Mainos / Advertisement:

Ero sivun ”Iptables” versioiden välillä

Kohteesta Taisto
Siirry navigaatioon Siirry hakuun
(Tämä versio merkittiin käännettäväksi)
 
(4 välissä olevaa versiota samalta käyttäjältä ei näytetä)
Rivi 36: Rivi 36:
 
=== Peruspalomuurisäännöt === <!--T:42-->
 
=== Peruspalomuurisäännöt === <!--T:42-->
  
<!--T:43-->
+
Aluksi tyhjennä palomuuri turhista säännöistä
Tässä esimerkki palomuuri käy jokaiselle. Kopioi tämä tiedostoksi ja aja palomuurin [[Iptables#Automaattinen_palomuuriasetuksen_lataus_tiedostosta_k.C3.A4ynnist.C3.A4ess.C3.A4|palautuskomento]].
 
  
<!--T:44-->
+
  iptables -F
<pre>
+
 
  *filter
+
Muuta oletussäännöksi että estetään kaikki sisällepäin liikenne sekä forwardoiva. Ulospäin on kaikki sallittua. '''Huomaa ennen kuin  estät sisällepäin liikenteen varmista ettet käytä SSH:ta sillä tämä yhteys katkeaa!''' Lisää ensin SSH auki ennen kuin estät kaikki liikenteen.
  :INPUT DROP [0:0]
+
 
  :FORWARD ACCEPT [0:0]
+
   iptables -P INPUT DROP
  :OUTPUT ACCEPT [0:0]
+
   iptables -P FORWARD DROP
 
+
 
  # Salli pakallinen liikenne
+
Sallitaan lookback (paikallinen) liikenne
  -A INPUT -i lo -j ACCEPT
+
 
  # Ensimmäinen paketti on SYN bitti. Jos se ei ole niin estetään yhteys.
+
   iptables -A INPUT -i lo -j ACCEPT
  -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
+
 
 
+
Sallitaan sisällepäin liikenne kun on otettu ensiksi ulospäin yhteyttä
  # Estä rikkinäiset paketit
+
 
   -A INPUT -f -j DROP
+
   iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    
+
 
  # Estä XMAS paketit
+
Sallitaan SSH liikenne
  -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
+
 
 
+
   iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
  # Estä "NULL" paketit
+
 
  -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
+
Estetään muut sisällepäin tulevat pyynnöt.  
 
+
 
  # Rajoita TCP RST (TCP RESET).
+
   iptables -A INPUT -j DROP
   -A INPUT -p tcp -m tcp --tcp-flags RST RST -m limit --limit 2/second --limit-burst 2 -j ACCEPT
+
 
 
+
Sallitaan ulospäin liikenne
  # Estä kaikki virheelliset paketit
+
 
   -A INPUT -m state --state INVALID -j DROP
+
   iptables -A OUTPUT -j ACCEPT
  -A FORWARD -m state --state INVALID -j DROP
+
 
  -A OUTPUT -m state --state INVALID -j DROP
+
Tallennetaan
 
+
 
  # Estä väärennetyt paketit
+
   iptables-save > /etc/iptables.rules
   -A INPUT -s 169.254.0.0/16 -j DROP
+
 
  -A INPUT -s 127.0.0.0/8 -j DROP
+
Näytä palomuuri säännöt
  -A INPUT -s 224.0.0.0/4 -j DROP
+
 
  -A INPUT -d 224.0.0.0/4 -j DROP
+
   iptables -L
  -A INPUT -s 240.0.0.0/5 -j DROP
 
   -A INPUT -d 240.0.0.0/5 -j DROP
 
  -A INPUT -s 0.0.0.0/8 -j DROP
 
  -A INPUT -d 0.0.0.0/8 -j DROP
 
  -A INPUT -d 239.255.255.0/24 -j DROP
 
   -A INPUT -d 255.255.255.255 -j DROP
 
 
 
  # ICMP hyökkäyksen torjunta ja rajoitettu määrä pyyntöjä
 
  -A INPUT -p icmp --icmp-type address-mask-request -j DROP
 
   -A INPUT -p icmp --icmp-type timestamp-request -j DROP
 
  -A INPUT -p icmp --icmp-type router-solicitation -j DROP
 
  -A INPUT -p icmp -m limit --limit 2/second -j ACCEPT
 
 
 
