Ubuntu Iptables: Πώς να ελέγξετε την κυκλοφορία δικτύου χρησιμοποιώντας τα iptables;

«…Ένα βοηθητικό πρόγραμμα Unix χώρου χρήστη που δίνει στους διαχειριστές συστήματος τη δυνατότητα να διαμορφώνουν κανόνες φιλτραρίσματος πακέτων IP που εφαρμόζονται από τη μονάδα φίλτρου δικτύου του πυρήνα. ” Τα Iptables λειτουργούν ως τείχος προστασίας χρησιμοποιώντας κανόνες φιλτραρίσματος πακέτων με βάση διάφορα κριτήρια όπως διεύθυνση IP, θύρα και πρωτόκολλα.

Αυτός ο οδηγός θα συζητήσει πώς να διαμορφώσετε και να χρησιμοποιήσετε τους κανόνες iptables σε ένα σύστημα Ubuntu για να ασφαλίσετε το δίκτυό σας. Είτε είστε αρχάριος χρήστης Linux είτε έμπειρος διαχειριστής συστήματος, από αυτόν τον οδηγό, και με τον ένα ή τον άλλο τρόπο, θα μάθετε κάτι χρήσιμο για τα iptables.

Τα Iptables είναι προεγκατεστημένα στο Ubuntu και στις περισσότερες διανομές που βασίζονται στο Debian. Το Ubuntu συσκευάζει επίσης το τείχος προστασίας GUFW, μια γραφική εναλλακτική που μπορείτε να χρησιμοποιήσετε για να εργαστείτε με iptables.

ΣΗΜΕΙΩΣΗ: Για να χρησιμοποιήσετε και να διαμορφώσετε τα iptables, θα χρειαστείτε δικαιώματα sudo στο σύστημά σας. Μπορείτε να μάθετε περισσότερα για το sudo από το παρακάτω σεμινάριο.

Τώρα που ξέρετε τι είναι το Iptables, ας βουτήξουμε αμέσως!

Πώς να χρησιμοποιήσετε τα iptables για να διαχειριστείτε την επισκεψιμότητα IPv4;

Για να χρησιμοποιήσετε το Iptables για δίκτυο IPv4 και διαχείριση κυκλοφορίας, πρέπει να κατανοήσετε τα εξής:

Η εντολή Iptables

Το Iptables προσφέρει μια επιλογή επιλογών που σας επιτρέπουν να προσαρμόσετε και να συντονίσετε τους κανόνες iptables σας. Ας συζητήσουμε μερικές από αυτές τις παραμέτρους και ας δούμε τι κάνουν.

ΣΗΜΕΙΩΣΗ: Μπορείτε να διαμορφώσετε ένα σύνολο κανόνων που διαχειρίζονται ένα συγκεκριμένο υποσύνολο, γνωστό ως αλυσίδες iptables.

Παράμετροι Iptables

Πριν ξεκινήσουμε τη δημιουργία και τη διαμόρφωση κανόνων iptables, ας κατανοήσουμε πρώτα τα βασικά των iptables, όπως η γενική σύνταξη και τα προεπιλεγμένα ορίσματα.

Σκεφτείτε την παρακάτω εντολή:

Η παραπάνω εντολή λέει στους iptables να δημιουργήσουν έναν κανόνα στην αλυσίδα. Ο κανόνας απορρίπτει όλα τα πακέτα από τη διεύθυνση IP 192.168.0.24.

Ας εξετάσουμε την εντολή, γραμμή προς γραμμή, για να την κατανοήσουμε καλύτερα.

• Η πρώτη εντολή iptables καλεί το βοηθητικό πρόγραμμα γραμμής εντολών iptables.

• Ακολουθεί το όρισμα -I που χρησιμοποιείται για εισαγωγή. Το όρισμα εισαγωγής προσθέτει έναν κανόνα στην αρχή της αλυσίδας iptables και έτσι λαμβάνει υψηλότερη προτεραιότητα. Για να προσθέσετε έναν κανόνα σε έναν συγκεκριμένο αριθμό στην αλυσίδα, χρησιμοποιήστε το όρισμα -I ακολουθούμενο από τον αριθμό στον οποίο πρέπει να εκχωρηθεί ο κανόνας.

