iptables

Peamised Linuxi turvalisusega seotud teemad

Moderaator: Moderaatorid

Vasta
priit
Vana Pingviin
Vana Pingviin
Postitusi: 521
Liitunud: 04.08.2005, 03:00

iptables

Postitus Postitas priit »

Hei. Lugu selline, et hankisin edale ühe odava unmanaged VPSi. Pole ise varem iptablesit kasutanud ning proovisin siis ühe õpetuse järgi ja tulemus oli:

Kood: Vali kõik

# /etc/iptables.up.rules

*filter

# standard rules for general traffic
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i venet0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT

# allow ssh to port 30000
-A INPUT -p tcp --dport 30000 -j ACCEPT

# allow apache to port 80
-A INPUT -p tcp --dport 80 -j ACCEPT

# any traffic from localhost
-A INPUT -s 127.0.0.1 -j ACCEPT

# ICMP/Ping
-A INPUT -p icmp -j ACCEPT

# reject everything else coming through to any IP
-A INPUT -j REJECT
-A FORWARD -j REJECT

COMMIT

# EOF
Konkreetse setupi puudus on see, et väljuvad ühendused on keelatud (st pakette ei võetud vastu).

Et saada ka serverist välja, suutsin kokku keerata mingite saitide abiga töötava skripti:

Kood: Vali kõik

# /etc/iptables.up.rules 

*filter

# allow ssh to port 30000
-A INPUT -p tcp --dport 30000 -j ACCEPT

# allow apache to port 80
-A INPUT -p tcp --dport 80 -j ACCEPT

# any traffic from localhost
-A INPUT -s 127.0.0.1 -j ACCEPT

# ICMP/Ping
-A INPUT -p icmp -j ACCEPT

-A OUTPUT -p ALL -j ACCEPT
-A INPUT -p ALL -j ACCEPT

# reject everything else coming through to any IP
-A INPUT -j REJECT
-A FORWARD -j REJECT

COMMIT
Kuna olen iptablesis algaja, siis tahaks väga teada, kui turvaline see asi praegu on. Mõte oli asjal keelata kõik sissetulevad ühendused, va pordid 30000 (ssh) ja 80 (apache2).
Üles
Kasutaja avatar
mihkel
Vana Pingviin
Vana Pingviin
Postitusi: 1284
Liitunud: 16.04.2006, 13:08

Postitus Postitas mihkel »

Üks asi, mida silmas pidada on see, et reegleid täidetakse ülevalt alla. Nii vara hommikul ei viitsi sinu skripti eriti süveneda. Selle asemel pasteerin siia oma ipv4 müüri. Isegi mingi kahtlase väärtusega kommentaarid on sees.

Kood: Vali kõik

#!/bin/sh

#Kustutame ära kõik olemasolevad reeglid ja ahelad
iptables -F
iptables -X

# Määrame vaikereeglistiku. Kui edaspidi ei ole reegleid, 
# mis väidaksid vastupidist, siis lubatakse ainult väljaminevad
# paketid.
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# Ignoreerime pakke, mis on mingil põhjusel vigased ja logime need
iptables -A INPUT -m state --state INVALID -j LOG --log-prefix " INPUT invalid: " 
iptables -A INPUT -m state --state INVALID -j DROP

# Lubame kohalikud sissetulevad paketid
iptables -A INPUT -i lo -j ACCEPT

# Kui sissetulev pakett eksisteerib, kui me tulemüüri käivitame või
# on seotud olemasolevaga, siis lubame ühenduse. Kui seda reeglit pole,
# siis interneti põhimõtteliselt kasutada ei saa, kuna eelnevalt keelasime
# kõik sissetulevad pakteid.
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

# Keelame pordid 135 kuni 139, mida windowsi masinad genereerivad. Nii jälle
# logi puhtam.
iptables -A INPUT -p UDP -i eth0 -d 192.168.1.255 --destination-port 135:139 -j DROP

# Dropime dhcp päringud, et need ei satuks logisse.
iptables -A INPUT -p UDP -i eth0 -d 255.255.255.255 --destination-port 67:68 -j DROP

# Port 113 kinni, et irc ei uimerdaks
#iptables -A INPUT -p tcp --dport 113 -j LOG --log-prefix " Ipv4 identd "
iptables -A INPUT -p tcp --dport 113 -j REJECT
iptables -A INPUT -p udp --dport 113 -j REJECT

# Avame pordi 55666
# -i eth0 võib asendada mingi muu liidesega või üldse ära jätta.
iptables -A INPUT -p tcp -i eth0 --dport 55566 -j ACCEPT
#iptables -A INPUT -p udp -i eth0 --dport 55566 -j ACCEPT