  # Hyväksy SSH
 
  -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT
 
 
  # Estä SYN-FLOOD paketit
 
  -A INPUT -p tcp -m state --state NEW -m limit --limit 50/second --limit-burst 50 -j ACCEPT
 
  -A INPUT -p tcp -m state --state NEW -j DROP
 
 
 
  # Salli tunnetut yhteydet ja estetään INVALID paketit.
 
   -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 
  -A INPUT -m state --state INVALID -j DROP
 
 
 
  COMMIT
 
</pre>
 
  
 
=== Palomuuri asetusten tallennus tiedostoon ja palautus === <!--T:26-->
 
=== Palomuuri asetusten tallennus tiedostoon ja palautus === <!--T:26-->
Rivi 130: Rivi 103:
  
 
   <!--T:35-->
 
   <!--T:35-->
[[apt-get]] install iptables-persistent
+
[[apt-get]] install netfilter-persistent iptables-persistent
  
 
<!--T:46-->
 
<!--T:46-->
Rivi 152: Rivi 125:
 
   <!--T:52-->
 
   <!--T:52-->
 
service iptables-persistent reload
 
service iptables-persistent reload
 +
 +
=== Esimerkki ===
 +
 +
Esimerkki palomuurin jonka voit huolettaa importtaa järjestelmääsi. Tässä on sallittu varmuuden vuoksi SSH yhteydet.
 +
 +
<pre>
 +
:INPUT DROP [0:0]
 +
:FORWARD ACCEPT [0:0]
 +
:OUTPUT ACCEPT [0:0]
 +
-A INPUT -i lo -j ACCEPT
 +
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
 +
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
 +
-A INPUT -f -j DROP
 +
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j DROP
 +
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
 +
-A INPUT -p tcp -m tcp --tcp-flags RST RST -m limit --limit 2/sec --limit-burst 2 -j ACCEPT
 +
-A INPUT -s 169.254.0.0/16 -j DROP
 +
-A INPUT -s 127.0.0.0/8 -j DROP
 +
-A INPUT -s 224.0.0.0/4 -j DROP
 +
-A INPUT -d 224.0.0.0/4 -j DROP
 +
-A INPUT -s 240.0.0.0/5 -j DROP
 +
-A INPUT -d 240.0.0.0/5 -j DROP
 +
-A INPUT -s 0.0.0.0/8 -j DROP
 +
-A INPUT -d 0.0.0.0/8 -j DROP
 +
-A INPUT -d 239.255.255.0/24 -j DROP
 +
-A INPUT -d 255.255.255.255/32 -j DROP
 +
-A INPUT -p icmp -m icmp --icmp-type 17 -j DROP
 +
-A INPUT -p icmp -m icmp --icmp-type 13 -j DROP
 +
-A INPUT -p icmp -m icmp --icmp-type 10 -j DROP
 +
-A INPUT -p icmp -m limit --limit 2/sec -j ACCEPT
 +
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
 +
-A INPUT -m state --state ESTABLISHED -j ACCEPT
 +
-A INPUT -j DROP
 +
-A FORWARD -j DROP
 +
-A OUTPUT -j ACCEPT
 +
</pre>
  
 
== IPv6 == <!--T:53-->
 
== IPv6 == <!--T:53-->
Rivi 163: Rivi 172:
 
<!--T:56-->
 
<!--T:56-->
 
<pre>
 
<pre>
#Sallitaan paikallinen liikenne
 
 
-A INPUT -i lo -j ACCEPT
 
-A INPUT -i lo -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
+
-A INPUT -m rt --rt-type 0 --rt-segsleft 0 -j DROP
 
 
<!--T:57-->
 
#Estä RH0 pakettien liikennöinti
 
-A INPUT -m rt --rt-type 0 -j DROP
 
-A FORWARD -m rt --rt-type 0 -j DROP
 
-A OUTPUT -m rt --rt-type 0 -j DROP
 
 
 
