Eenvoudige IPTables-configuratie en voorbeelden op Ubuntu 16.04

• 1. Basisprincipes
• 2. Maak initiële regels
• 3. Maak regels persistent
• 4. Sta uitgaande verbindingen toe
• 5. Sta hele landen toe of blokkeer ze

Invoering

iptablesis een krachtig hulpmiddel dat wordt gebruikt om de geïntegreerde firewall van de Linux-kernel te configureren. Het wordt vooraf geïnstalleerd op de meeste Ubuntu-distributies, maar als u een aangepaste Ubuntu-versie gebruikt of in een container draait, moet u deze waarschijnlijk handmatig installeren.

sudo apt-get install iptables iptables-persistent

Als u na de installatie wordt gevraagd of u uw huidige regels wilt opslaan, maakt het op dit moment niet uit, omdat u later nieuwe regels gaat verwijderen of maken.

Tips

U kunt de netcatopdracht gebruiken (op een andere computer dan uw server) om te testen welke van uw poorten open of gesloten zijn.

nc -z -w5 -v SERVER_IP PORT

• nc is het netcat-commando.
• -z stuur gewoon een pakket zonder payload.
• -w5 wacht maximaal 5 seconden op een reactie.
• -v uitgebreide modus.
• Vervang SERVER_IPdoor uw serveradres.
• Vervang PORTdoor de poort die u wilt testen als deze open is (bijv. 22).

Op uw server kunt u de netstatopdracht gebruiken om te zien welke poorten momenteel naar verbindingen luisteren.

sudo netstat -tulpn

Opmerking: hoewel het netstathandig is om de poorten te vinden waarmee u wilt werken, moet u zich bewust zijn van de toepassingen die u momenteel op uw server hebt geïnstalleerd en welke poorten luisteren, u hoeft niet elke poort toe te staan ​​die u in de netstatuitvoer vindt .

Syntaxis

sudo iptables -A INPUT -p tcp -m tcp --dport 22 --m geoip --src-cc PE -j ACCEPT

• -A INPUTvoeg een regel toe aan de INPUTketting, een ketting is een groep regels, de regels die we het meest gebruiken in deze handleiding zijn INPUT, OUTPUTen PREROUTING.
• -p tcpingesteld tcpals het protocol waarop deze regel van toepassing is, kunt u ook andere protocollen gebruiken, zoals udp, icmpof all.
• -m tcpgebruik de tcpmodule. iptablesondersteunt extra functies via modules, waarvan sommige al vooraf zijn geïnstalleerd iptablesen andere, zoals de geoipmodule.
• --dport 22de commando's die beginnen met --geven aanvullende opties aan voor de eerder gebruikte module, in dit geval zullen we de tcpmodule vertellen om alleen van toepassing te zijn op poort 22.
• -m geoipgebruik de geoipmodule. Het zal pakketten per land beperken (meer informatie bij stap 5).
• --src-cc PEvertel de geoipmodule om de binnenkomende pakketten te beperken tot de pakketten die uit Peru komen. Zoek voor meer landcodes ISO 3166 country codesop internet.
• -j ACCEPThet -jargument vertelt iptableswat te doen als een pakket overeenkomt met de beperkingen die in de vorige argumenten zijn gespecificeerd. In dit geval zal ACCEPTdie pakketjes, andere opties zijn REJECT, DROPen nog veel meer. U kunt meer opties vinden door iptables jump targetsop internet te zoeken.

1. Basisprincipes

Maak een lijst van alle regels.

sudo iptables -L

Maak een lijst van alle opdrachten die zijn gebruikt om de momenteel gebruikte regels te maken, handig om regels te bewerken of te verwijderen.

sudo iptables -S

Om een ​​specifieke regel te verwijderen, kiest u een regel uit sudo iptables -Sen vervangt u deze -Adoor -D.

