Межсетевое экранирование в Linux

Содержание

Общие сведение о подсистеме netfilter

Подсистема netfilter представляет собой средство пакетной фильтрации в ядре Linux (начиная с версии 2.4) . Утилита iptables используется для управления netfilter.

Сетевые пакеты в подсистеме netfilter проходят последовательность цепочек (chain). Каждая цепочка включает заданный набор таблиц (table), содержащих упорядоченные списки правил. Каждое правило содержит параметры выбора и выполняемое действие при соответствии содержимого пакета параметрам.

Существует пять типов стандартных цепочек, встроенных в систему :

Цепочки организованы в четыре таблицы :

Следует отметить, что одноименные таблицы каждой цепочки независимы.

Входящий пакет (рис 11.1) начинает обрабатываться с цепочки PREROUTING в таблицах raw, conntrack (определение состояний) и mangle. Затем он обрабатывается правилами таблицы nat данной цепочки. На этом этапе проверяется, необходима ли модификация адреса получателя пакета ( DNAT ). Важно сменить адрес получателя на данном этапе, так как маршрут пакета определяется сразу после того, как он покинет цепочку PREROUTING.

Далее возможны два варианта:

Третий вариант - когда приложение на компьютере, отвечает на запрос или отправляет собственный пакет, то он обрабатывается цепочкой OUTPUT таблиц raw, conntrack и filter. Затем к нему применяются правила цепочки OUTPUT таблицы nat, для определения, требуется ли использовать DNAT (модификация адреса получателя), пакет фильтруется цепочкой OUTPUT таблицы filter и выпускается в цепочку POSTROUTING. В случае успешного прохождения POSTROUTING пакет выходит в сеть.

Непосредственно для фильтрации используются таблицы filter. Поэтому в рамках данной темы важно понимать, что для фильтрации пакетов, предназначенных данному узлу необходимо модифицировать таблицу filter цепочки INPUT, для проходящих пакетов — цепочки FORWARD, для пакетов, созданных данным узлом — OUTPUT.

Управление правилами iptables

Команда iptables позволяет редактировать правила таблиц netfilter. Каждое правило представляет собой запись, содержащую в себе параметры отбора (критерии), определяющие, подпадает ли пакет под данное правило, и действие, которое необходимо выполнить в случае соответствия параметрам отбора .

В общем виде правила записываются в виде:

iptables [-t table] command [match] [target/jump]

По умолчанию используется таблица filter, если же необходимо указать другую таблицу, то следует использовать спецификатор -t с указанием имени таблицы. После имени таблицы указывается команда, определяющая действие: вставить правило, или добавить правило в конец цепочки, или удалить правило и т. п. Match задает параметры отбора. Target указывает, какое действие должно быть выполнено при условии выполнения критериев в правиле: передать пакет в другую цепочку правил, "сбросить" пакет, выдать на источник сообщение об ошибке и т. п.

Для просмотра существующих правил, команда iptables используется с ключом -L. Так, для просмотра всех цепочек таблицы filter ( -v — для более детального отображения):

# iptables -L -v

Для просмотра цепочки FORWARD нужно указать имя цепочки:

# iptables -v -L FORWARD

Сбросить все правила (-F) и удалить определенные пользователем цепочки (-X):

# iptables -F
# iptables -X

Для добавления правила в цепочку используется ключ -A. Например, чтобы добавить правило в цепочку POSTROUTING таблицы nat:

# iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Для того, чтобы добавить правило в цепочку FORWARD:

# iptables -A FORWARD -i eth0 --destination 192.168.1.0/24  -j ACCEPT

Ниже в виде таблицы приведены основные параметры отбора пакетов :

Действие, которое система выполнит, если пакет в одной из цепочек удовлетворяет условию, устанавливается с помощью ключа -j (--jump). Можно также передать пакет в другую цепочку.

