Iptables jsou hustý :-)

2.6.2008 23:14 | Přečteno: 2539× | Linux | poslední úprava: 4.6.2008 21:28

Konečně jsem se po několika letech dostal k tomu co jsem vždy chtěl objevit - iptables. Měl jsem z toho vítr že je to moc složitý, ale po chvíli jsem zjistil, že je to pohodová záležitost. Fakt se mi to líbí.

Mininávod routování pro lamy od lamy

Určitě někde existuje jednoduchej návod ale já ho nenašel, ale i tak jsem tomu pokusama přišel na kloub. Napíšu aspoň moje postřehy, které jsem získal.

K nastavení samotného routování slouží routovací tabulka. Routovací tabulka určuje do které lokální sítě budeme vysílat. Pokud je cílový počítač mimo rozsah lokálních sítí, tak se data posílají na bránu. V routovací tabulce je napsáno že pro spojení s těmito IP adresami z tohoto rozsahu posílejte požadavky tamtomu počítači a ten to vyřídí (může to poslat dalšímu routeru a ten dalšímu než se to dostane k cíli), pokud není žádný z rozsahů adres správný tak se to pošle na defaultní bránu - prostě ten zbytek. V praxi v domácnostech se většinou používá jenom defaultní brána (jenom jeden router). Podrobné vysvětlení je ve FAQ.

 _____________    --------------------    _____________
| 10.0.0.2/24 |---|eth0  Router  eth1|---| 10.0.1.2/24 |
 –––––––––––––    --------------------    –––––––––––––

Na obou klientech musíme nastavit bránu pro rozsah té druhé sítě a ta brána bude Router. (router má adresy 10.0.0.1 a 10.0.1.1 z každé strany jinou). Na prvním počítači (10.0.0.2) tedy nastavíme routovací tabulku:

# ip r add 10.0.1.0/24 via 10.0.0.1

Nyní při požadavku komunikace s někým ze sítě 10.0.1.x bude první počítač otravovat router ať mu to vyřídí. Můžeme tam místo definice síťě (10.0.1.0/24) dát default - tím by náš router byl defaultní brána a počítač by ho otravoval vždy kdyby adresa byla z jiného rozsahu než 10.0.0.x.

Na druhém počítači (10.0.1.2) musíme nastavit zase bránu tak aby požadavky na síť 10.0.0.x šly přes router (platí to i pro odpovědi prvnímu počítači), uďěláme to úplně stejně:

# ip r add 10.0.0.0/24 via 10.0.1.1

Tak a teď by už sítě měly spolu komunikovat, protože výchozí nastavení iptables je:

# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

FORWARD (přeposílání požadavků do jiné síťě) je celkově povolené. Můžeme ho zakázat a nastavit pravidla aby bylo povolené jen přeposílat z jedné sítě do druhé:

# echo 1 > /proc/sys/net/ipv4/ip_forward #pro jistotu že je zaplá podora přeposílání
# iptables -P FORWARD DROP
# iptables -A FORWARD -i eth0 -o eth1 -s 10.0.0.0/24 -j ACCEPT
# iptables -A FORWARD -i eth1 -o eth0 -d 10.0.0.0/24 -j ACCEPT

Těmito příkazy jsme přidali (-A) do tabulky filter (ta je default, když se nezadá -t tabulka) pravidlo, že když ze síťovky eth0, ze síťě 10.0.0.0 příjde požadavek do libovolné síťě (nezadali jsme -d) na síťovce eth1, tak se tam přepošle. Přes router bude ale chodit jen komunakce určená pro druhou síť, protože jsme to tak určili na prvním počítači v routovací tabulce.

Druhé pravidlo zajišťuje přesně opačnou komunakaci z druhého počítače na první. kdyby toto nebylo zajištěno tak nejprojde ani ping, protože by se neměla jak vrátit odpověď - router by jí nepřeposlal.