• Το όρισμα -s βοηθά στον καθορισμό της πηγής. Ως εκ τούτου, χρησιμοποιούμε το όρισμα -s ακολουθούμενο από τη διεύθυνση IP.

• Η παράμετρος -j με iptables καθορίζει το άλμα σε έναν συγκεκριμένο στόχο. Αυτή η επιλογή ορίζει την ενέργεια που θα εκτελέσει το Iptables μόλις υπάρξει ένα αντίστοιχο πακέτο. Το Iptables προσφέρει τέσσερις κύριους στόχους από προεπιλογή, οι οποίοι περιλαμβάνουν: ΑΠΟΔΟΧΗ, ΑΠΟΔΟΧΗ, ΚΑΤΑΛΟΓΟΣ και ΑΠΟΡΡΙΨΗ.

Το Iptables προσφέρει μια επιλογή παραμέτρων που μπορείτε να χρησιμοποιήσετε για να διαμορφώσετε διάφορους κανόνες. Οι διάφορες παράμετροι που μπορείτε να χρησιμοποιήσετε για να ρυθμίσετε τους κανόνες iptables περιλαμβάνουν:

-p –protocol

Καθορίζει το πρωτόκολλο σύνδεσης. για παράδειγμα, TCP, UDP, κ.λπ.

-d –destination

Καθορίζει τον προορισμό, ο οποίος μπορεί να είναι διεύθυνση, όνομα δικτύου ή όνομα κεντρικού υπολογιστή.

-j –jump

Ρυθμίζει τις ενέργειες που θα πραγματοποιήσουν τα iptables μετά την εύρεση ενός πακέτου.

-o –out-interface

Ορίζει τη διεπαφή μέσω της οποίας το iptable στέλνει το πακέτο.

-i –in-interface

Ορίζει τη διεπαφή που χρησιμοποιείται για τη δημιουργία πακέτων δικτύου.

-c –set-counters

Επιτρέπει στον διαχειριστή να ορίσει τους μετρητές byte και πακέτων για έναν καθορισμένο κανόνα.

-g –goto chain

Η παράμετρος καθορίζει ότι η επεξεργασία θα πρέπει να συνεχιστεί στην αλυσίδα του συνόλου χρήστη κατά την επιστροφή.

-f –fragment

Λέει στο iptables να εφαρμόσει τον κανόνα μόνο στο δεύτερο και στα επόμενα τμήματα των κατακερματισμένων πακέτων.

Επιλογές Iptables

Η εντολή iptables υποστηρίζει ένα ευρύ φάσμα επιλογών. Μερικά κοινά περιλαμβάνουν:

-D –delete

Καταργεί έναν κανόνα από την καθορισμένη αλυσίδα

-F –flush

Καταργεί όλους τους κανόνες, έναν κάθε φορά

-L –list

Εμφανίζει όλους τους κανόνες στην καθορισμένη αλυσίδα

-I –insert

Εισάγει έναν κανόνα στην καθορισμένη αλυσίδα (μεταβιβάζεται ως αριθμός, όταν δεν έχει καθοριστεί αριθμός· ο κανόνας προστίθεται στην κορυφή)

-C –check

Ερωτήματα για αντιστοίχιση κανόνα. απαίτηση σε συγκεκριμένο κανόνα

-v –verbose

Εμφανίζει περισσότερες λεπτομέρειες όταν χρησιμοποιείται με την παράμετρο -L

-N –new-chain <name>

Προσθέτει μια νέα αλυσίδα που ορίζεται από το χρήστη

-X –delete-chain <name>

Καταργεί μια συγκεκριμένη αλυσίδα που ορίζεται από το χρήστη

Πίνακες Iptables

Ο πυρήνας Linux έχει προεπιλεγμένους πίνακες που φιλοξενούν ένα σύνολο σχετικών κανόνων. Αυτοί οι προεπιλεγμένοι πίνακες έχουν ένα σύνολο προεπιλεγμένων αλυσίδων, αλλά οι χρήστες μπορούν να προσαρμόσουν τους κανόνες προσθέτοντας κανόνες που καθορίζονται από το χρήστη.

ΣΗΜΕΙΩΣΗ: Οι προεπιλεγμένοι πίνακες εξαρτώνται σε μεγάλο βαθμό από τη διαμόρφωση του πυρήνα και τις εγκατεστημένες λειτουργικές μονάδες.

