iptables-essentials

- [rp_filter 및 LPIC-3 Linux 보안](https://www.theurbanpenguin.com/rp_filter-and-lpic-3-linux-security/)
- [Linux 커널 rp_filter 설정 (역방향 경로 필터링)](https://www.slashroot.in/linux-kernel-rpfilter-settings-reverse-path-filtering)
- [역방향 경로 필터링](http://tldp.org/HOWTO/Adv-Routing-HOWTO/lartc.kernel.rpf.html)

##### log_martians

  > _비정상적인 IP 주소를 가진 패킷의 로깅을 활성화합니다._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/conf/all/log_martians = 1
EOF

- [소스 라우팅 비활성화](https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/security_guide/sect-security_guide-server_security-disable-source-routing)
- [ICMP 리다이렉트란 무엇이며 차단해야 하나요?](https://askubuntu.com/questions/118273/what-are-icmp-redirects-and-should-they-be-blocked)

##### accept_source_route

  > _소스 라우팅된 패킷(Strict Source Route (SSR) 또는 Loose Source Routing (LSR) 옵션이 설정된 패킷)을 비활성화합니다._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/conf/all/accept_source_route = 0
EOF

- [ICMP 리디렉션이란 무엇이며 차단해야 하나요?](https://askubuntu.com/questions/118273/what-are-icmp-redirects-and-should-they-be-blocked)
- [Red Hat Enterprise Linux 운영 체제는 IPv4 ICMP 리디렉션 메시지를 무시해야 합니다.](https://www.stigviewer.com/stig/red_hat_enterprise_linux_7/2018-11-28/finding/V-73175)

##### tcp_syncookies

  > _SYN 플러드 보호(서비스 거부(DOS) 공격으로부터 보호)를 활성화합니다._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/tcp_syncookies = 1
EOF

- [ICMP 브로드캐스트가 유용한 이유는 무엇인가요?](https://superuser.com/questions/306065/what-is-icmp-broadcast-good-for)
- [시스템은 브로드캐스트 주소로 전송된 ICMPv4에 응답하지 않아야 합니다.](https://www.stigviewer.com/stig/red_hat_enterprise_linux_6/2018-11-28/finding/V-38535)

##### ip_forward

  > _IP 라우팅을 활성화합니다. 방화벽이 네트워크를 보호하는 경우 필요합니다 (NAT 포함)._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/ip_forward = 1
EOF

###### RedHat 기반```bash
service iptables save

#### 활성 iptables 규칙을 숫자 줄 번호와 함께 자세히 나열합니다.```bash
iptables -n -L -v --line-numbers

#### INPUT 체인 규칙을 테이블로 나열```bash
iptables -L INPUT

#### 패킷 개수 및 총 크기 표시```bash
iptables -L INPUT -v

#### 체인과 번호로 규칙 삭제```bash
iptables -D INPUT 10

#### 모든 규칙 초기화, 모든 체인 삭제, 모든 허용```bash
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -t nat -F
iptables -t mangle -F
iptables -F
iptables -X

#### 단일 체인 비우기```bash
iptables -F INPUT

#### 루프백 연결 허용```bash
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

#### 기존 아웃바운드 연결 허용```bash
iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 무효 패킷 폐기```bash
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP

#### 차단 및 IP 주소 및 거부```bash
iptables -A INPUT -s 192.168.252.10 -j REJECT

#### 모든 수신 SSH 허용```bash
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### SSH 아웃바운드 허용```bash
iptables -A OUTPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 모든 수신 HTTP 허용```bash
iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 80 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 모든 수신 HTTP 및 HTTPS 허용```bash
iptables -A INPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 특정 네트워크 인터페이스에 MySQL 허용```bash
iptables -A INPUT -i eth1 -p tcp --dport 3306 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp --sport 3306 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 특정 네트워크 인터페이스에 PostgreSQL 허용```bash
iptables -A INPUT -i eth1 -p tcp --dport 5432 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp --sport 5432 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 모든 수신 SMTP 허용```bash
iptables -A INPUT -p tcp --dport 25 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 25 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 모든 수신 IMAPS 허용```bash
iptables -A INPUT -p tcp --dport 993 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 993 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 모든 수신 POP3S 허용```bash
iptables -A INPUT -p tcp --dport 995 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 995 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Facebook 네트워크로의 모든 발신 차단

Facebook AS 가져오기:```bash
whois -h v4.whois.cymru.com " -v $(host facebook.com | grep "has address" | cut -d " " -f4)" | tail -n1 | awk '{print $1}'

#### 로그 및 패킷 드롭```bash
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j LOG --log-prefix "IP_SPOOF A: "
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

#### 제한된 로그 항목 수를 사용한 패킷 로그 및 드롭```bash
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -m limit --limit 5/m --limit-burst 7 -j LOG --log-prefix "IP_SPOOF A: "
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

