iptables

IPTABLES
用來設定netfilter的User Space工具
ps:netfilter為linux負責處理網路封包之系統 

列出table
iptables [-t table] -L [-nv]
參數:
-t table:選擇table,有filter及nat,mangle,預設為filter
-L:列出table規則
-n:不進行IP與HOSTNAME的反查
-v:列出更多的資訊

刪除
iptables [-t table] [-FXZ]
-F:清除所有的已訂定的規則
-X:殺掉所有使用者自訂的chain
-Z:將所有的chain的計數與流量統計都歸0
-N:自訂一條新的chain

存檔和讀檔
iptables-save > file :將iptables的規則設定儲存在file的檔案裡
iptables-restore < file :將iptables的規則設定檔讀進來

定義chain的政策
iptables [-t table] -P chain value
-P:定義政策
-P chain value:可選擇的chain有INPUT,OUPUT,FORWARD,而value有ACCEPT,DROP
   ex:iptables -P INPUT DROP  則所有進入的封包都會被丢棄
若table是nat,則chain有OUTPUT,POSTROUTING,PREROUTING
若table是mangle,則chain有PREROUTING,POSTROUTING,INPUT,OUTPUT

封包進入時的經過的chain順序為
1mangle(prerouting)>nat(prerouting)>依是否轉遞封包到2a或2b
 2a進行封包轉遞 mangle(forward)>filter(forward)>到順序3
 2b無,封包進入主機 mangle(input)>filter(input)>主機,路由判斷>mangle(output)>nat(output)>filter(output)>到順序3
3mangle(postrouting)>nat(postrouting)

.........................................................................................................

設定chain的規則
iptables -[A|I] chain [-io] [-p] [-s] [-d] [-j]
-A chain:附加一條規則在後面
-I chain:差入一條規則在前面
-R chain n:改變第n條規則
-D chain n:刪除第n條規則
-D 部份rule :刪除第一個符合rule的值
-D 完整rule :刪除和rule一樣的值
-i interface:封包進入的interface,需與input配合,ex:lo,eth0
-o interface:同上,但需與output配合
-p protocol:設定規則適用於那個protocol,可選tcp,udp,icmp,all
 若protocol是tcp或udp則可用以下參數
  -s source:設定來源,source可以是ip,ip/mask,網域,若在sourec前加!表示拒絕
  -d destination:設定目標,target的值同source
  --dport value1:value2 :指定目標port或程式名稱,port號可選擇一連續範圍,需搭配-p
  --sport value1:value2 :同上,但是指定來源,需搭配-p
 若protocol是tcp可用以下參數
  ! -syn  不是syn封包
  --syn tcp的syn位元被開啟,也就是syn封包
  --tcp-flags value 指定tcp的flag,value可選syn,ack,fin,rst,urg,psh,all,none
    若protocol是icmp可用以下參數
  --icmp-type type:指定icmp的type,ex:8=echo request
-j target:設定此規則要如何處理,可選ACCEPT,DROP,
TOS,LOG,自訂chain
 ex:iptables -A INPUT -i eth0 -s 192.168.1.10 -j DROP    將從192.168.1.10進到eth0介面的封包drop
 ex:iptables -R INPUT 1 -i ppp0 -p tcp --sport 80 -j DROP  將第一個規則改成,拒絕任何來源為port80進入ppp0的界面
 ex:iptables -I INPUT -i ppp0 -p tcp --dport 80 -j ACCEPT 封包的目標port若是80而且要進入ppp0介面則允許通行
 ex:iptables -A INPUT -p icmp --icmp-type 8 -j DROP  不接受ping的回應

 若target為log,可用以下參數
  --log-level value 要記錄到syslog的等級,等級可參考syslog.conf
  --log-prefix value 會在每筆log前加指定字串
  --log-tcp-options 記錄tcp header相關訊息
  --log-ip-options 記錄ip header相關訊息

 ps:log會記錄到/var/log/messages
 ps:若設定--log-level debug,並在syslog.conf內加入kern.=debug /var/log/iptableslog,重啟syslog則可將log記在iptableslog內
 ps:iptables log分析器 http://iptablelog.sourceforge.net/ 

 ex:iptables -I INPUT -p tcp --dport 80 -j LOG --log-prefix=flog 若符合則記錄到log中,並在每筆記錄前加flog
  若target為tos,可用以下參數
     --set-tos Mzximize-Throughput  讓通過量最大
     --set-tos Minimize-Delay 可獲得更多反應

