт 22.
• -m geoipкористите geoipмодул. То ће ограничити пакете на основу земље (више информација у кораку 5).
• --src-cc PEреците geoipмодулу да ограничи долазне пакете на оне који долазе из Перуа. За више кодова земаља потражите ISO 3166 country codesна интернету.
• -j ACCEPT-jаргумент каже iptablesшта да радимо ако пакет одговара ограничења наведена у претходним аргументима. У овом случају то ће бити ACCEPTти пакети, друге опције су REJECT, DROPи више. Више опција можете пронаћи претраживањем iptables jump targetsна интернету.

1. Основе

Наведите сва правила.

sudo iptables -L

Наведите све команде које су коришћене за креирање тренутно коришћених правила, корисних за уређивање или брисање правила.

sudo iptables -S

Да бисте избрисали одређено правило, изаберите правило из sudo iptables -Sи замените га -Aса -D.

# -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT

sudo iptables -D INPUT -p tcp -m tcp --dport 22 -j ACCEPT

Наведите сва нумерисана правила у INPUTланцу.

sudo iptables -L INPUT --line-numbers

Избришите правило са бројевима.

sudo iptables -D INPUT 2

Да обришете сва правила.

sudo iptables -F

Упозорење: можете изгубити везу ако сте повезани преко ССХ-а .

Очистите само правила у OUTPUTланцу.

sudo iptables -F OUTPUT

2. Креирајте почетна правила

Дозволи SSHна eth0интерфејсу

sudo iptables -A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT

• -i eth0 примените правило на одређени интерфејс, да дозволите уклањање ове команде из било ког интерфејса.

Да ограничите долазне пакете на одређену ИП адресу (тј. 10.0.3.1/32).

sudo iptables -A INPUT -i eth0 -s 10.0.3.1/32 -p tcp -m tcp --dport 22 -j ACCEPT

• -s 10.0.3.1/32 специфицира ИП/подмрежу са које се дозвољавају везе.

Поставите подразумевана правила ланца.

Упозорење: пре него што наставите, проверите да ли сте применили исправна ССХ правила ако радите на удаљеном серверу .

sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP 
sudo iptables -P OUTPUT ACCEPT 

• -P INPUT DROP одбија све долазне пакете (тј. нико неће моћи да се повеже са вашим покренутим серверима као што су Апацхе, СКЛ, итд.).
• -P FORWARD DROP одбија све прослеђене пакете (тј. када користите свој систем као рутер).
• -P OUTPUT ACCEPTдозвољава све одлазне пакете (тј. када извршите HTTPзахтев).

Дозволи сав саобраћај на интерфејсу повратне петље ( препоручено ).

sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A OUTPUT -o lo -j ACCEPT

3. Нека правила буду постојана

Сачувајте тренутна iptablesправила.

sudo netfilter-persistent save
sudo netfilter-persistent reload

Ако радите унутар контејнера, netfilter-persistentкоманда највероватније неће радити, тако да морате поново да конфигуришете iptables-persistentпакет.

sudo dpkg-reconfigure iptables-persistent

4. Дозволите одлазне везе

Дозволи ДНС упите.

sudo iptables -A OUTPUT -p tcp --dport 53 -m state --state NEW -j ACCEPT
sudo iptables -A OUTPUT -p udp --dport 53 -m state --state NEW -j ACCEPT

Користите stateмодул да дозволите RELATEDи ESTABLISHEDодлазне пакете.

sudo iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

Дозволите жељене портове; у овом случају, HTTPпортови.

sudo iptables -A OUTPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT

Више портова које бисте можда желели да користите.

• FTP: тцп на порту 21
• HTTPS: тцп на порту 443
• DHCP: удп на порту 67
• NTP: удп на порту 123

Напомена: Ако желите да дозволите apt-get, можда ће бити потребно дозволити FTPиHTTPS .

