HƯỚNG DẪN CẤU HÌNH IPTABLES
1. Đối với dòng Linux nói chung:
Sử dụng 2 lệnh chính sau:
-
“iptables-save”: save lại toàn bộ rule set ra 1 file
text có định dạng đặc biệt
-
“iptables-restore”: load file text đó lại vào rule của
iptables
Ưu
điểm:
-
Đặc điểm của 2 lệnh này đó là nó thực hiện việc save và
load toàn bộ rule set chỉ 1 request duy nhất, do vậy tốc độ sẽ nhanh hơn so với
việc dùng add từng dòng lệnh rất nhiều, nhất là đối với số lượng rule lớn.
-
Nếu một trong các rule bị sai cú pháp, hệ thống sẽ báo
lỗi và bộ rule mới không được áp dụng, hệ thống vẫn giữ bộ rule cũ.
Lệnh iptables-save:
|
#iptables-save
> /etc/iptables-save
|
Lưu ý: /etc/iptables-save là file sẽ lưu lệnh iptables, có thể thay đổi thành
file bất kỳ.
Lệnh iptables-restore:
|
#iptables-restore <
/etc/iptables-save
|
Tất cả các rules, trong file /etc/iptables-save sẽ được load và áp dụng vào iptables
Ý nghĩa của một file được lưu ra bằng lệnh iptables-save
Ví dụ:
|
# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j
ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
|
Trong đó:
-
“*filter”: Là chỉ bắt đầu các rule của table filter,
table dùng để viết các rule lọc gói tin
-
:INPUT ACCEPT [0:0]
o
INPUT: Là chain của iptables, table filter có 3
chain là INPUT, OUTPUT, FORWARD. Trong đó INPUT là thời điểm gói tin đi vào hệ
thống, OUTPUT là thời điểm gói tin đi ra hệ thống, còn FORWARD là thời điểm gói
tin đi từ card mạng này sang card mạng khác.
o
ACCEPT: Chain policy của chain INPUT, OUTPUT và
FORWARD. Ý nghĩa: Nếu gói tin sau khi được kiểm tra bởi tất cả các rule của
iptables mà không có rule nào khớp thì gói tin sẽ được ACCEPT.
o
[0:0]: Số đầu tiên chỉ ra số lượng gói tin, số
thứ 2 chỉ ra dung lượng của các gói tin. Đây là các thông số thống kê về các
gói tin không khớp luật nào của iptables, và do đó được thực hiện Chain policy
là ACCEPT.
-
Các luật tiếp theo: Là luật lọc của iptables, sẽ áp
dụng từ trên xuống dưới.
-
COMMIT: Đánh dấu kết thúc bảng filter.
Cách sửa luật iptables:
Tạo 1 file có nội
dung như sau, ví dụ là file /etc/iptables:
|
# Firewall
configuration written by system-config-firewall
# Manual
customization of this file is not recommended.
*filter
:INPUT ACCEPT
[0:0]
:FORWARD ACCEPT
[0:0]
:OUTPUT ACCEPT
[0:0]
########Cho
phép các gói tin thuộc 1 connection đang tồn tại hoặc có liên quan đến 1
connection đang tồn tại đi vào, không cần phải kiểm tra#####
-A INPUT -m
state --state ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -m
state --state ESTABLISHED,RELATED -j ACCEPT
########Cho
phép ping echo request đến server#######
-A INPUT -p
icmp --icmp-type 8 -j ACCEPT
########Những
gói tin từ card mạng loopback thì không cần lọc######
-A INPUT -i lo
-j ACCEPT
######Thêm các
luật lọc chiều INPUT tại đây##########
###Ví dụ luật lọc
INPUT SSH cho 1 IP hoặc 1 dải IP###
-A INPUT -m
state --state NEW -s 192.168.1.10 -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -m
state --state NEW -s 192.168.2.0/24 -m tcp -p tcp --dport 22 -j ACCEPT
###Ví dụ luật
cho phép HTTP##########################
-A INPUT -m
state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
###Ví dụ luật
cho phép SNMP của ipms#################
-A INPUT -m
state --state NEW -m udp -p udp --dport 161 -j ACCEPT
######Thêm các