# Esimene reegel lubab pingida sisevõrgust ilma piirangudeta.
# Teine reegel lubab esimese 5 ICMP paketti olenemata nende saabumise
# kiirusest, pärast seda ainult 10 paketti per minut.
# Kolmas reegel logib kõik juhud, mille teine reegel blokeerib.
# Neljas reegel ütleb, et kõik, mis ei mahu esimese kahe reegli alla, tuleb
# maha lüüa.
#iptables -A INPUT -p icmp -m iprange --src-range 192.168.1.60-192.168.1.65 -j ACCEPT 
iptables -A INPUT -p icmp -m limit --limit 10/m --limit-burst 5 -j ACCEPT
iptables -A INPUT -p icmp -j LOG --log-prefix " Jube ping: "
iptables -A INPUT -p icmp -j DROP

# Logime juhud, mis ei mahu eelnevate reeglite alla
# Logi kirjutatakse /var/log/messages faili
iptables -A INPUT -j LOG --log-prefix " INPUT DROP "

# Logime FORWARD INVALID paketid ja DROPime need
iptables -A FORWARD -m state --state INVALID -j LOG --log-prefix " FORWARD invalid: "
iptables -A FORWARD -m state --state INVALID -j DROP

# Logime FORWARD DROP juhud
iptables -A FORWARD -j LOG --log-prefix " FORWARD DROP "

# Logime OUTPUT INVALID paketid ja DROPime need
# iptables -A OUTPUT -m state --state INVALID -j LOG --log-prefix " OUTPUT invalid: "
iptables -A OUTPUT -m state --state INVALID -j DROP
Lisaks sellele olen muutnud /etc/sysctl.conf failist paari tuuma parameetrit, et veel kõvemaks ajada :)

Selline loom kaitseb siis mu kodumasina ipv4 liiklust.
Üles
Kasutaja avatar
johnsmith
Vana Pingviin
Vana Pingviin
Postitusi: 714
Liitunud: 24.07.2006, 23:33

Postitus Postitas johnsmith »

Seesamune, et kõik ülejäänud liiklus mis ei vasta reeglitele selle eest hoolitseb policy üldiselt: näiteks nii

Kood: Vali kõik

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD ACCEPT
Muidugi reegleid otsitakse ülevalt alla numbrijärjestuses olenevalt mis reegel enne sisestati kui ei kasutata eraldi reegli numbrit. Kas siis leitakse reegel mis vastab või kasutatakse "policyd"

Teine reegel on absurd kuna lubab kõik liikluse enne kui keelab kõik ülejäänu:

Kood: Vali kõik

-A OUTPUT -p ALL -j ACCEPT
-A INPUT -p ALL -j ACCEPT
Tegemist on siis avatud tulemüüriga teise skripti puhul.

Miks sul esimese reegli puhul väljaminev liiklus ei toimi ei oska praegu küll lambist öelda äkki pole kernelis dünaamiliste state reeglite moodulit ?

Panen oma lihtsad kodumasina reeglid vaatamiseks kuigi kommentaare pole. Ma olen üritanud ka vähe piirata seda liiklust mis läheb välja:

Kood: Vali kõik

LO_IP=192.168.1.8
LO_INT=127.0.0.1

/sbin/modprobe ip_conntrack_ftp 
/sbin/modprobe ip_conntrack_irc 

iptables -F 
iptables -X 
iptables -P INPUT DROP 
iptables -P OUTPUT DROP 
iptables -P FORWARD ACCEPT 
iptables -N nameserver
iptables -A OUTPUT -p ALL -d 192.168.6.1 -j ACCEPT
iptables -A nameserver --dst 192.168.2.50 -j ACCEPT
iptables -A OUTPUT -p udp --dport 53 -j nameserver 
iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT  
iptables -A OUTPUT -p udp --dport 67 -j ACCEPT 
iptables -A OUTPUT -p udp -d 192.168.2.0/24 --dport 137 -j ACCEPT 
iptables -A OUTPUT -p udp -d 192.168.2.0/24 --dport 138 -j ACCEPT 
iptables -A OUTPUT -p udp -d 192.168.2.0/24 --source-port 137 -j ACCEPT 
iptables -A OUTPUT -p udp -d 192.168.2.0/24 --source-port 138 -j ACCEPT 
iptables -A OUTPUT -p tcp --dport 110 -j ACCEPT 
iptables -A OUTPUT -p tcp --dport 873 -j ACCEPT 
iptables -A OUTPUT -p tcp --dport 49152:65535 -j ACCEPT 
iptables -A OUTPUT -p tcp --dport 22 -j ACCEPT   
iptables -A OUTPUT -p tcp --dport 45074 -j ACCEPT   
iptables -A OUTPUT -p tcp --dport 21 -j ACCEPT 
iptables -A OUTPUT -p tcp --dport 11371 -j ACCEPT 
iptables -A OUTPUT -p tcp -d 192.168.2.0/24 --source-port 445 -j ACCEPT 
iptables -A OUTPUT -p tcp -d 192.168.2.0/24 --source-port 139 -j ACCEPT 
iptables -A OUTPUT -p tcp -d 192.168.2.0/24 --dport 139 -j ACCEPT
iptables -A OUTPUT -p tcp -d 192.168.2.0/24 --dport 445 -j ACCEPT 
iptables -A OUTPUT -p tcp -d 10.0.0.0/24 --source-port 445 -j ACCEPT 
iptables -A OUTPUT -p tcp -d 10.0.0.0/24 --source-port 139 -j ACCEPT 
iptables -A OUTPUT -p tcp -d 10.0.0.0/24 --dport 139 -j ACCEPT
iptables -A OUTPUT -p tcp -d 10.0.0.0/24 --dport 445 -j ACCEPT 
iptables -A OUTPUT -p tcp -d 10.0.0.0/24 --dport 4081 -j ACCEPT 
iptables -A OUTPUT -p tcp -d 192.168.2.0/24 --dport 37890 -j ACCEPT 
iptables -A OUTPUT -p tcp -d 192.168.2.50 --dport 631 -j ACCEPT 
iptables -A OUTPUT -p tcp -m helper --helper ftp -j ACCEPT
iptables -A OUTPUT -p tcp -m helper --helper irc-6667 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 443 -j ACCEPT
iptables -A OUTPUT -p tcp -d xxx.xxx.xxx.xxx --dport 119 -j ACCEPT
iptables -A OUTPUT -p tcp -d xxx.xxx.xxx.xxx --dport 119 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 25 -j ACCEPT 
iptables -A OUTPUT -p tcp --dport 45000 -j ACCEPT 
iptables -A OUTPUT -p udp --dport 123 -j ACCEPT 
iptables -A OUTPUT -p icmp --icmp-type 8  -j ACCEPT 
iptables -A INPUT -p icmp --icmp-type 3  -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 4  -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 8  -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 11 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 12 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 13 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 14 -j ACCEPT
iptables -A INPUT -p udp -s 192.168.2.0/24 --dport 137 -j ACCEPT
iptables -A INPUT -p udp -s 192.168.2.0/24 --dport 138 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.2.0/24 --dport 139 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.2.0/24 --dport 445 -j ACCEPT
iptables -A INPUT -p udp -s 192.168.2.0/24 --source-port 137 -j ACCEPT
iptables -A INPUT -p udp -s 192.168.2.0/24 --source-port 138 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.2.0/24 --source-port 139 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.2.0/24 --source-port 445 -j ACCEPT
iptables -A INPUT -p udp -s 10.0.0.0/24 --dport 137 -j ACCEPT
iptables -A INPUT -p udp -s 10.0.0.0/24 --dport 138 -j ACCEPT
iptables -A INPUT -p tcp -s 10.0.0.0/24 --dport 139 -j ACCEPT
iptables -A INPUT -p tcp -s 10.0.0.0/24 --dport 445 -j ACCEPT
iptables -A INPUT -p udp -s 10.0.0.0/24 --source-port 137 -j ACCEPT
iptables -A INPUT -p udp -s 10.0.0.0/24 --source-port 138 -j ACCEPT
iptables -A INPUT -p tcp -s 10.0.0.0/24 --source-port 139 -j ACCEPT
iptables -A INPUT -p tcp -s 10.0.0.0/24 --source-port 445 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.2.0/24 --source-port 37890 -j ACCEPT
iptables -A INPUT -p ALL -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p ALL -s $LO_INT -j ACCEPT
iptables -A INPUT -p ALL  -d $LO_INT -j ACCEPT
"Thinking is the hardest work there is, which is probably the reason why so few engage in it" - Henry Ford
Üles
priit
Vana Pingviin
Vana Pingviin
Postitusi: 521
Liitunud: 04.08.2005, 03:00

Postitus Postitas priit »

Suur tänu vastuste eest, aga tundub, et probleem on ikkagi VPSis või OpenVZis, sest kumbki skriptid ei lase mul välja ühenduda (loomulikult tegin vastavad muudatused oma vajaduste jaoks). Oma koduarvutis pole veel proovinud, sest NVidia draiverid on mind liiga närvi ajanud :). Kui iptablesi osas targemaks ei saa, proovin järgmisel kuul CheapVPSi asemel Slicehosti (sealne artiklite all olev iptables Debiani jaoks ka ei töötanud).

Aga vähemalt tean nüüd, kuidas Apache+MySQL koos Linuxi baasinstalliga ainult 50 MB RAMi hõivavad :)
Üles
Vasta

Mine “Linux ja turvalisus”