Дозволите враћени саобраћај само за RELATEDи већ ESTABLISHEDконекције ( препоручено јер је понекад потребна двосмерна комуникација).

sudo iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

Друга корисна правила

Дозволите пинг захтеве споља.

sudo iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
sudo iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT

Проследите саобраћај на eth0порту 2200на 10.0.3.21:22(корисно ако желите да изложите ССХ сервер који ради унутар контејнера).

sudo iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 2200 -j DNAT --to-destination 10.0.3.21:22

Ако се успешно пријавите на свој сервер помоћу ССХ-а, биће створена стална веза (тј. нема нових веза чак и ако сте повезани дуже од 1 сата). Ако не успете и покушате поново да се пријавите, биће креирана нова веза. Ово ће блокирати континуиране покушаје ССХ пријављивања ограничавањем нових веза по сату.

sudo iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
sudo iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 3600 --hitcount 4 -j DROP

Преусмери све захтеве са порта 443на порт 4430(корисно ако желите да се повежете са портом 443без root).

sudo iptables -t nat -A PREROUTING -i ens3 -p tcp --dport 443 -j REDIRECT --to-port 4430
sudo iptables -A INPUT -p tcp -m tcp --dport 4430 -m geoip --src-cc PE -j ACCEPT

• ens3 мрежни интерфејс.
• -m geoip модул државног блока (погледајте корак 5).

Упозорење: Немојте користити lo, ОС ће одбацити све пакете преусмерене на интерфејс петље .

5. Дозволите или блокирајте читаве земље

5.1 Инсталирајте xtables-addons

xtables-addonsМодул можете инсталирати на различите начине, слободно користите метод инсталације који вам највише одговара.

• Инсталирајте помоћу apt-get.

  sudo apt-get install xtables-addons-common
  

• Инсталирајте помоћу module-assistant.

  sudo apt-get install module-assistant xtables-addons-source
  sudo module-assistant --verbose --text-mode auto-install xtables-addons
  

• Инсталирајте из извора.

  sudo apt-get install git bc libncurses5-dev libtext-csv-xs-perl autoconf automake libtool xutils-dev iptables-dev
  git clone git://git.code.sf.net/p/xtables-addons/xtables-addons
  cd xtables-addons
  ./autogen.sh
  ./configure
  make
  sudo make install
  

Изградите базу података о "земљама".

sudo apt-get install libtext-csv-xs-perl unzip
sudo mkdir /usr/share/xt_geoip
sudo /usr/lib/xtables-addons/xt_geoip_dl
sudo /usr/lib/xtables-addons/xt_geoip_build -D /usr/share/xt_geoip *.csv
sudo rm GeoIPCountryCSV.zip GeoIPCountryWhois.csv GeoIPv6.csv

Поново покрените систем.

sudo reboot

Након xtables-addonsшто је успешно инсталиран, након првог поновног покретања, покрените, depmodиначе блокирање земље неће радити исправно (ово је потребно само први пут).

sudo depmod 

Креирајте скрипту на /etc/cron.monthly/geoip-updaterда бисте ажурирали geoipбазу података месечно.

#!/usr/bin/env bash
# this script is intended to run with sudo privileges

echo 'Removing old database---------------------------------------------------'
rm -rf /usr/share/xt_geoip/*
mkdir -p /usr/share/xt_geoip

echo 'Downloading country databases-------------------------------------------'
mkdir /tmp/geoip-updater
cd /tmp/geoip-updater
/usr/lib/xtables-addons/xt_geoip_dl

echo 'Building geoip database-------------------------------------------------'
/usr/lib/xtables-addons/xt_geoip_build -D /usr/share/xt_geoip *.csv

echo 'Removing temporary files------------------------------------------------'
cd /tmp
rm -rf /tmp/geoip-updater

Направите /etc/cron.monthly/geoip-updaterизвршну.

sudo chmod +x /etc/cron.monthly/geoip-updater

5.2 Примери правила

_Напомена: Ако добијате iptables: No chain/target/match by that nameгрешку када покушавате да примените geoipправило, могуће xtables-addonsје да није исправно инсталирано. Пробајте други метод инсталације.

Блокирајте све долазне пакете из Кине, Хонг Конга, Русије и Кореје.

sudo iptables -A INPUT -m geoip --src-cc CN,HK,RU,KR -j DROP

Дозволите долазне пакете на порту 80са свих страна осим из земаља изнад.

sudo iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT

Дозволите долазне пакете на ens3интерфејсу на порту 22само из Перуа (слободно изаберите позивни број земље из које желите да прихватите пакете, на пример, USза Сједињене Државе).

sudo iptables -A INPUT -i ens3 -p tcp -m tcp --dport 22 -m geoip --src-cc PE -j ACCEPT

Дозволи долазне пакете на порту 443само из Перуа.

sudo iptables -A INPUT -p tcp -m tcp --dport 443 -m geoip --src-cc PE -j ACCEPT