luật lọc chiều OUTPUT tại đây##########
######Chỉ khi
server cần chủ động tạo kết nối ra ngoài thì mới cần thêm các luật tiếp
theo#####
###Ví dụ cho
phép từ server hiện tại được ssh đến server 10.10.10.10######
-A OUTPUT -m
state --state NEW -d 10.10.10.10 -m tcp -p tcp --dport 22 -j ACCEPT
#####Chặn toàn
bộ các kết nối còn lại, ghi log lại trước khi chặn######
-A INPUT -j LOG
--log-level 4 --log-prefix "IPTABLES DROP"
-A FORWARD -j
LOG --log-level 4 --log-prefix "IPTABLES DROP"
-A OUTPUT -j
LOG --log-level 4 --log-prefix "IPTABLES DROP"
-A INPUT -j
REJECT --reject-with icmp-host-prohibited
-A FORWARD -j
REJECT --reject-with icmp-host-prohibited
-A OUTPUT -j
REJECT --reject-with icmp-host-prohibited
COMMIT
|
Cách cấu hình để iptables nạp các rule khi server khởi động lại:
|
Sửa trong file
/etc/rc.local
Thêm 1 dòng sau
iptables-restore < /etc/iptables
|
Cách tạm thời tắt tất cả các luật của iptables để troubleshoot:
|
Sử dụng các lệnh sau
#iptables -F
#iptables -X
#iptables -P INPUT ACCEPT
#iptables -P OUTPUT ACCEPT
#iptables -P FORWARD ACCEPT
|
Ý nghĩa các lệnh:
-
Lệnh đầu tiên để xóa tất cả các rule trong tất cả các
chain của iptables
-
Lệnh thứ 2 xóa tất cả các chain do người dùng tự tạo
-
Lệnh thứ 3,4,5 thiết lập chain policy cho chain INPUT,
OUTPUT, FORWARD là ACCEPT. Khi đấy server cho phép toàn bộ kết nối vào / ra
server.
Chú ý: Chỉ dùng bộ
lệnh này trong trường hợp cần tắt toàn bộ luật iptables để troubleshoot kết
nối.
2. Đối với dòng có deamon iptables (như
Redhat)
Riêng đối với các dòng Redhat như Centos, Redhat, Fedora,
Oracle enterprise Linux … thì có init script và file config riêng cho việc chạy
iptables. Khi đấy không cần dùng lệnh iptables-save, iptables-restore như trên.
Để sử dụng iptables có thể sử dụng init script là
/etc/init.d/iptables:
-
“/etc/init.d/iptables save”: lưu các rule vào file
/etc/sysconfig/iptables, tương đương với lệnh iptables-save >
/etc/sysconfig/iptables
-
“/etc/init.d/iptables stop”: flush (xóa) tất cả các
rule, các chain người dùng tự định nghĩa và thiết lập lại chain policy
-
“/etc/init.d/iptables start”: load rule từ file
/etc/sysconfig/iptables, tương đương với lệnh iptables-restore <
/etc/sysconfig/iptables
-
“/etc/init.d/iptables restart”: thực hiện lệnh stop rồi
sau đó là start
Để chạy lệnh “#/etc/init.d/iptables start” khi khởi động server
thì dùng lệnh
|
#chkconfig iptables on
|
Như vậy khi đó iptables sẽ tự động nạp rule ở file
/etc/sysconfig/iptables
Có thêm file cấu hình /etc/sysconfig/iptables-conf cho
scrip init ở trên
-
Các tham số về việc load module của iptables
o
IPTABLES_MODULES: danh sách các module sẽ được
load mỗi khi start iptables lên.
o
IPTABLES_MODULES_UNLOAD="yes": có
reload lại các module mỗi khi iptables stop hoặc restart hay không. Mặc định là
có.
-
Các tham số về việc có save rule của iptables
o
IPTABLES_SAVE_ON_STOP="no": có save
lại rule hiện tại khi iptables stop hay không. Mặc định là không.
o
IPTABLES_SAVE_ON_RESTART="no": có save
lại rule hiện tại khi iptables restart hay không. Mặc định là không.
-
Do script init của iptables sẽ save và load rule mặc
định trong file /etc/sysconfig/iptables nên có thể chỉnh sửa các rule trực tiếp
trong file này, sau đó restart lại iptables thì các rule mới sẽ được áp dụng