<!--T:58-->
 
#Salli paikallisen verkon liikenne
 
 
-A INPUT -s fe80::/10 -j ACCEPT
 
-A INPUT -s fe80::/10 -j ACCEPT
 +
-A INPUT -d ff00::/8 -j ACCEPT
 +
-A INPUT -p ipv6-icmp -j ACCEPT
 +
-A INPUT -p tcp -m tcp --dport 22 -j DROP
 +
-A INPUT -m state --state ESTABLISHED -j ACCEPT
 +
-A INPUT -j DROP
 +
-A FORWARD -m rt --rt-type 0 --rt-segsleft 0 -j DROP
 +
-A OUTPUT -m rt --rt-type 0 --rt-segsleft 0 -j DROP
 
-A OUTPUT -s fe80::/10 -j ACCEPT
 
-A OUTPUT -s fe80::/10 -j ACCEPT
-A INPUT -d ff00::/8 -j ACCEPT
 
 
-A OUTPUT -d ff00::/8 -j ACCEPT
 
-A OUTPUT -d ff00::/8 -j ACCEPT
 +
-A OUTPUT -p ipv6-icmp -j ACCEPT
 +
</pre>
  
<!--T:59-->
 
-A INPUT -p icmpv6 -j ACCEPT
 
-A OUTPUT -p icmpv6 -j ACCEPT
 
 
<!--T:60-->
 
#Estetään SSH portti IPv6:lla. On suositeltavaa sallia tietyistä IPv6 osoitteista tai verkoista.
 
-A INPUT -p tcp -m tcp --dport 22 -j DROP
 
 
<!--T:61-->
 
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 
-A OUTPUT -m state --state INVALID -j DROP
 
</pre>
 
  
 
== NAT == <!--T:62-->
 
== NAT == <!--T:62-->

Nykyinen versio 9. marraskuuta 2016 kello 17.18

Muut kielet:
English • ‎suomi

Iptables on pakettisuodatin. Tällä voidaan toteuttaa reitittimiä ja palomuureja.

Käyttö

Näytetään palomuuri säännöt

 iptables -L

Näytetään estetyt palomuurista esim. fail2ban

 iptables -L -n

Lista tarkemmin

 iptables -L -v

Iptablesiin voi lisätä sääntöä komentoina tai kirjoittamalla tiedostoon. On suositeltavaa kirjoittaa tiedostoon sillä kun Linux sammuu, se tyhjentää iptablesin kaikki säännöt. Tallentaminen onnistuu esimerkiksi iptables-persistent paketilla.

Säännön lisääminen komentoina. Esimerkiksi sallitaan paikallinen liikenne:

 iptables -A INPUT -i lo -j ACCEPT

Peruspalomuurisäännöt

Aluksi tyhjennä palomuuri turhista säännöistä

 iptables -F

Muuta oletussäännöksi että estetään kaikki sisällepäin liikenne sekä forwardoiva. Ulospäin on kaikki sallittua. Huomaa ennen kuin estät sisällepäin liikenteen varmista ettet käytä SSH:ta sillä tämä yhteys katkeaa! Lisää ensin SSH auki ennen kuin estät kaikki liikenteen.

 iptables -P INPUT DROP
 iptables -P FORWARD DROP

Sallitaan lookback (paikallinen) liikenne

 iptables -A INPUT -i lo -j ACCEPT

Sallitaan sisällepäin liikenne kun on otettu ensiksi ulospäin yhteyttä

 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Sallitaan SSH liikenne

 iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT

Estetään muut sisällepäin tulevat pyynnöt.

 iptables -A INPUT -j DROP

Sallitaan ulospäin liikenne

 iptables -A OUTPUT -j ACCEPT

Tallennetaan

 iptables-save > /etc/iptables.rules

Näytä palomuuri säännöt

 iptables -L

Palomuuri asetusten tallennus tiedostoon ja palautus

Tallenna palomuuriasetukset

 iptables-save > /etc/iptables/rules.v4

Palauta palomuuriasetukset tiedostosta

 iptables-restore < /etc/iptables/rules.v4

Tallenna IPv6 palomuuriasetukset tiedostoon

 ip6tables-save > /etc/iptables/rules.v6


Automaattinen palomuuriasetuksen lataus tiedostosta käynnistäessä

Iptables-persisten paketti on Wheezyssä, Jessiessä se löytyy nimellä netfilter-persistent.

