FIREWALL HOWTO - Iptables za početnike

FIREWALL HOWTO - Iptables za početnike 16.07.2005. u 01:15 · pre 259 meseci #1

Ova tema je zamenjena novom: Firewall na Linuxu za početnike: ufw, firewalld i nftables (2026).

Ajde da napišem nešto korisno ovde, da ne bude da samo kenjam ;o)

Upravo sam lepo podesio firewall na kućnom serveru, pa da podelim to sa vama.

Pre nego sto počnem sa tehnikalijama, da ukratko opišem scenario:

Bogu hvala pa je ADSL došao. To znači da imamo mogućnost da nam mašine budu 24/7 online.

Imam 2 mašine:

AMD64 - desktop klijentska mašina na kojoj radim svaki dan. Ima jednu mrežnu kartu eth0.

P3 - server mašina koja stoji u drugoj sobi. Ima 2 mrežne karte eth0 i eth1.

Ideja mi je bila da od P3 napravim zaštitni zid koji će da zabrani gotovo sav dolazni saobraćaj, osim par stvari koje su mi potrebne. Pošto i sa AMD64 treba da izlazim na mrežu, bilo je potrebno na P3 namestiti i NAT.

Na obe mašine se vrti Gentoo Linux. ADSL usluga je kod Sezama i imam ruter koji je podešen da radi kao modem i da uzima adresu preko dhcpa. Ovo je tako jer mi P3 glumi firewall i ruter.

Dakle, cela priča će važiti za Gentoo distribuciju, ali ćete se, analogno, lako snaći i na drugim distroima.

Podešavanja servera (P3):

Pre nego što bilo šta počnemo, treba podesiti kernel:

Device drivers -> Networking support -> Networking options -> [*] Network packet filtering (replaces ipchains)

Zatim uđite tu, pa u IP Netfilter Configuration i štiklirajte sve. (nemoj neko da me je isprozivao zbog ovoga, nemam pojma šta sme, a šta ne sme da se izostavi, od glave višak ne boli

)

Zatim treba instalirati iptables. Na Gentoo-u se to radi ovako:

Code:
emerge iptables

Sada editujte fajl /etc/conf.d/net koji je odgovoran za mrežne karte:

Code:

iface_eth0="dhcp"
iface_eth1="192.168.0.1 broadcast 192.168.0.255 netmask 255.255.255.0"

Dakle na serveru smo podesili da eth0 koja je vezana za ADSL ruter uzima adresu preko dhcpa, a eth1 koja je vezana sa desktop računarom uzima privatnu adresu 192.168.0.1.

Podešavanje klijenta (AMD64):

Evo njegovog /etc/conf.d/net-a:

Code:

iface_eth0="192.168.0.2 broadcast 192.168.0.255 netmask 255.255.255.0"
gateway="eth0/192.168.0.1"

Dakle, eth0 klijenta je vezan za server, ima adresu 192.168.0.2 i setovali smo da je gateway upravo 192.168.0.1.

Obratite pažnju da za samu kartu eth1 na serveru nije podešen gateway! To ćemo uraditi preko iptables-a!

E da, ne zaboravite da podesite DNSove u /etc/resolv.conf na klijentu. Dakle, tu sam strpao Sezamove DNS-ove. Na serveru je to isto potrebno uraditi, mada mislim da dhcp brine o tome, ali neće da škodi.

Pokretanje i testiranje:

Na serveru je potrebno podići mrežne karte i dodati u startup:

Code:

/etc/init.d/net.eth0 start
/etc/init.d/net.eth1 start
rc-update add net.eth0 default
rc-update add net.eth1 default

A na klijentu:

Code:

/etc/init.d/net.eth0 start
rc-update add net.eth0 default

Ajmo da istestiramo da li ovo radi. Sa servera pokušajte da pingujete svet i klijenta:

Code:

ping www.google.com
ping 192.168.0.2

Ako ovo prođe, onda je sve podešeno.

