Iptables Netze absichern - Versionsgeschichte

Thomas.will: /* Weitere Tabellen */

2025-04-12T20:43:13Z

Weitere Tabellen

← Nächstältere Version		Version vom 12. April 2025, 20:43 Uhr
Zeile 96:		Zeile 96:
	== Weitere Tabellen ==		== Weitere Tabellen ==

	* Eine Skizze über die Reihenfolge der ~~Hooks.~~		* Eine Skizze über die Reihenfolge der Ketten
	* Als erstes greift der Prerouting~~-Hook~~		* Als erstes greift der Prerouting
	* Je nachdem wie geroutet wird greift dann entweder Input- oder Forward~~-Hook~~		* Je nachdem wie geroutet wird greift dann entweder Input- oder Forward
	* Falls ein lokaler Prozess ein Paket sendet, dann greift der Output~~-Hook~~		* Falls ein lokaler Prozess ein Paket sendet, dann greift der Output
	* Als letztes kann man das Paket mit dem Postrouting~~-Hook~~ beeinflußen		* Als letztes kann man das Paket mit dem Postrouting beeinflußen

	{{#drawio:iptables-nat.png}}		{{#drawio:iptables-nat.png}}

Thomas.will: /* Weitere Tabellen */

2025-04-12T20:42:23Z

Weitere Tabellen

← Nächstältere Version		Version vom 12. April 2025, 20:42 Uhr
Zeile 102:		Zeile 102:
	* Als letztes kann man das Paket mit dem Postrouting-Hook beeinflußen		* Als letztes kann man das Paket mit dem Postrouting-Hook beeinflußen

	{{#drawio:~~nft~~-~~inet1~~}}		{{#drawio:iptables-nat.png}}

	== SNAT ==		== SNAT ==

Thomas.will: /* Neu verwendete Syntax in iptables */

2025-04-12T20:40:33Z

Neu verwendete Syntax in iptables

Änderungen zeigen

Thomas.will: /* Neu verwendete Syntax in iptables */

2025-04-12T20:39:20Z

Neu verwendete Syntax in iptables

Änderungen zeigen

Thomas.will: /* Aktivierung */

2025-04-12T20:37:29Z

Aktivierung

← Nächstältere Version		Version vom 12. April 2025, 20:37 Uhr
Zeile 94:		Zeile 94:

	'''sysctl -p'''		'''sysctl -p'''
			== Weitere Tabellen ==

			* Eine Skizze über die Reihenfolge der Hooks.
			* Als erstes greift der Prerouting-Hook
			* Je nachdem wie geroutet wird greift dann entweder Input- oder Forward-Hook
			* Falls ein lokaler Prozess ein Paket sendet, dann greift der Output-Hook
			* Als letztes kann man das Paket mit dem Postrouting-Hook beeinflußen

			{{#drawio:nft-inet1}}

			== SNAT ==

			* Rechner in einem LAN können nicht ohne weiteres mit dem WAN kommunizieren, da an die lokale IP-Adresse der Rechner im LAN nicht von außen geroutet werden kann.
			* Um eine Internetverbindung aufzubauen, muss die Adresse aus dem LAN in eine öffentliche umgeschrieben werden.

			'''vim /etc/iptables-snat.sh'''

			<pre>
			#!/bin/bash

			# Variablen
			WAN_IF="ens18"
			DMZ_IF="ens19"
			LAN_IF="ens20"
			LAN_NET="192.168.4.0/24"
			WAN_IP="10.82.232.11"

			# Regelwerk löschen
			iptables -F
			iptables -X
			iptables -t nat -F
			iptables -t nat -X

			# Default Policies
			iptables -P INPUT DROP
			iptables -P FORWARD DROP
			iptables -P OUTPUT DROP

			# Loopback erlauben
			iptables -A INPUT -i lo -j ACCEPT
			iptables -A OUTPUT -o lo -j ACCEPT

			# ICMP erlauben
			iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

			# SSH und andere notwendige Ports
			iptables -A INPUT -p tcp --dport 22 -j ACCEPT

			# Etablierte Verbindungen
			iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
			iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED,NEW -j ACCEPT
			iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

			# SNAT für ausgehende Pakete vom LAN ins WAN
			iptables -t nat -A POSTROUTING -s $LAN_NET -o $WAN_IF -j SNAT --to-source $WAN_IP

			# Logging
			iptables -A INPUT -j LOG --log-prefix "--iptables-drop-input--"
			iptables -A OUTPUT -j LOG --log-prefix "--iptables-drop-output--"
			iptables -A FORWARD -j LOG --log-prefix "--iptables-drop-forward--"
			</pre>

			== Neu verwendete Syntax in iptables ==

			* Interface des herausgehenden Paketes:

			'''-o <device_name>'''

			* match auf Quelladresse des Pakets:

			'''-s <source_ip>'''

			* Quelladresse umschreiben:

			'''-j SNAT --to-source <new_source_ip>'''