Ακολουθούν οι προεπιλεγμένοι πίνακες iptables:

1: Οι πίνακες φίλτρων

Ο πίνακας φίλτρων είναι ένας προεπιλεγμένος πίνακας που περιέχει αλυσίδες που χρησιμοποιούνται για φιλτράρισμα πακέτων δικτύου. Μερικές από τις προεπιλεγμένες αλυσίδες σε αυτόν τον πίνακα περιλαμβάνουν:

2: Οι πίνακες NAT

Το NAT ή ο πίνακας διευθύνσεων δικτύου είναι μια συσκευή δρομολόγησης που χρησιμοποιείται για την τροποποίηση των διευθύνσεων IP προέλευσης και στόχου σε ένα πακέτο δικτύου. Η κύρια χρήση του πίνακα NAT είναι η σύνδεση δύο δικτύων σε μια ιδιωτική περιοχή διευθύνσεων με το δημόσιο δίκτυο.

Το NAT αναπτύχθηκε για να υποστηρίζει την απόκρυψη πραγματικών διευθύνσεων IP, επιτρέποντας εύρος ιδιωτικών διευθύνσεων IP από την πρόσβαση στο εξωτερικό δίκτυο. Αυτό βοηθά στην προστασία των λεπτομερειών σχετικά με τα εσωτερικά δίκτυα από την αποκάλυψη σε δημόσια δίκτυα.

Ο πίνακας NAT χρησιμοποιείται όταν ένα πακέτο ξεκινά μια νέα σύνδεση.

Τα Iptables έχουν έναν προεπιλεγμένο πίνακα για τη διευθυνσιοδότηση NAT. Αυτός ο πίνακας έχει τρεις κύριες αλυσίδες:

Το παρακάτω διάγραμμα δείχνει μια επισκόπηση υψηλού επιπέδου αυτής της διαδικασίας.

Χρησιμοποιήστε την παρακάτω εντολή για να προβάλετε τους πίνακες δρομολόγησης NAT.

3: Τα τραπέζια Mangle

Ο πίνακας Mangle χρησιμοποιείται κυρίως για ειδική τροποποίηση πακέτων. Με απλά λόγια, χρησιμοποιείται για την τροποποίηση των κεφαλίδων IP ενός πακέτου δικτύου. Η τροποποίηση των πακέτων μπορεί να περιλαμβάνει την αλλαγή μιας τιμής TTL του πακέτου, την αλλαγή έγκυρων μεταπήδησης δικτύου για ένα πακέτο κ.λπ.

Ο πίνακας περιέχει τις ακόλουθες προεπιλεγμένες αλυσίδες:

POSTROUTING

Χρησιμοποιείται για εξερχόμενα πακέτα

INPUT

Χρησιμοποιείται για πακέτα που έρχονται απευθείας στον διακομιστή

OUTPUT

Χρησιμοποιείται για τοπικά πακέτα

Forward

Προορίζεται για πακέτα που δρομολογούνται μέσω του συστήματος

4: Τα ακατέργαστα τραπέζια

Ο κύριος σκοπός του πρωτογενούς πίνακα είναι να διαμορφώσει εξαιρέσεις για πακέτα που δεν προορίζονται για διαχείριση από το σύστημα παρακολούθησης. Ο ακατέργαστος πίνακας θέτει ένα σημάδι NOTRACK στα πακέτα, προτρέποντας τη δυνατότητα conntrack να αγνοήσει το πακέτο.

Το Conntrack είναι μια δυνατότητα δικτύωσης πυρήνα Linux που επιτρέπει στον πυρήνα Linux να παρακολουθεί όλες τις συνδέσεις δικτύου, επιτρέποντας στον πυρήνα να αναγνωρίζει πακέτα που συνθέτουν μια ροή δικτύου.

Το ακατέργαστο τραπέζι έχει δύο κύριες αλυσίδες:

5: Ο πίνακας ασφαλείας

Η κύρια χρήση αυτού του πίνακα είναι η ρύθμιση εσωτερικού μηχανισμού ασφαλείας Ενίσχυση ασφάλειας για Linux (SELinux) που σημειώνει στα πακέτα. Το σήμα ασφαλείας μπορεί να εφαρμοστεί ανά σύνδεση ή πακέτο.

