Menggunakan Iptables di Linux

2023 Pengarang: Peter John Melton | [email protected]. Diubah suai terakhir: 2023-11-26 11:12

Panduan ini akan cuba menjelaskan cara menggunakan iptables di linux dengan mudah memahami bahasa.

Kandungan [sembunyi] 1 Gambaran Keseluruhan 2 Penggunaan 2.1 Menyekat Alamat IP Single 2.2 Membenarkan Semua Lalu Lintas dari Alamat IP 2.3 Menyekat Pelabuhan Daripada Semua Alamat 2.4 Membenarkan Port Single dari IP Single 2.5 Melihat Peraturan Semasa 2.6 Menggulingkan Peraturan Semasa 3 Pengedaran-Spesifik 3.1 Gentoo

Gambaran keseluruhan

Iptables adalah firewall berasaskan peraturan, yang akan memproses setiap peraturan dalam rangka sehingga ia menemukan satu yang cocok.

Todo: masukkan contoh di sini

Penggunaan

Utiliti iptables biasanya diprapasang pada pengedaran linux anda, tetapi sebenarnya tidak menjalankan peraturan apa pun. Anda akan menemui utiliti di sini pada kebanyakan pengedaran:

/sbin/iptables

Menyekat Alamat IP Tunggal

Anda boleh menyekat IP dengan menggunakan parameter -s, menggantikan 10.10.10.10 dengan alamat yang anda cuba bloki. Anda akan perhatikan dalam contoh ini bahawa kami menggunakan parameter -I (atau kerja-kerja juga) bukannya ditambah, kerana kami ingin memastikan peraturan ini muncul terlebih dahulu, sebelum apa-apa aturan yang dibenarkan.

/sbin/iptables -I INPUT -s 10.10.10.10 -j DROP

Membenarkan Semua Lalu Lintas dari Alamat IP

Anda boleh selalunya membenarkan semua lalu lintas dari alamat IP dengan menggunakan arahan yang sama seperti di atas, tetapi menggantikan DROP dengan ACCEPT. Anda perlu memastikan bahawa peraturan ini muncul dahulu, sebelum sebarang peraturan DROP.

/sbin/iptables -A INPUT -s 10.10.10.10 -j ACCEPT

Menyekat Pelabuhan Daripada Semua Alamat

Anda boleh menyekat pelabuhan sepenuhnya daripada diakses melalui rangkaian dengan menggunakan suis -dport dan menambah port perkhidmatan yang anda hendak bloki. Dalam contoh ini, kami akan menyekat port mysql:

/sbin/iptables -A INPUT -p tcp --dport 3306 -j DROP

Membenarkan Port Single dari IP Single

Anda boleh menambah perintah -s dengan perintah -dport untuk seterusnya mengehadkan peraturan ke port tertentu:

/sbin/iptables -A INPUT -p tcp -s 10.10.10.10 --dport 3306 -j ACCEPT

Melihat Peraturan Semasa

Anda boleh melihat peraturan semasa menggunakan arahan berikut:

/sbin/iptables -L

Ini sepatutnya memberi output yang serupa dengan yang berikut:

Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT all -- 192.168.1.1/24 anywhere ACCEPT all -- 10.10.10.0/24 anywhere DROP tcp -- anywhere anywhere tcp dpt:ssh DROP tcp -- anywhere anywhere tcp dpt:mysql

Output sebenar akan menjadi sedikit lebih lama, tentu saja.

Mengosongkan Peraturan Semasa

Anda boleh mengosongkan semua peraturan semasa dengan menggunakan parameter siram. Ini sangat berguna jika anda perlu meletakkan peraturan dalam susunan yang betul, atau apabila anda sedang menguji.

/sbin/iptables --flush

Penyebaran-Spesifik

Walaupun kebanyakan pengedaran Linux merangkumi satu bentuk iptables, sebahagian daripada mereka juga termasuk pembalut yang menjadikan pengurusan lebih mudah. Selalunya "addons" ini mengambil bentuk skrip init yang menjaga permulaan iptables pada permulaan, walaupun beberapa pengedaran juga termasuk aplikasi wrapper penuh yang cuba memudahkan kes biasa.

Gentoo

The iptables skrip init pada Gentoo mampu mengendalikan banyak senario umum. Sebagai permulaan, ia membolehkan anda untuk mengkonfigurasi iptables untuk memuat permulaan (biasanya apa yang anda mahu):

rc-update add iptables default

Menggunakan skrip init, adalah mungkin untuk memuatkan dan memadamkan firewall dengan arahan yang mudah diingat:

/etc/init.d/iptables start /etc/init.d/iptables stop

Skrip init mengendalikan butir-butir berterusan konfigurasi firewall anda semasa mula / berhenti. Oleh itu, firewall anda sentiasa berada dalam keadaan yang anda tinggalkan. Sekiranya anda perlu menyimpan peraturan baru secara manual, skrip init boleh mengendalikannya juga:

/etc/init.d/iptables save

Di samping itu, anda boleh memulihkan firewall anda ke keadaan yang disimpan sebelumnya (untuk kes di mana anda sedang bereksperimen dengan peraturan dan kini mahu memulihkan konfigurasi kerja sebelumnya):

/etc/init.d/iptables reload

Akhirnya, skrip init boleh meletakkan iptables ke dalam mod "panik", di mana semua lalu lintas masuk dan keluar disekat. Saya tidak pasti mengapa mod ini berguna, tetapi semua firewall Linux nampaknya memilikinya.

/etc/init.d/iptables panic

Amaran: Jangan memulakan mod panik jika anda disambungkan ke pelayan anda melalui SSH; andaakan diputuskan sambungan! Satu-satunya masa anda perlu meletakkan iptables ke dalam mod panik adalah semasa anda beradasecara fizikal di hadapan komputer.