Сетевое администрирование Linux. Iptables

Ход занятия

1. Iptables — это программный интерфейс к файрволу ядра Netfilter . Iptables представляет собой утилиту командной строки, а Netfilter загружается в ядро в качестве модулей (основным из которых является ip_tables ).

Ядро обрабатывает трафик в определенном порядке. Модули для обработки трафика называются таблицами, в которых существуют по умолчанию несколько цепочек для обработки пакетов. Вот список существующих таблиц и их назначение:

Синтаксис Iptables позволяет создавать свои цепочки, куда перенаправлять трафик по определенным критериям. Общая схема прохождения трафика такова, что в одной таблице пакету может быть назначено только одно действие, однако пакет может быть обработан в других таблицах. Наиболее используемые действия:

Вот схема прохождения трафика по цепочкам:

увеличить изображение

Кроме основного функционала, Iptables способен подгружать дополнительные модули, для дополнительной обработки. Одним из таких модулей является модуль обработки состояний пакета state . Он позволяет указывать состояние пакета:

2. Консольная команда iptables принимает в качестве параметров описание одного правила. В базовом варианте для загрузки правил подразумевается создание скрипта вида:

#!/bin/bash 
 #rc.firewall — load iptables rules 
 PROG='/sbin/iptables' 
 #clear all chains tables 
 $PROG -F 
  
 #filter table 
 $PROG -A INPUT -t filter -p TCP -s 80.32.5.7/32 -d 0.0.0.0 —dport 80 -j ACCEPT 
 …

Команда принимает следующие основные параметры для работы с цепочками:

Для параметров используются критерии:

Примеры:

iptables -P INPUT ACCEPT -t filter 
 iptables -A INPUT -t filter -p TCP -s 192.168.1.1/32 -d 192.168.2.0/24 --dport 25 -j DROP 
 iptables -A POSTROUTING -t nat -p ALL -s 192.168.1.0/24 -j SNAT --to-source 192.168.1.5 
 iptables -N mychain -t filter 
 iptables -A OUTPUT -t filter -d 193.19.64.11 --dport 21 -j mychain 
 iptables -A mychain -t filter -s 192.168.1.0/24 -j ACCEPT 
 iptables -A mychain -t filter -s 192.168.2.0/24 -j REJECT 
 iptables -A FORWARD -t filter -m mac --mac-source 11:22:33:44:55:66 -j ACCEPT 
 iptables -A INPUT -t filter -p TCP -d 192.168.1.0/32 --dport 21 -m state --state ESTABLISHED,RELATED -j ACCEPT