Sada dolazi najzanimljiviji deo, treba konfigurisati firewall i NAT:

Code:

#!/bin/bash

echo 1 > /proc/sys/net/ipv4/ip_forward

iptables -F
iptables -X

# Omogućavamo NAT na eth0
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# Forvardujemo sve što dolazi na eth1 na izlaz eth0 (zato nam nije bio potreban gw)
iptables -A FORWARD -i eth1 -o eth0 -m state --state NEW,ESTABLISHED -j ACCEPT

# Omogućavamo pristup ssh serveru spolja
iptables -A INPUT --protocol tcp --dport 22 -j ACCEPT

# Omogucavamo pristup HTTP serveru spolja
iptables -A INPUT --protocol tcp --dport 80 -j ACCEPT

# Blokiramo sve ostalo spolja
iptables -A INPUT -i eth0 -m state --state NEW,INVALID -j DROP
iptables -A FORWARD -i eth0 -m state --state NEW,INVALID -j DROP

Sada ovo treba snimiti. Na Gentoo-u ima olakšica, a to je:

Code:

/etc/init.d/iptables save

koja na izvesno mesto snima pravila. Ako ne koristite Gentoo, onda ćete koristi alatke iptables-save i iptables-restore. Nije nikakav problem.

Istestirajte da li sve radi:

Code:

/etc/init.d/iptables start; /etc/init.d/iptables stop; /etc/init.d/iptables start

Ako ovo prođe, dodajte u startup:

Code:

rc-update add iptables default

Potrebno je još dodati sledeću liniju u /etc/conf.d/local.start kako bi pri svakom boot-u sve bilo u redu:

Code:

echo 1 > /proc/sys/net/ipv4/ip_forward

To je cela nauka. Sada klijent može nesmetano da ostvaruje konekcije bilo gde, a ulazni saobraćaj je omogućen samo na http i ssh server.

Biće i nastavak za malo komplikovanije slučajeve. Recimo: zabrana da klijent izlazi na neki port, forwardovanje nekog porta na klijenta itd.

Poz.

2

Re: FIREWALL HOWTO - Iptables za početnike 19.07.2005. u 02:08 · pre 259 meseci #2

Svaka chast .. prvo shto te nije mrzelod a ispishesh sve ovo a drugo shto si to sve lepo slozhio .. sada vishe ne moram da objashnjavam ljudima kako i shta .. samo link :) fala veliko :P

btw mogao si dodati tu usput i ftp i neke azureus portove etc.. znash kao na tacni :) i mislim da bi odna bilo perfect za home use :) mada pashe i na gateway -ima u internet caffeima :)

Ovakosam i ja slichno odradio na Slacku ... slichna pricha samo shto je rachunar u NAT-u XP mashina... U principu oba su desktop rachunara, samo shto se Linux koristi i kao gateway

Potpis

--------------------
For more information search on www.google.com
__________________
Slackware 12.0

Re: FIREWALL HOWTO - Iptables za početnike | DODATAK - podešavanje Windows klijenata 01.08.2005. u 14:52 · pre 258 meseci #3

Ajmo sada da podesimo i Njinjdows da koristi naš server:

Control Panel -> Network Connections -> desni klik na Local Area Connection -> Properties -> Dvoklik na Internet Protocol (TCP/IP) i u mom scenariju podešavanja su ovakva:

win.png30.67k

1

Re: FIREWALL HOWTO - Iptables za početnike 01.08.2005. u 15:53 · pre 258 meseci #4

Nezaobilazno stivo.
Iptables Tutorial 1.2.0 by Oskar Andreasson

Potpis

You need to install an RTFM interface.

Re: FIREWALL HOWTO - Iptables za početnike 13.08.2005. u 00:13 · pre 258 meseci #5

Vi ljudi ste ko tempirani! Bas kad se spremam postavid Debian gateway i ruter!

FENOMENALNO!!

Da Vas pitam dali se je tko od vas igro sa ipmaq paketom možda?

Potpis

If we want to discover, we first have to be willing to get lost!

Re: FIREWALL HOWTO - Iptables za početnike 07.09.2005. u 13:20 · pre 257 meseci #6

Ok, sada ćemo malo da se poigramo sa forvardovanjem portova.

Dakle, jedina mašina koju svet vidi je naš firewall.

Ja sada hoću da mogu da se nakačim direktno preko ssh-a na moj desktop Linux.

Evo kako bih to uradio:

Dok je firewall aktivan, ukucaću sledeće komande:

Code:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 5 -j DNAT --to 192.168.0.2:22
iptables -I FORWARD -i eth0 -p tcp -d 192.168.0.2 --dport 22 -j ACCEPT
/etc/init.d/iptables save

Kada sada pokušam iz sveta da se nakačim na sledeći način:

Code:

ssh -p 5 vpetreski.no-ip.org

firewall preusmeri ovaj zahtev na moju desktop mašinu na ssh port 22 i dobijem ono što sam hteo.