Pravidla se aplikují podle toho, které bylo zadané první, takže pokud nejdříve zadáme pravidlo "ACCEPT" a potom "DROP", tak bude komunikace pořád povolená, musíme nejdřív smazat staré pravidlo, které komunikaci povoluje. (iptables -D)

Toto je asi nejjednodušší příklad, iptables toho umí fakt moc, pár užitečných příkladů (jako jak udělat NAT, nebo forwarding portů)je tady .

Na iptables se mi líbí, že hned po zadání příkazu se firewall podle toho začne chovat. S pravidly se dá opravdu vyhrát, je až neskutečné co všechno to umí, fakt boží

Napsal jsem to proto, že jsem sám tohle nevěděl a bál jsem se že je to složitý, ale ono to má svou logiku, snad to někdo po mně pochopí.

       

Komentáře

Diskuse byla administrátory uzamčena

[xxx]

Opravdu je treba pridavat ta prvidla do iptables. Ja myslim, ze to funguje i bez nich (tedy pokud tam nejsou nejaka dalsi, ktera zakazuji vse)

[qiRzT]

Záleží třeba na POLICY - pokud je ACCEPT, stačí iptables vymazat. Z toho textu mám tak trochu pocit, že tomu autor tak úplně nerozumí - ta pravidla pro iptables provoz povolují, nikoli zajišťují.

[xxx]

No ja mam hlavne za to, ze iptables jsou jen filtr, a se samotnym routovanim toho nemaji nic spolecneho, kdyz pomineme to, ze se pouzivaji pro upravu paketu tak aby se ovlivnilo routovani.

BTW: routovani by snad melo fungovat i bez podpory iptables v jadre, nebo ne?

[Grunt]

BTW: routovani by snad melo fungovat i bez podpory iptables v jadre, nebo ne?

To funguje už od 60.let a tehdy se jim o iptables(resp. netfilteru) ani nezdálo.

[qiRzT]

Přešně to jsem se snažil říct větou: ta pravidla pro iptables provoz povolují, nikoli zajišťují.

[Michal Kubeček]

Přesně tak, tedy až na obvyklou záměnu iptables a netfilteru. Kromě speciální akce ROUTE je směrování na netfilteru v podstatě nezávislé a směrovat se bude, i kdyby žádná podpora paketového filtru v jádře nebyla.

[YYY]

Routing samozrejme bude fungovat i bez iptables!

[Smajchl]

Doufám teda že jsem to opravil a je to teď správně.

[Smajchl]

Nojo, to bude tim, že jsem na to přišel metodou pokus omyl při pokusech jsem cely to FORWARD nastavil na DROP a pak jsem vlastně povolil jenom tuhle obousměrnou komunikaci a myslel si, že je to tim. Je to tak?

Tohle je teda obecnější případ kdy bude fungovat přeposílání kamkoli:

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

No a já jsem si myslel že jsem to pochopil, jestli to teda teď už chápu tak to přepíšu ať tam nejsou blbosti.

[Dalibor Smolík]

díky, moc zajímavé čtení.

[houska]

Když máme router s několika síťovkama aby mohly síťě mezi sebou komunikovat, musíme na routru vytvořit pravidlo pro iptables, které zařídí přeposílání

to neni pravda ...

[houska]

...tak jsem to docetl a nezbyva mi nez dodat citat: "Nepište mi, a pokud možno nepište vůbec. Váš Ladislav Stroupežnický"

[Michal Kubeček]

To je přeci jen moc příkré, takové posměšky si snad autor nezaslouží. Ale na druhou stranu, když něčemu pořádně nerozumím, nejlépe to poznám ve chvíli, kdy se to někomu pokouším vysvětlit. Tady autor problematice moc nerozumí, ale přesto o ní napsal celý článek, aniž by si to uvědomil, nebo si to sice uvědomil, ale přesto článek publikoval, aniž by to nejdřív napravil. Ať je to tak nebo tak, je to pro mne velmi těžko pochopitelné.

