Základní konfigurace Linux firewallu pomocí Iptables (diskuse)

[Heron]

V chainu INPUT chybí povolení ICMP packetů. Dále je vhodné použít -m state --state NEW u pravidel povolující přístup na port, nebo alespoň explicitně definovat, co se stane se spojeními v jiném než ESTABLISHED, RELATED stavu.

U natu vysvětlit k čemu je DNAT a hlavně SNAT pro forwardovaní portů.

Dál doporučuji doplnit target REJECT včetně ICMP hlášek a info o vlastních chainech.

[polo23]

 

 Dále je vhodné použít -m state --state NEW u pravidel povolující přístup na port, nebo alespoň explicitně definovat, co se stane se spojeními v jiném než ESTABLISHED, RELATED stavu.

 

 

Dál doporučuji doplnit target REJECT včetně ICMP hlášek a info o vlastních chainech.

Tady mi není jasny prvni krok... Pravidla pro pristup na konkretni porty tam prece mam a s -m state --state NEW jsem se jeste nesetkal(bohuzel). Taky bych byl rad kdyby jste objasnil co myslite tim REJECTEM vcetne ICMP hlasek. Snat a dnat jeste dopisu...


 

[Heron]

Pravidla pro pristup na konkretni porty tam prece mam a s -m state --state NEW jsem se jeste nesetkal(bohuzel).

Takhle:

iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT

Packety ve stavu ESTABLISHED, RELATED máš ošéfované již nahoře. Takže ti zbývají packety ve (dnes dalších možných stavech - může se v budoucnu měnit) stavech NEW a INVALID. Těmi povolovacími pravidly pro služby jsi chtěl zcela jistě pouštět nová připojení a žádná jiná.

Taky bych byl rad kdyby jste objasnil co myslite tim REJECTEM vcetne ICMP hlasek.

Zahazování packetů pomocí DROP nutí klientskou stranu čekat na IP timeout. Odmítání pomocí REJECT pošle okamžitě ICMP hlášku, že je port z nějakého důvodu uzavřen a klient nemusí čekat. Iptables umožňují vybrat správnou ICMP hlášku. Zde je mj. jiné vidět, k čemu může vést zahazování ICMP na vstupu do sítě.

Např:

-j REJECT --reject-with tcp-reset
-j REJECT --reject-with icmp-port-unreachable

[Michal Kubeček]

Nebylo by jednodušší prostě INVALID pakety zahodit?

[polo23]

No jak pisete

iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT

ja nechapu na co to je kdyz mi FW jede i bez toho... Kdyz se prihalsuju na 22 tak to jede neni s tim problem... Nebo je tu jeste nejaka finta o ktere nevim?

[Heron]

Ano jede ti to. Stejně tak to pojede, když dáš iptables -P INPUT accept .

Cílem je to co nejvíce zabezpečit. Můj příspěvek k bezpečnosti byl explicitně akceptovat pouze nová připojení. Což se v tomto případě rovná zahazovat INVALID, jak správně píše Michal. Ten skript by šel ještě vylepšit o ochranu proti spoofingu adres, proti DOS útokům atp. Pokud z toho bude nakonec článek, moc rád bych tam viděl i tyto věci. Firewallových skriptů jako je ten tvůj je po internetu tuna (tím jej nekritizuji), ale málokdo jde dál.

[polo23]

Tady porad nechapu co mate na mysli pod tim  iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT. ja tam mam ty pravidla vypsana vsechna az na to ze tam nemam to new. Nevim k cemu to NEW slouzi kdyz mi to funguje i bez toho. Nova pripojeni ny tyto porty jsou automaticky prijata podle mych pravidel.
 

[polo23]

Omlouvam se nevsimnul jsem si vysvetleni... Jen bych dodal.... co vlastne patri do INVALID? Muzete mi to prosim vysvetlit zpusobem ze napr. do INPUT retezce patri vse co prichazi? Do NEW nove vytvarena spojeni? Clanek z toho asi nebude... Vubec posledni dobou nemam cas. Jinak samozrejme jsem tam chtel dat dalsi prvky jako ping flood atd. ale z casovych duvodu jsem po tom uz nepatral.