Evo šta treba uraditi da biste omogućili Shareaza-i da radi normalno na tcp i udp portu 12187:

Code:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 12187 -j DNAT --to 192.168.0.2:12187
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 12187 -j DNAT --to 192.168.0.2:12187
iptables -I FORWARD -i eth0 -p tcp -d 192.168.0.2 --dport 12187 -j ACCEPT
iptables -I FORWARD -i eth0 -p udp -d 192.168.0.2 --dport 12187 -j ACCEPT
/etc/init.d/iptables save

Takođe je potrebno podesiti lokalni firewall (ZoneAlarm na primer) da prima konekcije na ovom portu!

Re: FIREWALL HOWTO - Iptables za početnike 15.10.2005. u 15:57 · pre 256 meseci #7

Ko želi da još proširi svoje horizonte u ovoj oblasti, preporučujem da se pozabavi i sa odg. alatom sa url http://www.fwbuilder.org . Tu je sve što je potrebno da znate o tom po meni izuzetnom alatu i nadam se da uskoro budete mislili isto kao i ja.

Nije direktno vezano za topic ali ako do sada niste koristili i linux hardening tool.om

sa url http://www.bastille-linux.org, skoknite i tamo...nećete zažaliti

Potpis

Howdy & Stay tuned to ...ES.. :))

Re: FIREWALL HOWTO - Iptables za početnike 12.12.2005. u 18:01 · pre 254 meseca #8

da li postoji sansa da mi neko poomogne oko ogranicavanja brzine klientima

npr...

imam mashinu sa 2 mrezne kartice
eth0=81.93.88.2
eth1=192.168.0.1

sad potrebno je da dignem firewall i dozvolim tj zabranim nekim ip adresam u lokalnoj mrezi izlaz na internet
npr:
192.168.0.11
192.168.0.12
192.168.0.13
192.168.0.22
192.168.0.33
da idu na net

a
192.168.0. 2
192.168.0.15
192.168.0.18
192.168.0.44
192.168.0.23
da ne ide
a uz to moram da kazem kojom brzinom da idu

npr
od mogucih 256kbps koji mi dolaze ocu an tu mashinu da mi udje samo 156 kbps a od tih 156 kbps da se upotrebi sam 120kbps ito

192.168.0.11,12,13 da imaju max 32kbps
192,168.0.22 da ima 64 max a da 192.168.0.33 ima 90kbps ito uvek a ovima moze da pada da bi taj ip imao ....

unapred hvala mada mislim da slabo ko zna ovo da uradi

Re: FIREWALL HOWTO - Iptables za početnike 12.12.2005. u 18:34 · pre 254 meseca #9

http://lartc.org/howto/

http://www.securityfocus.com/infocus/1285

http://www.linuxdevcenter.com/...nux/2000/08/24/LinuxAdmin.html

http://talk.trekweb.com/~jasonb/articles/linux_tc_minihowto.shtml

http://neworder.box.sk/newsread.php?newsid=12568

Bilo bi lepo da se sada poigras sa time, pa kad sve to lepo sazmes i uspes da nam lepo i detaljno objasnis kako si to uspeo, pa da prosirimo ovaj howto ;o)

Re: FIREWALL HOWTO - Iptables za početnike 12.12.2005. u 19:29 · pre 254 meseca #10

meni i dalje ne ide
izgleda da sam umno ogranicen
ja sve ali citam al dzaba
googlo sam ja i pre tebe al nisam skontao jedino od tog svog googlanja uspeo sam da niapisem ovo

-----------------------------------------
/etc/rc.masq 2>/dev/null >/dev/null
cat ips |awk '{print "/sbin/iptables -I FORWARD -d "$0" -j REJECT" }' |sh
------------------------------------------------------------------------

zna li ko da mi napise tu scriptu pa da je samo copy paste
ili ako ima ko gotovu ja cu da uradim edit ...

pls pls pls pls pls

HVALA .!!!

Re: FIREWALL HOWTO - Iptables za početnike 13.12.2005. u 09:57 · pre 254 meseca #11

Mozda da probas sa MasterShaper-om - ja ga ne koristim ali vidim da ga hvale neki korisnici sa problemom poput tvog:
http://shaper.netshadow.at/tiki-index.php

A i inace, evo jednog foruma na kome mozes da pronadjes tonu korisnih stvari o tome kako funkcionisu linux firewall-ovi:

http://www.clarkconnect.com/forums/ubbthreads.php

Re: FIREWALL HOWTO - Iptables za početnike 13.12.2005. u 14:59 · pre 254 meseca #12

dzaba sve to
ja sam navikao samo edit
koliko god ja da citam nema od toga nista ne kontam te tabele oni sto napisu i jbg ...

moze li ko da da primer sa ip koje sam ja naveo ...