#### ICMP Ping 요청 차단 또는 허용```bash
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
iptables -A INPUT -i eth1 -p icmp --icmp-type echo-request -j DROP

#### `random*` 또는 `nth*`를 사용한 로드 밸런싱```bash
_ips=("172.31.250.10" "172.31.250.11" "172.31.250.12" "172.31.250.13")

for ip in "${_ips[@]}" ; do
  iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m nth --counter 0 --every 4 --packet 0 \
    -j DNAT --to-destination ${ip}:80
done

or
``````bash
_ips=("172.31.250.10" "172.31.250.11" "172.31.250.12" "172.31.250.13")

for ip in "${_ips[@]}" ; do
  iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m random --average 25 \
    -j DNAT --to-destination ${ip}:80
done

또는```bash
iptables -A INPUT -p tcp -m state --state NEW --dport http -m iplimit --iplimit-above 5 -j DROP

#### 패킷 데이터 페이로드에서 `string*`에 대한 매칭```bash
iptables -A FORWARD -m string --string '.com' -j DROP
iptables -A FORWARD -m string --string '.exe' -j DROP

#### TTL 값 기반 패킷 매칭```bash
iptables -A INPUT -s 1.2.3.4 -m ttl --ttl-lt 40 -j REJECT

#### SSH 무차별 대입 공격 방어```bash
iptables -A INPUT -p tcp --dport ssh -m conntrack --ctstate NEW -m recent --set
iptables -A INPUT -p tcp --dport ssh -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 10 -j DROP

##### SYNPROXY를 사용한 SYN 플러드 완화```bash
iptables -t raw -A PREROUTING -p tcp -m tcp --syn -j CT --notrack
iptables -A INPUT -p tcp -m tcp -m conntrack --ctstate INVALID,UNTRACKED -j SYNPROXY --sack-perm --timestamp --wscale 7 --mss 1460
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP

또는```bash
iptables -t mangle -A PREROUTING -p tcp ! --syn -m conntrack --ctstate NEW -j DROP

#### XMAS 패킷```bash
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP

#### 드문 MSS 값 차단```bash
iptables -t mangle -A PREROUTING -p tcp -m conntrack --ctstate NEW -m tcpmss ! --mss 536:65535 -j DROP

#### 사설 서브넷에서 오는 패킷 차단 (스푸핑)```bash
_subnets=("224.0.0.0/3" "169.254.0.0/16" "172.16.0.0/12" "192.0.2.0/24" "192.168.0.0/16" "10.0.0.0/8" "0.0.0.0/8" "240.0.0.0/5")

for _sub in "${_subnets[@]}" ; do
  iptables -t mangle -A PREROUTING -s "$_sub" -j DROP
done
iptables -t mangle -A PREROUTING -s 127.0.0.0/8 ! -i lo -j DROP

> _netfilter queue 1에 바인딩하고 패킷을 처리하는 스크립트입니다._```python
#!/usr/bin/python3

from netfilterqueue import NetfilterQueue
from scapy.all import *

def packetanalyzer(pkt):
    ip=IP(pkt.get_payload())
    if(ip.src=="192.168.122.1"):
        print(f"New packet from {ip.src}")
        pkt.accept()
    else:
	pkt.drop()

nfqueue=NetfilterQueue()
nfqueue.bind(1, packetanalyzer)
nfqueue.run()

> _이 스크립트는 netfilter queue 1에서 패킷을 캡처하고 포트 노킹을 위해 SOURCEPORT와 SECRETPORT를 확인한 후 EXPIRETIME(기본값 30분) 동안 소스가 ssh에 연결할 수 있도록 허용합니다._```python
#!/usr/bin/python3

from os	import system
from netfilterqueue import NetfilterQueue
from scapy.layers.inet import IP
from time import time

SOURCEPORT=65534
SECRETPORT=65535
EXPIRETIME=30
ALLOWED={}

def portknocking(pkt):
    packet=IP(pkt.get_payload())
    currtime=time()
    for item in list(ALLOWED):
        if(currtime-ALLOWED[item] >= EXPIRETIME*60):
            del ALLOWED[item]
    if(packet.sport==SOURCEPORT and packet.dport==SECRETPORT and packet.src not in ALLOWED):
        print(f"Port {packet.dport} knocked by {packet.src}:{packet.sport}")
        system(f"iptables -I INPUT -p tcp --dport 22 -s {packet.src} -j ACCEPT")
        system(f"echo 'iptables -D INPUT -p tcp --dport 22 -s {packet.src} -j ACCEPT' | at now + {EXPIRETIME} minutes")
        ALLOWED[packet.src]=time()
        pkt.drop()

nfqueue=NetfilterQueue()
nfqueue.bind(1, portknocking)

try:
    nfqueue.run()
except KeyboardInterrupt:
    print("\nExit with Keyboard Interrupt")