[IPTABLES] Uitleg

[Verwijderd]

Ik probeer een router op te zetten. Maar vermits ik graag ten volle snap wat ik intyp, heb ik nog wat vraagjes.

Ik heb een HOWTO gelezen over IP-Masquerade (http://tldp.org/HOWTO/IP-Masquerade-HOWTO/ - zelfde als in de FAQ lijst van dit forum). Ik heb ook de man-pages van iptables al gelezen (vandaar de uitleg erbij)

Nu daar verschijnen volgende regels in:
1) $IPTABLES -P INPUT ACCEPT

$IPTABLES slaat op IPTABLES=/usr/local/sbin/iptables wat iets hoger staat
-P slaat op policy
INPUT op inkomend verkeer
ACCEPT op toestaan

Nu wil dit dan zeggen: Standaard regel (policy) al het inkomend veerkeer toelaten?

2) $IPTABLES -F INPUT

-F slaat op flush

Nu, wil dit dan zeggen, verwijder alle reeds bestaande regels omtrent inkomnd verkeer?

3) $IPTABLES -t nat -F

-t nat is dan kijken naar de tabel voor een nieuw pakket dat verstuudr moet worden
-F slaat wederom op flush

Dus de hele standaard route tabel wordt gedelete?

4) $IPTABLES -A FORWARD -i $EXTIF -o $INTIF -m state --state ESTABLISHED,RELATED -j ACCEPT

Hiervan heb ik ook de man-pages volledig gelezen, maar snap van deze regel absoluut niets.

5) $IPTABLES -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE

Ook deze regel snap ik niet volledig. Heeft iets te maken emt als pakket verzonden is, maar wederom, snap de regel niet.

Graag wat extra uitleg, ik ben namelijk niet supersnel weg met zulke formule lijntjes, en toch ben ik graag op de hoogte wat ik intyp.

[Verwijderd]

Op deze site staat uitgelegd welke commando's en opties waartoe dienen. Kijk ook eens op netfilter.org voor meer informatie en tutorials.

[Verwijderd]

Het is natuurlijk gewoon rtfm'en, maar toch ff wat uitleg.

3) '-t nat' betekent dat het commando op de NAT-tabel werkt, ipv de Filter-tabel. Exacte beschrijving van alle drie de tabellen in het netfilter systeem staat in de manpage.
4) In de Filter-tabel, in de forward-chain (waar alle pakketjes langsgaan waarover besloten is dat ze geforward moeten worden), als ze binnenkomen op de externe NIC, en gepland zijn weg te gaan via de interne NIC, en het pakketje hoort bij een verbinding die al is opgezet, of aan een bestaande verbinding is gerelateerd. Dan (als het hiervoorstaande waar is voor het pakketje dus) mag het pakketje blijven leven, en vervolgt het zijn logische weg.
5) In de NAT-tabel (die wordt gecheckt voor elke nieuwe verbinding), in de postrouting-chain (dus nadat alle routing gedaan is) en als ie gepland is weg gestuurd te worden via de externe NIC, maskeer deze verbinding dan.

Voor de rest: rtfm.

[Torrac]

Hier heb ik een nederlandse handleiding van een universiteit denk ik over iptables
Mischien ook nuttige???
"http://security.wijsnet.com/Handleiding iptables.pdf"

[Verwijderd]

Net even die pdf bekeken, maar ik ben er niet kapot van:
- Geen uitleg over het gebruik van states (new, established,etc) terwijl dit een grote verbetering is ten opzichte van ipchains.
- Zetten soms vreemde poorten open zoals poort 42 en 53 voor DNS

Hier een 2tal links naar een goed verhaal over het maken van een statefull firewall met iptables.
deel 1
deel 2

Misschien dat ik op basis van dit script binnenkort zelf een firewall schrijf. Post ik hem wel op GOT als er interesse voor mocht zijn.

[ Voor 6% gewijzigd door Verwijderd op 27-01-2003 16:41 ]

[Verwijderd]

http://morizot.net/firewall/gen/

dit vind ik echt een geweldig script om een firewall te bouwen, gebruikt state matching, default DROP rules en goede logging, portforwarding, kan een NAT of stand-alone config genereren etc.

Als je je firewall script gegenereerd hebt ga je hem gewoon helemaal doorneuzen om te kijken wat er precies gebeurd, aan de hand van 'man iptables' en diverse online tutorials kom je zo precies te weten wat er allemaal gebeurd.

[ Voor 4% gewijzigd door Verwijderd op 27-01-2003 16:45 ]

[Verwijderd]

kijk eens op: http://www.nedlinux.nl/~bart/?page=3

[Buffy]

En als je dat allemaal gelezen hebt
Check dan ook deze uitleg hoe connection tracking werkt.


_{Hoezo kan je niet statefull filter op UDP pakketjes}

[ Voor 20% gewijzigd door Buffy op 27-01-2003 23:35 ]

[FendtVario]

Is er ergens misschien ook een uitleg voor het regelen van voorrang voor pakketjes, ik zou graag mijn ssh voorrang geven op ALLE andere verkeer. Ik heb wel eens iets gelezen in de PC-Active over dit apparaat maar dat kost klauwen met geld. Had het idee dat dit ook wel zelf te maken is.

[ Voor 5% gewijzigd door FendtVario op 27-01-2003 23:46 ]

[Buffy]

Als je trafficshapen bedoelt, dat doe je met het commando tc.
Iptables wordt daar alleen bij gebruikt voor het markeren van pakketjes (-t mangle) en het wijzigen van flags (bv de TOS flag).

[ Voor 13% gewijzigd door Buffy op 27-01-2003 23:50 ]

[FendtVario]

Is er ergens een manual van tc? heb hier wel een tc commando, maar zou niet weten of het de juiste is en de man pagina ontbreekt.