Lähdekoodi sivulle Iptables

<languages/>
<translate>

<!--T:1-->
Iptables on pakettisuodatin. Tällä voidaan toteuttaa reitittimiä ja palomuureja. 

== Käyttö == <!--T:2-->

<!--T:3-->
Näytetään palomuuri säännöt

  <!--T:4-->
iptables -L

<!--T:5-->
Näytetään estetyt palomuurista esim. fail2ban

  <!--T:6-->
iptables -L -n

<!--T:7-->
Lista tarkemmin

  <!--T:8-->
iptables -L -v

Iptablesiin voi lisätä sääntöä komentoina tai kirjoittamalla tiedostoon. On suositeltavaa kirjoittaa tiedostoon sillä kun Linux sammuu, se tyhjentää iptablesin kaikki säännöt. Tallentaminen onnistuu esimerkiksi iptables-persistent paketilla.

Säännön lisääminen komentoina. Esimerkiksi sallitaan paikallinen liikenne:

  iptables -A INPUT -i lo -j ACCEPT

=== Peruspalomuurisäännöt ===

Tässä esimerkki palomuuri käy jokaiselle. Kopioi tämä tiedostoksi ja aja palomuurin [[Iptables#Automaattinen_palomuuriasetuksen_lataus_tiedostosta_k.C3.A4ynnist.C3.A4ess.C3.A4|palautuskomento]].

<pre>
  *filter
  :INPUT DROP [0:0]
  :FORWARD ACCEPT [0:0]
  :OUTPUT ACCEPT [0:0]
  
  # Salli pakallinen liikenne
  -A INPUT -i lo -j ACCEPT
  # Ensimmäinen paketti on SYN bitti. Jos se ei ole niin estetään yhteys.
  -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
  
  # Estä rikkinäiset paketit
  -A INPUT -f -j DROP
  
  # Estä XMAS paketit
  -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
  
  # Estä "NULL" paketit
  -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
  
  # Rajoita TCP RST (TCP RESET). 
  -A INPUT -p tcp -m tcp --tcp-flags RST RST -m limit --limit 2/second --limit-burst 2 -j ACCEPT
  
  # Estä kaikki virheelliset paketit
  -A INPUT -m state --state INVALID -j DROP
  -A FORWARD -m state --state INVALID -j DROP
  -A OUTPUT -m state --state INVALID -j DROP
  
  # Estä väärennetyt paketit
  -A INPUT -s 169.254.0.0/16 -j DROP
  -A INPUT -s 127.0.0.0/8 -j DROP
  -A INPUT -s 224.0.0.0/4 -j DROP
  -A INPUT -d 224.0.0.0/4 -j DROP
  -A INPUT -s 240.0.0.0/5 -j DROP
  -A INPUT -d 240.0.0.0/5 -j DROP
  -A INPUT -s 0.0.0.0/8 -j DROP
  -A INPUT -d 0.0.0.0/8 -j DROP
  -A INPUT -d 239.255.255.0/24 -j DROP
  -A INPUT -d 255.255.255.255 -j DROP
  
  # ICMP hyökkäyksen torjunta ja rajoitettu määrä pyyntöjä
  -A INPUT -p icmp --icmp-type address-mask-request -j DROP
  -A INPUT -p icmp --icmp-type timestamp-request -j DROP
  -A INPUT -p icmp --icmp-type router-solicitation -j DROP
  -A INPUT -p icmp -m limit --limit 2/second -j ACCEPT
  
  # Hyväksy SSH
  -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT
 
  # Estä SYN-FLOOD paketit
  -A INPUT -p tcp -m state --state NEW -m limit --limit 50/second --limit-burst 50 -j ACCEPT
  -A INPUT -p tcp -m state --state NEW -j DROP
  
  # Salli tunnetut yhteydet ja estetään INVALID paketit.
  -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
  -A INPUT -m state --state INVALID -j DROP
  
  COMMIT
</pre>

=== Palomuuri asetusten tallennus tiedostoon ja palautus === <!--T:26-->

<!--T:27-->
Tallenna palomuuriasetukset 

  <!--T:28-->
iptables-save > /etc/iptables/rules.v4

<!--T:29-->
Palauta palomuuriasetukset tiedostosta

  <!--T:30-->
iptables-restore < /etc/iptables/rules.v4

<!--T:31-->
Tallenna IPv6 palomuuriasetukset tiedostoon

  <!--T:32-->
ip6tables-save > /etc/iptables/rules.v6


=== Automaattinen palomuuriasetuksen lataus tiedostosta käynnistäessä === <!--T:33-->

Iptables-persisten paketti on Wheezyssä, Jessiessä se löytyy nimellä netfilter-persistent.

<!--T:34-->
Asenna pakettihallinnasta.

  <!--T:35-->
[[apt-get]] install iptables-persistent

Palomuuria voi konfiguroida täältä. Vain tänne tallennetut latautuvat käynnistyksen yhteydessä:

  nano /etc/iptables/rules.v4

  nano /etc/iptables/rules.v6

Tallenna käytössä oleva palomuuri tiedostoon

  service iptables-persistent save

Lataa tiedostosta

  service iptables-persistent reload

== NAT ==

Määritä Linuxille kaksi verkkokorttia jossa molemmissa IP-osoitteet. Sisäverkon kortissa (eth0) tulee olla kiinteä IP-osoite. Tämä toimii verkon gateway:na. Julkisella kortilla (eth1) voi olla dynaaminen IP-osoite.

Salli IPv4 forwarders:

  nano /etc/sysctl.conf

poistamalla risuaita:

  net.ipv4.ip_forward=1

Ota muutokset käyttöön komennolla

  sysctl -p /etc/sysctl.conf

Kirjoita seuraava rivi iptables sääntöihin. Suosittelemme käyttämään iptables-persistet pakettia.

 -A POSTROUTING -o eth1 -j MASQUERADE

Sisä interface sallitaan forwardoiminen eth0:sta eth1 interfaceen kunhan tila on related / established . Muuten liikenne estetään.

 -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
 -A FORWARD -i eth0 -i eth1 -m state --state INVALID -j DROP

== Lähde == <!--T:36-->

<!--T:37-->
http://www.thomas-krenn.com/en/wiki/Saving_Iptables_Firewall_Rules_Permanently

<!--T:38-->
http://linux.fi/wiki/Iptables

</translate>