Iptables - hvordan virker det

Du laver et script hvor alle dine regler er sat op som du efterfølgende eksekvere.

Du skal nok ud i at droppe alle pakker, og så efterfølgende lave dine accept rules.
Det er vigtigt at dine accept rules kommer efter deny, da du ellers vil komme ud af at den vil blokke alt alligevel.

Er det folk ude fra der kun må tilgå ip maskinen på besteme addresser, eller er det fra "WAN" til "LAN", eller fra "LAN" til "WAN" ?

Ok - men det er selve scriptet jeg ude efter :-)

Vi snakker inbound og "kun" interne ip-adresser.

Det skulle saktens kunne la seg gjøre ut fra en litt mer nøyaktig beskrivelse av oppgaven.

Er dette snakk om en server gateway eller bare en server. Kjører den på lan eller direkte mot internett ?

Beskriv ellers litt mer av opplegget.

Bruker ellers samme prinsippet delv ved at der er en del tjenester som bare er tilgjengelig fra bestemte source ip. Gjør det ellers litt annerledes ved å kjøre en virtuell installasjon av Smoothwall som jeg lar utføre denne funksjonen. (Men man kan da saktens la sdet skje via iptables.)

Scriptet eller forslaget til et slikt kommer hvis oppgaven blir litt bedre spesifisert, slik at det er mulig å lage et slikt script.

Et godt starting point



#ENABLE FORWARDING
echo 1 >/proc/sys/net/ipv4/ip_forward

#IGNORER BROADCASTING
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

#Anti spoof
for x in /proc/sys/net/ipv4/conf/*/rp_filter ;do
        echo 1 > ${x}
done


#DEFAULT-SLUT
#---------------------------------------------------------------------------
#DEFAULT REGLER

#Flush alle regler
iptables -F

#Flush NAT
iptables -t nat -F


#-INPUT-

#Default policy reject alle pakker
iptables -P INPUT DROP

#Tillad alle pakker der allerede er etablerede eller relatede
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#---------------------------------------------------------------------
#-OUTPUT-

#Default policy accepter alle udgaaende pakker
iptables -P OUTPUT ACCEPT


#-OUTPUT-SLUT-

#----------------------------------------------------------------
#Tillad alle porte fra den angivne IP, efter -s

iptables -A FORWARD -s 99.100.10.10 -j ACCEPT

#----------------------------------------------------------------

#Tillad port 22 fra den angivne ip, efter -s
iptables -A FORWARD -s 99.100.10.11 -p tcp --dport 22 -m state --state NEW -j ACCEPT

Sorry, det sidste var til et natted setup med flere nics

Se nedenstående istedet

#DEFAULT REGLER

#Flush alle regler
iptables -F

#-INPUT-

#Default policy reject alle pakker
iptables -P INPUT DROP

#Tillad alle pakker der allerede er etablerede eller relatede
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#---------------------------------------------------------------------
#-OUTPUT-

#Default policy accepter alle udgaaende pakker
iptables -P OUTPUT ACCEPT


#-OUTPUT-SLUT-

#----------------------------------------------------------------
#Tillad alle porte fra den angivne IP, efter -s

iptables -A INPUT -s 99.100.10.10 -j ACCEPT

#----------------------------------------------------------------

#Tillad port 22 fra den angivne ip, efter -s
iptables -A INPUT -s 99.100.10.11 -p tcp --dport 22 -m state --state NEW -j ACCEPT


IPTables Basqalt : http://klid.dk/kde/da/docs/extragear-network/kmyfirewall/iptables-concept.html