Nftables und layer2 Firewall - Versionsgeschichte

Thomas.will: /* Regeln */

2024-06-13T17:57:29Z

Regeln

Thomas.will: /* Regeln */

2024-06-13T17:56:05Z

Regeln

Thomas.will: /* Regeln */

2024-06-13T17:52:58Z

Regeln

Thomas.will: /* nftables schnellstart */

2024-03-07T07:54:15Z

nftables schnellstart

Thomas.will: /* Regeln */

2024-03-07T07:42:55Z

Regeln

Thomas.will: /* Regeln */

2024-03-07T07:42:32Z

Regeln

Thomas.will am 6. März 2024 um 19:19 Uhr

2024-03-06T19:19:54Z

Thomas.will: /* Zustandslose Filterung */

2024-03-06T19:17:21Z

Zustandslose Filterung

Thomas.will: /* Regeln */

2024-03-06T18:58:21Z

Regeln

Thomas.will: /* Regeln */

2024-03-06T18:56:08Z

Regeln

@@ Zeile 73: / Zeile 73: @@
 =Regeln=
-*cat  nftables.conf
+*cat  /etc/nftables.conf
 <pre>
 #!/usr/sbin/nft -f
 define open    = enp0s8
 define filter  = enp0s9
 flush ruleset
 table bridge filter {
@@ Zeile 89: / Zeile 86: @@
 	        iif $open ether type arp accept
                  iif $filter ether type arp accept
-                 #icmp von filter nach open freischalten
+                 ####icmp von filter nach open freischalten
-                 iif $filter oif $open ip protocol icmp ct state new accept
+                 #iif $filter oif $open ip protocol icmp ct state new accept
-                 #dns von filter nach open freischalten
+                 ####dns von filter nach open freischalten
-                 iif $filter oif $open udp dport 53 ct state new accept
+                 #iif $filter oif $open udp dport 53 ct state new accept
-                 #http von filter nach open freischalten
+                 ####http von filter nach open freischalten
-                 iif $filter oif $open tcp dport 80 ct state new accept
+                 #iif $filter oif $open tcp dport 80 ct state new accept
-                 #https von filter nach open freischalten
+                 ####https von filter nach open freischalten
-                 iif $filter oif $open tcp dport 443 ct state new accept
+                 #iif $filter oif $open tcp dport 443 ct state new accept
-                 #alles von open nach filter freischalten
+                 ####alles von open nach filter freischalten
-                 iif $open oif $filter ct state new accept
+                 #iif $open oif $filter ct state new accept
-                 # Loggen von abgelehnten Paketen
+                 #### Loggen von abgelehnten Paketen
                  log prefix " nft-drop"
+         }
@@ Zeile 105: / Zeile 102: @@
 </pre>
 =Regel Handling=
 ;Laden der Regeln

← Nächstältere Version		Version vom 13. Juni 2024, 17:56 Uhr
Zeile 105:		Zeile 105:

	</pre>		</pre>
		+	=Regel Handling=
		+	;Laden der Regeln
		+	*nft -f /etc/nftables.conf
		+	;Kontrolle der Regeln
		+	*nft list ruleset
		+	;Löschender Regeln
		+	*nft flush ruleset
		+	=Live Log der Regel Verstösse=
		+	*journalctl -f -t kernel -g "nft-drop"

@@ Zeile 73: / Zeile 73: @@
 =Regeln=
 <pre>
 #!/usr/sbin/nft -f
 flush ruleset
 table bridge filter {
          chain forward {
                  type filter hook forward priority 0; policy drop;
                  ct state established,related accept
-                 iif enp0s8 ether type arp accept
+                 # Arp freischalten
-                 iif enp0s9 ether type arp accept
+	        iif $open ether type arp accept
-                 oif enp0s9 udp dport 53 ct state new accept
+                 iif $filter ether type arp accept
-                 oif enp0s9 tcp dport 80 ct state new accept
+                 #icmp von filter nach open freischalten
-                 oif enp0s9 tcp dport 443 ct state new accept
+                iif $filter oif $open ip protocol icmp ct state new accept
-                 oif enp0s9 ip protocol icmp ct state new accept
+                #dns von filter nach open freischalten
                  # Loggen von abgelehnten Paketen
-                 log prefix " nftables drop: "
+                 log prefix " nft-drop"
+         }
+}
 </pre>

