Ich habe einige IP-Bereiche, zu denen mein Server eine Verbindung herstellen kann, und Benutzer, von denen aus eine Verbindung hergestellt werden soll. Alles andere sollte gesperrt werden.
Wie soll ich das mit iptables machen?
Mein Betriebssystem ist eine Debian-basierte Linux-Distribution.
Antworten:
Ich würde vorschlagen, dass Sie sich ein Firewall-Konfigurationstool wie einen Firestarter zulegen und von dort aus fortfahren. Hier sind jedoch einige Grundlagen für Sie.
#Flush existing rules
iptables -F
# Set up default DROP rule for eth0
iptables -P INPUT DROP
# Allow existing connections to continue
iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
# Accept everything from the 192.168.1.x network
iptables -A INPUT -i eth0 -s 192.168.1.0/24 -j ACCEPT
# Allow connections from this host to 192.168.2.10
iptables -A OUTPUT -o eth0 -d 192.168.2.10 -j ACCEPT
Wenn Sie statt ganzer Subnetze beliebige Bereiche zulassen möchten, können Sie das iptables-Modul 'iprange' verwenden:
iptables -P INPUT DROP
iptables -A INPUT -m iprange --src-range 192.168.1.30-50 -j ACCEPT
Ermöglicht beispielsweise Datenverkehr von allen Computern mit einer Adresse zwischen 192.168.1.30 und 192.168.1.50.
Wenn Sie ein- und ausgehenden Datenverkehr für denselben IP-Bereich zulassen möchten, würde ich vorschlagen, dass Sie eine bestimmte Kette erstellen, die diese IPs zulässt und das gesamte Eingabe- und Ausgabeziel darauf abzielt:
--Definieren Sie die Standardrichtlinien, die gelöscht werden sollen:
iptables -P INPUT DROP
iptables -P OUTPUT DROP
--Erstelle die neue Kette:
iptables -N allowed_ips
--wenn die Quelle Teil des zulässigen Bereichs ist, akzeptieren Sie
iptables -A allowed_ips -m iprange --src-range 192.168.1.30-50 -j ACCEPT
--wenn nicht, kehren Sie zur Aufruferkette zurück, um die Verarbeitung fortzusetzen
iptables -A allowed_ips -j RETURN
- Lassen Sie den gesamten Verkehr, der in die Maschine eintritt und sie verlässt, durch unsere neue Kette laufen
iptables -A INPUT -j allowed_ips
iptables -A OUTPUT -j allowed_ips
und das ist es! Natürlich benötigen Sie möglicherweise zusätzliche Regeln, z. B. eine, die den gesamten Datenverkehr von / zur lo-Schnittstelle usw. zulässt.
Wenn Sie mit Ihren Regeln zufrieden sind, möchten Sie sie wahrscheinlich speichern . Die Kommentare in diesem Link haben verschiedene Möglichkeiten, wie das geht.
Ein benutzerfreundlicher iptables- Regelgenerator für einfache Anforderungen ist ufw . Das Paket ist in Debian Unstable verfügbar.
Probieren Sie auch Firestarter . Erhältlich in Lenny.
Sie können auch ferm verwenden, das ich auch im letzten Jahr verwendet habe und das mir bei Fällen wie bedingten Firewall-Regeln sehr geholfen hat.