Основы Iptables: типичные правила и команды брандмауэра

☑️ ЗАДАЧИ

Добавить полезные примеры конфигурации Iptables
Добавить полезную конфигурацию параметров ядра (sysctl)
Добавить ссылки на полезные внешние ресурсы
Добавить примеры расширенной конфигурации, команды, правила

Содержание

Инструменты для настройки Iptables
Руководства/HowTo/Учебники
Полезная конфигурация параметров ядра (sysctl)
Как это работает?
Правила Iptables
Примеры расширенной конфигурации
- Обработка пакетов на Python с использованием цели NFQUEUE
  - ACCEPT все пакеты от конкретного источника на (filter:INPUT) и DROP всё остальное
  - Напишите собственный скрипт port knocking для защиты доступа по SSH

Инструменты для настройки Iptables

  :small_orange_diamond: Shorewall — инструмент расширенной конфигурации шлюза/брандмауэра для GNU/Linux.
  :small_orange_diamond: Firewalld — предоставляет динамически управляемый брандмауэр.
  :small_orange_diamond: UFW — стандартный инструмент настройки брандмауэра для Ubuntu.
  :small_orange_diamond: FireHOL — предлагает простую и мощную конфигурацию для всех требований Linux брандмауэра и формирования трафика.

Руководства/HowTo/Учебники

  :small_orange_diamond: Лучшие практики: iptables — от Major Hayden
  :small_orange_diamond: Подробное руководство по Iptables, брандмауэру Linux
  :small_orange_diamond: Расширенные возможности netfilter/iptables
  :small_orange_diamond: Брандмауэры Linux с использованием iptables
  :small_orange_diamond: Отладка iptables и распространённые ошибки брандмауэра?
  :small_orange_diamond: Netfilter Hacking HOWTO
  :small_orange_diamond: Ограничение скорости на IP с помощью iptables

Полезная конфигурация параметров ядра (sysctl)

rp_filter

Отключить триангуляцию маршрутизации. Отвечать на запросы через тот же интерфейс, а не через другой. Также защищает от IP-спуфинга.```bash cat << EOF >> /etc/sysctl.d/40-custom.conf net/ipv4/conf/all/rp_filter = 1 EOF

- [rp_filter и безопасность Linux LPIC-3](https://www.theurbanpenguin.com/rp_filter-and-lpic-3-linux-security/)
- [Настройки rp_filter ядра Linux (фильтрация обратного пути)](https://www.slashroot.in/linux-kernel-rpfilter-settings-reverse-path-filtering)
- [Фильтрация обратного пути](http://tldp.org/HOWTO/Adv-Routing-HOWTO/lartc.kernel.rpf.html)

##### log_martians

  > _Включение журналирования пакетов с поврежденными IP-адресами._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/conf/all/log_martians = 1
EOF

В чем польза регистрации марсианских пакетов?

send_redirects

Отключает отправку всех IPv4 ICMP-пакетов перенаправления на всех интерфейсах.```bash cat << EOF >> /etc/sysctl.d/40-custom.conf net/ipv4/conf/all/send_redirects = 0 EOF

- [Отключить исходную маршрутизацию](https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/security_guide/sect-security_guide-server_security-disable-source-routing)
- [Что такое ICMP-редиректы и следует ли их блокировать?](https://askubuntu.com/questions/118273/what-are-icmp-redirects-and-should-they-be-blocked)

##### accept_source_route

  > _Отключать пакеты с исходной маршрутизацией (пакеты с установленным параметром Strict Source Route (SSR) или Loose Source Routing (LSR))._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/conf/all/accept_source_route = 0
EOF

accept_redirects

Отключить приём ICMP-перенаправлений.```bash cat << EOF >> /etc/sysctl.d/40-custom.conf net/ipv4/conf/all/accept_redirects = 0 EOF

- [Что такое ICMP-редиректы и следует ли их блокировать?](https://askubuntu.com/questions/118273/what-are-icmp-redirects-and-should-they-be-blocked)
- [Операционная система Red Hat Enterprise Linux должна игнорировать сообщения перенаправления протокола ICMP (Internet Control Message Protocol) для протокола IPv4 (Internet Protocol version 4).](https://www.stigviewer.com/stig/red_hat_enterprise_linux_7/2018-11-28/finding/V-73175)

##### tcp_syncookies

  > _Включите защиту от SYN-флуда (защита от атак типа «отказ в обслуживании» (DOS))._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/tcp_syncookies = 1
EOF

icmp_echo_ignore_broadcasts

Отключить ответы на широковещательные ping-запросы.```bash cat << EOF >> /etc/sysctl.d/40-custom.conf net/ipv4/icmp_echo_ignore_broadcasts = 1 EOF

- [Для чего нужна широковещательная передача ICMP?](https://superuser.com/questions/306065/what-is-icmp-broadcast-good-for)
- [Система не должна отвечать на ICMPv4, отправленный на широковещательный адрес.](https://www.stigviewer.com/stig/red_hat_enterprise_linux_6/2018-11-28/finding/V-38535)

##### ip_forward

  > _Включите IP-маршрутизацию. Требуется, если ваш брандмауэр защищает сеть, включая NAT._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/ip_forward = 1
EOF

Как это работает?