Стандартные действия:

# iptables -A input -p tcp -s 192.168.0.0/16 --dport 80 -j ACCEPT

# iptables -A FORWARD -s 192.168.1.0/24 -d 192.168.9.9 -j DROP

Взаимодействие правил и цепочек

Для каждой таблицы в цепочке определена политика обработки пакетов по умолчанию (тех, которые не соответствуют ни одному правилу данной таблицы). Политика по умолчанию может быть, например, разрешающая ( ACCEPT ), т. е. передавать пакеты в следующую таблицу, или запрещающая ( ).

Для того, чтобы установить запрещающую политику (уничтожения без сообщения адресату) для проходящих пакетов, не удовлетворяющих ни одному правилу нужно использовать iptables с ключом -P c указанием цепочки и действия:

# iptables -P FORWARD DROP
# iptables -L FORWARD
Chain FORWARD (policy DROP)
target     prot opt source               destination

# iptables -t mangle -L FORWARD
Chain FORWARD (policy ACCEPT)
target     prot opt source

Так как политику фильтрации пакетов в цепочке принято определять в таблице filter, то в контексте фильтрации имеется ввиду, что задается политика по умолчанию для всей цепочки (здесь и далее по тексту).

При добавлении правил iptables следует учитывать то, что их порядок в цепочке имеет значение (). Чтобы вставить правило в произвольное место существующей цепочки, укажите ключ -I, затем название этой цепочки и позицию (1,2,3,...,n), в которой должно располагаться правило.

# iptables -L INPUT -v
Chain INPUT (policy ACCEPT 7 packets, 508 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       tcp  --  any    any     192.168.0.0/16       anywhere            tcp dpt:www

# iptables -I INPUT 1 -p tcp -s 192.168.1.5 --dport 80 -j ACCEPT
# iptables -L INPUT -v
Chain INPUT (policy ACCEPT 7 packets, 508 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 ACCEPT     tcp  --  any    any     192.168.1.5          anywhere            tcp dpt:www 
    0     0 DROP       tcp  --  any    any     192.168.0.0/16       anywhere            tcp dpt:www

# iptables -A INPUT -p tcp -s 192.168.1.5 --dport 80 -j ACCEPT
# iptables -A OUTPUT -p tcp -d 192.168.1.5 -j ACCEPT
# iptables -L INPUT -v
Chain INPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 4         336   ACCEPT     all  --  lo     any     anywhere             anywhere            
 1536  123K ACCEPT     all  --  any    any     192.168.56.1         anywhere            
    0     0       ACCEPT     tcp  --  any    any     192.168.1.5          anywhere            tcp dpt:www 
# iptables -L OUTPUT -v
Chain OUTPUT (policy DROP 8 packets, 564 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    4       336 ACCEPT     all  --  any    lo      anywhere             anywhere            
 1050  106K ACCEPT     all  --  any    any     anywhere             192.168.56.1        
    0           0 ACCEPT     all  --  any    any     anywhere             192.168.1.5

# iptables -A OUTPUT -o lo -j ACCEPT
# iptables -A INPUT -i lo -j ACCEPT

Используя стенд на основе VirtaulBox, описанный в упражнении "Маршрутизация в Linux", настроить фильтрацию трафика на маршрутизаторе:

1.Реализовать п. 1 ( основная ВМ ):

# iptables -P INPUT DROP
# iptables -A INPUT -i lo -p all -j ACCEPT
# iptables -A INPUT -i eth1 --source 192.168.0.0/24 -j ACCEPT

2.Реализовать п. 2:

# iptables -P FORWARD DROP
# iptables -A FORWARD -i eth1 --source 192.168.0.0/24 -j ACCEPT
# iptables -A FORWARD -i eth2 --destination 192.168.0.0/24 -j ACCEPT
# iptables -A FORWARD -i eth3 --destination 192.168.0.0/24 -j ACCEPT

3.Реализовать п. 3.

# iptables -I FORWARD 1 -i eth1 --source 192.168.0.0/24 --destination
   192.168.9.0/24 --protocol icmp -j DROP

4.Реализовать пп. 4 и 5. самостоятельно.