Iptables Netze absichern - Versionsgeschichte

Thomas.will: /* Weitere Tabellen */

2025-04-12T20:43:13Z

Weitere Tabellen

Thomas.will: /* Weitere Tabellen */

2025-04-12T20:42:23Z

Weitere Tabellen

Thomas.will: /* Neu verwendete Syntax in iptables */

2025-04-12T20:40:33Z

Neu verwendete Syntax in iptables

Thomas.will: /* Neu verwendete Syntax in iptables */

2025-04-12T20:39:20Z

Neu verwendete Syntax in iptables

Thomas.will: /* Aktivierung */

2025-04-12T20:37:29Z

Aktivierung

Thomas.will am 12. April 2025 um 20:36 Uhr

2025-04-12T20:36:25Z

Änderungen zeigen

Thomas.will: /* Das Grundgerüst */

2025-04-12T20:31:21Z

Das Grundgerüst

Thomas.will: Die Seite wurde neu angelegt: „= Einleitung = * Nachdem wir ein Hostsystem abgesichert haben, kommen wir nun zum Absichern von Netzen. * Die Firewall agiert als Vermittler zwischen verschie…“

2025-04-12T20:30:29Z

Die Seite wurde neu angelegt: „= Einleitung = * Nachdem wir ein Hostsystem abgesichert haben, kommen wir nun zum Absichern von Netzen. * Die Firewall agiert als Vermittler zwischen verschie…“

Neue Seite

= Einleitung =

* Nachdem wir ein Hostsystem abgesichert haben, kommen wir nun zum Absichern von Netzen.
* Die Firewall agiert als Vermittler zwischen verschiedenen Netzen.
* In unserem Beispiel haben wir 3 Netzbereiche.

= WAN =

* Wide Area Net steht für alles was nicht die anderen beiden Netze betrifft

= LAN =

* Local Area Net steht in der Regel für ein Netz das von außen nicht erreichbar ist.
* Meist ist es über Network Address Translation (NAT) angebunden.

= DMZ =

* Demilitarized Zone ist ein Netz welches von außen erreichbar ist.
* Die Zugriffe werden aber durch die Firewall abgesichert.
* Dort werden meistens Dienste wie Mail oder Web gehostet. Teilweise auch Proxy Server.

= Der Plan =

{{#drawio:netzplan-iptables-1}}

= Das Grundgerüst =

* Wir nutzen unsere Host-Firewall als Ausgangsskript
* Wir wollen aber von vornherein verstärkt mit Variablen arbeiten.
* Dies macht die Skripte universeller.
* '''vi /usr/local/sbin/firewall'''

#!/bin/bash
REMOTE_TCP_PORTS="22,25,53,80,465,443"
REMOTE_UDP_PORTS="53"
LOCAL_TCP_PORTS="22,80,443"
WANDEV="ens18"
DMZDEV="ens19"
LANDEV="ens20"
LAN_NET="192.168.4.0/24"
WANIP="10.82.232.11"
WEBSERVER="192.168.4.12"

case $1 in
start)
echo "starte firewall"
iptables -F
iptables -F -t nat
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

# Connection Tracking
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Loopback
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# Output Regeln
iptables -A OUTPUT -p tcp -m multiport --dports $REMOTE_TCP_PORTS -m state --state NEW -j ACCEPT
iptables -A OUTPUT -p udp -m multiport --dports $REMOTE_UDP_PORTS -m state --state NEW -j ACCEPT
iptables -A OUTPUT -p icmp --icmp-type echo-request -m state --state NEW -j ACCEPT

# Input Regeln
iptables -A INPUT -p tcp -m multiport --dports $LOCAL_TCP_PORTS -m state --state NEW -j ACCEPT

# SNAT
iptables -t nat -A POSTROUTING -s $LAN_NET -o $WANDEV -j SNAT --to-source $WANIP

# Portforwarding
iptables -t nat -A PREROUTING -i $WANDEV -p tcp --dport 9922 -j DNAT --to-destination $WEBSERVER:22
iptables -t nat -A PREROUTING -i $WANDEV -p tcp --dport 80 -j DNAT --to-destination $WEBSERVER:80

