Сценарий: Настройка сетевого экрана

Начальные условия: Командная строка суперпользователя после входа в систему, настроенные сетевой интерфейс и таблица маршрутизации.

1. Для просмотра текущей таблицы правил сетевого экрана воспользуемся командой iptables -L:

2. desktop ~ # iptables -L

3. Chain INPUT (policy ACCEPT)

4. target prot opt source destination

6. Chain FORWARD (policy ACCEPT)

7. target prot opt source destination

9. Chain OUTPUT (policy ACCEPT)

target prot opt source destination

Все три цепочки не содержат правил и имеют политику разрешения всех пакетов по умолчанию.

10. Запретим весь сетевой трафик как на вход, так и на выход командами iptables -P INPUT DROP, iptables -P OUTPUT DROP:

11. desktop ~ # iptables -P INPUT DROP

12. desktop ~ # iptables -P OUTPUT DROP

13. desktop ~ # iptables -L

14. Chain INPUT (policy ACCEPT)

15. target prot opt source destination

17. Chain FORWARD (policy ACCEPT)

18. target prot opt source destination

20. Chain OUTPUT (policy ACCEPT)

target prot opt source destination

21. Любой сетевой обмен (даже команда ping 127.0.0.1) будет запрещён:

22. desktop ~ # ping 127.0.0.1

23. PING 127.0.0.1 (127.0.0.1) 56(84) bytes of data.

24. ping: sendmsg: Operation not permitted

ping: sendmsg: Operation not permitted

25. Разрешим вход и выход всем пакетам, связанным с локальным интерфейсом (lo) с помощью команд: iptables -A INPUT -i lo -j ACCEPT и iptables -A OUTPUT -o lo -j ACCEPT.

26. desktop ~ # iptables -A INPUT -i lo -j ACCEPT

27. desktop ~ # iptables -A OUTPUT -o lo -j ACCEPT

28. desktop ~ # ping 127.0.0.1

29. PING 127.0.0.1 (127.0.0.1) 56(84) bytes of data.

30. 64 bytes from 127.0.0.1: icmp_seq=1 ttl=64 time=0.056 ms

64 bytes from 127.0.0.1: icmp_seq=2 ttl=64 time=0.043 ms

31. Разрешим вход и выход всем пакетам, относящимся к протоколу ICMP: iptables -A INPUT -p icmp -j ACCEPT и iptables -A OUTPUT -p icmp -j ACCEPT.

32. desktop ~ # iptables -A INPUT -p icmp -j ACCEPT

desktop ~ # iptables -A OUTPUT -p icmp -j ACCEPT

33. Чтобы пропускать пакеты, относящиеся ко всем установленным соединениям, добавим два правила: iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT и iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT

34. desktop ~ # iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

desktop ~ # iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT

35. Теперь осталось только разрешить входящие и исходящие соединения на определённые порты. Например, для исходящего доступа по протоколу HTTP выполним iptables -A OUTPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT:

desktop ~ # iptables -A OUTPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT

36. В завершение можно очистить все заданные правила с помощью iptables -F:

37. desktop ~ # iptables -F

38. desktop ~ # iptables -L

39. Chain INPUT (policy ACCEPT)

40. target prot opt source destination

42. Chain FORWARD (policy ACCEPT)

43. target prot opt source destination

45. Chain OUTPUT (policy ACCEPT)

target prot opt source destination

Обратите внимание, что это не изменило политики по умолчанию.