Master

Правила Iptables

Сохранение правил

Debian Based```bash

netfilter-persistent save

###### На базе Red Hat```bash
service iptables save

Вывести список всех активных правил iptables с подробным выводом```bash

iptables -n -L -v

#### Перечислить все активные правила iptables с нумерацией строк и подробным выводом```bash
iptables -n -L -v --line-numbers

Вывести все активные правила iptables```bash

iptables -S

#### Список правил в виде таблиц для цепочки INPUT```bash
iptables -L INPUT

Вывести все спецификации правил в цепочке INPUT```bash

iptables -S INPUT

#### Показать количество пакетов и общий размер```bash
iptables -L INPUT -v

Для отображения правил цепочек INPUT или OUTPUT с нумерованными строками и подробным выводом```bash

iptables -L INPUT -n -v iptables -L OUTPUT -n -v --line-numbers

#### Удалить правило по цепочке и номеру```bash
iptables -D INPUT 10

Удаление правила по спецификации```bash

iptables -D INPUT -m conntrack --ctstate INVALID -j DROP

#### Сбросить все правила, удалить все цепочки и принять всё```bash
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -t nat -F
iptables -t mangle -F
iptables -F
iptables -X

Сбросить все цепочки```bash

iptables -F

#### Сброс одной цепочки```bash
iptables -F INPUT

Вставить правила брандмауэра```bash

iptables -I INPUT 2 -s 202.54.1.2 -j DROP

#### Разрешить петлевые соединения```bash
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

Разрешить установленные и связанные входящие соединения```bash

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

#### Разрешить установленные исходящие соединения```bash
iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT

Внутреннее во внешнее```bash

iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT

#### Отбрасывать недействительные пакеты```bash
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP

Заблокировать IP Address```bash

iptables -A INPUT -s 192.168.252.10 -j DROP

#### Блокировка, IP-адрес и отклонение```bash
iptables -A INPUT -s 192.168.252.10 -j REJECT

Блокировать подключения к сетевому интерфейсу```bash

iptables -A INPUT -i eth0 -s 192.168.252.10 -j DROP

#### Разрешить все входящие SSH```bash
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

Разрешить входящий SSH с определенного IP-адреса или подсети```bash

iptables -A INPUT -p tcp -s 192.168.240.0/24 --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Разрешить исходящий SSH```bash
iptables -A OUTPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

Разрешить входящий Rsync с конкретного IP-адреса или подсети```bash

iptables -A INPUT -p tcp -s 192.168.240.0/24 --dport 873 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 873 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Разрешить весь входящий HTTP```bash
iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 80 -m conntrack --ctstate ESTABLISHED -j ACCEPT

Разрешить весь входящий HTTPS```bash

iptables -A INPUT -p tcp --dport 443 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 443 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Разрешить все входящие HTTP и HTTPS```bash
iptables -A INPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate ESTABLISHED -j ACCEPT

Разрешить MySQL с определенного IP-адреса или подсети```bash

iptables -A INPUT -p tcp -s 192.168.240.0/24 --dport 3306 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 3306 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Разрешить MySQL на конкретном сетевом интерфейсе```bash
iptables -A INPUT -i eth1 -p tcp --dport 3306 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp --sport 3306 -m conntrack --ctstate ESTABLISHED -j ACCEPT

PostgreSQL с конкретного IP-адреса или подсети```bash

iptables -A INPUT -p tcp -s 192.168.240.0/24 --dport 5432 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 5432 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Разрешить PostgreSQL для конкретного сетевого интерфейса```bash
iptables -A INPUT -i eth1 -p tcp --dport 5432 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp --sport 5432 -m conntrack --ctstate ESTABLISHED -j ACCEPT

Блокировка исходящей SMTP-почты```bash

iptables -A OUTPUT -p tcp --dport 25 -j REJECT

#### Разрешить все входящие SMTP```bash
iptables -A INPUT -p tcp --dport 25 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 25 -m conntrack --ctstate ESTABLISHED -j ACCEPT

Разрешить все входящие IMAP```bash

iptables -A INPUT -p tcp --dport 143 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 143 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Разрешить все входящие IMAPS```bash
iptables -A INPUT -p tcp --dport 993 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 993 -m conntrack --ctstate ESTABLISHED -j ACCEPT

Разрешить все входящие POP3```bash

iptables -A INPUT -p tcp --dport 110 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 110 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Разрешить все входящие POP3S```bash
iptables -A INPUT -p tcp --dport 995 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 995 -m conntrack --ctstate ESTABLISHED -j ACCEPT

