Iptables

Iptables How to Básico

Iptables são uma firewall, instalado de base no Ubuntu Server. Numa instalação regular, as iptables estão instaladas, mas permitem todo o tráfego (assim a firewall esta inactiva)

Comandos Básicos

Escrevendo

# sudo iptables -L

Lista as tuas regras actuais nas iptables. Se acabaste de instalar, não deves ter nenhuma regra, e deverás ver

Chain INPUT (policy ACCEPT)

target     prot opt source               destination

Chain FORWARD (policy ACCEPT)

target     prot opt source               destination 

Chain OUTPUT (policy ACCEPT)

target     prot opt source               destination

Permitir sessões estabelecidas

Podemos permitir sessões estabelecidas para receber tráfego:

# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Permitir Tráfego de entrar em portas específicas

Podes começar por bloquear tráfego, mas podes estar a trabalhar sobre SSH, então é necessário permitir SSH antes de bloquear o resto.
Para permitir tráfego de entrada na porta 22 (usada tradicionalmente pelo SSH), podes dizer a iptables para permitir todo o tráfego TCP na porta 22 da tua placa de rede.

# iptables -A INPUT -p tcp -i eth0 --dport ssh -j ACCEPT

Especificamente, isto adiciona (-A) a tabela INPUT a regra que qualquer tráfego na interface (-i) eth0 na porta de destino para o ssh que a iptables deverá saltar ("jump" -j), ou realizar a acção ACCEPT (aceitar).
Vamos conferir as regras: (só as primeiras linhas são mostradas, vais ver mais)

# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh

Agora, vamos permitir todo o tráfego web

# iptables -A INPUT -p tcp -i eth0 --dport 80 -j ACCEPT

Conferir as regras, temos:

# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:www

Foi permitido especificamente o tráfego tcp para ssh e porta web, mas ainda não esta nada bloqueado, todo o tráfego pode entrar ainda.

Bloquear Tráfego

Quando uma decisão sobre um pacote é tomaca, outras regras não o afectam. Como as regras para permitir ssh e web vêm primeiro, e se as regras para bloquear tudo estiverem depois delas, pode-se continuar a aceitar o tráfego que queremos. Tudo o que é preciso fazer é colocar no final a regra para bloquear o tráfego todo. O comando -A diz as iptables para adicionar a regra no final, assim vamos usar mais uma vez.

# iptables -A INPUT -j DROP
# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:www
DROP       all  --  anywhere             anywhere

Como não foi especificado nenhuma interface ou protocolo, qualquer tráfego em qualquer porta vai ser bloqueado, exepto para web e ssh.

Editar Iptables

O único problema com esta configuração até agora é que até a porta de loopback estar bloqueada. Podiamos só ter escrito as regras de negação só para o eth0 especificando -i eth0, mas pode-se adicionar uma regra para o loopback. Se adicionar-mos essa regra agora, já vem tarde - depois do tráfego já ter sido negado. É preciso adicionar na quarta linha.

# iptables -I INPUT 4 -i lo -j ACCEPT
# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:www
ACCEPT     all  --  anywhere             anywhere
DROP       all  --  anywhere             anywhere

As últimas 2 linhas são muito semelhantes, por isso fazemos uma listagem com mais detalhes.

# iptables -L -v

Logging

Nos exemplos em cima nenhum do tráfego era registado. Se queres um log dos pacotes bloqueados para o syslog, está pode ser a forma mais rápida:
In the above examples none of the traffic will be logged. If you would like to log dropped packets to syslog, this would be the quickest way:

# iptables -I INPUT 5 -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7

Vê a secção #Dicas para mais ideias sobre logging.

Gravar iptables

If you were to reboot your machine right now, your iptables configuration would disapear. Rather than type this each time you reboot, however, you can save the configuration, and have it start up automatically. To save the configuration, you can use iptables-save and iptables-restore.

Configurar no Startup

Grava as tuas regras da firewall para um ficheiro

# iptables-save > /etc/iptables.up.rules

Depois modifica o script /etc/network/interfaces para aplicar as regras automáticamente ( a última linha é adicionada )

auto eth0
iface eth0 inet dhcp
  pre-up iptables-restore < /etc/iptables.up.rules

Também podes preparar um conjunto de regras de negação de ligações.
You can also prepare a set of down rules and apply it automatically

auto eth0
iface eth0 inet dhcp
  pre-up iptables-restore < /etc/iptables.up.rules
  post-down iptables-restore < /etc/iptables.down.rules

Dicas

Se as iptables são editadas regularmente
Os passos acima descrevem como configurar a tua firewall e presumir que vão ser relativamente estáticas ( e para a maioria deve ser ). Mas se realizas muito trabalho de desenvolvimento, podes querer que as tuas iptables sejam gravadas todas as vezes que reinicias. Para tal, podes-se adicionar uma linha como esta no etc/network/interfaces:

 pre-up iptables-restore < /etc/iptables.up.rules
 post-down iptables-save > /etc/iptables.up.rules

A linha "post-down iptables-save > /etc/iptables.up.rules" irá gravar as regras para ser usadas no próximo boot.
Using iptables-save/restore to test rules
If you edit your iptables beyond this tutorial, you may want to use the iptables-save and iptables-restore feature to edit and test your rules. To do this open the rules file in your favorite text editor (in this example gedit).

# iptables-save > /etc/iptables.test.rules
# gedit /etc/iptables.test.rules

You will have a file that appears similiar to (following the example above):

# Generated by iptables-save v1.3.1 on Sun Apr 23 06:19:53 2006
*filter
:INPUT ACCEPT [368:102354]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [92952:20764374]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7
-A INPUT -j DROP
COMMIT
# Completed on Sun Apr 23 06:19:53 2006

Notice that these are iptables commands minus the iptable command. Feel free to edit this to file and save when complete. Then to test simply:

# iptables-restore < /etc/iptables.test.rules

After testing, if you have not added the iptables-save command above to your /etc/network/interfaces remember not to lose your changes:

# iptables-save > /etc/iptables.up.rules

More detailed Logging
For further detail in your syslog you may want create an additional Chain. This will be a very brief example of my /etc/iptables.up.rules showing how I setup my iptables to log to syslog:

# Generated by iptables-save v1.3.1 on Sun Apr 23 05:32:09 2006
*filter
:INPUT ACCEPT [273:55355]
:FORWARD ACCEPT [0:0]
:LOGNDROP - [0:0]
:OUTPUT ACCEPT [92376:20668252]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -j LOGNDROP
-A LOGNDROP -p tcp -m limit --limit 5/min -j LOG --log-prefix "Denied TCP: " --log-level 7
-A LOGNDROP -p udp -m limit --limit 5/min -j LOG --log-prefix "Denied UDP: " --log-level 7
-A LOGNDROP -p icmp -m limit --limit 5/min -j LOG --log-prefix "Denied ICMP: " --log-level 7
-A LOGNDROP -j DROP
COMMIT
# Completed on Sun Apr 23 05:32:09 2006

Note a new CHAIN called LOGNDROP at the top of the file. Also, the standard DROP at the bottom of the INPUT chain is replaceed with LOGNDROP and add protocol descriptions so it makes sense looking at the log. Lastly we drop the traffic at the end of the LOGNDROP chain. The following gives some idea of what is happening:

* --limit sets the number of times to log the same rule to syslog

* --log-prefix "Denied..." adds a prefix to make finding in the syslog easier

* --log-level 7 sets the syslog level to informational (see man syslog for more detail, but you can probably leave this)

Desactivar a firewall
Se for preciso desáctivar a firewall temporariamente, podes apagar as regras usando:

# sudo iptables -F