iptables-essentials — Iptables Essenziali: Regole e Comandi Comuni per il Firewall. | Kitploit

- [rp_filter e sicurezza Linux LPIC-3](https://www.theurbanpenguin.com/rp_filter-and-lpic-3-linux-security/)
- [Impostazioni rp_filter del kernel Linux (filtraggio del percorso inverso)](https://www.slashroot.in/linux-kernel-rpfilter-settings-reverse-path-filtering)
- [Filtraggio del percorso inverso](http://tldp.org/HOWTO/Adv-Routing-HOWTO/lartc.kernel.rpf.html)

##### log_martians

  > _Abilita la registrazione di pacchetti con indirizzi IP malformati._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/conf/all/log_martians = 1
EOF

- [Disabilita il source routing](https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/security_guide/sect-security_guide-server_security-disable-source-routing)
- [Cosa sono i redirect ICMP e dovrebbero essere bloccati?](https://askubuntu.com/questions/118273/what-are-icmp-redirects-and-should-they-be-blocked)

##### accept_source_route

  > _Disabilita i pacchetti con instradamento di origine (pacchetti con l'opzione Strict Source Route (SSR) o Loose Source Routing (LSR) impostata)._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/conf/all/accept_source_route = 0
EOF

- [Cosa sono i reindirizzamenti ICMP e dovrebbero essere bloccati?](https://askubuntu.com/questions/118273/what-are-icmp-redirects-and-should-they-be-blocked)
- [Il sistema operativo Red Hat Enterprise Linux deve ignorare i messaggi di reindirizzamento del protocollo ICMP (Internet Control Message Protocol) versione 4 (IPv4).](https://www.stigviewer.com/stig/red_hat_enterprise_linux_7/2018-11-28/finding/V-73175)

##### tcp_syncookies

  > _Attiva le protezioni contro SYN-flood (protezione dagli attacchi Denial of Service (DOS))._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/tcp_syncookies = 1
EOF

- [A cosa serve il broadcast ICMP?](https://superuser.com/questions/306065/what-is-icmp-broadcast-good-for)
- [Il sistema non deve rispondere a ICMPv4 inviato a un indirizzo broadcast.](https://www.stigviewer.com/stig/red_hat_enterprise_linux_6/2018-11-28/finding/V-38535)

##### ip_forward

  > _Abilita il routing IP. Richiesto se il tuo firewall protegge una rete, inclusa la NAT._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/ip_forward = 1
EOF

#### Svuota tutte le regole, elimina tutte le catene e accetta tutto```bash
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -t nat -F
iptables -t mangle -F
iptables -F
iptables -X

#### Consenti tutto l'SSH in entrata```bash
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Consenti SSH in uscita```bash
iptables -A OUTPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Consenti tutto il traffico HTTP in entrata```bash
iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 80 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Consenti tutto il traffico HTTP e HTTPS in entrata```bash
iptables -A INPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Abilitare MySQL su un'interfaccia di rete specifica```bash
iptables -A INPUT -i eth1 -p tcp --dport 3306 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp --sport 3306 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Consenti PostgreSQL a Interfaccia di Rete Specifica```bash
iptables -A INPUT -i eth1 -p tcp --dport 5432 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp --sport 5432 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Consenti tutto lo SMTP in arrivo```bash
iptables -A INPUT -p tcp --dport 25 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 25 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Consenti tutto il traffico IMAPS in entrata```bash
iptables -A INPUT -p tcp --dport 993 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 993 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Consenti tutto il POP3S in entrata```bash
iptables -A INPUT -p tcp --dport 995 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 995 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Blocca tutto il traffico in uscita verso le reti di Facebook

Ottieni l'AS di Facebook:```bash
whois -h v4.whois.cymru.com " -v $(host facebook.com | grep "has address" | cut -d " " -f4)" | tail -n1 | awk '{print $1}'

#### Registra e scarta pacchetti con un numero limitato di voci di registro```bash
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -m limit --limit 5/m --limit-burst 7 -j LOG --log-prefix "IP_SPOOF A: "
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

#### Bilanciamento del carico con `random*` o `nth*````bash
_ips=("172.31.250.10" "172.31.250.11" "172.31.250.12" "172.31.250.13")

for ip in "${_ips[@]}" ; do
  iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m nth --counter 0 --every 4 --packet 0 \
    -j DNAT --to-destination ${ip}:80
done

#### Limitare il numero di connessioni con `limit` e `iplimit*````bash
iptables -A FORWARD -m state --state NEW -p tcp -m multiport --dport http,https -o eth0 -i eth1 \
    -m limit --limit 20/hour --limit-burst 5 -j ACCEPT

#### Mantenere un elenco di connessioni recenti da confrontare```bash
iptables -A FORWARD -m recent --name portscan --rcheck --seconds 100 -j DROP
iptables -A FORWARD -p tcp -i eth0 --dport 443 -m recent --name portscan --set -j DROP