[Smajchl]

No řekl bych že lama lamě to líp vysvětlí, protože se zaměřují na stejné věci, tak to líp pochopí. Podle toho co jsem o tom na internetu našel jsem z toho nebyl moc moudrej tak jsem ve chvíli, kdy jsem si myslel že jsem to pochopil zapsal svoje postřehy tak abych to já neznalý pochopil, teď už by to ale mělo být správně.

[Grunt]

Myslím, že je na čase "lamu" popostrčit v procesu odlamování ať neradí dalším lamám takové lamoviny.(Tady takový menší náhled, ať to nejsou zbytečně vyhozené peníze)

[kozzi]

No já to chápu. O nenapsal článek, ale blog. Prostě napsal své zkušenosti. No a to že to napsal je podle mě velmi dobře, protože mu mísntí guru vysvětlí co pochopil špatně a on si to aspoň zapamatuje. Jinak moc pěknej zápisek do blogu.

[Smajchl]

Dík, jo a tak to i bylo, jinak bych ani nevěděl, že chápu něco špatně, navíc si myslim, že už je to tam teď napsaný dobře, teda doufám. (pokud se nebude slovíčkařit a bude se to brát selsky)

[Gr]

Jako totální lama bych se ještě zeptal, který že to soubor mám vlastně editovat ?

[guns]

Dobra otazka ! Snad by si nam pomohol prezradenim distribucie : )

[Filip Jirsák]

Žádný soubor, spouští se příkaz iptables. Ale návodem uvedeným v blogu bych se raději neřídil, protože je poněkud zmatený. Pokud někdo ví o tom, jak funguje routování v linuxu a jak funguje firewall, dohledá v tom textu, co chtěl autor říci. Ale jako popis pro někoho, kdo teprve chce pochopit, jak to funguje, je ten text dost nevhodný.

[Zdeněk Štěpánek]

Obavam se ze jsi toho moc nepochopil. Ty prikazy iptables co jsi napsal znamenaji toto:

iptables -P FORWARD DROP

Policy pro chain FORWARD je DROP (zahodit), takze to co neprojde v nekterem z pravidel se na konci zahodi. To je bezne chovani, ve firewallu budes postupne povolovat to co chces a co nechces, se na konci automaticky zahodi.

iptables -A FORWARD -i eth0 -o eth1 -s 10.0.0.0/24 -j ACCEPT

pakety prichazejici sitovkou eth0 (-i eth0) a odchazejici sitovkou eth1 (-o eth0) majici zdrojovou ip v rozsahu 10.0.0.0/24 (-s 10.0.0.0/24) se povoli (ACCEPT)

iptables -A FORWARD -i eth1 -o eth0 -d 10.0.0.0/24 -j ACCEPT

pakety prichazejici sitovkou eth1 (-i eth1) a odchazejici sitovkou eth0 (-o eth0) majici cilovou ip v rozsahu 10.0.0.0/24 (-d 10.0.0.0/24) se povoli (ACCEPT)

Tohle kazdopadne s routovanim nema moc spolecneho. Vpodstate jsi povolil (ponekud obskurnim zpusobem) pruchozi provoz pro pakety co se honi v subnetu 10.0.0.0/24. Ostatni pakety jsi zakazal, takze ti skrze to neprojde ani internet.

Vice o routovani zde:

http://www.abclinuxu.cz/faq/site/staticke-routovani

A o iptables doporucuju pohledat na www.root.cz, je tam toho docela dost.

Zdenek

[Smajchl]

Díky, ale připadá mi že jsem napsal to samý jinejma slovama, takhle bych to napsal kdybych chtěl přeložit ty slova z příkazů. Ale dík.

[pavlix]

Doporučuju taky přečíst o pf (packet filter, z openbsd, viděl jsem ho taky na freebsd). Jen abys měl srovnání.