應用:防止 port scan
# NMAP FIN/URG/PSH
iptables -A INPUT -i eth0 -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP
# Xmas Tree
iptables -A INPUT -i eth0 -p tcp --tcp-flags ALL ALL -j DROP
# Another Xmas Tree
iptables -A INPUT -i eth0 -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP
# Null Scan(possibly)
iptables -A INPUT -i eth0 -p tcp --tcp-flags ALL NONE -j DROP
# SYN/RST
iptables -A INPUT -i eth0 -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
# SYN/FIN -- Scan(possibly)
iptables -A INPUT -i eth0 -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP 

ps:
-j target的其他參數
RETURN:不使用目前chain規則,且直接返回並到下個chain或其他位址
結束在目前chain中的過濾程序,返回主chain繼續過濾
ps:若把自訂chain看做副程式,那return就相當於提早結束副程式並返回到主程式中
QUEUE:將packet送到指定的應用程式處理     
MARK:將packet標上某個編號,給後續過濾的動作參考
ex:iptables -t mangle -A PREROUTING -p tcp --dport 80 -j MARK --set-mark 2
REJECT:阻擋該packet,並回傳訊息

..............................

使用模組
iptables -[A|I] chain -m module --module [-j]
module有:

1.state(狀態模組),用法:
-m state --state value1,value2 :指定封包的狀態,value有
 INVALID:無效的封包,例如資料破損的封包狀態
 ESTABLISHED:已經連線成功的連線狀態
 NEW:想要新建立連線的封包狀態,就是第一個來的封包,tcp連線開始會先送syn封包
 RELATED:最常用,表示此封包是與我們主機發送出去的封包有關
 ex:iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 只要己建立或相關封包就給予通過
 ex:iptables -A INPUT -p tcp ! -syn -m state --state NEW -j DORP 第一個來的tcp封包不是syn則拒絕

2.mac(網路卡硬體位置),用法:
-m mac --mac-source value :指定主機(value為網卡卡號)
ex:iptables -A INPUT -m mac --mac-source aa:bb:cc:dd:ee:ff -j ACCEPT 若要進入此網卡則可通行

3.limit(限制),用法
-m limit --limit value/unit 比對某段時間內封包的平均流量,unit有day,hour,minute,second
ex:iptables -A INPUT -m limit --limit 3/hour 每小時平均只能處理3個封包
-m limit --limit-burst 若同時進來多個封包,只有少數幾個能放入緩衝區 ,其餘丟棄
ex:iptables -A INPUT -m limit --limit-burst 5 若同時進來多個封包,只有5個封包放入緩衝區,其餘丟棄
ex:iptables -A INPUT -p icmp --icmp-type 8 -m limit --limit 6/m --limit burst 10 -j ACCEPT 若每分鐘超過10個icmp封包則每分鐘只能進來6個icmp封包
保護ssh
to limit the the number of connections to the ssh port to 3 per minute: 

ex:
iptables -A INPUT -p tcp --dport 22 --syn -m limit --limit 1/m --limit-burst 3 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 --syn -j DROP 
rule 1
will accept new connections on port 22 provided that IP address hasn't made more than 3 connection attempts in the last minute.
rule 2
If more than 3 connection attempts have been made within the last minute, then rule2 will DROP the connection

4.mark用法
-m mark --mark value 比對此封包被-j MARK --set-mark的value
ex:iptables -t mangle -A INPUT -m mark --mark 1000 比對封包是否被標上1000的編號

5.recent用法
參數如下
-seconds < num>比對小於此秒數的記錄才動作 
-hitcount < num>重覆發生幾次
-name < name> 儲存資訊的記錄檔名稱,通常存在目錄/proc/net/ipt_recent/ 
-set < name> 當符合條件時,要儲存在指定的記錄檔名稱 
-rcheck  與記錄檔比對,但不會修改更新
-update  與記錄檔比對,會作修改更新

保護ssh
prevent brute-force attacks by logging and blocking repeated attempts to login from the same IP address
ex:
iptables -A INPUT -p tcp --dport 22 -m recent --set --name ssh --rsource
iptables -A INPUT -p tcp --dport 22 -m recent ! --rcheck --seconds 60 --hitcount 4 --name ssh --rsource -j ACCEPT 
rule 1 
records the IP address of each attempt to access port 22 using the recent module.
records data usually is saved in /proc/net/ipt_recent/
rule 2
checks to see if that IP address has attempted to connect 4 or more times within the last 60 seconds,
and if not then the packet is accepted. 
Note this rule would require a default policy of DROP on the input chain.