# Zugriff auf Webserver zulassen
iptables -A FORWARD -i $WANDEV -d $WEBSERVER -p tcp --dport 22 -j ACCEPT
iptables -A FORWARD -i $WANDEV -d $WEBSERVER -p tcp --dport 80 -j ACCEPT

# Zugriff vom LAN nach außen
iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p icmp --icmp-type echo-request -j ACCEPT
iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p udp --dport 53 -j ACCEPT
iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p tcp -m multiport --dports 25,53,80,143,443,465,993 -j ACCEPT

# Eigene Kette für LAN nach WAN
iptables -N LAN2WAN
iptables -A LAN2WAN -s $LAN_NET -i $LANDEV -o $WANDEV -j ACCEPT
iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p icmp --icmp-type echo-request -j LAN2WAN
iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p udp --dport 53 -j LAN2WAN
iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p tcp -m multiport --dports 25,53,80,143,443,465,993 -j LAN2WAN

# Limitierte Logging-Regeln
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "--iptables-drop-input--"
iptables -A OUTPUT -m limit --limit 5/min -j LOG --log-prefix "--iptables-drop-output--"
iptables -A FORWARD -m limit --limit 5/min -j LOG --log-prefix "--iptables-drop-forward--"
;;
stop)
echo "stoppe firewall"
iptables -F
iptables -F -t nat
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
;;
*)
echo "usage: $0 start|stop"
;;
esac

= Forwarding =

* echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
* sysctl -p

= Hinweis zu neuer Syntax =

* Neue Ketten erzeugt mit:
iptables -N <KETTENNAME>

* Portweiterleitungen:
iptables -t nat -A PREROUTING -i <WAN> -p tcp --dport <PORT> -j DNAT --to-destination <IP:PORT>

* SNAT für ausgehende Pakete:
iptables -t nat -A POSTROUTING -s <LAN> -o <WAN> -j SNAT --to-source <WAN-IP>

* Limits:
iptables -A <CHAIN> -m limit --limit <WERT> -j LOG --log-prefix "--DEIN-PREFIX--"

@@ Zeile 96: / Zeile 96: @@
 == Weitere Tabellen ==
-* Eine Skizze über die Reihenfolge der Hooks.
+* Eine Skizze über die Reihenfolge der Ketten
-* Als erstes greift der Prerouting-Hook
+* Als erstes greift der Prerouting
-* Je nachdem wie geroutet wird greift dann entweder Input- oder Forward-Hook
+* Je nachdem wie geroutet wird greift dann entweder Input- oder Forward
-* Falls ein lokaler Prozess ein Paket sendet, dann greift der Output-Hook
+* Falls ein lokaler Prozess ein Paket sendet, dann greift der Output
-* Als letztes kann man das Paket mit dem Postrouting-Hook beeinflußen
+* Als letztes kann man das Paket mit dem Postrouting beeinflußen
 {{#drawio:iptables-nat.png}}

@@ Zeile 102: / Zeile 102: @@
 * Als letztes kann man das Paket mit dem Postrouting-Hook beeinflußen
-{{#drawio:nft-inet1}}
+{{#drawio:iptables-nat.png}}
 == SNAT ==

← Nächstältere Version		Version vom 12. April 2025, 20:40 Uhr
Zeile 322:		Zeile 322:

	'''for port in ... ; do iptables ... --dport $port ... ; done'''		'''for port in ... ; do iptables ... --dport $port ... ; done'''
		+	= Eigene Ketten =
		+
		+	Man kann auch Ketten ohne Default Policy oder Hooks erstellen, die mehrere Regeln zusammenfassen. In diese Ketten gelangt man durch die Basisketten.
		+
		+	'''vim /etc/iptables-ketten.sh'''
		+
		+	<pre>
		+	#!/bin/bash
		+
		+	# Variablen
		+	WAN_IF="ens18"
		+	LAN_IF="ens20"
		+	LAN_NET="192.168.4.0/24"
		+	WAN_IP="10.82.232.11"
		+	WEBSERVER="192.168.4.12"
		+
		+	# Regelwerk löschen
		+	iptables -F
		+	iptables -X
		+	iptables -t nat -F
		+	iptables -t nat -X
		+
		+	# Eigene Kette erstellen
		+	iptables -N LAN2WAN
		+
		+	# Default Policies
		+	iptables -P INPUT DROP
		+	iptables -P FORWARD DROP
		+	iptables -P OUTPUT DROP
		+
		+	# Loopback erlauben
		+	iptables -A INPUT -i lo -j ACCEPT
		+	iptables -A OUTPUT -o lo -j ACCEPT
		+
		+	# ICMP erlauben
		+	iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
		+
		+	# SSH von außen
		+	iptables -A INPUT -p tcp --dport 9922 -j ACCEPT
		+
		+	# Etablierte Verbindungen
		+	iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
		+	iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED,NEW -j ACCEPT
		+	iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
		+
		+	# Zugriff vom WAN auf Webserver
		+	iptables -A FORWARD -p tcp -d $WEBSERVER --dport 22 -i $WAN_IF -j ACCEPT
		+	iptables -A FORWARD -p tcp -d $WEBSERVER --dport 80 -i $WAN_IF -j ACCEPT
		+
		+	# LAN -> WAN nur bestimmte Dienste, Weiterleitung an eigene Kette
		+	iptables -A FORWARD -p icmp -s $LAN_NET -i $LAN_IF -o $WAN_IF --icmp-type echo-request -m conntrack --ctstate NEW -j LAN2WAN
		+	iptables -A FORWARD -p udp -s $LAN_NET -i $LAN_IF -o $WAN_IF --dport 53 -j LAN2WAN
		+
		+	for port in 25 53 80 143 443 465 993; do
		+	iptables -A FORWARD -p tcp -s $LAN_NET -i $LAN_IF -o $WAN_IF --dport $port -j LAN2WAN
		+	done
		+
		+	# Eigene Kette LAN2WAN – akzeptiere Pakete
		+	iptables -A LAN2WAN -j ACCEPT
		+
		+	# NAT: Portweiterleitung auf Webserver
		+	iptables -t nat -A PREROUTING -p tcp -d $WAN_IP --dport 9922 -j DNAT --to-destination $WEBSERVER:22
		+	iptables -t nat -A PREROUTING -p tcp -d $WAN_IP --dport 80 -j DNAT --to-destination $WEBSERVER:80
		+
		+	# SNAT für Rückweg
		+	iptables -t nat -A POSTROUTING -s $LAN_NET -o $WAN_IF -j SNAT --to-source $WAN_IP
		+
		+	# Logging
		+	iptables -A INPUT -j LOG --log-prefix "--iptables-drop-input--"
		+	iptables -A OUTPUT -j LOG --log-prefix "--iptables-drop-output--"
		+	iptables -A FORWARD -j LOG --log-prefix "--iptables-drop-forward--"
		+	</pre>
		+
		+	== Neu verwendete Syntax in iptables ==
		+
		+	* Springe in eine andere Kette:
		+
		+	'''-j <target_chain>'''
		+
		+	* Eigene Kette erstellen:
		+
		+	'''iptables -N <name_der_kette>'''