Χρησιμοποιείται για κανόνες Υποχρεωτικού Ελέγχου Πρόσβασης και είναι ο δεύτερος πίνακας στον οποίο έχετε πρόσβαση μετά τον πίνακα φίλτρων. Προσφέρει τις ακόλουθες προεπιλεγμένες αλυσίδες:

Έχοντας εξετάσει τα προεπιλεγμένα Iptables, ας πάμε ένα βήμα παραπέρα και ας συζητήσουμε πώς να εργαστούμε με τους κανόνες iptables.

Πώς να εργαστείτε με τους κανόνες iptables;

Οι κανόνες του Iptables εφαρμόζονται με αύξουσα σειρά. Αυτό σημαίνει ότι ο πρώτος κανόνας σε ένα συγκεκριμένο σύνολο εφαρμόζεται πρώτα, ακολουθούμενος από τον δεύτερο, μετά τον τρίτο και ούτω καθεξής, μέχρι το τελευταίο.

Λόγω αυτής της λειτουργίας, τα iptables σας εμποδίζουν να προσθέσετε κανόνες σε ένα σύνολο χρησιμοποιώντας την παράμετρο -A. πρέπει να χρησιμοποιήσετε το -I, ακολουθούμενο από τον αριθμό ή αδειάζοντάς το για να το προσθέσετε στην κορυφή της λίστας.

Εμφάνιση Iptables

Για να προβάλετε τα iptables σας, χρησιμοποιήστε την εντολή iptables -L -v για IPv4 και ip6tables -L -v για IPv6.

Εισαγωγή κανόνων

Για να εισαγάγετε κανόνες σε ένα σύνολο, πρέπει να τους τοποθετήσετε με την ακριβή σειρά, τηρώντας τους κανόνες που χρησιμοποιούνται από την ίδια αλυσίδα. Μπορείτε να δείτε τη λίστα των κανόνων iptables με την εντολή όπως συζητήθηκε παραπάνω:

Για παράδειγμα, για να εισαγάγουμε έναν κανόνα που επιτρέπει τις εισερχόμενες συνδέσεις στη θύρα 9001 μέσω TCP, πρέπει να καθορίσουμε τον αριθμό κανόνα στην αλυσίδα INPUT που τηρεί τους κανόνες κυκλοφορίας για τον ιστό.

Μόλις προβάλετε τα τρέχοντα iptables, θα πρέπει να δείτε τον νέο κανόνα στο σύνολο.

Κανόνες αντικατάστασης

Η λειτουργία αντικατάστασης λειτουργεί παρόμοια με την εισαγωγή, ωστόσο, χρησιμοποιεί την εντολή iptables -R. Για παράδειγμα, για να τροποποιήσουμε τον παραπάνω κανόνα και να ορίσουμε τη θύρα 9001 ως άρνηση, έχουμε:

Διαγραφή κανόνα

Για να διαγράψουμε έναν κανόνα, περνάμε τον αριθμό κανόνα. Για παράδειγμα, για να διαγράψουμε τον παραπάνω κανόνα, μπορούμε να καθορίσουμε ως εξής:

Στις περισσότερες διανομές Linux, τα iptables είναι άδεια είτε για IPv4 είτε για IPv6. Επομένως, εάν δεν έχετε προσθέσει κανέναν νέο κανόνα, θα λάβετε μια έξοδο παρόμοια με αυτή που φαίνεται παρακάτω. Αυτό είναι επικίνδυνο γιατί σημαίνει ότι το σύστημα επιτρέπει όλη την εισερχόμενη, εξερχόμενη και δρομολογημένη κυκλοφορία.

Ας δούμε πώς να ρυθμίσετε τα iptables:

Πώς να ρυθμίσετε τις παραμέτρους iptables;

Υπάρχουν πολλοί τρόποι για να ρυθμίσετε τους κανόνες iptables. Αυτή η ενότητα χρησιμοποιεί παραδείγματα για να σας δείξει πώς να ορίζετε κανόνες χρησιμοποιώντας διευθύνσεις IP και θύρες.

Αποκλεισμός και επιτρεπόμενη κυκλοφορία από λιμάνια

Μπορείτε να χρησιμοποιήσετε μια συγκεκριμένη θύρα για να αποκλείσετε ή να επιτρέψετε όλη την κυκλοφορία σε μια διεπαφή δικτύου. Εξετάστε τα ακόλουθα παραδείγματα:

Οι παραπάνω εντολές επιτρέπουν την κυκλοφορία στη θύρα 1001 TCP στη διεπαφή wlan0.