#### Regole basate sul tempo con `time*````bash
iptables -A FORWARD -p tcp -m multiport --dport http,https -o eth0 -i eth1 \
    -m time --timestart 21:30 --timestop 22:30 --days Mon,Tue,Wed,Thu,Fri -j ACCEPT

#### Protezione contro la scansione delle porte```bash
iptables -N port-scanning
iptables -A port-scanning -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s --limit-burst 2 -j RETURN
iptables -A port-scanning -j DROP

#### Protezione da Syn-flood```bash
iptables -N syn_flood

iptables -A INPUT -p tcp --syn -j syn_flood
iptables -A syn_flood -m limit --limit 1/s --limit-burst 3 -j RETURN
iptables -A syn_flood -j DROP

iptables -A INPUT -p icmp -m limit --limit  1/s --limit-burst 1 -j ACCEPT

iptables -A INPUT -p icmp -m limit --limit 1/s --limit-burst 1 -j LOG --log-prefix PING-DROP:
iptables -A INPUT -p icmp -j DROP

iptables -A OUTPUT -p icmp -j ACCEPT

#### Blocca pacchetti con flag TCP falsi```bash
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,RST FIN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,ACK FIN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,URG URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,FIN FIN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,PSH PSH -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL ALL -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL NONE -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL FIN,PSH,URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,FIN,PSH,URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP

## Esempi di configurazione avanzata

### Gestione dei pacchetti in Python utilizzando il target NFQUEUE

  > _Questo target passa il pacchetto allo spazio utente utilizzando il gestore nfnetlink_queue. Il pacchetto viene inserito nella coda identificata dal suo numero di coda a 16 bit. Lo spazio utente può ispezionare e modificare il pacchetto se desiderato. Lo spazio utente deve quindi scartare o re-iniettare il pacchetto nel kernel._

#### ACCEPT tutti i pacchetti da una sorgente specifica su (filter:INPUT) e DROP tutto il resto

  > _Questa regola inoltra tutti i pacchetti filter:INPUT alla coda 1 con il target NFQUEUE._```bash
iptables -A INPUT -j NFQUEUE --queue-num 1

#### Scrivi il tuo script di port knocking per proteggere l'accesso ssh

  > _DROP tutte le richieste ssh e invia richieste di porte segrete allo spazio utente con il target NFQUEUE._```bash
iptables -t filter -I INPUT -p tcp --dport 22 -j DROP
iptables -t raw -I PREROUTING -p tcp --sport 65534 --dport 65535 -j NFQUEUE --queue-num 1

iptables-essentials

Più Popolari

Iptables Essenziali: Regole e Comuni del Firewall

☑️ DA FARE

Indice dei contenuti

Strumenti per aiutarti a configurare Iptables

Manuali/Guide/Tutorial

Configurazione utile di Kernel Settings (sysctl)

rp_filter

send_redirects

accept_redirects

icmp_echo_ignore_broadcasts

Come funziona?

Regole di Iptables

Salvare le regole

Basato su Debian```bash

Elenca tutte le regole iptables attive con verbose```bash

Stampa tutte le regole iptables attive```bash

Stampa tutte le specifiche delle regole nella catena INPUT```bash

Per visualizzare le regole delle catene INPUT o OUTPUT con numeri di riga e verbose```bash

Elimina regola per specifica```bash

Svuota tutte le catene```bash

Inserisci regole firewall```bash

Consenti connessioni in entrata stabilite e correlate```bash

Da interno a esterno```bash

Bloccare un indirizzo IP```bash

Blocca le connessioni a un'interfaccia di rete```bash

Consenti SSH in entrata da un indirizzo IP o subnet specifici```bash

Consenti Rsync in entrata da un indirizzo IP o sottorete specifici```bash

Consenti tutto l'HTTPS in arrivo```bash

Consenti MySQL da un indirizzo IP specifico o sottorete```bash

PostgreSQL da IP specifico o sottorete```bash

Blocca la posta SMTP in uscita```bash

Consenti tutto l'IMAP in arrivo```bash

Consenti tutto il POP3 in entrata```bash

Scarta l'indirizzo di rete privato sull'interfaccia pubblica```bash

Scarta o Accetta Traffico da Indirizzo MAC```bash

Specificare più porte con `multiport````bash

Corrispondenza con un string* nel payload dati di un pacchetto```bash

Matching dei pacchetti basato sui valori TTL```bash

Protezione da attacchi di forza bruta su SSH```bash

Mitigare gli attacchi SYN Flood con SYNPROXY```bash

Pacchetti XMAS```bash

Blocca valori MSS non comuni```bash

Bloccare i pacchetti da sottoreti private (Spoofing)```bash

Corrispondenza con un `string*` nel payload dati di un pacchetto```bash