iptables-essentials

Iptables Essentials: 일반적인 방화벽 규칙 및 명령어

☑️ TODO

• 유용한 Iptables 구성 예제 추가
• 유용한 커널 설정 (sysctl) 구성 추가
• 유용한 외부 리소스 링크 추가
• 고급 구성 예제, 명령어, 규칙 추가

---

목차

• Iptables 구성을 도와주는 도구
• 매뉴얼/하우투/튜토리얼
• 유용한 커널 설정 (sysctl) 구성
  • rp_filter
  • log_martians
  • send_redirects
  • accept_source_route
  • accept_redirects
  • tcp_syncookies
  • icmp_echo_ignore_broadcasts
  • ip_forward
• 작동 방식
• Iptables 규칙
  • 규칙 저장
    • 데비안 기반
    • RedHat 기반
  • 상세 정보와 함께 모든 활성 iptables 규칙 나열
  • 숫자 줄 번호와 상세 정보를 포함한 모든 활성 iptables 규칙 나열
  • 모든 활성 iptables 규칙 출력
  • INPUT 체인의 규칙을 테이블로 나열
  • INPUT 체인의 모든 규칙 사양 출력
  • 패킷 카운트 및 총 크기 표시
  • 숫자 줄 번호와 상세 정보로 INPUT 또는 OUTPUT 체인 규칙 표시
  • 체인 및 번호로 규칙 삭제
  • 사양으로 규칙 삭제
  • 모든 규칙 플러시, 모든 체인 삭제, 모두 허용
  • 모든 체인 플러시
  • 단일 체인 플러시
  • 방화벽 규칙 삽입
  • 루프백 연결 허용
  • 설정된(Established) 및 관련된(Related) 들어오는 연결 허용
  • 설정된(Established) 나가는 연결 허용
  • 내부에서 외부로
  • 잘못된 패킷 드롭
  • IP 주소 차단
  • IP 주소 차단 및 거부
  • 네트워크 인터페이스로의 연결 차단
  • 모든 들어오는 SSH 허용
  • 특정 IP 주소 또는 서브넷에서 들어오는 SSH 허용
  • 나가는 SSH 허용
  • 특정 IP 주소 또는 서브넷에서 들어오는 Rsync 허용
  • 모든 들어오는 HTTP 허용
  • 모든 들어오는 HTTPS 허용
  • 모든 들어오는 HTTP 및 HTTPS 허용
  • 특정 IP 주소 또는 서브넷에서 MySQL 허용
  • 특정 네트워크 인터페이스로 MySQL 허용
  • 특정 IP 주소 또는 서브넷에서 PostgreSQL
  • 특정 네트워크 인터페이스로 PostgreSQL 허용
  • 나가는 SMTP 메일 차단
  • 모든 들어오는 SMTP 허용
  • 모든 들어오는 IMAP 허용
  • 모든 들어오는 IMAPS 허용
  • 모든 들어오는 POP3 허용
  • 모든 들어오는 POP3S 허용
  • 공용 인터페이스에서 사설 네트워크 주소 드롭
  • Facebook 네트워크로의 모든 나가는 트래픽 드롭
  • 패킷 로깅 및 드롭
  • 제한된 로그 항목 수로 패킷 로깅 및 드롭
  • MAC 주소로 트래픽 드롭 또는 허용
  • ICMP Ping 요청 차단 또는 허용
  • multiport로 여러 포트 지정
  • random* 또는 nth*로 로드 밸런싱
  • limit 및 iplimit*로 연결 수 제한
  • 매칭할 최근 연결 목록 유지
  • 패킷 데이터 페이로드의 string* 매칭
  • time* 기반 시간 규칙
  • TTL 값 기반 패킷 매칭
  • 포트 스캐닝 방어
  • SSH 무차별 대입 공격 방어
  • SYN 플러드 방어
    • SYNPROXY로 SYN 플러드 완화
  • SYN이 아닌 새 패킷 차단
  • 조각(Fragments) 패킷 검사 강제
  • XMAS 패킷
  • 모든 NULL 패킷 드롭
  • 비정상적인 MSS 값 차단
  • 가짜 TCP 플래그가 있는 패킷 차단
  • 사설 서브넷(스푸핑)의 패킷 차단
• 고급 구성 예제
  • NFQUEUE 대상을 사용한 Python 패킷 처리
    • (filter:INPUT)에서 특정 소스의 모든 패킷 ACCEPT 및 나머지 DROP
    • SSH 액세스 보안을 위한 자체 포트 노킹 스크립트 작성

---

Iptables 구성을 도와주는 도구

  :small_orange_diamond: Shorewall - GNU/Linux를 위한 고급 게이트웨이/방화벽 구성 도구.
  :small_orange_diamond: Firewalld - 동적으로 관리되는 방화벽을 제공.
  :small_orange_diamond: UFW - Ubuntu의 기본 방화벽 구성 도구.
  :small_orange_diamond: FireHOL - 모든 Linux 방화벽 및 트래픽 셰이핑 요구 사항에 대한 간단하고 강력한 구성을 제공.

매뉴얼/하우투/튜토리얼

  :small_orange_diamond: 모범 사례: iptables - Major Hayden 작성
  :small_orange_diamond: Iptables (Linux 방화벽) 심층 가이드
  :small_orange_diamond: netfilter/iptables의 고급 기능
  :small_orange_diamond: iptables를 사용한 Linux 방화벽
  :small_orange_diamond: Iptables 디버깅 및 일반적인 방화벽 함정?
  :small_orange_diamond: Netfilter 해킹 HOWTO
  :small_orange_diamond: Iptables로 IP별 속도 제한

유용한 커널 설정 (sysctl) 구성

rp_filter

라우팅 삼각측량을 비활성화합니다. 동일한 인터페이스가 아닌 다른 인터페이스를 통해 쿼리에 응답합니다. 또한 IP 스푸핑을 방지합니다.```bash cat << EOF >> /etc/sysctl.d/40-custom.conf net/ipv4/conf/all/rp_filter = 1 EOF

- [rp_filter 및 LPIC-3 Linux 보안](https://www.theurbanpenguin.com/rp_filter-and-lpic-3-linux-security/)
- [Linux 커널 rp_filter 설정 (역방향 경로 필터링)](https://www.slashroot.in/linux-kernel-rpfilter-settings-reverse-path-filtering)
- [역방향 경로 필터링](http://tldp.org/HOWTO/Adv-Routing-HOWTO/lartc.kernel.rpf.html)

##### log_martians