Αυτή η εντολή κάνει το αντίθετο από την παραπάνω εντολή καθώς αποκλείει όλη την κίνηση στη θύρα 1001 στο wlan0.

Ακολουθεί μια προσεκτική επιθεώρηση της εντολής:

• Το πρώτο όρισμα (-A) προσθέτει έναν νέο κανόνα στο τέλος της αλυσίδας πίνακα.

• Το όρισμα INPUT προσθέτει τον καθορισμένο κανόνα στον πίνακα.

• Το όρισμα DROP ορίζει την ενέργεια που θα εκτελεστεί ως ACCEPT και DROP, αντίστοιχα. Αυτό σημαίνει ότι μόλις γίνει αντιστοίχιση ενός πακέτου, απορρίπτεται.

• -p καθορίζει το πρωτόκολλο όπως το TCP και επιτρέπει τη διέλευση της κυκλοφορίας σε άλλα πρωτόκολλα.

• –destination-port ορίζει τον κανόνα για την αποδοχή ή την απόρριψη όλης της κίνησης που προορίζεται για τη θύρα 1001.

• -i <όνομα διεπαφής> λέει στο iptables να εφαρμόσει τον κανόνα στην κίνηση που έρχεται στη διεπαφή wlan0.

ΣΗΜΕΙΩΣΗ: Τα Iptables δεν κατανοούν τα ψευδώνυμα διεπαφής δικτύου. Έτσι, σε ένα σύστημα με περισσότερες από μία εικονικές διεπαφές, θα πρέπει να ορίσετε τη διεύθυνση προορισμού χειροκίνητα και ρητά.

Για παράδειγμα:

Επιτρεπόμενη λίστα & Μαύρη λίστα διευθύνσεων IP

Μπορείτε να δημιουργήσετε κανόνες τείχους προστασίας χρησιμοποιώντας iptables. Ένα παράδειγμα είναι η διακοπή όλης της κυκλοφορίας και η άδεια κυκλοφορίας δικτύου μόνο από ρητές διευθύνσεις IP.

Παράδειγμα :

ΑΠΟΔΕΧΟΜΑΙ

Η πρώτη γραμμή ορίζει έναν κανόνα που επιτρέπει όλες τις διευθύνσεις IP προέλευσης στο υποδίκτυο 192.168.0.1/24. Μπορείτε επίσης να χρησιμοποιήσετε CIDR ή μεμονωμένες διευθύνσεις IP. Στην ακόλουθη εντολή, ορίσαμε τον κανόνα να επιτρέπει όλη την κίνηση που συνδέεται με υπάρχουσες συνδέσεις. Στις τελικές εντολές, ορίσαμε μια πολιτική για το INPUT και το FORWARD για την απόρριψη όλων.

Χρήση iptables στο IPv6

Η εντολή Iptables λειτουργεί μόνο σε IPv4. Για να χρησιμοποιήσετε τα iptables στο IPv6, πρέπει να χρησιμοποιήσετε την εντολή ip6tables. Το Ip6tables χρησιμοποιεί πίνακες ακατέργαστων, φίλτρων, ασφάλειας και παραμόρφωσης. Η γενική σύνταξη για τα ip6tables είναι παρόμοια με τα iptables και υποστηρίζει επίσης επιλογές που ταιριάζουν με iptables όπως προσάρτηση, διαγραφή κ.λπ.

Εξετάστε το ενδεχόμενο να χρησιμοποιήσετε τις σελίδες του εγχειριδίου ip6tables για περισσότερες πληροφορίες.