在10秒內超過6次icmp-type8就drop,並做記錄
ex:
iptables -A INPUT -p icmp -icmp-type 8 -m recent -name ICMP_check -update -seconds 10 -hitcount 6 -j DROP
iptables -A INPUT -p icmp -icmp-type 8 -m recent -set -name ICMP_check

refer
http://ssorc.tw/1053
http://ishm.idv.tw/?p=188

 

6.connlimit,限制每個 ip 的連線數
參數如下
-connlimit-above < number>
-connlimit-mask < CIDR >

限制每個 ip 只可以有 5 個 ssh 連線 
ex:
iptables -A INPUT -p tcp -syn -dport 22 -m connlimit -connlimit-above 5 -j REJECT

將連線數大於50的做放入message做記錄
ex:
iptables -I INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 50 -j LOG --log-prefix "CONNLIMIT: " --log-level warning   

refer
http://www.phpini.com/linux/iptables-limit-ip-connections

.............................

核心的網路功能
一個功能表示成一個檔案,檔案內的值設成1表示啟動

在此目錄/proc/sys/net/ipv4/有:
tcp_syncookies  避免SYN Flooding 的 DoS 攻擊
tcp_max_syn_backlog TCP封包連線最佳化
tcp_synack_retries TCP封包連線最佳化
tcp_abort_on_overflow TCP封包連線最佳化
icmp_echo_ignore_broadcasts 只勿略ping broadcast,可避免ping flooding及ping of death
icmp_echo_ignore_all 全部的ping都不回應,缺點是難判斷主機是否在線上
icmp_ignore_bogus_error_responses 啟動忽略記錄功能可避免一些假回應對syslog進行DoS攻擊
tcp_ecn 自動擁塞通知,並非所有ip支援,建議關掉

在此目錄/proc/sys/net/ipv4/conf/網路介面/*有:
rp_filter 逆向路徑過濾,將不合理的封包丟棄,可避免攻擊者偽裝成信任網域來欺騙防火牆
log_martians 將不合法的ip紀錄在/var/log/messages
ex:echo "1" > /proc/sys/net/ipv4/tcp_syncookies 啟動阻擋syn flooding機制
accept_redirects 建議關閉
send_redirects 建議關閉

......................................................................................................................

關於nat
相關核心網路功能有:
/proc/sys/net/ipv4/ip_forward  打開Linux核心的封包轉遞能力,讓linux具router功能
ps:可在/etc/sysctl.conf內加入net.ipv4.ip_forward=1,在執行sysctl -p讓設定立即生效

使用nat表的-j action如果是
 MASQUERADE,表示偽裝ip
 SNAT --to,表示直接修改ip表頭,需使用postrouting鏈
 DNAT --to,表示直接修改ip表頭,需使用prerouting鏈
 REDICRECT --to-ports,進行port轉換
ex:iptables -t nat -A POSTROUTING -s 192.168.1.2 -o eth1 -j MASQUERADE //若封包從192.168.1.2來且要從eth1介面出去,則將封包偽裝
ex:iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to 192.168.200.250  //把要從eth1介面出去的封包,封包來源改為192.168.200.250
ex:iptables -t nat -A PREROUTING -p tcp -i eth1 --dport 80 -j DNAT --to 192.168.1.210:80 
 //把進入eth1介面且目標埠為80的封包,封包目標改為192.168.1.210:80
ex:iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080 //若封包進來的目標埠為80,則改為8080


nat主機需設定的有
echo "1" > /proc/sys/net/ipv4/ip_forward
modprobe ip_tables
modprobe ip_nat_ftp
modprobe ip_nat_irc
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_conntrack_irc
若ppp0介面對外,且對內網路為192.168.1.0/24
iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.1.0/24 -j MASQUERADE
ps:以上設定都在nat的對內網路己連線,且預設閘道為外網介面的情況下
ps:要透過nat的主機,client端閘道要設nat主機,通常dns也需要設定

....................................

