подробное руководство Iptables

Настройка Linux-файрвола iptables: Руководство для начинающих

Настройка Linux-файрвола iptables: Руководство для начинающих

Iptables — это межсетевой экран для операционных систем Linux. Успешно применять этот инструмент могут не только продвинутые пользователи Linux, но и новички. В этом руководстве представлено описание базовых настроек конфигурации этого мощного файрвола.

Что такое iptables

Как сказано выше, iptables является утилитой, выполняющей функции межсетевого экрана. Ее настройка производится в командной строке, с помощью правил iptables можно разрешать или блокировать прохождение трафика. Когда происходит попытка установления соединения с текущей машиной, iptables просматривает список правил в списке, чтобы понять, как нужно поступить в этом случае. Если правила нет, то выполняется действие по умолчанию.

Как правило, itpables предустанавливается на всех Linux-дистрибутивах. Чтобы обновить утилиту, или установить ее, если по каким-то причинам она отсутствует в базовой поставке, нужно воспользоваться следующей командой:

sudo apt-get install iptables

Существуют и графические инструменты-альтернативы iptables, например Firestarter. но и работа в командной строке не является очень уж сложной. Однако следует соблюдать особенную осторожность при настройке iptables через удаленное ssh-соединение, поскольку одна неверная команда может заблокировать возможность подключения к удаленному серверу — придется каким-то образом вносить изменения в настройки машины физически получив к ней доступ.

Типы правил

Существует три типа правил iptables — input, forward и output.

Input — Такие цепочки используются для контроля поведения входящих соединений. К примеру, если пользователь попробует подключиться к серверу по SSH, то iptables сравнит его IP-адрес со своим списком, чтобы разрешить или запретить доступ.

Forward — Правила этого типа используются для обработки входящих сообщений, конечный пункт назначения которых не является текущим сервером. К примеру, в случае маршрутизатора, к нему подключаются многие пользователи и приложения, но данные не посылаются на сам маршрутизатор, они лишь передаются ему, чтобы он мог перенаправить их адресату. Если вы не занимаетесь настройкой маршрутизации или NAT, то правила этого типа использовать в работе не будете.

Output — Такие цепочки используются для исходящих соединений. К прмиеру, если пользователь пытается отправинг запрос ping к сайту 1cloud.ru, iptables изучит цепочку правил, чтобы понять, что нужно делать в случае ping и этого сайт, и только потом разрешит или запретит соединение.

Даже в случае пинга внешних хостов, нужно не только отправить пакеты к ним, но и получить ответ. При работе с iptables важно помнить, что многие протоколы передачи данных требуют двусторонней коммуникации. Поэтому нужно настраивать правила соответствующим образом — случаи, когда новички забывают разрешить работу с сервером по SSH случаются очень часто.

Поведение по умолчанию

Прежде чем приступать к непосредственной настройке межсетевого экрана, следует определиться с тем, каким должно быть поведение цепочек правил по умолчанию. Другими словами, что iptables нужно делать в том случае, если соединение не подпадает ни под одно из сконфигурированных правил?

Увидеть текущие настройки iptables по умолчанию можно с помощью команды iptables –L:

В данном случае мы также использовали команду grep, чтобы получить более четкий вывод. Как показано на скриншоте, все три цепочки по умолчанию разрешают прием трафика. Чаще всего такое поведение более предпочтительно. Если вы ничего не меняли в правилах, то так оно и должно быть по умолчанию. Если же что-то менялось, а теперь нужно вернуть прежние настройки, то сделать это можно с помощью таких команд:

iptables --policy INPUT ACCEPT
iptables --policy OUTPUT ACCEPT
iptables --policy FORWARD ACCEPT

Предварительно разрешил весь трафик, затем уже можно запрещать соединения с определенных IP-адресов и на определенные порты.

Если же предпочтительнее пойти по другому пути и сначала запретить весь трафик, а затем выборочно разрешать его, то нужно воспользоваться командами из списка ниже:

iptables --policy INPUT DROP
iptables --policy OUTPUT DROP
iptables --policy FORWARD DROP

Действия с соединениями

После настройки поведения межсетевого экрана по умолчанию, можно переходить к созданию правил обработки трафика, чтобы iptables понимал, что делать с конкретным соединением. Ниже мы рассмотрим три основных вида действий с соединениями.

Accept — разрешить соединение;
Drop — игнорировать соединение, вести себя так, будто его никогда не было. Действие подходит для случаев, когда нужно сделать так, чтобы источник запроса не узнал о его блокировке.
Reject — заблокировать соединение и отправить в ответ сообщение об ошибке. Действие подходит для тех случаев, когда владелец сервера хочет дать понять, что соединение заблокировано файрволом.

Вот так выглядит ответ на пинг в каждом из трех случаев

Разрешаем и блокируем конкретные соединения

Настроив политики цепочек, можно переходить к работе с конкретными соединениями. В нашем руководстве мы будет по умолчанию их отклонять, но можно и разрешать или игнорировать.