Παράδειγμα συνόλων κανόνων iptables για ασφάλεια δικτύου

Η δημιουργία κατάλληλων κανόνων τείχους προστασίας θα εξαρτηθεί κυρίως από την υπηρεσία που εκτελείται σε ένα σύστημα και τις θύρες που χρησιμοποιούνται. Ωστόσο, ακολουθούν ορισμένοι βασικοί κανόνες διαμόρφωσης δικτύου που μπορείτε να χρησιμοποιήσετε για να ασφαλίσετε το σύστημά σας:

1: Επιτρέψτε την κυκλοφορία διεπαφής Loopback και απορρίψτε όλα τα επαναληπτικά που προέρχονται από άλλες διεπαφές

2: Απόρριψη όλων των αιτημάτων ping

3: Επιτρέπονται οι συνδέσεις SSH

Αυτά είναι παραδείγματα εντολών που μπορείτε να χρησιμοποιήσετε για να ασφαλίσετε το σύστημά σας. Ωστόσο, η διαμόρφωση θα εξαρτηθεί σε μεγάλο βαθμό από το τι ή ποιον θέλετε να αποκτήσετε πρόσβαση σε διάφορες υπηρεσίες.

ΠΡΟΣΟΧΗ: Εάν προτιμάτε να απενεργοποιήσετε πλήρως το IPv6, φροντίστε να αφαιρέσετε το σχόλιο της γραμμής, καθώς αυτό θα επιβραδύνει τη διαδικασία ενημέρωσης:

Αυτό συμβαίνει επειδή ο διαχειριστής πακέτων APT επιλύει τον τομέα κατοπτρισμού στο IPv6 λόγω ενημέρωσης apt-get.

Πώς να αναπτύξετε τους κανόνες iptables;

Για να αναπτύξετε τα iptables σας στο Ubuntu ή σε άλλα συστήματα που βασίζονται στο Debian, ξεκινήστε δημιουργώντας δύο αρχεία, ip4 και ip6, για τις αντίστοιχες διευθύνσεις IP τους.

Σε κάθε αρχείο, προσθέστε τους κανόνες που θέλετε να επιβάλετε στα αντίστοιχα αρχεία τους—κανόνες IPv4 στο αρχείο ip4 και κανόνες IPv6 στο αρχείο ip6.

Στη συνέχεια, πρέπει να εισαγάγουμε τους κανόνες χρησιμοποιώντας την εντολή:

Στη συνέχεια, μπορείτε να επαληθεύσετε εάν έχουν εφαρμοστεί οι κανόνες χρησιμοποιώντας την εντολή:

Ένας γρήγορος οδηγός για iptables-persistent

Το Ubuntu, και οι κοινές διανομές που βασίζονται στο Debian, συνοδεύονται από ένα πακέτο iptables-persistent που σας επιτρέπει να εφαρμόζετε εύκολα τους κανόνες του τείχους προστασίας σας κατά την επανεκκίνηση. Το πακέτο παρέχει αρχεία που μπορείτε να χρησιμοποιήσετε για να ορίσετε κανόνες για IPv4 ή IPv6 και μπορούν να εφαρμοστούν αυτόματα κατά την εκκίνηση.

Μπορείτε επίσης να χρησιμοποιήσετε κανόνες τείχους προστασίας χρησιμοποιώντας UFW ή GUFW. Εξετάστε το παρακάτω σεμινάριο για να μάθετε πώς να χρησιμοποιείτε το UFW.

Πώς να εγκαταστήσετε το iptables-persistent;

Βεβαιωθείτε ότι έχετε εγκατεστημένο το iptables-persistent στο σύστημά σας. Χρησιμοποιήστε το dpkg για να ελέγξετε εάν έχετε εγκαταστήσει το πακέτο.

Εάν όχι, χρησιμοποιήστε την ακόλουθη εντολή:

Θα σας ζητηθεί δύο φορές να αποθηκεύσετε τους τρέχοντες κανόνες IPv4 και IPv6. Κάντε κλικ στο Ναι για να αποθηκεύσετε και τους δύο κανόνες.

Κάντε κλικ στο ναι για να αποθηκεύσετε το IPv6.

Μόλις ολοκληρωθεί η εγκατάσταση, βεβαιωθείτε ότι έχετε τον υποκατάλογο iptables, όπως φαίνεται στην παρακάτω εικόνα.

συμπέρασμα

Σε αυτό το σεμινάριο, καλύψαμε τα βασικά του iptables. Ξεκινώντας με την εργασία με iptables, βασικές εντολές, προεπιλεγμένους πίνακες iptables και παραμέτρους.

Από όσα μάθατε, θα πρέπει να είστε σε θέση να χρησιμοποιήσετε τα iptables για να δημιουργήσετε κανόνες τείχους προστασίας που βοηθούν στην ασφάλεια του συστήματός σας.