Thomas.will am 12. April 2025 um 20:36 Uhr

2025-04-12T20:36:25Z

Änderungen zeigen

Thomas.will: /* Das Grundgerüst */

2025-04-12T20:31:21Z

Das Grundgerüst

← Nächstältere Version		Version vom 12. April 2025, 20:31 Uhr
Zeile 41:		Zeile 41:
	WANIP="10.82.232.11"		WANIP="10.82.232.11"
	WEBSERVER="192.168.4.12"		WEBSERVER="192.168.4.12"

	case $1 in		case $1 in
	start)		start)
Zeile 50:		Zeile 50:
	iptables -P OUTPUT DROP		iptables -P OUTPUT DROP
	iptables -P FORWARD DROP		iptables -P FORWARD DROP

	# Connection Tracking		# Connection Tracking
	iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT		iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
	iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT		iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

	# Loopback		# Loopback
	iptables -A INPUT -i lo -j ACCEPT		iptables -A INPUT -i lo -j ACCEPT
	iptables -A OUTPUT -o lo -j ACCEPT		iptables -A OUTPUT -o lo -j ACCEPT

	# Output Regeln		# Output Regeln
	iptables -A OUTPUT -p tcp -m multiport --dports $REMOTE_TCP_PORTS -m state --state NEW -j ACCEPT		iptables -A OUTPUT -p tcp -m multiport --dports $REMOTE_TCP_PORTS -m state --state NEW -j ACCEPT
	iptables -A OUTPUT -p udp -m multiport --dports $REMOTE_UDP_PORTS -m state --state NEW -j ACCEPT		iptables -A OUTPUT -p udp -m multiport --dports $REMOTE_UDP_PORTS -m state --state NEW -j ACCEPT
	iptables -A OUTPUT -p icmp --icmp-type echo-request -m state --state NEW -j ACCEPT		iptables -A OUTPUT -p icmp --icmp-type echo-request -m state --state NEW -j ACCEPT

	# Input Regeln		# Input Regeln
	iptables -A INPUT -p tcp -m multiport --dports $LOCAL_TCP_PORTS -m state --state NEW -j ACCEPT		iptables -A INPUT -p tcp -m multiport --dports $LOCAL_TCP_PORTS -m state --state NEW -j ACCEPT

	# SNAT		# SNAT
	iptables -t nat -A POSTROUTING -s $LAN_NET -o $WANDEV -j SNAT --to-source $WANIP		iptables -t nat -A POSTROUTING -s $LAN_NET -o $WANDEV -j SNAT --to-source $WANIP

	# Portforwarding		# Portforwarding
	iptables -t nat -A PREROUTING -i $WANDEV -p tcp --dport 9922 -j DNAT --to-destination $WEBSERVER:22		iptables -t nat -A PREROUTING -i $WANDEV -p tcp --dport 9922 -j DNAT --to-destination $WEBSERVER:22
	iptables -t nat -A PREROUTING -i $WANDEV -p tcp --dport 80 -j DNAT --to-destination $WEBSERVER:80		iptables -t nat -A PREROUTING -i $WANDEV -p tcp --dport 80 -j DNAT --to-destination $WEBSERVER:80

	# Zugriff auf Webserver zulassen		# Zugriff auf Webserver zulassen
	iptables -A FORWARD -i $WANDEV -d $WEBSERVER -p tcp --dport 22 -j ACCEPT		iptables -A FORWARD -i $WANDEV -d $WEBSERVER -p tcp --dport 22 -j ACCEPT
	iptables -A FORWARD -i $WANDEV -d $WEBSERVER -p tcp --dport 80 -j ACCEPT		iptables -A FORWARD -i $WANDEV -d $WEBSERVER -p tcp --dport 80 -j ACCEPT

	# Zugriff vom LAN nach außen		# Zugriff vom LAN nach außen
	iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p icmp --icmp-type echo-request -j ACCEPT		iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p icmp --icmp-type echo-request -j ACCEPT
	iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p udp --dport 53 -j ACCEPT		iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p udp --dport 53 -j ACCEPT
	iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p tcp -m multiport --dports 25,53,80,143,443,465,993 -j ACCEPT		iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p tcp -m multiport --dports 25,53,80,143,443,465,993 -j ACCEPT

	# Eigene Kette für LAN nach WAN		# Eigene Kette für LAN nach WAN
	iptables -N LAN2WAN		iptables -N LAN2WAN
Zeile 89:		Zeile 89:
	iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p udp --dport 53 -j LAN2WAN		iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p udp --dport 53 -j LAN2WAN
	iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p tcp -m multiport --dports 25,53,80,143,443,465,993 -j LAN2WAN		iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p tcp -m multiport --dports 25,53,80,143,443,465,993 -j LAN2WAN

	<span style="color:#FF0000"># Limitierte Logging-Regeln</span>		<span style="color:#FF0000"># Limitierte Logging-Regeln</span>
	<span style="color:#FF0000">iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "--iptables-drop-input--"</span>		<span style="color:#FF0000">iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "--iptables-drop-input--"</span>

Thomas.will: Die Seite wurde neu angelegt: „= Einleitung = * Nachdem wir ein Hostsystem abgesichert haben, kommen wir nun zum Absichern von Netzen. * Die Firewall agiert als Vermittler zwischen verschie…“

2025-04-12T20:30:29Z

Die Seite wurde neu angelegt: „= Einleitung = * Nachdem wir ein Hostsystem abgesichert haben, kommen wir nun zum Absichern von Netzen. * Die Firewall agiert als Vermittler zwischen verschie…“

Neue Seite

= Einleitung =

* Nachdem wir ein Hostsystem abgesichert haben, kommen wir nun zum Absichern von Netzen.
* Die Firewall agiert als Vermittler zwischen verschiedenen Netzen.
* In unserem Beispiel haben wir 3 Netzbereiche.

