Iptables. Hints - История изменений

Cless: Новая страница: «= Разрешить входящие соединения и сохранить правила = `iptables -A INPUT -p tcp --dport ssh -j ACCEPT`
2023-02-09T15:27:45Z

Новая страница: «= Разрешить входящие соединения и сохранить правила = <code>iptables -A INPUT -p tcp --dport ssh -j ACCEPT</code> <co...»

Новая страница
= Разрешить входящие соединения и сохранить правила =
<code>iptables -A INPUT -p tcp --dport ssh -j ACCEPT</code>

<code>iptables -A INPUT -p tcp --dport 80 -j ACCEPT</code>

<code>iptables-save > /etc/sysconfig/iptables</code>

= Посмотреть правила с номерами строк =
<code>iptables -L -v -n -t filter --line-numbers</code>

= Удалить правило по номеру строки =
<code>iptables -t filter -D INPUT номер_строки</code>

= Сохранить примененные правила iptables =
<code>systemctl disable firewalld</code>

<code>yum install -y iptables-services</code>

<code>systemctl enable iptables</code>

<code>systemctl start iptables</code>

<code>iptables -t nat -A POSTROUTING -s 10.10.10.0/24 -o ens32 -j MASQUERADE</code>

<code>service iptables save</code>

= Перенаправить логи определенного правила в отдельный log файл. Centos 7 =
<code>systemctl disable firewalld</code>

<code>systemctl stop firewalld</code>

<code>yum install -y iptables-services</code>

<code>systemctl enable --now iptables</code>

Ловим входящие соединения 5060/udp с лог-префиксом "Attack SIP: "

<code>iptables -A INPUT -p udp --dport 5060 -j LOG --log-level info --log-prefix "Attack_SIP: "</code>

<code>iptables -A INPUT -p tcp --dport 5060 -j LOG --log-level info --log-prefix "Attack_SIP: "</code>

<code>service iptables save</code>

<code>systemctl restart iptables</code>

Смотрим

<code>iptables -L -v -n -t filter</code>

Конфигурация rsyslog для перенаправления логов в файл

<code>nano /etc/rsyslog.d/iptables.conf</code>
:msg, contains, "Attack_SIP: " -/var/log/iptables/iptables.log
& ~
<code>mkdir /var/log/iptables/</code>

<code>chmod 666 /var/log/iptables/</code>

<code>nano /etc/rsyslog.conf</code>
...
$umask 0000
$FileCreateMode 0644
<code>systemctl restart rsyslog</code>

Проверяем

На любой другой машине

<code>nmap -sU '''<адрес_машины_с_iptables>''' -p5060</code>

После этого на машине с iptables

<code>cat /var/log/iptables/iptables.log</code>
   ...
   Jul 20 17:22:18 centos7-honeypot01 kernel: Attack SIP: IN=ens160 OUT= MAC=00:50:56:ba:6b:50:00:50:56:83:24:e2:08:00 SRC=192.168.17.250 DST=192.168.166.52 LEN=28 TOS=0x00 PREC=0x00 TTL=51 ID=9330 PROTO=UDP SPT=47791 DPT=5060 LEN=8
   ...

= Обнулить правила в цепочках =
<code>iptables -F -t filter</code>

<code>iptables -F -t nat</code>

= Как правильно использовать диапазон портов в –sport и –dport в iptables с использованием multiport =
Избавляемся от ошибки multiport can only have one option

Ситуация: нужно закрыть UDP-порты в трёх диапазонах: 1…52, 54…122, 124…1024. При этом если стук в порт идёт из привилегированного порта (то есть с номером 0…1023), то соединение нужно просто сбрасывать, если же стук идёт с непривилегированного порта, то расценивать это как сканирование и выполнять какие-то действия.

Например, обращение к порту 137 по протоколу UDP может быть как атакой какого-нибудь червя, так и безобидным запросом от NetBIOS. И если запросы, исходящие от NetBIOS, вполне безобидны («рабочий» трафик), то сканирование портов обычно не так безобидно.

Решение в лоб:

<code>iptables -A INPUT -p udp -m multiport --sport 1:1024 --dport 1:52,54:122,124:1024 -j DROP</code>

<code>iptables -A INPUT -p udp -m multiport --dport 1:52,54:122,124:1024 -j do_something</code>

Но такой вариант не сработает: iptables пожалуется на неверный синтаксис первой команды: iptables v1.4.4: multiport can only have one option. При этом манипуляции с с перестановкой параметров не помогают:

<code>iptables -A INPUT -p udp --sport 0:1023 -m multiport --dport 1:52,54:122,124:1024 -j DROP</code><blockquote>iptables v1.4.4: invalid port/service `52,54:122,124:1024' specified</blockquote><code>iptables -A INPUT -p udp --sport 0:1023 --dport 1:52,54:122,124:1024 -m multiport -j DROP</code><blockquote>iptables v1.4.4: invalid port/service `52,54:122,124:1024' specified</blockquote>Мне советовали разбивать правила на несколько и обходиться без multiport, но в случае сложного скрипта это не выход.

Я нашел два более простых решения:

* Использовать multiport два раза: <code>iptables -A INPUT -p udp -m multiport --dport 1:52,54:122,124:1024 -m multiport --sport 0:1023 -j DROP</code>
* Использовать модуль udp (tcp для TCP-соединения): <code>iptables -A INPUT -p udp -m udp --sport :1023 -m multiport --dports 1:52,54:122,124:1024 -j DROP</code> обращаю внимание на использование --dports вместо --dport.

[[Категория:Iptables]]
__ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__