@@ Zeile 69: / Zeile 69: @@
 =nftables schnellstart=
 *[[nftables schnellstart]]
+=Bridge Firewall=
 =Regeln=

@@ Zeile 84: / Zeile 84: @@
                  iif enp0s8 ether type arp accept
                  iif enp0s9 ether type arp accept
-                 oif "enp0s9" udp dport 53 ct state new accept
+                 oif enp0s9 udp dport 53 ct state new accept
-                 oif "enp0s9" tcp dport 80 ct state new accept
+                 oif enp0s9 tcp dport 80 ct state new accept
-                 oif "enp0s9" tcp dport 443 ct state new accept
+                 oif enp0s9 tcp dport 443 ct state new accept
-                 oif "enp0s9" ip protocol icmp ct state new accept
+                 oif enp0s9 ip protocol icmp ct state new accept
                  # Loggen von abgelehnten Paketen
                  log prefix " nftables drop: "

@@ Zeile 58: / Zeile 58: @@
 *nft add rule bridge filter forward ether type arp accept
 =Zustandsabhängige Filterung=
-*Die Bridge-Familie unterstützt die Verbindungsverfolgung seit Linux-Kernel 5.3.
+*Die Bridge-Familie unterstützt die Verbindungsverfolgung.
 *Sie müssen nur auf den Verbindungsstatusinformationen aus Ihrer Regelmenge übereinstimmen, um dies zu aktivieren.
 =Beispiel: Zustandsabhängige Bridge-Firewall=
-*Das folgende Beispiel zeigt, wie eine zustandsabhängige Bridge-Firewall bereitgestellt wird.
+*Wir erstellen einen bridgefilter
-*Dies setzt voraus, dass die Bridge-Schnittstelle keine IP-Adresse hat.
+*Wir erstellen die Policy drop
-=Angenommen, eine Bridge mit zwei Ports, eth0 und eth1=
+*Connection Tracking wie üblich
-*Ein Desktop-Computer ist mit dem Bridge-Port eth0 verbunden.
+*arp ist generell erlaubt
-*Ein Webserver (mit SSH für die Remote-Verwaltung) ist mit dem Bridge-Port eth1 verbunden.
 =nftables schnellstart=

@@ Zeile 52: / Zeile 52: @@
 ;postrouting:
 *Hier können Pakete gefiltert werden, die entweder vom IP-Stack kommen oder von einem anderen Bridge-Port weitergeleitet werden.
-=Zustandslose Filterung=
+=Arp=
-Wenn Sie den TCP-Zielport in IPv4-Paketen filtern möchten:
+*arp ist im Gegensatz zur Layer 3 Firewall nicht automatisch freigeschaltet
-*nft add rule bridge filter forward ether type ip tcp dport 22 accept
 =Ein weiteres Beispiel zum Akzeptieren von ARP-Paketen=
 *nft add rule bridge filter forward ether type arp accept

@@ Zeile 72: / Zeile 72: @@
 *Verbindungen zu den HTTP- und SSH-Diensten zum Server sind erlaubt.
 *Von innen in die Bridge können der Desktop-Computer und der Webserver überall Verbindungen initiieren:
 =Regeln=
 <pre>

@@ Zeile 78: / Zeile 78: @@
 flush ruleset
-define adm = enp0s3
+table bridge filter {
          chain forward {
-                 type filter hook forward priority 0;  policy drop;
+                 type filter hook forward priority 0; policy drop;
                  ct state established,related accept
-                 iif $adm ct state new accept
+                 iif enp0s8 ether type arp accept
-                 oif $adm ct state new accept
+                iif enp0s9 ether type arp accept
-                 iif $dmz  oif $dmz-out ct state new accept
+                oifname "enp0s9" udp dport 53 ct state new accept
-                 iif $dmz-out  oif $dmz ct state new accept
+                 oifname "enp0s9" tcp dport 80 ct state new accept
-                 log prefix "--nftables-bridge-drop--"
+                 oifname "enp0s9" tcp dport 443 ct state new accept
+         }
 </pre>