Asenna pakettihallinnasta.

 apt-get install netfilter-persistent iptables-persistent

Palomuuria voi konfiguroida täältä. Vain tänne tallennetut latautuvat käynnistyksen yhteydessä:

 nano /etc/iptables/rules.v4
 nano /etc/iptables/rules.v6

Tallenna käytössä oleva palomuuri tiedostoon

 service iptables-persistent save

Lataa tiedostosta

 service iptables-persistent reload

Esimerkki

Esimerkki palomuurin jonka voit huolettaa importtaa järjestelmääsi. Tässä on sallittu varmuuden vuoksi SSH yhteydet.

:INPUT DROP [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A INPUT -f -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A INPUT -p tcp -m tcp --tcp-flags RST RST -m limit --limit 2/sec --limit-burst 2 -j ACCEPT
-A INPUT -s 169.254.0.0/16 -j DROP
-A INPUT -s 127.0.0.0/8 -j DROP
-A INPUT -s 224.0.0.0/4 -j DROP
-A INPUT -d 224.0.0.0/4 -j DROP
-A INPUT -s 240.0.0.0/5 -j DROP
-A INPUT -d 240.0.0.0/5 -j DROP
-A INPUT -s 0.0.0.0/8 -j DROP
-A INPUT -d 0.0.0.0/8 -j DROP
-A INPUT -d 239.255.255.0/24 -j DROP
-A INPUT -d 255.255.255.255/32 -j DROP
-A INPUT -p icmp -m icmp --icmp-type 17 -j DROP
-A INPUT -p icmp -m icmp --icmp-type 13 -j DROP
-A INPUT -p icmp -m icmp --icmp-type 10 -j DROP
-A INPUT -p icmp -m limit --limit 2/sec -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -m state --state ESTABLISHED -j ACCEPT
-A INPUT -j DROP
-A FORWARD -j DROP
-A OUTPUT -j ACCEPT

IPv6

Ip6tables on Linuxilla palomuuri IPv6 verkkoon.

Tässä on esimerkki palomuuriasetus jokaiselle.

-A INPUT -i lo -j ACCEPT
-A INPUT -m rt --rt-type 0 --rt-segsleft 0 -j DROP
-A INPUT -s fe80::/10 -j ACCEPT
-A INPUT -d ff00::/8 -j ACCEPT
-A INPUT -p ipv6-icmp -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j DROP
-A INPUT -m state --state ESTABLISHED -j ACCEPT
-A INPUT -j DROP
-A FORWARD -m rt --rt-type 0 --rt-segsleft 0 -j DROP
-A OUTPUT -m rt --rt-type 0 --rt-segsleft 0 -j DROP
-A OUTPUT -s fe80::/10 -j ACCEPT
-A OUTPUT -d ff00::/8 -j ACCEPT
-A OUTPUT -p ipv6-icmp -j ACCEPT


NAT

Määritä Linuxille kaksi verkkokorttia jossa molemmissa IP-osoitteet. Sisäverkon kortissa (eth0) tulee olla kiinteä IP-osoite. Tämä toimii verkon gateway:na. Julkisella kortilla (eth1) voi olla dynaaminen IP-osoite.

Salli IPv4 forwarders:

 nano /etc/sysctl.conf

poistamalla risuaita:

 net.ipv4.ip_forward=1

Ota muutokset käyttöön komennolla

 sysctl -p /etc/sysctl.conf

Kirjoita seuraava rivi iptables sääntöihin. Suosittelemme käyttämään iptables-persistet pakettia.

-A POSTROUTING -o eth1 -j MASQUERADE

Sisä interface sallitaan forwardoiminen eth0:sta eth1 interfaceen kunhan tila on related / established . Muuten liikenne estetään.

-A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -i eth1 -m state --state INVALID -j DROP

Lähde

http://www.thomas-krenn.com/en/wiki/Saving_Iptables_Firewall_Rules_Permanently

http://linux.fi/wiki/Iptables

Mainos / Advertisement: