Iptables Mangle - Versionsgeschichte

Linkai.zhang: /* Die Ketten der mangle Tabelle */

2022-09-05T06:37:28Z

Die Ketten der mangle Tabelle

2022-09-05T06:11:59Z

Policy Routing

2022-09-05T06:07:47Z

PORTFORWARDING ACCEPT Sauberer

2022-09-02T12:09:36Z

Policy Routing

2022-09-02T11:01:08Z

PORTFORWARDING ACCEPT Sauberer

2022-09-02T10:58:18Z

Theorie

2022-09-02T10:51:58Z

MSS Reduktion

2022-09-02T10:43:14Z

Syntax Allgemein

2022-09-01T17:46:17Z

Syntax Allgemein

2022-09-01T17:45:51Z

Ziele der filter Tabelle

@@ Zeile 21: / Zeile 21: @@
 =Die mangle Tabelle=
 ==Die Ketten der mangle Tabelle==
-*'''PREROUTING''': für Pakte die über eine Schnittstelle hereinkommen, noch bevor entschieden ist ob sie an den Rechner oder weitergeleitet werden.
+*'''PREROUTING''': für Pakete die über eine Schnittstelle hereinkommen, noch bevor entschieden ist, ob sie an den Rechner oder weitergeleitet werden.
-*'''INPUT''': für Pakete die über eine Schnittstelle hereinkommen und einen Dienst auf dem Rechner ansprechen
+*'''INPUT''': für Pakete, die über eine Schnittstelle hereinkommen und einen Dienst auf dem Rechner ansprechen.
-*'''FORWARD''': für Pakte die über eine Schnittstelle hereinkommen, den Rechner auch wieder verlassen.
+*'''FORWARD''': für Pakete, die über eine Schnittstelle hereinkommen, den Rechner auch wieder verlassen.
-*'''OUTPUT''': für die über eine Schnittstelle herausgehenden Pakete, die von einem lokalen Dienst generiert werden
+*'''OUTPUT''': für Pakete, die über eine Schnittstelle herausgehen und von einem lokalen Dienst generiert wurden.
-*'''POSTROUTING''': Pakete die den Rechner verlassen.
+*'''POSTROUTING''': für Pakete, die den Rechner verlassen.
 {{#drawio:iptables-mangle.png}}

@@ Zeile 74: / Zeile 74: @@
 *Normalerweise wird das Routing anhand des Zieles vorgenommen.
 *Wenn andere Kriterien genutzt werden sollen nennt man das Policy Routing
-*Man geht nun folgendermassen vor
+*Man geht nun folgendermaßen vor
-*Man erstellt zu erst eine default route und weisst diese eine Tabelle (keine iptables Tabelle) zu.
+*Man erstellt zu erst eine default route und weist diese eine Tabelle (keine iptables Tabelle) zu.
 *Im Beispiel die Tabelle 13
   ip route add default via  10.82.227.30 table 13

@@ Zeile 61: / Zeile 61: @@
   iptables -t mangle -A FORWARD -p tcp -i $LANDEV -o $WANDEV --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1400
 =PORTFORWARDING ACCEPT Sauberer=
-*Wenn wir nach innen ein Portfording machen
+*Wenn wir nach innen ein Portforwarding machen
-*Wird zuerst der Port geändert und danach in der FORWARD Kette freigeschaltet.
+*Es wird zuerst der Port geändert und danach in der FORWARD Kette freigeschaltet.
 ;Beispiel
   iptables -t nat -A PREROUTING -j DNAT -d $WANIP -p tcp --dport 80 --to $WEBSERVER
@@ Zeile 70: / Zeile 70: @@
   iptables -t nat -A PREROUTING -j DNAT -i $WANDEV -p tcp --dport 80 -d $WANIP --to $WEBSERVER
   iptables -t filter -A FORWARD -j ACCEPT -m mark --mark 0x8
 =Policy Routing=
 *Normalerweise wird das Routing anhand des Zieles vorgenommen.