= WAN =

* Wide Area Net steht für alles was nicht die anderen beiden Netze betrifft

= LAN =

* Local Area Net steht in der Regel für ein Netz das von außen nicht erreichbar ist.
* Meist ist es über Network Address Translation (NAT) angebunden.

= DMZ =

* Demilitarized Zone ist ein Netz welches von außen erreichbar ist.
* Die Zugriffe werden aber durch die Firewall abgesichert.
* Dort werden meistens Dienste wie Mail oder Web gehostet. Teilweise auch Proxy Server.

= Der Plan =

{{#drawio:netzplan-iptables-1}}

= Das Grundgerüst =

* Wir nutzen unsere Host-Firewall als Ausgangsskript
* Wir wollen aber von vornherein verstärkt mit Variablen arbeiten.
* Dies macht die Skripte universeller.
* '''vi /usr/local/sbin/firewall'''

#!/bin/bash
REMOTE_TCP_PORTS="22,25,53,80,465,443"
REMOTE_UDP_PORTS="53"
LOCAL_TCP_PORTS="22,80,443"
WANDEV="ens18"
DMZDEV="ens19"
LANDEV="ens20"
LAN_NET="192.168.4.0/24"
WANIP="10.82.232.11"
WEBSERVER="192.168.4.12"

case $1 in
start)
echo "starte firewall"
iptables -F
iptables -F -t nat
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

# Connection Tracking
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Loopback
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# Output Regeln
iptables -A OUTPUT -p tcp -m multiport --dports $REMOTE_TCP_PORTS -m state --state NEW -j ACCEPT
iptables -A OUTPUT -p udp -m multiport --dports $REMOTE_UDP_PORTS -m state --state NEW -j ACCEPT
iptables -A OUTPUT -p icmp --icmp-type echo-request -m state --state NEW -j ACCEPT

# Input Regeln
iptables -A INPUT -p tcp -m multiport --dports $LOCAL_TCP_PORTS -m state --state NEW -j ACCEPT

# SNAT
iptables -t nat -A POSTROUTING -s $LAN_NET -o $WANDEV -j SNAT --to-source $WANIP

# Portforwarding
iptables -t nat -A PREROUTING -i $WANDEV -p tcp --dport 9922 -j DNAT --to-destination $WEBSERVER:22
iptables -t nat -A PREROUTING -i $WANDEV -p tcp --dport 80 -j DNAT --to-destination $WEBSERVER:80

# Zugriff auf Webserver zulassen
iptables -A FORWARD -i $WANDEV -d $WEBSERVER -p tcp --dport 22 -j ACCEPT
iptables -A FORWARD -i $WANDEV -d $WEBSERVER -p tcp --dport 80 -j ACCEPT

# Zugriff vom LAN nach außen
iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p icmp --icmp-type echo-request -j ACCEPT
iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p udp --dport 53 -j ACCEPT
iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p tcp -m multiport --dports 25,53,80,143,443,465,993 -j ACCEPT

# Eigene Kette für LAN nach WAN
iptables -N LAN2WAN
iptables -A LAN2WAN -s $LAN_NET -i $LANDEV -o $WANDEV -j ACCEPT
iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p icmp --icmp-type echo-request -j LAN2WAN
iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p udp --dport 53 -j LAN2WAN
iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p tcp -m multiport --dports 25,53,80,143,443,465,993 -j LAN2WAN

# Limitierte Logging-Regeln
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "--iptables-drop-input--"
iptables -A OUTPUT -m limit --limit 5/min -j LOG --log-prefix "--iptables-drop-output--"
iptables -A FORWARD -m limit --limit 5/min -j LOG --log-prefix "--iptables-drop-forward--"
;;
stop)
echo "stoppe firewall"
iptables -F
iptables -F -t nat
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
;;
*)
echo "usage: $0 start|stop"
;;
esac

= Forwarding =

* echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
* sysctl -p

= Hinweis zu neuer Syntax =

* Neue Ketten erzeugt mit:
iptables -N <KETTENNAME>

* Portweiterleitungen:
iptables -t nat -A PREROUTING -i <WAN> -p tcp --dport <PORT> -j DNAT --to-destination <IP:PORT>

* SNAT für ausgehende Pakete:
iptables -t nat -A POSTROUTING -s <LAN> -o <WAN> -j SNAT --to-source <WAN-IP>

* Limits:
iptables -A <CHAIN> -m limit --limit <WERT> -j LOG --log-prefix "--DEIN-PREFIX--"