# -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT

sudo iptables -D INPUT -p tcp -m tcp --dport 22 -j ACCEPT

Maak een lijst van alle genummerde regels in de INPUTketen.

sudo iptables -L INPUT --line-numbers

Verwijder een genummerde regel.

sudo iptables -D INPUT 2

Om alle regels te wissen.

sudo iptables -F

Waarschuwing: u kunt de verbinding verliezen als u via SSH bent verbonden .

Wis alleen regels in de OUTPUTketen.

sudo iptables -F OUTPUT

2. Maak initiële regels

Sta toe SSHop eth0interface

sudo iptables -A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT

• -i eth0 regel toepassen op een specifieke interface om deze opdracht uit elke interface te verwijderen.

Om inkomende pakketten te beperken tot een specifiek IP (ie 10.0.3.1/32).

sudo iptables -A INPUT -i eth0 -s 10.0.3.1/32 -p tcp -m tcp --dport 22 -j ACCEPT

• -s 10.0.3.1/32 specificeert een IP / subnet om verbindingen toe te staan.

Stel standaard kettingregels in.

Waarschuwing: voordat u doorgaat, moet u ervoor zorgen dat u de juiste SSH-regels hebt toegepast als u op een externe server werkt .

sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP 
sudo iptables -P OUTPUT ACCEPT 

• -P INPUT DROP weigert alle inkomende pakketten (dwz dat niemand verbinding kan maken met uw actieve servers zoals Apache, SQL, enz.).
• -P FORWARD DROP weigert alle doorgestuurde pakketten (dwz wanneer u uw systeem als router gebruikt).
• -P OUTPUT ACCEPTstaat alle uitgaande pakketten toe (dwz wanneer u een HTTPverzoek uitvoert ).

Sta al het verkeer toe op de loopback-interface ( aanbevolen ).

sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A OUTPUT -o lo -j ACCEPT

3. Maak regels persistent

Bewaar de huidige iptablesregels.

sudo netfilter-persistent save
sudo netfilter-persistent reload

Als u in een container draait, zal de netfilter-persistentopdracht hoogstwaarschijnlijk niet werken, dus u moet het iptables-persistentpakket opnieuw configureren .

sudo dpkg-reconfigure iptables-persistent

4. Sta uitgaande verbindingen toe

DNS-query's toestaan.

sudo iptables -A OUTPUT -p tcp --dport 53 -m state --state NEW -j ACCEPT
sudo iptables -A OUTPUT -p udp --dport 53 -m state --state NEW -j ACCEPT

Met de statemodule om RELATEDen ESTABLISHEDuitgaande pakketten.

sudo iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

Sta de gewenste poorten toe; in dit geval HTTPpoorten.

sudo iptables -A OUTPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT

Meer poorten die u mogelijk wilt gebruiken.

• FTP: tcp op poort 21
• HTTPS: tcp op poort 443
• DHCP: udp op poort 67
• NTP: udp op poort 123

Opmerking: als u dit wilt toestaan apt-get, moet u mogelijk FTPen toestaanHTTPS .

Sta het geretourneerde verkeer alleen toe voor RELATEDen al ESTABLISHEDverbindingen ( aanbevolen omdat soms bidirectionele communicatie vereist is).

sudo iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

Andere handige regels

Ping-verzoeken van buitenaf toestaan.

sudo iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
sudo iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT

Stuur verkeer op eth0poort door 2200naar 10.0.3.21:22(handig als u een SSH-server wilt tonen die in een container draait).

sudo iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 2200 -j DNAT --to-destination 10.0.3.21:22

Als u met succes met SSH inlogt op uw server, wordt er een permanente verbinding gemaakt (dwz geen nieuwe verbindingen, zelfs niet als u langer dan 1 uur verbonden bent). Als u niet slaagt en opnieuw probeert in te loggen, wordt er een nieuwe verbinding gemaakt. Dit zal continue SSH-inlogpogingen blokkeren door nieuwe verbindingen per uur te beperken.

sudo iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
sudo iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 3600 --hitcount 4 -j DROP

Leid alle verzoeken op poort 443naar poort om 4430(handig als u 443zonder poort aan poort wilt binden root).

sudo iptables -t nat -A PREROUTING -i ens3 -p tcp --dport 443 -j REDIRECT --to-port 4430
sudo iptables -A INPUT -p tcp -m tcp --dport 4430 -m geoip --src-cc PE -j ACCEPT

• ens3 de netwerkinterface.
• -m geoip landenblokmodule (zie stap 5).