@@ Zeile 71: / Zeile 71: @@
   iptables -t filter -A FORWARD -j ACCEPT -m mark --mark 0x8
 =Policy Routing=
   ip route add default via  10.82.227.30 table 13
   ip rule add fwmark 0x2 table 13
-  iptables -t mangle -A FORWARD -s $BESTIMMTEIP -j MARK --set-mark 2
+*Abschliessend erstellt man Regeln

← Nächstältere Version		Version vom 2. September 2022, 11:01 Uhr
Zeile 70:		Zeile 70:
	iptables -t nat -A PREROUTING -j DNAT -i $WANDEV -p tcp --dport 80 -d $WANIP --to $WEBSERVER		iptables -t nat -A PREROUTING -j DNAT -i $WANDEV -p tcp --dport 80 -d $WANIP --to $WEBSERVER
	iptables -t filter -A FORWARD -j ACCEPT -m mark --mark 0x8		iptables -t filter -A FORWARD -j ACCEPT -m mark --mark 0x8
		+	=Policy Routing=
		+	ip route add default via 10.82.227.30 table 13
		+	ip rule add fwmark 0x2 table 13
		+	iptables -t mangle -A FORWARD -s $BESTIMMTEIP -j MARK --set-mark 2

@@ Zeile 49: / Zeile 49: @@
 =MSS Reduktion=
 ==Theorie==
-*Wenn PPPOE oder IPSEC VPNS benutzt werden, kann man ab und nicht die komplette 1500 Byter der MTU nutzen.
+*Wenn PPPoE oder IPSec VPNs benutzt werden, kann man manchmal nicht die komplette 1500 Byte der MTU nutzen.
 *Man könnte nun auf Fragmentierung hoffen.
-*Leider haben viele Betriebssystem das Don't Fragment Bit gesetzt.
+*Leider haben viele Betriebssystem das "Don't Fragment"-Bit gesetzt.
 *Die Pakete gehen dann oft ohne Rückmeldung verloren.
-*Es gibt aber einen Trick dies zu umgehen.
+*Es gibt aber einen Trick, um dies zu umgehen.
-*Im ersten Paket wird in den TCP OPTIONEN die '''Maximale Segment Size'''(MSS) angeben.
+*Im ersten Paket wird in den TCP-Optionen die '''Maximale Segment Size'''(MSS) angeben.
-*Dies ist die Maximale Anzahl an Bytes die ein TCP Paket übertragen kann.
+*Dies ist die Maximale Anzahl an Bytes, die ein TCP Paket übertragen kann.
-*Wenn man dazu nun den IP(20 Byte) und den TCP(20Byte) Header dazuzählt kommt man auf eine theoritische MTU, die kleiner ist.
+*Wenn man dazu nun den IP (20 Byte) und den TCP (20 Byte) Header dazuzählt, kommt man auf eine theoretische MTU, die kleiner ist.
 ==Befehl==
   iptables -t mangle -A FORWARD -p tcp -i $LANDEV -o $WANDEV --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1400

← Nächstältere Version		Version vom 2. September 2022, 10:43 Uhr
Zeile 47:		Zeile 47:

	'''Ausgangsskript vom filter Workshop'''		'''Ausgangsskript vom filter Workshop'''
		+	=MSS Reduktion=
		+	==Theorie==
		+	*Wenn PPPOE oder IPSEC VPNS benutzt werden, kann man ab und nicht die komplette 1500 Byter der MTU nutzen.
		+	*Man könnte nun auf Fragmentierung hoffen.
		+	*Leider haben viele Betriebssystem das Don't Fragment Bit gesetzt.
		+	*Die Pakete gehen dann oft ohne Rückmeldung verloren.
		+	*Es gibt aber einen Trick dies zu umgehen.
		+	*Im ersten Paket wird in den TCP OPTIONEN die '''Maximale Segment Size'''(MSS) angeben.
		+	*Dies ist die Maximale Anzahl an Bytes die ein TCP Paket übertragen kann.
		+	*Wenn man dazu nun den IP(20 Byte) und den TCP(20Byte) Header dazuzählt kommt man auf eine theoritische MTU, die kleiner ist.
		+	==Befehl==
		+	*iptables -t mangle -A FORWARD -p tcp -i $LANDEV -o $WANDEV --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1400

@@ Zeile 40: / Zeile 40: @@
 =Syntax Allgemein=
-Die Momentan in der '''nat''' Tabelle gesetzten Ketten und Regeln sieht man mit
+Die Momentan in der '''mangle''' Tabelle gesetzten Ketten und Regeln sieht man mit
 *iptables -nvL -t nat
   -L        # Listing
-  -t filter # anzeigen der nat Tabelle
+  -t mangle # anzeigen der mangle Tabelle
   -n        # numerical
 '''Ausgangsskript vom filter Workshop'''

@@ Zeile 31: / Zeile 31: @@
 Regeln werden mit '''iptables''' erstellt und an Ziele geschickt.
-==Ziele der filter Tabelle==
+==Ziele der Tabelle==
 *'''ACCEPT''': das Paket kann passieren
 *'''REJECT''': das Paket wird zurückgewiesen und ein Fehlerpaket wird gesendet