		+
		+	= Limits setzen =
		+
		+	* Man kann die Anzahl, die eine Regel annimmt, zeitlich begrenzen.
		+	* Dafür verwendet man in iptables das ''limit''-Modul.
		+	* Falls nur 5 Pakete pro Minute geloggt werden sollen:
		+
		+	'''vim /etc/iptables-limits.sh'''
		+
		+	<pre>
		+	#!/bin/bash
		+
		+	# Variablen
		+	WAN_IF="ens18"
		+	LAN_IF="ens20"
		+	LAN_NET="192.168.4.0/24"
		+	WAN_IP="10.82.232.11"
		+	WEBSERVER="192.168.4.12"
		+
		+	# Regelwerk löschen
		+	iptables -F
		+	iptables -X
		+	iptables -t nat -F
		+	iptables -t nat -X
		+
		+	# Eigene Kette erstellen
		+	iptables -N LAN2WAN
		+
		+	# Default Policies
		+	iptables -P INPUT DROP
		+	iptables -P FORWARD DROP
		+	iptables -P OUTPUT DROP
		+
		+	# Loopback erlauben
		+	iptables -A INPUT -i lo -j ACCEPT
		+	iptables -A OUTPUT -o lo -j ACCEPT
		+
		+	# ICMP erlauben
		+	iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
		+
		+	# SSH von außen
		+	iptables -A INPUT -p tcp --dport 9922 -j ACCEPT
		+
		+	# Etablierte Verbindungen
		+	iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
		+	iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED,NEW -j ACCEPT
		+	iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
		+
		+	# Zugriff vom WAN auf Webserver
		+	iptables -A FORWARD -p tcp -d $WEBSERVER --dport 22 -i $WAN_IF -j ACCEPT
		+	iptables -A FORWARD -p tcp -d $WEBSERVER --dport 80 -i $WAN_IF -j ACCEPT
		+
		+	# LAN -> WAN nur bestimmte Dienste, Weiterleitung an eigene Kette
		+	iptables -A FORWARD -p icmp -s $LAN_NET -i $LAN_IF -o $WAN_IF --icmp-type echo-request -m conntrack --ctstate NEW -j LAN2WAN
		+	iptables -A FORWARD -p udp -s $LAN_NET -i $LAN_IF -o $WAN_IF --dport 53 -j LAN2WAN
		+
		+	for port in 25 53 80 143 443 465 993; do
		+	iptables -A FORWARD -p tcp -s $LAN_NET -i $LAN_IF -o $WAN_IF --dport $port -j LAN2WAN
		+	done
		+
		+	# Eigene Kette LAN2WAN – akzeptiere Pakete
		+	iptables -A LAN2WAN -j ACCEPT
		+
		+	# NAT: Portweiterleitung auf Webserver
		+	iptables -t nat -A PREROUTING -p tcp -d $WAN_IP --dport 9922 -j DNAT --to-destination $WEBSERVER:22
		+	iptables -t nat -A PREROUTING -p tcp -d $WAN_IP --dport 80 -j DNAT --to-destination $WEBSERVER:80
		+
		+	# SNAT für Rückweg
		+	iptables -t nat -A POSTROUTING -s $LAN_NET -o $WAN_IF -j SNAT --to-source $WAN_IP
		+
		+	# Logging mit Limitierung auf 5 Einträge pro Minute
		+	iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "--iptables-drop-input--"
		+	iptables -A OUTPUT -m limit --limit 5/min -j LOG --log-prefix "--iptables-drop-output--"
		+	iptables -A FORWARD -m limit --limit 5/min -j LOG --log-prefix "--iptables-drop-forward--"
		+	</pre>
		+
		+	== Neu verwendete Syntax in iptables ==
		+
		+	* Limitierung der Anzahl geloggter Pakete pro Minute:
		+
		+	'''-m limit --limit 5/min'''