HVALA!!!!!!

Re: FIREWALL HOWTO - Iptables za početnike 28.11.2006. u 20:16 · pre 242 meseca #13

echo 1 > /proc/sys/net/ipv4/ip_forward

je potrebno da se implementira kao posljednje pravilo jer u slucaju kao sto je dato u skripti postoji mali vremenski period prije nego se implementiraju pravila vatrozida da je sistem otvoren za proslijedjivanje paketa.

Potpis

Siuxi and Apachi

Re: FIREWALL HOWTO - Iptables za početnike 10.05.2007. u 20:25 · pre 237 meseci #14

Instalisao sam Bastille u Kubuntu 7.04, Athlon 64 X2 4000 i primetio sam da taj program nije kompatibilan sa mojim sistemom. Traži /etc/inittab itd. što ja nemam.

Deinstalisao sam ga i ostalo je mnogo stvari koje je promenio u sistemu i nije vratio u normalno stanje. Ne briše svoje prazne direktorije itd... Najviše mi smeta kad se ulogujem u konzolu, da mi javlja preko celog ekrana "Autorized use bla bla". Ne mogu naći gde da to isključim. Prešao sam ceo /etc i ništa. Može li mi neko pomoći?

Umesto Bastille instalisao sam Arno's IPTABLES firewall

http://rocky.eld.leidenuniv.nl/

koji radi izvanredno, malo sam pročačkao dokumentaciju, podesio neke stvari pošto koristim ADSL, and rullez. Pozdrav.

Potpis

FreeBSD[/
url]
[url=http://www.freebsd.org/doc/en/boo
ks/handbook/index.html]FreeBSD
Handbook
FreeBS
D Forumi
GhostBSD[/url
]
[url=http://www.sysresccd.org/]System
Rescue CD

Re: FIREWALL HOWTO - Iptables za početnike 11.04.2008. u 21:26 · pre 226 meseci #15

Napustio sam Kubuntu i pronašao sam u Gentoo-u veoma dobar GUI za zaštitni zid

Guarddog

http://www.simonzone.com/software/guarddog/

za Gentoo

emerge -a guarddog

Kad se starta u X kao root, vidi se da su sva pravila zabranjena.

Treba dodavati samo ono što vam treba.

Mogu se dodavati lična pravila. Može se trenutno isključiti firewall ako zatreba za probu. Ima veoma puno mogućnosti a i forum je veoma dobar.

Da bi se startao pri dizanju sistema

/etc/conf.d/local.start
...
# da se podigne Firewall (Guarddog)
/etc/rc.firewall
...

Potpis

FreeBSD[/
url]
[url=http://www.freebsd.org/doc/en/boo
ks/handbook/index.html]FreeBSD
Handbook
FreeBS
D Forumi
GhostBSD[/url
]
[url=http://www.sysresccd.org/]System
Rescue CD

Re: FIREWALL HOWTO - Iptables za početnike 11.04.2008. u 21:39 · pre 226 meseci #16

IPTABLES je prilicno prost za koriscenje i implenetiranje. Voleo sam nekada
da ga koristim cak sam napisao i tekst o njemu za ph zine.

http://phearless.org/i2/Hiding_Behind_Firewall.txt

Potpis

Tony Melendez:
http://video.google.com/videoplay?docid=-
3819862628517136815&q=tony+melendez

NIKADA NE UZIMATI HOSTING NA GO DADDY!

Re: FIREWALL HOWTO - Iptables za početnike 28.07.2008. u 01:07 · pre 222 meseca #17

Sad sam napravio od Netfilter-Iptables Skript za firewall od početka i veoma sam zadovoljan. Ima veličinu od 43K. Potpuno je objašnjen u fajli.

Mogu da ga pokrećem sa

/etc/init.d/firewall start ili firewall start pošto mi je u path-u

ima i restart | stop | status | permit | forbid

Mnogo bolje radi od raznih GUI-a.