 

[Filip Jirsák]

Do INVALID patří všechno, co nepatří jinam Typicky tam budou patřit pakety, které se tváří jako součást TCP/IP spojení, ale žádné takové spojení neexistuje, případně pakety, které sice odpovídají existujícímu TCP/IP spojení, ale nemohou do něj patřit logicky (např. se tváří, že přenáší data z rozsahu, který už byl dávno potvrzen).

[Heron]

Chyba:

4)Pravidla z paměti uložíme příkazem „iptables save“ (uloží se do /etc/sysconfig/iptables)
5)Restartujeme iptables příkazem „iptables restart“ 

Je to:

service iptables save
service iptables restart

Odstranit zmíňku o příkazu route, nebo upozornit, že je pouze pro kernely do verze 2.2.

[David Watzke]

Je to:

service iptables save
service iptables restart

No, zcela určitě ne obecně. Gentoo:

/etc/init.d/iptables save
# nebo
rc-service iptables save

[Heron]

Týká se to chyby v zápisku:

Zprovoznění na systému CentOS(Red Hat, Fedora):

[David Watzke]

Jasně... jen sem nedával pozor.

[Filip Jirsák]

Dále je chyba v pojmenování cíle – cíl, který paket zahodí, ale pošle zpět zprávu, se jmenuje REJECT, ne DENY. Stavový firewall není stavový proto, že rozlišuje příchozí a odchozí komunikaci, ale proto, že umí sledovat spojení (tj. nehodnotí jen samotný paket, ale i spojení, ke kterému patří). Bez toho by nebylo možné dělat třeba NAT. Překládat „NAT“ jako „překlad adres“ není vhodné (tento termín se používá pro překlad DNS adres na IP adresy), spíš se používá „přepis adres“. route je myslím pro kernely do verze 2.0.x, ve verzi 2.2 už bylo iproute2, tedy příkaz ip.

Možná by stálo za to doplnit, že příkazy pro uložení a obnovení stavu firewallu se jmenují iptables-save a iptables-restore – ty jsou ve všech distribucích, kde je iptables. Skripty zmíněné v příspěvku jsou pak distribučně závislá nadstavba nad těmito skripty.

[polo23]

REJECT a "prepis" - opraveno.

[Michal Kubeček]

Stavový firewall není stavový proto, že rozlišuje příchozí a odchozí komunikaci, ale proto, že umí sledovat spojení (tj. nehodnotí jen samotný paket, ale i spojení, ke kterému patří). Bez toho by nebylo možné dělat třeba NAT.

NAT by bez toho samozřejmě udělat šlo. Nešlo by bez toho udělat stavový překlad adres. Ve skutečnosti dokonce byla jakási podpora maškarády už v ipchains a jádře 2.2, tedy ještě před netfilterem a stavovou filtrací, ale byl to tak trochu bastl.

[Filip Jirsák]

Myslel jsem „klasický NAT“, jak se dnes běžně používá, tj. takový, kdy NATem N:1 bez problémů projdou TCP/IP spojení stovek počítačů za ním. Bezestavový NAT N:1 musí každé dvojici odchozí IP adresa : odchozí port podle nějaké hash tabulky přidělit odchozí port, a tam už by v případě velkého počtu spojení asi reálně hrozily kolize. Ale je pravda, že když budu IP adresu a/nebo port měnit třeba náhodně, je to taky NAT, a stav si pamatovat nepotřebuju…

[Michal Kubeček]

NAT znamená překlad adres, nic víc a nic méně. Překlad může být buď stavový nebo bezstavový. Jsou samozřejmě úlohy, které bezstavově řešit nejde, třeba maškaráda nebo load balancing. Tam, kde jde ale o mapování 1:1 (např. port forwarding), stavový překlad potřeba není. Trvzení, že stavový filtr je nutný, aby bylo možno provádět NAT, prostě není v obecnosti pravdivé, platí pouze pro stavové překlady (a i tam s určitými výhradami). V jádrech řady 2.4 např. existoval překlad adres realizovaný směrovací částí jádra, který byl zcela bezstavový (router žádné stavové informace neudržuje).

[polo23]

Route mi normalne funguje... zbytek jsem opravil...

[Heron]

Route mi normalne funguje

To je bohužel klamný dojem, který route podle vytváří. Hledej komentáře Michala Kubečka na toto téma a zjistíš, že a proč nefunguje.

