Als je met iptables aan de slag gaat, bestudeer dan vooral ook dit heldenplaatje:
Dat ziet er goed uit, maar vergeet niet dat de FORWARD chain (net als elke chain!) als default policy ACCEPT heeft. Alleen maar dingen accepten heeft dus weinig nut, want dat is al de default
Wat je voor dit geval wil is de FORWARD policy op DROP zetten.
code:
1
2
| sudo iptables -t nat -F POSTROUTING
sudo iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE |
Die eerste regel dient alleen om de nat/POSTROUTING chain leeg te maken. Dat is of niet nodig, of je moet dat voor je andere chains ook doen.
Voor de rest heb ik dus helemaal GEEN andere regels o.i.d. Dit lijkt me niet echt de bedoeling.
Mwoh, hangt van je doel af. In principe heb je met mijn bovenstaande opmerkingen een nette router.
De server an sich doet -naast spelen voor router ;)- nog een aantal andere taken zoals web (80), ssh (22), dropbox, etc. Nu vroeg ik mij af hoe ik middels iptables de server zo kan configureren dat het allemaal een beetje veilig is.
Als op een poort op eth1 geen service luistert, dan kan een aanvaller daar helemaal niks mee. Als er wel een service op die poort draait, dan wil je die service blijkbaar gebruiken. Zo niet, draai die service dan niet op die poort zou ik zeggen
Als je iptables wil gebruiken om die toegang te bepalen, dan is het vrij eenvoudig: laat in de INPUT chain voor eth1 alleen de poorten in kwestie door, en blokkeer de rest (op eth1).
En hoe regel ik zoiets zonder mezelf buiten te sluiten?
Fysieke toegang, of geen fouten maken
smeerbartje schreef op dinsdag 23 oktober 2012 @ 15:29:
code:
1
2
3
4
| iptables -A INPUT -i lo -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
iptables -A OUTPUT -o lo -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
iptables -A INPUT -j ACCEPT -p all -s 192.168.1.0/24 -i eth0
iptables -A OUTPUT -j ACCEPT -p all -d 192.168.1.0/24 -o eth0 |
Zoals CyBeR al aangaf, je localhost adres-check is niet correct. Ik zou van lo alles gewoon accepteren.
Je eth0 adres-restrictie zal waarschijnlijk ook niet werken; zo sturen DHCP-clients hun initiele request naar 0.0.0.0, wat volgensmij niet door je rule geaccepteerd wordt. Dus dan werkt je DHCP-server niet meer
Verder vind ik het zelf een beetje onzin om OUTPUT te filteren, tenzij je de software op je router niet vertrouwt. Het kan wel, maar het brengt het nodige gedoe met zich mee. En met je huidige rules heeft het ook geen zin.
Hiermee zet ik dus alles open voor lo en eth0 (mijn interne netwerk). Op deze kunnen interne computers dus zonder gezeik overal en via alle poorten naar toe, right?
Alleen naar je router zelf.
Je kunt dat hele verhaal anders aanpakken:
- Accepteer alle ESTABLISHED,RELATED in de INPUT van je eth1
- Accepteer de relevante poorten in de INPUT van eth1
- Weiger de rest (evt via een DROP policy, maar ik zou ook een expliciete REJECT rule gebruiken).
Als je bij je originele aanpak wil blijven zou ik gewoon alles op lo en eth0 accepteren.
Ik ben zelf trouwens fan van het iptables-save format voor het opslaan van rules. Die flusht ook alle chains (dus geen -F meer nodig), en maakt het makkelijk om alle policies expliciet op te nemen. Op mijn gateway gebruikte ik vroeger zoiets (iets opgeschoond/vereenvoudigd):
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
| #! /sbin/iptables-restore
# Don't forget to:
# * Set net.ipv4.conf.default.rp_filter to 1 (spoof protection)
# * Set net.ipv4.conf.default.forwarding to 1 (IPv4 packet forwarding)
# * Load ip_nat_ftp, ip_conntrack_ftp
# * Invoke these rules from pre-up in /etc/network/interfaces
*raw
:PREROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
COMMIT
*mangle
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
COMMIT
*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -s 192.168.0.0/16 -o wan0 -j MASQUERADE # NAT
# Portforwards
#-A PREROUTING -i wan0 -p udp --dport 27960 -j DNAT --to 192.168.0.5 -m comment --comment "Quake III"
COMMIT
*filter
:OUTPUT ACCEPT [0:0]
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
# INPUT chain
-A INPUT -p icmp --fragment -j DROP # Fragmented ICMP is almost always a bad sign, drop it
-A INPUT -m state --state INVALID -j DROP
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i lan0 -j ACCEPT
-A INPUT -i wan0 -p tcp --dport 22 -j ACCEPT
-A INPUT -i wan0 -p icmp --icmp-type echo-request -m length --length 0:96 -m hashlimit --hashlimit-mode srcip --hashlimit-name PING --hashlimit 2/s -j ACCEPT
-A INPUT -p tcp -j REJECT --reject-with tcp-reset
# FORWARD chain
-A FORWARD -p icmp --fragment -j DROP # Fragmented ICMP is almost always a bad sign, drop it
-A FORWARD -m state --state INVALID -j DROP
-A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
-A FORWARD -i lan0 -j ACCEPT
# Portforwards
#-A FORWARD -i wan0 -m state --state NEW -p udp --dport 27960 -j ACCEPT -m comment --comment "Quake III"
COMMIT |
/u/34216/avatar-60x60.png?f=community){kind=avatar}
/u/20461/crop57d9660f4ca9e_cropped.png?f=community)
/u/26742/000000751.png?f=community)
:strip_exif()/u/72391/Pinky_and_the_Brain_-_Brain.gif?f=community)
:strip_icc():strip_exif()/u/79614/Family-Guy-Victory-is-Ours.jpg?f=community)
:strip_icc():strip_exif()/u/5326/crop5ff8e3fc691c6_cropped.jpeg?f=community)