← Nächstältere Version		Version vom 12. April 2025, 20:39 Uhr
Zeile 169:		Zeile 169:

	'''-j SNAT --to-source <new_source_ip>'''		'''-j SNAT --to-source <new_source_ip>'''
		+	== Portforwarding ==
		+
		+	* Um auf bestimmte Funktionen eines Rechners hinter einer Firewall zugreifen zu können, müssen die dazugehörenden Ports entsprechend weitergeleitet werden.
		+	* Hierbei kann es ein anderer, nicht-standard Port der Firewall sein.
		+
		+	'''vim /etc/iptables-portfwd.sh'''
		+
		+	<pre>
		+	#!/bin/bash
		+
		+	# Variablen
		+	WAN_IF="ens18"
		+	LAN_IF="ens20"
		+	LAN_NET="192.168.4.0/24"
		+	WAN_IP="10.82.232.11"
		+	WEBSERVER="192.168.4.12"
		+
		+	# Regelwerk löschen
		+	iptables -F
		+	iptables -X
		+	iptables -t nat -F
		+	iptables -t nat -X
		+
		+	# Default Policies
		+	iptables -P INPUT DROP
		+	iptables -P FORWARD DROP
		+	iptables -P OUTPUT DROP
		+
		+	# Loopback erlauben
		+	iptables -A INPUT -i lo -j ACCEPT
		+	iptables -A OUTPUT -o lo -j ACCEPT
		+
		+	# ICMP erlauben
		+	iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
		+
		+	# SSH von außen
		+	iptables -A INPUT -p tcp --dport 9922 -j ACCEPT
		+
		+	# Etablierte Verbindungen
		+	iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
		+	iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED,NEW -j ACCEPT
		+	iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
		+
		+	# Weiterleitung zu internem Webserver
		+	iptables -A FORWARD -p tcp -d $WEBSERVER --dport 22 -i $WAN_IF -j ACCEPT
		+	iptables -A FORWARD -p tcp -d $WEBSERVER --dport 80 -i $WAN_IF -j ACCEPT
		+
		+	# Portweiterleitung
		+	iptables -t nat -A PREROUTING -p tcp -d $WAN_IP --dport 9922 -j DNAT --to-destination $WEBSERVER:22
		+	iptables -t nat -A PREROUTING -p tcp -d $WAN_IP --dport 80 -j DNAT --to-destination $WEBSERVER:80
		+
		+	# SNAT für Rückweg
		+	iptables -t nat -A POSTROUTING -s $LAN_NET -o $WAN_IF -j SNAT --to-source $WAN_IP
		+
		+	# Logging
		+	iptables -A INPUT -j LOG --log-prefix "--iptables-drop-input--"
		+	iptables -A OUTPUT -j LOG --log-prefix "--iptables-drop-output--"
		+	iptables -A FORWARD -j LOG --log-prefix "--iptables-drop-forward--"
		+	</pre>
		+
		+	* Nun kann man per SSH auf den Rechner hinter der Firewall über Port 9922 der Firewall zugreifen…
		+	'''ssh user@WEBSERVER -p 9922'''
		+
		+	* ... und HTTP-Requests an den Rechner hinter der Firewall schicken
		+	'''curl WEBSERVER'''
		+
		+	== Neu verwendete Syntax in iptables ==
		+
		+	* matche die Ziel-IP-Adresse:
		+
		+	'''-d <target_ip>'''
		+
		+	* Ziel-IP-Adresse auf eine andere umschreiben:
		+
		+	'''-j DNAT --to-destination <new_target_ip>'''
		+
		+	= Absichern von Netzen =
		+
		+	Momentan wird nichts vom LAN zum WAN weitergeleitet. Um nur bestimmte Anwendungen zu erlauben, kann man die für diese designierten Ports freischalten.
		+
		+	'''vim /etc/iptables-absichern.sh'''
		+
		+	<pre>
		+	#!/bin/bash
		+
		+	# Variablen
		+	WAN_IF="ens18"
		+	LAN_IF="ens20"
		+	LAN_NET="192.168.4.0/24"
		+	WAN_IP="10.82.232.11"
		+	WEBSERVER="192.168.4.12"
		+
		+	# Regelwerk löschen
		+	iptables -F
		+	iptables -X
		+	iptables -t nat -F
		+	iptables -t nat -X
		+
		+	# Default Policies
		+	iptables -P INPUT DROP
		+	iptables -P FORWARD DROP
		+	iptables -P OUTPUT DROP
		+
		+	# Loopback erlauben
		+	iptables -A INPUT -i lo -j ACCEPT
		+	iptables -A OUTPUT -o lo -j ACCEPT
		+
		+	# ICMP erlauben
		+	iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
		+
		+	# SSH von außen
		+	iptables -A INPUT -p tcp --dport 9922 -j ACCEPT
		+
		+	# Etablierte Verbindungen
		+	iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
		+	iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED,NEW -j ACCEPT
		+	iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
		+
		+	# Zugriff vom WAN auf Webserver
		+	iptables -A FORWARD -p tcp -d $WEBSERVER --dport 22 -i $WAN_IF -j ACCEPT
		+	iptables -A FORWARD -p tcp -d $WEBSERVER --dport 80 -i $WAN_IF -j ACCEPT
		+
		+	# Zugriff vom LAN ins WAN – nur bestimmte Dienste
		+	iptables -A FORWARD -p icmp -s $LAN_NET -i $LAN_IF -o $WAN_IF --icmp-type echo-request -m conntrack --ctstate NEW -j ACCEPT
		+	iptables -A FORWARD -p udp -s $LAN_NET -i $LAN_IF -o $WAN_IF --dport 53 -m conntrack --ctstate NEW -j ACCEPT
		+
		+	# TCP-Dienste freigeben: SMTP, DNS, HTTP, IMAP, HTTPS, SMTPS, IMAPS
		+	for port in 25 53 80 143 443 465 993; do
		+	iptables -A FORWARD -p tcp -s $LAN_NET -i $LAN_IF -o $WAN_IF --dport $port -m conntrack --ctstate NEW -j ACCEPT
		+	done
		+
		+	# NAT: Portweiterleitung auf Webserver
		+	iptables -t nat -A PREROUTING -p tcp -d $WAN_IP --dport 9922 -j DNAT --to-destination $WEBSERVER:22
		+	iptables -t nat -A PREROUTING -p tcp -d $WAN_IP --dport 80 -j DNAT --to-destination $WEBSERVER:80
		+
		+	# SNAT für ausgehende LAN-Verbindungen
		+	iptables -t nat -A POSTROUTING -s $LAN_NET -o $WAN_IF -j SNAT --to-source $WAN_IP
		+
		+	# Logging
		+	iptables -A INPUT -j LOG --log-prefix "--iptables-drop-input--"
		+	iptables -A OUTPUT -j LOG --log-prefix "--iptables-drop-output--"
		+	iptables -A FORWARD -j LOG --log-prefix "--iptables-drop-forward--"
		+	</pre>
		+
		+	== Neu verwendete Syntax in iptables ==
		+
		+	* Bestimmte Ziel-Ports angeben:
		+
		+	'''--dport <port>'''
		+
		+	* Für mehrere Ports (per Schleife):
		+
		+	'''for port in ... ; do iptables ... --dport $port ... ; done'''

← Nächstältere Version		Version vom 12. April 2025, 20:37 Uhr
Zeile 94:		Zeile 94:

	'''sysctl -p'''		'''sysctl -p'''
		+	== Weitere Tabellen ==
		+
		+	* Eine Skizze über die Reihenfolge der Hooks.
		+	* Als erstes greift der Prerouting-Hook
		+	* Je nachdem wie geroutet wird greift dann entweder Input- oder Forward-Hook
		+	* Falls ein lokaler Prozess ein Paket sendet, dann greift der Output-Hook
		+	* Als letztes kann man das Paket mit dem Postrouting-Hook beeinflußen
		+
		+	{{#drawio:nft-inet1}}
		+
		+	== SNAT ==
		+
		+	* Rechner in einem LAN können nicht ohne weiteres mit dem WAN kommunizieren, da an die lokale IP-Adresse der Rechner im LAN nicht von außen geroutet werden kann.
		+	* Um eine Internetverbindung aufzubauen, muss die Adresse aus dem LAN in eine öffentliche umgeschrieben werden.
		+
		+	'''vim /etc/iptables-snat.sh'''
		+
		+	<pre>
		+	#!/bin/bash
		+
		+	# Variablen
		+	WAN_IF="ens18"
		+	DMZ_IF="ens19"
		+	LAN_IF="ens20"
		+	LAN_NET="192.168.4.0/24"
		+	WAN_IP="10.82.232.11"
		+
		+	# Regelwerk löschen
		+	iptables -F
		+	iptables -X
		+	iptables -t nat -F
		+	iptables -t nat -X
		+
		+	# Default Policies
		+	iptables -P INPUT DROP
		+	iptables -P FORWARD DROP
		+	iptables -P OUTPUT DROP
		+
		+	# Loopback erlauben
		+	iptables -A INPUT -i lo -j ACCEPT
		+	iptables -A OUTPUT -o lo -j ACCEPT
		+
		+	# ICMP erlauben
		+	iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
		+
		+	# SSH und andere notwendige Ports
		+	iptables -A INPUT -p tcp --dport 22 -j ACCEPT
		+
		+	# Etablierte Verbindungen
		+	iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
		+	iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED,NEW -j ACCEPT
		+	iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
		+
		+	# SNAT für ausgehende Pakete vom LAN ins WAN
		+	iptables -t nat -A POSTROUTING -s $LAN_NET -o $WAN_IF -j SNAT --to-source $WAN_IP
		+
		+	# Logging
		+	iptables -A INPUT -j LOG --log-prefix "--iptables-drop-input--"
		+	iptables -A OUTPUT -j LOG --log-prefix "--iptables-drop-output--"
		+	iptables -A FORWARD -j LOG --log-prefix "--iptables-drop-forward--"
		+	</pre>
		+
		+	== Neu verwendete Syntax in iptables ==
		+
		+	* Interface des herausgehenden Paketes:
		+
		+	'''-o <device_name>'''
		+
		+	* match auf Quelladresse des Pakets:
		+
		+	'''-s <source_ip>'''
		+
		+	* Quelladresse umschreiben:
		+
		+	'''-j SNAT --to-source <new_source_ip>'''

