{"draftJsState":{"blocks":[{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":8,"offset":26,"style":"BOLD"},{"length":9,"offset":59,"style":"BOLD"}],"text":"Начиная своё знакомство с iptables, следует рассказать про netfilter. Netfilter - это набор программных хуков внутри ядра Linux, которые позволяют модулям ядра регистрировать функции обратного вызова от стека сетевых протоколов.","type":"unstyled","key":"aeel3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Хук (hook) - это программный элемент, который позволяет перехватывать функции обратного вызова в чужих процессах.","type":"unstyled","key":"6vrc3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Netfilter является основой для построения Firewall'а в дистрибутивах Linux, но для того, чтобы он заработал в полную силу его нужно настроить. Как раз с помощью iptables мы можем взаимодействовать с хуками Netfilter и создавать правила фильтрации, маршрутизации, изменения и транслирования пакетов. Иногда про Netfilter забывают и называют эту связку просто iptables.","type":"unstyled","key":"cg408"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":8,"offset":0,"style":"BOLD"}],"text":"ВВЕДЕНИЕ","type":"header-three","key":"4viv5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":4,"offset":254,"style":"BOLD"}],"text":"Итак, iptables - это утилита для настройки программного Firewall'а (межсетевого экрана) linux, которая предустанавливается по умолчанию во все сборки Linux, начиная с версии 2.4. Запускается iptables из командной строки (CLI) под пользователем с правами root и настраивается там же.","type":"unstyled","key":"1tqap"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Можете в этом убедиться, набрав команду iptables -V в командной строке, она покажет вам версию iptables.","type":"unstyled","key":"13ru6"},{"data":{"image":{"id":"5bf7d93bcd1ead00ae384a56"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"7f7gv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Почему же iptables всем так понравился, что его стали включать во все сборки Linux? Всё дело в том, что iptables действительно очень прост в настройке. С помощью него можно решить следующие задачи:","type":"unstyled","key":"6rl3n"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Настроить stateless и statefull фильтрацию пакетов версий IPv4 и IPv6;","type":"unordered-list-item","key":"1s9g5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":172,"offset":0,"style":"ITALIC"}],"text":"Stateless - это фильтрация, основанная на проверке статических параметров одного пакета, например: IP адрес источника и получателя, порт и другие не изменяющиеся параметры.","type":"blockquote","key":"9d8qb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":140,"offset":0,"style":"ITALIC"}],"text":"Statefull - это фильтрация, основанная на анализе потоков трафика. С помощью нее можно определить параметры целой TCP сессии или UDP потока.","type":"blockquote","key":"frlcq"},{"data":{},"depth":0,"entityRanges":[{"key":0,"length":30,"offset":21}],"inlineStyleRanges":[],"text":"Настраивать все виды трансляции IP адресов и портов NAT, PAT, NAPT;","type":"unordered-list-item","key":"9nkef"},{"data":{},"depth":0,"entityRanges":[{"key":1,"length":3,"offset":19}],"inlineStyleRanges":[],"text":"Настроить политики QoS;","type":"unordered-list-item","key":"veqg"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Производить различные манипуляции с пакетами, например - изменять поля в заголовке IP.","type":"unordered-list-item","key":"5luq3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Прежде чем переходить к практике, давайте обратимся к теории и поймём саму логику iptables.","type":"unstyled","key":"f36l1"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":34,"offset":0,"style":"BOLD"}],"text":"ЛОГИКА И ОСНОВНЫЕ ПОНЯТИЯ IPTABLES","type":"header-three","key":"89ca6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":7,"offset":0,"style":"BOLD"}],"text":"ПРАВИЛА","type":"header-three","key":"f3m29"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":5,"offset":58,"style":"BOLD"}],"text":"Как и все файрволлы, iptables оперирует некими правилами (rules), на основании которых решается судьба пакета, который поступил на интерфейс сетевого устройства (роутера).","type":"unstyled","key":"46ml5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":11,"offset":52,"style":"BOLD"},{"length":12,"offset":227,"style":"BOLD"},{"length":11,"offset":249,"style":"BOLD"},{"length":2,"offset":268,"style":"BOLD"}],"text":"Ну допустим у нас есть сетевое устройство с адресом 192.168.1.1, на котором мы настроили iptables таким образом, чтобы запрещать любые ssh (порт 22) соединения на данный адрес. Если есть пакет, который идёт, например, с адреса 192.168.1.15 на адрес 192.168.1.1 и порт 22, то iptables скажет: “Э, нет, брат, тебе сюда нельзя” и выбросит пакет.","type":"unstyled","key":"1fm7d"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":64,"offset":0,"style":"ITALIC"}],"text":"Или вообще ничего не скажет и выбросит, но об этом чуть позже :)","type":"blockquote","key":"6da4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":8,"offset":37,"style":"BOLD"},{"length":8,"offset":47,"style":"BOLD"},{"length":8,"offset":58,"style":"BOLD"}],"text":"Каждое правило в iptables состоит из критерия, действия и