[polo23]

OK smazu ho... verim Ti ...bohuzel nemam ca sna overovani a hledani. Mam na zitra dost prace:( podivam se na to pak.

[Grunt]

Jé, nádhera. Hlavně obrázek mě velice potěšil (Já znám jenom černobílý). Kdyby se trošičku zlepšila úprava, klidně z toho mohl být článek aby se to lépe hledalo.

[Grunt]

Teda až na ten detail, že když to v GIMPu ořezávám a mažu původního autora, tak si dám alespoň tu práci a uložím to do PNG.

[polo23]

No tak to se mi to pekne posr***:( nekritizujte vsichni ten obrazek .... je jen symbolicky...da se rict ze jsem kaslal jak to bude vypadat hlavne ze bude schematicky spravne... nechci aby se mi to tu zvrhlo v diskuzi o pravech. Uz jsem psal autorovi toho obrazku(asi pred rokem a pul jsem se s nim osobne setkal) o svoleni k pouziti kdyz teda jde tak moc o prava.

P.S. nemazal jsme puvodniho autora... kdyz si ten obrazek najdete na netu uvidite co jsme mazal...

[Grunt]

Já ho nekritizuju, mně osobně je to úplně jedno. Ba spíš naopak jsem potěšen, že alespoň něco, protože schémátko jak se zpracovávají pakety, když vlezou do toho black-boxu je jako šafránu a jeho neznalost nutí dělat nejednoho začátečníka pěkné psí kusy. No na druhou stranu, když někdo naleje vinařovi mošt do plechového barelu, tak asi také nebude zrovna v klidu.(spíš bude pěkně prskat)

[polo23]

Ohledne obrazku ...mam svoleni autora takze jsem ho akorat malinko poopravil a dal do formatu PNG.

[polo23]

No na to bych se chtel zeptat.... kdo muze na abclinuxu psat clanky? Nebo jakym zpusobem bych dosahl toho abych je mohl psat aj ja?

Diky

[David Watzke]

kdo muze na abclinuxu psat clanky?

Každý...

Nebo jakym zpusobem bych dosahl toho abych je mohl psat aj ja?

Domluvíš se s šéfredaktorem, jestli je o tvoje téma zájem, napíšeš článek, pošleš ho redaktorovi a je to.

[Heron]

Pošleš článek na adresu redakce a Robert jej buď schválí nebo odmítne s výhradami. Jinými slovy, psát může kdokoliv.

[Mrkva]

Tohle je vaše práce, nebo je ten obrázek vykradený?

[polo23]

No nevolil bych tak hruba slova jako vykradeny... Pouzil jsem obrazek co jsem nasel kdyz jsem sam mel za ukol nastudovat funkci iptables. Jinak bych dodal ze vse co jsem napsal v clanku jsem nekde nasel, precetl a udelal vhodny vycuc. Muj blog pisu proto abych zde zdokumentoval reseni problemu se kterymy jsmese setkal. Myslite ze ostatni prispevky si cucam z prstu? Samozrejme mam to nekde vyctene... z diskuzi, clanku atd. Tady se tomu snazim dat vhodnou formu ....dat to do jednoho celku a zpristupnit to ostatnim...neberu za to zadne penize nechlubim se tim...jen mi prislo zbytecne kdyz jsme nabyl urcitych znalosti je nechat jen tak zapomenout. To je vse...

P.S. Trochu jsme se bal ze se ozve nekdo takovy...co se tyce autorskych prav. V nejhorsim obrazek teda prekreslim.

[Mrkva]

Pardon, to je to věčné opakování "kradení hudby/software/filmů". Samozřejmě jsem měl na mysli okopírovaný :)

[Grunt]

Tak o tom žádná, ale zkopírovat, upravit a zveřejnit(a ještě tak hnusně JPEGem zničit) obrázek, který někdo namaloval bez výslovného svolení autora je už něco jiného a už to spadá pod Autorský zákon(a např. jako článek zde už by publikován být nemohl). No na druhou stranu je to také velice dobrý post k zamyšlení kde vůbec ještě leží ta hranice.