常用範例

basic mode:
使用iptables時建議開啟這些功能
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
echo 1 > /proc/sys/net/ipv4/tcp_max_syn_backlog
echo 1 > /proc/sys/net/ipv4/tcp_synack_retries
echo 1 > /proc/sys/net/ipv4/tcp_abort_on_overflow
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
echo 1 > /proc/sys/net/ipv4/conf/all/log_martians

client mode:
client端電腦建議設定方式
ps:假設連外網卡為eth0
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
任何主動連線到client端電腦都會被拒絕,除非是由client端發起的連線或已存在的連線才准許通過

使用forward的strict nat mode:
ps:假設nat己設定好可正常使用,連外網卡為eth0
iptables -P FORWARD DROP
iptables -I FORWARD -o eth0 -p tcp --dport 80 -j ACCEPT
iptables -I FORWARD -o eth0 -p tcp --dport 443 -j ACCEPT
iptables -I FORWARD -o eth0 -p tcp --dport 53 -j ACCEPT
iptables -I FORWARD -o eth0 -p udp --dport 53 -j ACCEPT
iptables -I FORWARD -o eth0 -p tcp --dport 21 -j ACCEPT
iptables -I FORWARD -o eth0 -p tcp --dport 20 -j ACCEPT
iptables -A FORWARD -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
使用者只可瀏覽網頁以及ftp
iptables -A FORWARD -o eth0 -j LOG --log-prefix=natdeny
記錄使用者使用那些port被擋掉,執行cat /var/log/message | grep natdeny可思考那些port可開放

使用mangle的strict nat mode
ps:假設nat己設定好可正常使用,且lan介面為eth0,wan介面為ppp0
iptables -t mangle -P PREROUTING DROP
iptables -t mangle -I PREROUTING -i lo -j ACCEPT
iptables -t mangle -I PREROUTING -i eth0 -p udp --dport 53 -j ACCEPT
iptables -t mangle -I PREROUTING -i eth0 -p tcp --dport 53 -j ACCEPT
iptables -t mangle -I PREROUTING -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -t mangle -I PREROUTING -i eth0 -p tcp --dport 443 -j ACCEPT
iptables -t mangle -I PREROUTING -i eth0 -p tcp --dport 20 -j ACCEPT
iptables -t mangle -I PREROUTING -i eth0 -p tcp --dport 21 -j ACCEPT
iptables -t mangle -I PREROUTING -i eth0 -p tcp --dport 22 -j ACCEPT
iptables -t mangle -A PREROUTING -i ppp0 -m state --state RELATED,ESTABLISHED -j ACCEPT
使用者只可瀏覽網頁以及ftp
iptables -t mangle -A PREROUTING -i eth0 -j LOG --log-prefix=natdeny
記錄使用者使用那些port被擋掉,執行cat /var/log/message | grep natdeny可思考那些port可開放

server mode
假設進入內部的介面為eth0
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -I OUTPUT -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
#若有web server要加入
iptables -I INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -I INPUT -i eth0 -p tcp --dport 443 -j ACCEPT
#若有ftp server要加入
iptables -I INPUT -i eth0 -p tcp --dport 20 -j ACCEPT
iptables -I INPUT -i eth0 -p tcp --dport 21 -j ACCEPT
#若有dns server要加入
iptables -I INPUT -i eth0 -p tcp --dport 53 -j ACCEPT
iptables -I INPUT -i eth0 -p udp --dport 53 -j ACCEPT
#若有mail server要加入
iptables -I OUTPUT -i eth0 -p tcp --dport 25 -j ACCEPT
iptables -I OUTPUT -o eth0 -p tcp --dport 25 -j ACCEPT
#若要用ssh管理要加入
iptables -I INPUT -i eth0 -p tcp --dport 22 -j ACCEPT



參考資料
網路相關文件及各大網站
防火牆相關書籍

2008-08-04 11:15:01發表 2016-02-06 02:46:17修改   

數據分析
程式開發
計算機組織與結構
資料結構與演算法
Database and MySql
manage tool

windows
unix-like
linux service
network
network layer3
network layer2
network WAN
network service
作業系統
數位鑑識
資訊安全解決方案
資訊安全威脅
Cisco security
Cisco network
Cisco layer3
Cisco layer2



  登入      [牛的大腦] | [單字我朋友] Powered by systw.net