Мы будем использовать комманду iptables –A, чтобы добавлять правила к существующим цепочкам. Iptables будет начинать с начала списка и проходить по всем правилам, пока не найдет совпадение. Если нужно поместить какое-то правило перед уже имеющимся, то можно использовать команду iptables -I [цепочка] [номер], чтобы указать номер позиции в списке, которую должно занять новое правило.

Соединения с одного IP-адреса

Правило ниже позволяет заблокировать все соединения с IP-адреса 10.10.10.10:

iptables -A INPUT -s 10.10.10.10 -j DROP

Соединения с диапазона адресов

Правило ниже позволяет заблокировать соединения из диапазона IP-адресов 10.10.10.0/24. Для указания диапазона адресов можно использовать стандартную запись маски подсети через слэш или описывать ее в полном варианте:

iptables -A INPUT -s 10.10.10.0/24 -j DROP

iptables -A INPUT -s 10.10.10.0/255.255.255.0 -j DROP

Соединения на конкретный порт

Ниже показано, как заблокировать SSH-соединения с хоста 10.10.10.10:

iptables -A INPUT -p tcp --dport ssh -s 10.10.10.10 -j DROP

Вместо SSH можно указать любой протокол или номер порта. Часть кода –p tcp говорит iptables о типе соединения, которое использует протокол. Если вы блокировали протокол, который использует UDP вместо TCP, то тогда нужно было бы написать –p udp.

Вот так можно заблокировать SSH-соединения с любого IP-адреса.

iptables -A INPUT -p tcp --dport ssh -j DROP

Состояния соединений

Как сказано выше, многие протоколы требуют двусторонних коммуникаций. Например, если нужно разрешить соединения по SSH, то добавить правила надо будет и в цепочку input и в цепочку output. Но что, если нужно только разрешить доступ только входящим соединениям? Разрешит ли добавление правила в цепочку output и исходящие SSH-соединения?

Для таких случаев используются состояния соединений. Они позволяют описывать двусторонние коммуникации, в которых разрешается установка только соединений определенной направленности. В примере ниже разрешены SSH-соединения, поступающие от хоста 10.10.10.10, но SSH-соединения к этому хосту запрещены. Однако, системе разрешается отправка информации по SSH в случае уже установленной сессии, что делает возможной SSH-коммуникацию между хостами:

iptables -A INPUT -p tcp --dport ssh -s 10.10.10.10 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 22 -d 10.10.10.10 -m state --state ESTABLISHED -j ACCEPT

Сохранение изменений

Внесенные в цепочки правил изменения пропадут при перезапуске iptables, так что их нужно сохранить с помощью специальной команды. В зависимости от используемого Linux-дистрибутива команда может выглядеть по-разному.

Red Hat / CentOS:

/sbin/service iptables save

Другие команды

Вывод уже сконфигурированных правил iptables:

Добавление ключа –v позволит просматривать информацию по пакетам и байтам, добавление –n выведет информацию в цифровом формате — имена хостов, протоколы и сети будут описаны цифрами.

Для удаления всех сконфигурированных правил можно использовать такую команду:

Средняя оценка: 5.0. всего оценок: 3 Спасибо за Вашу оценку! К сожалению, проголосовать не получилось. Попробуйте позже

191014 Санкт-Петербург ул. Кирочная, 9

2015-10-16 Настройка Linux-файрвола iptables: Руководство для начинающих

191014 Санкт-Петербург ул. Кирочная, 9

Как работает фаервол IPTables

Размещение серверов в надежных дата-центрах Европы. Откройте облачный VPS/VDS сервер на быстрых SSD за 1 минуту!

Лучший хостинг:
- оградит данные от нежелательного доступа в охраняемом европейском ЦОДе
- примет оплату хоть в bitcoin.
- позволит поставить свой дистрибутив

- защита от DDos-атак
- бесплатный backup
- Uptime 99,9999%
- ЦОД - TIER III
- провайдер - TIER I

Поддержим на русском языке 24/7/365 Работаем с юрлицами и физлицами. Вам прямо сейчас нужно 24 ядра и 72 Gb RAM. Пожалуйста!

Наши выгодные тарифы докажут, что дешевый хостинг вы еще не знали!

Минутное дело: выберите конфигурацию, оплатите и CMS на VPS готова.
Money Back – 30 дней!

Банковскими картами, электронной валютой, через терминалы Qiwi, Webmoney, PayPal, Новоплат и др.

Задайте вопрос в службу поддержки 24/7/365

Найдите ответы в нашей базе и познакомьтесь с рекомендациями

Cloud Server. Linux. VPS

Вступление

Наличие надежного фаервола — один из важнейших аспектов защиты любой современный операционной системы. Большинство дистрибутивов Linux поставляются с несколькими различными инструментами фаервола. Данное руководство рассматривает один из наиболее популярных — iptables.