Сброс частного сетевого адреса на публичном интерфейсе```bash

iptables -A INPUT -i eth1 -s 192.168.0.0/24 -j DROP iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

#### Заблокировать весь исходящий трафик к сетям Facebook

Получить AS Facebook:```bash
whois -h v4.whois.cymru.com " -v $(host facebook.com | grep "has address" | cut -d " " -f4)" | tail -n1 | awk '{print $1}'

iptables -A OUTPUT -s "$i" -j REJECT

done

#### Логирование и отбрасывание пакетов```bash
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j LOG --log-prefix "IP_SPOOF A: "
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

По умолчанию всё логируется в файл /var/log/messages:```bash tail -f /var/log/messages grep --color 'IP SPOOF' /var/log/messages

#### Журналировать и отбрасывать пакеты с ограниченным числом записей журнала```bash
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -m limit --limit 5/m --limit-burst 7 -j LOG --log-prefix "IP_SPOOF A: "
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

Отклонить или принять трафик с MAC-адреса```bash

iptables -A INPUT -m mac --mac-source 00:0F:EA:91:04:08 -j DROP iptables -A INPUT -p tcp --destination-port 22 -m mac --mac-source 00:0F:EA:91:04:07 -j ACCEPT

#### Блокировать или разрешить ICMP Ping Request```bash
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
iptables -A INPUT -i eth1 -p icmp --icmp-type echo-request -j DROP

Указание нескольких портов с помощью `multiport````bash

iptables -A INPUT -i eth0 -p tcp -m state --state NEW -m multiport --dports ssh,smtp,http,https -j ACCEPT

#### Балансировка нагрузки с `random*` или `nth*````bash
_ips=("172.31.250.10" "172.31.250.11" "172.31.250.12" "172.31.250.13")

for ip in "${_ips[@]}" ; do
  iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m nth --counter 0 --every 4 --packet 0 \
    -j DNAT --to-destination ${ip}:80
done

или```bash _ips=("172.31.250.10" "172.31.250.11" "172.31.250.12" "172.31.250.13")

for ip in "${_ips[@]}" ; do iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m random --average 25
-j DNAT --to-destination ${ip}:80 done

#### Ограничение количества соединений с помощью `limit` и `iplimit*````bash
iptables -A FORWARD -m state --state NEW -p tcp -m multiport --dport http,https -o eth0 -i eth1 \
    -m limit --limit 20/hour --limit-burst 5 -j ACCEPT

или```bash iptables -A INPUT -p tcp -m state --state NEW --dport http -m iplimit --iplimit-above 5 -j DROP

#### Ведение списка недавних подключений для сопоставления```bash
iptables -A FORWARD -m recent --name portscan --rcheck --seconds 100 -j DROP
iptables -A FORWARD -p tcp -i eth0 --dport 443 -m recent --name portscan --set -j DROP

Сопоставление с `string*` в полезной нагрузке пакета```bash

iptables -A FORWARD -m string --string '.com' -j DROP iptables -A FORWARD -m string --string '.exe' -j DROP

#### Временные правила с `time*````bash
iptables -A FORWARD -p tcp -m multiport --dport http,https -o eth0 -i eth1 \
    -m time --timestart 21:30 --timestop 22:30 --days Mon,Tue,Wed,Thu,Fri -j ACCEPT

Сопоставление пакетов на основе значений TTL```bash

iptables -A INPUT -s 1.2.3.4 -m ttl --ttl-lt 40 -j REJECT

#### Защита от сканирования портов```bash
iptables -N port-scanning
iptables -A port-scanning -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s --limit-burst 2 -j RETURN
iptables -A port-scanning -j DROP

Защита от брутфорса SSH```bash

iptables -A INPUT -p tcp --dport ssh -m conntrack --ctstate NEW -m recent --set iptables -A INPUT -p tcp --dport ssh -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 10 -j DROP

#### Защита от SYN-флуд```bash
iptables -N syn_flood

iptables -A INPUT -p tcp --syn -j syn_flood
iptables -A syn_flood -m limit --limit 1/s --limit-burst 3 -j RETURN
iptables -A syn_flood -j DROP

iptables -A INPUT -p icmp -m limit --limit  1/s --limit-burst 1 -j ACCEPT

iptables -A INPUT -p icmp -m limit --limit 1/s --limit-burst 1 -j LOG --log-prefix PING-DROP:
iptables -A INPUT -p icmp -j DROP

iptables -A OUTPUT -p icmp -j ACCEPT

Смягчение SYN-флуд-атак с помощью SYNPROXY```bash

iptables -t raw -A PREROUTING -p tcp -m tcp --syn -j CT --notrack iptables -A INPUT -p tcp -m tcp -m conntrack --ctstate INVALID,UNTRACKED -j SYNPROXY --sack-perm --timestamp --wscale 7 --mss 1460 iptables -A INPUT -m conntrack --ctstate INVALID -j DROP