@@ Zeile 41: / Zeile 41: @@
   WANIP="10.82.232.11"
   WEBSERVER="192.168.4.12"
-−
   case $1 in
     start)
@@ Zeile 50: / Zeile 50: @@
       iptables -P OUTPUT DROP
       iptables -P FORWARD DROP
-−
       # Connection Tracking
       iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
       iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-−
       # Loopback
       iptables -A INPUT -i lo -j ACCEPT
       iptables -A OUTPUT -o lo -j ACCEPT
-−
       # Output Regeln
       iptables -A OUTPUT -p tcp -m multiport --dports $REMOTE_TCP_PORTS -m state --state NEW -j ACCEPT
       iptables -A OUTPUT -p udp -m multiport --dports $REMOTE_UDP_PORTS -m state --state NEW -j ACCEPT
       iptables -A OUTPUT -p icmp --icmp-type echo-request -m state --state NEW -j ACCEPT
-−
       # Input Regeln
       iptables -A INPUT -p tcp -m multiport --dports $LOCAL_TCP_PORTS -m state --state NEW -j ACCEPT
-−
       # SNAT
       iptables -t nat -A POSTROUTING -s $LAN_NET -o $WANDEV -j SNAT --to-source $WANIP
-−
       # Portforwarding
       iptables -t nat -A PREROUTING -i $WANDEV -p tcp --dport 9922 -j DNAT --to-destination $WEBSERVER:22
       iptables -t nat -A PREROUTING -i $WANDEV -p tcp --dport 80 -j DNAT --to-destination $WEBSERVER:80
-−
       # Zugriff auf Webserver zulassen
       iptables -A FORWARD -i $WANDEV -d $WEBSERVER -p tcp --dport 22 -j ACCEPT
       iptables -A FORWARD -i $WANDEV -d $WEBSERVER -p tcp --dport 80 -j ACCEPT
-−
       # Zugriff vom LAN nach außen
       iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p icmp --icmp-type echo-request -j ACCEPT
       iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p udp --dport 53 -j ACCEPT
       iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p tcp -m multiport --dports 25,53,80,143,443,465,993 -j ACCEPT
-−
       # Eigene Kette für LAN nach WAN
       iptables -N LAN2WAN
@@ Zeile 89: / Zeile 89: @@
       iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p udp --dport 53 -j LAN2WAN
       iptables -A FORWARD -s $LAN_NET -i $LANDEV -o $WANDEV -p tcp -m multiport --dports 25,53,80,143,443,465,993 -j LAN2WAN
-−
       <span style="color:#FF0000"># Limitierte Logging-Regeln</span>
       <span style="color:#FF0000">iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "--iptables-drop-input--"</span>