Waarschuwing: niet gebruiken lo, het besturingssysteem verwerpt alle pakketten die worden omgeleid naar de loopback-interface .

5. Sta hele landen toe of blokkeer ze

5.1 Installeren xtables-addons

U kunt de xtables-addonsmodule op verschillende manieren installeren , gebruik gerust de installatiemethode die het beste bij u past.

• Installeer met apt-get.

  sudo apt-get install xtables-addons-common
  

• Installeer met module-assistant.

  sudo apt-get install module-assistant xtables-addons-source
  sudo module-assistant --verbose --text-mode auto-install xtables-addons
  

• Installeer vanaf de bron.

  sudo apt-get install git bc libncurses5-dev libtext-csv-xs-perl autoconf automake libtool xutils-dev iptables-dev
  git clone git://git.code.sf.net/p/xtables-addons/xtables-addons
  cd xtables-addons
  ./autogen.sh
  ./configure
  make
  sudo make install
  

Bouw een "landen" database.

sudo apt-get install libtext-csv-xs-perl unzip
sudo mkdir /usr/share/xt_geoip
sudo /usr/lib/xtables-addons/xt_geoip_dl
sudo /usr/lib/xtables-addons/xt_geoip_build -D /usr/share/xt_geoip *.csv
sudo rm GeoIPCountryCSV.zip GeoIPCountryWhois.csv GeoIPv6.csv

Start je systeem opnieuw op.

sudo reboot

Nadat het xtables-addonsmet succes is geïnstalleerd, na de eerste keer opnieuw opstarten, wordt de landblokkering depmodanders niet goed uitgevoerd (dit is alleen voor de eerste keer vereist).

sudo depmod 

Maak een script aan /etc/cron.monthly/geoip-updaterom de geoipdatabase maandelijks bij te werken .

#!/usr/bin/env bash
# this script is intended to run with sudo privileges

echo 'Removing old database---------------------------------------------------'
rm -rf /usr/share/xt_geoip/*
mkdir -p /usr/share/xt_geoip

echo 'Downloading country databases-------------------------------------------'
mkdir /tmp/geoip-updater
cd /tmp/geoip-updater
/usr/lib/xtables-addons/xt_geoip_dl

echo 'Building geoip database-------------------------------------------------'
/usr/lib/xtables-addons/xt_geoip_build -D /usr/share/xt_geoip *.csv

echo 'Removing temporary files------------------------------------------------'
cd /tmp
rm -rf /tmp/geoip-updater

Maak /etc/cron.monthly/geoip-updateruitvoerbaar.

sudo chmod +x /etc/cron.monthly/geoip-updater

5.2 Voorbeeldregels

_Opmerking: als u een iptables: No chain/target/match by that namefoutmelding krijgt bij het toepassen van een geoipregel, is het mogelijk dat xtables-addonsdeze niet correct is geïnstalleerd. Probeer een andere installatiemethode.

Blokkeer alle binnenkomende pakketten uit China, Hong Kong, Rusland en Korea.

sudo iptables -A INPUT -m geoip --src-cc CN,HK,RU,KR -j DROP

Sta 80overal binnenkomende pakketten op poort toe behalve de landen hierboven.

sudo iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT

Sta inkomende pakketten op de ens3interface 22alleen toe vanuit Peru (voel je vrij om de landcode te kiezen waarvan je pakketten wilt accepteren, bijvoorbeeld USvoor de Verenigde Staten).

sudo iptables -A INPUT -i ens3 -p tcp -m tcp --dport 22 -m geoip --src-cc PE -j ACCEPT

Sta binnenkomende pakketten 443alleen toe vanuit Peru.

sudo iptables -A INPUT -p tcp -m tcp --dport 443 -m geoip --src-cc PE -j ACCEPT