#### Блокировать новые пакеты, которые не являются SYN```bash
iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP

или```bash iptables -t mangle -A PREROUTING -p tcp ! --syn -m conntrack --ctstate NEW -j DROP

#### Принудительная проверка фрагментированных пакетов```bash
iptables -A INPUT -f -j DROP

XMAS пакеты```bash

iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP

#### Отбрасывать все NULL-пакеты```bash
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP

Блокировка нестандартных значений MSS```bash

iptables -t mangle -A PREROUTING -p tcp -m conntrack --ctstate NEW -m tcpmss ! --mss 536:65535 -j DROP

#### Блокировать пакеты с поддельными TCP-флагами```bash
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,RST FIN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,ACK FIN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,URG URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,FIN FIN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,PSH PSH -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL ALL -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL NONE -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL FIN,PSH,URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,FIN,PSH,URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP

Блокировка пакетов из частных подсетей (спуфинг)```bash

_subnets=("224.0.0.0/3" "169.254.0.0/16" "172.16.0.0/12" "192.0.2.0/24" "192.168.0.0/16" "10.0.0.0/8" "0.0.0.0/8" "240.0.0.0/5")

for _sub in "${_subnets[@]}" ; do iptables -t mangle -A PREROUTING -s "$_sub" -j DROP done iptables -t mangle -A PREROUTING -s 127.0.0.0/8 ! -i lo -j DROP

## Примеры расширенной конфигурации

### Обработка пакетов в Python с использованием цели NFQUEUE

  > _Эта цель передает пакет в пользовательское пространство с помощью обработчика nfnetlink_queue. Пакет помещается в очередь, идентифицируемую своим 16-битным номером очереди. Пользовательское пространство может проверять и изменять пакет при необходимости. Затем пользовательское пространство должно сбросить или повторно внедрить пакет в ядро._

#### ПРИНЯТЬ все пакеты от конкретного источника на (filter:INPUT) и ОТБРОСИТЬ все остальное

  > _Это правило перенаправляет все пакеты filter:INPUT в очередь 1 с целью NFQUEUE._```bash
iptables -A INPUT -j NFQUEUE --queue-num 1

Сценарий для привязки к очереди netfilter 1 и обработки пакетов.```python #!/usr/bin/python3

from netfilterqueue import NetfilterQueue from scapy.all import *

def packetanalyzer(pkt): ip=IP(pkt.get_payload()) if(ip.src=="192.168.122.1"): print(f"New packet from {ip.src}") pkt.accept() else: pkt.drop()

nfqueue=NetfilterQueue() nfqueue.bind(1, packetanalyzer) nfqueue.run()

#### Напишите свой собственный скрипт port knocking для защиты доступа по SSH

  > _Отбрасывайте все SSH-запросы и отправляйте секретные запросы портов в пользовательское пространство с помощью цели NFQUEUE._```bash
iptables -t filter -I INPUT -p tcp --dport 22 -j DROP
iptables -t raw -I PREROUTING -p tcp --sport 65534 --dport 65535 -j NFQUEUE --queue-num 1

Этот скрипт захватывает пакеты из очереди netfilter 1 и проверяет SOURCEPORT и SECRETPORT для port knocking, а затем разрешает источнику подключаться к SSH на время EXPIRETIME, по умолчанию 30 минут.```python #!/usr/bin/python3

from os import system from netfilterqueue import NetfilterQueue from scapy.layers.inet import IP from time import time

SOURCEPORT=65534 SECRETPORT=65535 EXPIRETIME=30 ALLOWED={}

def portknocking(pkt): packet=IP(pkt.get_payload()) currtime=time() for item in list(ALLOWED): if(currtime-ALLOWED[item] >= EXPIRETIME*60): del ALLOWED[item] if(packet.sport==SOURCEPORT and packet.dport==SECRETPORT and packet.src not in ALLOWED): print(f"Port {packet.dport} knocked by {packet.src}:{packet.sport}") system(f"iptables -I INPUT -p tcp --dport 22 -s {packet.src} -j ACCEPT") system(f"echo 'iptables -D INPUT -p tcp --dport 22 -s {packet.src} -j ACCEPT' | at now + {EXPIRETIME} minutes") ALLOWED[packet.src]=time() pkt.drop()

nfqueue=NetfilterQueue() nfqueue.bind(1, portknocking)

try: nfqueue.run() except KeyboardInterrupt: print("\nExit with Keyboard Interrupt")

> _Для стука в порт и разрешения SSH-подключений с вашего компьютера просто выполните эту команду:_```bash
nc -p 65534 SERVER 65535

iptables-essentials

Популярное