Pozdrav nemysis

Potpis

FreeBSD[/
url]
[url=http://www.freebsd.org/doc/en/boo
ks/handbook/index.html]FreeBSD
Handbook
FreeBS
D Forumi
GhostBSD[/url
]
[url=http://www.sysresccd.org/]System
Rescue CD

Re: FIREWALL HOWTO - Iptables za početnike 15.11.2008. u 21:38 · pre 218 meseci #18

Ko želi da nešto nauči o Iptables neka pogleda, tu ima puno objašnjenja i saveta:

Netfilter/Iptables

Netfilter/Iptables

Netfilter/Iptables

Iptables & Netfilter - How to get started

git.netfilter.org Git

Lutz Donnerhacke: de.comp.security.firewall FAQ

Port Knocking & SPA

Complete Filtering Howto

Poeple Netfilter.org

Ovo je jedna tema koja je u Sigurnosti ali je za Linux mreže veoma dobra

Linux sigurnost dok sam na net-u

Potpis

FreeBSD[/
url]
[url=http://www.freebsd.org/doc/en/boo
ks/handbook/index.html]FreeBSD
Handbook
FreeBS
D Forumi
GhostBSD[/url
]
[url=http://www.sysresccd.org/]System
Rescue CD

2

Re: FIREWALL HOWTO - Iptables za početnike 23.07.2012. u 12:08 · pre 174 meseca #19

Prerovio sam sve teme oko IPTABELA i mozda je najbolje da ovdje postam situaciju koju imam za smjernice i upute kako da na najbolji nacin realiziram ono sto zelim.

Naime imam jednu staticku IP, i uradio sam port forwarding na ruteru 80 i 22 na LAN ip 192.168.1.2. (centos ver.5.6).
Nikakve sigurnosne postavke nisam podesio. Uglavnom iz vana se logujem preko web browsera i koristim takodjer ssh.
Ono sto zelim je da zabranim pristup iz vana svim ip adresama osim onom rangu IPs s kojeg ja pristupam iz vana. (taj opseg bi trebao traziti od provajdera!?). Sto se tice LAN moze biti sve omoguceno.

Dakle prvo bih trebao blokirati sve IPs i onda odobriti samo odredjenom opsegu IPs , kako bi to izgledalo pravilima IPTABELA redoslijedom:

Code:
iptables -P INPUT DROP  #blokiraj sve dolazne pakete
iptables -P FORWARD DROP # ako ruter koristimo kao kompjuter (ne znam da li je ovo potrebno)
iptables -P OUTPUT ACCEPT #dozvoljeni svi odlazni paketi
iptables -A INPUT -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A INPUT -s 192.168.1.144 -j ACCEPT #dozvoljen pristup iz LANa samo ovoj IP adresi

iptables -A INPUT -p tcp -s 217.0.0.0/8 --dport 22 -j ACCEPT  #dakle dozvoljen pristup iz vana samo ovom opsegu za port 22
iptables -A INPUT -p tcp -s 217.0.0.0/8 --dport 80 -j ACCEPT  #dakle dozvoljen pristup iz vana samo ovom opsegu za port 80

Da li je ovo dovoljno ili su potrebne dodatna pravila za jos bolju sigurnost ?
Redoslijed pisanja pravila me zbunjuje?

Potpis

Re: FIREWALL HOWTO - Iptables za početnike 23.07.2012. u 13:29 · pre 174 meseca #20

Da malo pojasnimo. Ajde da kazemo da postoje dve bitne tabele, FILTER i NAT.
U okviru FILTER tabele postoje lanci (chain) INPUT, OUTPUT, FORWARD(kada je pc podesen kao ruter).
U okviru lanaca postoje pravila koja se citaju po nekom redosledu, prvo se citaju dodata pravila, pa onda polisa.
Pomocu -A, -I, -P ta pravila smestas u tu tabelu. Pomocu -L citas sadrzaj.
---------------------------------------------------------------------------------------

Trebalo bi da je OK.

Prvo se citaju pravila pa polisa. Znas sta znaci -A (append), smesta pavilo u poslednji red lanca.

U tvom slucaju za INPUT lanac bi dobio sledece:

1. iptables -A INPUT -s 192.168.1.144 -j ACCEPT #dozvoljen pristup iz LANa samo ovoj IP adresi
2. iptables -A INPUT -p tcp -s 217.0.0.0/8 --dport 22 -j ACCEPT #dakle dozvoljen pristup iz vana samo ovom opsegu za port 22
3. iptables -A INPUT -p tcp -s 217.0.0.0/8 --dport 80 -j ACCEPT #dakle dozvoljen pristup iz vana samo ovom opsegu za port 80
i na kraju se gleda polisa
4. iptables -P INPUT DROP #blokiraj sve dolazne pakete

Pozzz

Potpis

Merenje brizine
interneta

Forum kao aplikacija na telefonu

Srodne teme