Итак, iptables — это стандартный фаервол, включенный в большинство дистрибутивов Linux по умолчанию (для его замены разрабатывается nftables). На самом деле, iptables — это пользовательская утилита для управления системой netfilter, которая, в свою очередь, управляет сетевым стеком Linux. iptables сопоставляет каждый поступающий пакет с набором установленных правил, а затем решает, что с ним делать дальше.

В данном руководстве речь пойдет о том, как работ iptables. Следующая статья демонстрирует, как создать базовый набор правил для защиты сервера Ubuntu 14.04.

Как работает iptables

Прежде чем перейти к ознакомлению с командами для управления iptables и настройке фаервола, ознакомьтесь с некоторыми необходимыми терминами.

Фаервол iptables работает путем сравнения сетевого трафика с набором правил. Правило — это свойства, которыми должен обладать пакет, чтобы получить доступ к серверу, а также действие, которое нужно выполнить над пакетами, соответствующими правилам.

Существует множество опций-действий, которые можно выполнить, если пакет соответствует определенному правилу. Можно установить тип протокола пакета, адрес и порт источника или назначения, используемый интерфейс, отношение пакета к предыдущим пакетам, и т.д.

target указывает, какое действие должно быть выполнено, если пакет соответствует правилу. Target может содержать окончательное решение относительно данного пакета (принять его или сбросить соединение), а также может передать пакет для обработки другой цепочке или же просто внести пакет в журнал.

Правила фаервола объединяются в группы, которые называются цепочками (chains). Цепочка представляет собой последовательность правил, относительно которой проверяется пакет. Если пакет совпадает с одним из правил, фаервол выполняет указанное действие; при этом пакет не проверяется остальными правилами в цепочке.

Такие цепочки создаются пользователем по мере необходимости. По умолчанию существует три цепочки:

INPUT: обрабатывает все входящие на сервер пакеты;
OUTPUT: содержит правила для исходящего трафика;
FORWARD: используется для обработки предназначенного для других серверов трафика, который не был создан на данном сервере. Эта цепочка в основном необходима для маршрутизации запросов на другие серверы.

Каждая цепочка может содержать ноль или больше правил, а также имеет политику по умолчанию (policy). Политика определяет действие, которое необходимо выполнить в случае если пакет не соответствует ни одному правилу (такой пакет можно сбросить — «drop», или принять — «accept»).

С помощью модуля, который можно загрузить через правила, Iptables может также отслеживать соединения. Это означает, что можно создать правила, определяющие, что делать с пакетом, на основе его отношения к предыдущим пакетам. Эта функция называется «отслеживанием состояния» (state tracking), «отслеживанием соединений» (connection tracking) или же «механизмом определения состояний» (state machine).

Данное руководство, в основном, рассматривает создание цепочки INPUT, поскольку она содержит набор правил, которые сбрасывают нежелательный входящий трафик.

Важные примечания

Ознакомившись с тем, как iptables управляет поступающими пакетами (передает его соответствующей цепочке, проверяет его согласно каждому правилу, и если пакет не отвечает ни одному из правил, выполняет политику по умолчанию), нужно рассмотреть некоторые «подводные камни», которые нужно иметь ввиду при составлении правил.

Для начала нужно убедиться, что iptables уже содержит правила, которые сохраняют текущие соединения даже при выполнении политики сброса по умолчанию. Это особенно важно при подключении к серверу по SSH. При случайном внедрении правила или политики, блокирующих вас на собственном сервере, можно войти на VPS с помощью веб-консоли, которая предоставляет вспомогательный доступ.

Также необходимо помнить о том, что порядок правил в цепи имеет огромнейшее значение. Правила должны быть расположены таким образом, чтобы пакет сначала проходил через более конкретные правила, а потом — через более общие.

Другими словами, правила в начале цепочки должны быть более специфическими и подробными, чем правила в конце. Тогда пакет будет проходить сначала специфические правила, а затем — более общие, что создает расширяющийся шаблон. Если пакет не соответствует никаким правилам цепочки, то он отвечает самому общему правилу — политике по умолчанию.

Политика цепочки по умолчанию диктует типы правил, которые будут включены в саму цепочку. Цепочка с политикой DROP должна содержать правила, которые отбрасывают пакеты. Цепочка с политикой ACCEPT должна содержать исключения для пакетов, которые нужно принять.

Итоги

Ознакомившись с общей идеей работы iptables, можно переходить к настройке собственного фаервола.

Чтобы найти инструкции по настройке iptables, читайте следующие статьи:

Комментарии (2)

По этой причине политика цепочки по умолчанию диктует типы правил, которые будут включены в саму цепочку. Цепочка с политикой ACCEPT должна содержать правила, которые явно отбрасывают пакеты. Цепочка с политикой DROP должна содержать исключения для пакетов, которые нужно принять.

Руководства, Инструкции, Бланки

Поиск

Новые файлы

Описание

Администрирование: Краткое Руководство по iptables

Видео

Другие статьи

Настройка Linux-файрвола iptables: Руководство для начинающих

Как работает фаервол IPTables

Руководства, Инструкции, Бланки

Поиск

Новые файлы