[polo23]

OK zkusme se ted bavit jako lidi kterym uz bylo 18 a kteri nejsou nejak zaujati. Podivejte ja nema zkusenost s publikovanim... nevedel jsem ze z jednoho obrazku bude takovy pruser. Takze to berme tak ze se to proste stalo. priste si dam pozor a ted udelam vse pro co nejrychlejsi napravu. Autorovi jsem napsal, pripadne teda uvedu zdroje ze kterych jsem "citoval." Jo to OK nebo jsem jeste neco opomenul?? Ukonceme prosim uz tema vykradani... pracuju na tom abych to napravil co nejdrive.

[ʚĭɞ 🍉]

OK zkusme se ted bavit jako lidi kterym uz bylo 18 a kteri nejsou nejak zaujati. Podivejte ja nema zkusenost s publikovanim... nevedel jsem ze z jednoho obrazku bude takovy pruser.

Neznalost zákona neomlouvá.

[polo23]

Mate pravdu a souhlasim s Vami. Ziskal jsem souhlas autora s publikovanim obrazku. Snad uz to je OK a tohle tema muzeme brat jako uzavrene.

[ʚĭɞ 🍉]

Samozřejmě. Ale proč to okecávání předtím?

[polo23]

Ted jsem Vas nepochopil... Co myslite tim okecavanim. Bylo to proste tak ze jsem pouzil vsech dostupnych zdroju co jsem mel a nasel k tomu abych napsal tento clanek. Nelamal jsem si hlavu s nejakyma pravama. Az jsem za to sklidil kritiku zacal jsem to resit. Napsal jsem autorovi obrazku a mam od neho svoleni k publokaci. Pokud myslite okecavanim to ze jsem se branil, ze jsem nevedel... tak co jsem na to mel rict? Snazim se uz jen o ukonceni tehle debaty o pravech, protoze za timto ucelem jsem clanek nenapsal a popravde neni to zrovna tema ktere by me zajimalo. Myslim ze chybu jsem uz uznal, napravil,  taky jsem se omluvil a ze uz se o tom nemusime bavit. Priste si dam samozrejme vetsi pozor na  to z ceho cerpam. Mam ale pocit ze nekteri proste budou porad rypat a starat se v tom ze jsem mel udelat to co uz tu bylo zmineno x-krat. Byl bych radeji za konstruktivni prinosne prispevky tykajici se tematu clanku a ne jeho "vedlejsich nasledku,"

[ʚĭɞ 🍉]

No nevolil bych tak hruba slova jako vykradeny... Pouzil jsem obrazek co jsem nasel kdyz jsem sam mel za ukol nastudovat funkci iptables. Jinak bych dodal ze vse co jsem napsal v clanku jsem nekde nasel, precetl a udelal vhodny vycuc. Muj blog pisu proto abych zde zdokumentoval reseni problemu se kterymy jsmese setkal. Myslite ze ostatni prispevky si cucam z prstu? Samozrejme mam to nekde vyctene... z diskuzi, clanku atd. Tady se tomu snazim dat vhodnou formu ....dat to do jednoho celku a zpristupnit to ostatnim...neberu za to zadne penize nechlubim se tim...jen mi prislo zbytecne kdyz jsme nabyl urcitych znalosti je nechat jen tak zapomenout. To je vse...

a

OK zkusme se ted bavit jako lidi kterym uz bylo 18 a kteri nejsou nejak zaujati. Podivejte ja nema zkusenost s publikovanim... nevedel jsem ze z jednoho obrazku bude takovy pruser. Takze to berme tak ze se to proste stalo. priste si dam pozor a ted udelam vse pro co nejrychlejsi napravu.

To jsou prostě kecy. Ale šlechtí tě, že to řešíš.

[polo23]

tak to nejsou kecy proste to byl komentar k memu pocinani... Neberte to jako vymluvy.

[Michal Kubeček]

OK zkusme se ted bavit jako lidi kterym uz bylo 18 a kteri nejsou nejak zaujati.

Právě lidé, kterým už bylo osmnáct, by měli mít aspoň nějaké základní právní (a hlavně morální) vědomí, které by jim mělo napovědět, že jen tak zkopírovat obrázek cizí práce do své není v pořádku.

[polo23]

No trochu jsme pocital s tim ze autorovi to tak vadit nebude. Ale jak uz jsem psal mam od neho svoleni.