Вижте правилата на IPTables, добавете или премахнете

IPTables е помощна програма, използвана за управление на защитна стена в Linux. Това е мощен и удобен инструмент за защита на мрежата

История на творението

за IPTables Linux системата използва защитна стена IPFW, заимствана от BSD. След това, с версия 2.4 ядро ​​Linux, тя започна да се транспортира с защитната стена Netfilter и IPTables полезност, за да я управлява. В методологията на своята работа всички аспекти са запазени и леко разширени функционално.

Структурата и IPTables на устройството

При влизането в защитната стена пакетът преминава няколко проверки. Това може да бъде контролна сума или друг анализ на нивото на ядрото. След това е време да минете през веригата PREROUTING. Освен това се проверява маршрутна таблица, в съответствие с които има пренасочване към следващата верига. Ако адресът на пакета липсва, например в TCP, тогава има посока във веригата FORWARD. В случаите, когато има специален адрес, следва веригата INPUT и след това демоните или услугите, за които е предназначена. Отговорът от тях също трябва да мине няколко вериги, например OUTPUT. Последната връзка в този процес е веригата POSTROUTING.

Сега малко за веригите. Всеки от тях съдържа няколко таблици. Имената им могат да се повторят, но това не засяга работата, тъй като те не са взаимосвързани.

Таблиците от своя страна съдържат няколко правила. Всъщност правилото е определено условие тестваният пакет да съвпада. В зависимост от резултата, на пакета се извършва определено действие.

По този начин, преминавайки през всички етапи на мрежата, пакетът последователно посещава всички струни и във всеки от тях се проверява за съответствие със състоянието на определено правило. Ако таблицата не е генерирана от потребителя, действието по подразбиране се изпълнява, основно е ACCEPT, което позволява да продължите да се движите или DROP да спре пакета.

Предварителните вериги са от следните категории:

• PREROUTING. Първоначална обработка на всички входящи пакети.
• INPUT. Това са пакетите, които се изпращат директно на локалния компютър.
• НАПРЕД. Прилага се за транзитни пакети, които следват таблицата за маршрутизиране.
• OUTPUT. Използва се за изходящи пакети.
• POSTROUTING. Последната стъпка в преминаването на изходящия пакет от всички вериги.

В допълнение към вградените вериги, потребителите могат да създават или изтриват свои собствени.

Преглеждайте и управлявайте правилата на IPTables

Както беше споменато по-горе, всички вериги съдържат определени условия за опаковки. За да видите правилата на IPTables и да ги управлявате, използвайте помощната програма IPTables. Всяко отделно правило представлява ред с набор от условия за пакети, както и действия върху тях, в зависимост от резултата.

Форматът на командата изглежда така: iptables [-t име на обработената таблица] наречената команда [критерии] [действието, което трябва да се изпълни].

Всичко, което се съдържа в квадратни скоби? може да бъде пропуснато. Ако това е параметър с таблица, ще се използва филтър. За да приложите конкретно име, добавете опцията -t. Позволената команда ви позволява да се обадите на необходимото действие, например да добавите правило IPTables или да го изтриете. "Критериите" указват параметрите, по които се извършва селекцията. И в "действие" се прилага действие, което трябва да се изпълни, ако условието е изпълнено.

Команди за създаване и преглед на IPTables правила

Ето няколко команди на програмата:

• Прибавете (-A). Когато използвате командата, посочвате веригата и таблицата, в която искате да добавите необходимото правило. Стойността на екипа е това, което прави в края на целия списък.
• Изтриване (-D). Както можете да разберете от името, тя създава изтриване на правило. Като параметри можете да посочите както пълното име, така и номерата, които са му присвоени.
• Преименувайте веригата (-E). Променя името на веригата. Командата посочва старото, а след това новото име.
• Флъш (-F). Изчистване на всички правила на определена таблица.
• Поставете (-I). Тази команда вмъква желаното правило в посочения номер.
• Списък (- L). Вижте правилата на Iptables. Ако не е зададена таблица, филтърът ще бъде използван по подразбиране.
• Политика (-P). Политиката по подразбиране за посочената верига се използва.
• Заменете (-R). Променя правилото на посочения номер до желания номер.
• Изтриване на верига (-X). Тази команда изтрива всички създадени вериги. Само предварително инсталираните ще останат.
• Нула (-Z). Възстановява броячите на предадените данни в посочената верига.

Малко за параметрите на избора на пакети

Те могат да бъдат разделени на три вида:

• Общи критерии. Те могат да бъдат определени за всякакви правила. Те не изискват свързването на специални разширения и модули, нито пък зависи от кой протокол ще бъде използван.
• Не са общи критерии. Те стават достъпни при използване на общи критерии.
• Изрично. За да използвате този тип, трябва да свържете специални приставки за netfilter. Освен това командата трябва да използва превключвателя -m.

Заслужава да се отбележат някои от общите параметри, използвани при анализа на опаковките:

• Протокол (-п). Показва протокола.
• Източник (-и). Този параметър определя IP адреса на източника, от който е дошъл пакетът. Можете да го посочите по няколко начина. Специален хост, адрес или цяла подмрежа.
• Дестинация (-d). Адрес на целевия адрес на пакета. Също като предишната може да се опише по няколко начина.
• В-интерфейс (-i). Показва входящия интерфейс на пакета. Той се използва главно за NAT или за системи с множество интерфейси.
• Out-интерфейс (-о). Изходящ интерфейс.

Няколко примера

За да видите правилата IPTables nat? Трябва да използвате командата iptables -L -t nat. Разберете общото състояние на защитната стена - iptables -L -n -v. Освен това тази команда ви позволява да видите правилата на IPTables, които са налични в цялата система. За да вмъкнете правило на определено място в таблицата, например между първия и втория ред е "iptables -I INPUT 2 -s 202.54.1.2 -j DROP". След това вижте дали добавя "iptables-L INPUT -n -line-numbers".

За да блокирате определен адрес, например, 12.12.12.12 - iptables -A INPUT -s 12.12.12.12 -j DROP.

Помощта за iptables е man iptables. Ако имате нужда от информация за конкретна команда - iptables -j DROP -h.

В заключение

Използвайте командите на IPTables с повишено внимание, защото неправилната конфигурация (поради невежество) може да доведе до мрежови повреди или пълна повреда. Поради това е добре да проучите подробно ръководствата и инструкциите, преди да ги конфигурирате. В умели ръце IPTables може да се превърне в надежден защитник на мрежовите връзки. Системните администратори активно използват програмата за създаване на връзки, които са изолирани от неоторизиран достъп.