счётчика","type":"unstyled","key":"4j1f9"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":8,"offset":0,"style":"BOLD"},{"length":2,"offset":236,"style":"BOLD"}],"text":"Критерий - это условие, под которое должны подпадать параметры пакета или текущее соединение, чтобы сработало действие. В нашем примере – этим условием является наличие пакета на входящем интерфейсе, устанавливающего соединение на порт 22","type":"unordered-list-item","key":"7qeb8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":8,"offset":0,"style":"BOLD"}],"text":"Действие - операция, которую нужно проделать с пакетом или соединением в случае выполнения условий критерия. В нашем случае – запретить пакет на порт 22","type":"unordered-list-item","key":"3fuud"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":7,"offset":0,"style":"BOLD"}],"text":"Счетчик - сущность, которая считает сколько пакетов было подвержено действию правила и на основании этого, показывает их объём в байтах.","type":"unordered-list-item","key":"6603r"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":7,"offset":0,"style":"BOLD"}],"text":"ЦЕПОЧКИ","type":"header-three","key":"ch4pf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":6,"offset":36,"style":"BOLD"}],"text":"Набор правил формируется в цепочки (chains)","type":"unstyled","key":"265c3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Существуют базовые и пользовательские цепочки.","type":"unstyled","key":"4jmv5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":15,"offset":0,"style":"BOLD"}],"text":"Базовые цепочки - это набор предустановленных правил, которые есть в iptables по умолчанию.","type":"unstyled","key":"dl96c"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Существует 5 базовых цепочек и различаются они в зависимости от того, какое назначение имеет пакет. Имена базовых цепочек записываются в верхнем регистре.","type":"unstyled","key":"3uhjb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":10,"offset":0,"style":"BOLD"}],"text":"PREROUTING - правила в этой цепочке применяются ко всем пакетам, которые поступают на сетевой интерфейс извне;","type":"unordered-list-item","key":"7en85"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":5,"offset":0,"style":"BOLD"}],"text":"INPUT - применяются к пакетам, которые предназначаются для самого хоста или для локального процесса, запущенного на данном хосте. То есть не являются транзитными;","type":"unordered-list-item","key":"8r63h"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":7,"offset":0,"style":"BOLD"}],"text":"FORWARD - правила, которые применяются к транзитным пакетам, проходящими через хост, не задерживаясь;","type":"unordered-list-item","key":"85hi6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":6,"offset":0,"style":"BOLD"}],"text":"OUTPUT - применяются к пакетам, которые сгенерированы самим хостом;","type":"unordered-list-item","key":"13sbf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":11,"offset":0,"style":"BOLD"}],"text":"POSTROUTING - применяются к пакетам, которые должны покинуть сетевой интерфейс.","type":"unordered-list-item","key":"69j2i"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":5,"offset":165,"style":"BOLD"},{"length":7,"offset":172,"style":"BOLD"},{"length":6,"offset":182,"style":"BOLD"}],"text":"В базовых цепочках обязательно устанавливается политика по умолчанию, как правило – принимать (ACCEPT) или сбрасывать (DROP) пакеты. Действует она только в цепочках INPUT, FORWARD и OUTPUT","type":"unstyled","key":"daaf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":7,"offset":0,"style":"BOLD"}],"text":"ТАБЛИЦА","type":"header-three","key":"88pau"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Таблицы - это набор базовых и пользовательских цепочек. В зависимости от того, в какой таблице находится цепочка правил, с пакетом или соединением производятся определённые действия","type":"unstyled","key":"68uea"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Существует 5 таблиц:","type":"unstyled","key":"fnuq2"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":6,"offset":0,"style":"BOLD"},{"length":7,"offset":180,"style":"BOLD"},{"length":5,"offset":189,"style":"BOLD"},{"length":6,"offset":196,"style":"BOLD"}],"text":"filter - таблица, выполняющая функции фильтрации пакетов по определённым параметрам. В большинстве случаев вы будете использовать именно её. Содержит следующие встроенные цепочки: FORWARD, INPUT, OUTPUT;","type":"unordered-list-item","key":"84ps4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":3,"offset":0,"style":"BOLD"},{"length":5,"offset":431,"style":"BOLD"},{"length":6,"offset":438,"style":"BOLD"}],"text":"raw - чтобы понять предназначение этой таблицы, нужно понимать логику работы statefull firewall'а. Дело в том, что по умолчанию, iptables рассматривает каждый пакет как часть большого потока и может определить какому соединению принадлежит тот или иной пакет. С помощью raw таблицы настраиваются исключения, которые будут рассматривать пакет как отдельную, ни к чему не привязанную сущность. Содержит следующие встроенные цепочки: INPUT, OUTPUT;","type":"unordered-list-item","key":"1sjr4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":3,"offset":0,"style":"BOLD"},{"length":10,"offset":117,"style":"BOLD"},{"length":6,"offset":129,"style":"BOLD"},{"length":11,"offset":137,"style":"BOLD"}],"text":"nat - таблица, предназначенная целиком по функции трансляции сетевых адресов. Содержит следующие встроенные цепочки: PREROUTING, OUTPUT, POSTROUTING;","type":"unordered-list-item","key":"bhd8p"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":6,"offset":0,"style":"BOLD"},{"length":10,"offset":175,"style":"BOLD"},{"length":5,"offset":187,"style":"BOLD"},{"length":7,"offset":194,"style":"BOLD"},{"length":6,"offset":203,"style":"BOLD"},{"length":12,"offset":211,"style":"BOLD"}],"text":"mangle - таблица, предназначенная для изменения различных заголовков пакета. Можно, например, изменить TTL, количество hop'ов и другое. Содержит следующие встроенные цепочки: PREROUTING, INPUT, FORWARD, OUTPUT, POSTROUTING>;","type":"unordered-list-item","key":"8ulhr"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":8,"offset":0,"style":"BOLD"}],"text":"security - используется для назначения пакетам или соединениям неких меток, которые в дальнейшем может интерпретировать SElinux.","type":"unordered-list-item","key":"as65v"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Теперь мы можем представить себе логику iptables в виде следующей схемы:","type":"unstyled","key":"8km96"},{"data":{"image":{"id":"5bf7d93b0528b100aa209b88"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"kgbb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":8,"offset":0,"style":"BOLD"}],"text":"ДЕЙСТВИЯ","type":"header-three","key":"82jh8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":6,"offset":89,"style":"BOLD"}],"text":"Ну и последнее, о чем нужно рассказать, прежде чем мы с вами начнем писать правила - это target. В контексте iptables, target - это действие, которое нужно проделать с пакетом или соединением, которое совпало с критериями правила.","type":"unstyled","key":"4soee"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Итак, наиболее используемые действия:","type":"unstyled","key":"7bhg6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":6,"offset":0,"style":"BOLD"}],"text":"ACCEPT - разрешить прохождение пакета;","type":"unordered-list-item","key":"8aphe"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":4,"offset":0,"style":"BOLD"}],"text":"DROP - тихо выбросить пакет, не сообщая причин;","type":"unordered-list-item","key":"ekqbf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":5,"offset":0,"style":"BOLD"}],"text":"QUEUE - отправляет пакет за пределы логики iptables, в стороннее приложение. Это может понадобиться, когда нужно обработать пакет в рамках другого процесса в другой программе;","type":"unordered-list-item","key":"7e8rl"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":6,"offset":0,"style":"BOLD"}],"text":"RETURN - остановить обработку правила и вернуться на одно правило назад. Это действие подобно break'у в языке программирования.","type":"unordered-list-item","key":"763l6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Помимо этих четырех, есть ещё масса других действий, которые называются расширенными (extension modules):","type":"unstyled","key":"43gdd"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":6,"offset":0,"style":"BOLD"}],"text":"REJECT - выбрасывает пакет и возвращает причину в виде ошибки, например: icmp unreachable;","type":"unordered-list-item","key":"47stu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":3,"offset":0,"style":"BOLD"}],"text":"LOG - просто делает запись в логе, если пакет соответствует критериям правила;","type":"unordered-list-item","key":"je6s"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":6,"offset":116,"style":"BOLD"},{"length":10,"offset":125,"style":"BOLD"},{"length":4,"offset":154,"style":"BOLD"},{"length":14,"offset":205,"style":"BOLD"},{"length":11,"offset":263,"style":"BOLD"},{"length":4,"offset":293,"style":"BOLD"},{"length":9,"offset":308,"style":"BOLD"}],"text":"Есть действия, которые доступны только в определенной цепочке и таблицах, например, только в табоице nat и цепочках OUTPUT и PREROUTING доступно действие DNAT, которое используется в NAT'ировании и меняет Destination IP пакета. В той же таблице, только в цепочке POSTRUNNING доступно действие SNAT, меняющее Source IP пакета.","type":"unstyled","key":"8hi6i"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":10,"offset":33,"style":"BOLD"},{"length":4,"offset":76,"style":"BOLD"}],"text":"Отдельно остановимся на действии MASQUERADE, которое делает то же самое что SNAT, только применяется на выходном интерфейсе, когда IP адрес может меняться, например, когда назначается по DHCP.","type":"unstyled","key":"4dd8u"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":13,"offset":0,"style":"BOLD"}],"text":"ПИШЕМ ПРАВИЛА","type":"header-three","key":"1vtvs"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Отлично, теперь давайте приближаться к практике. Как Вы уже поняли, мы будем писать правила, поэтому нам нужно понять, как они строятся.","type":"unstyled","key":"6u6up"},{"data":{},"depth":0,"entityRanges":[{"key":2,"length":19,"offset":132}],"inlineStyleRanges":[{"length":12,"offset":41,"style":"BOLD"},{"length":2,"offset":58,"style":"BOLD"},{"length":19,"offset":132,"style":"BOLD"},{"length":11,"offset":170,"style":"BOLD"}],"text":"Итак, допустим у нас есть хост с адресом 192.168.2.17, на 80 (http) порту которого, работает вэб-сервер Apache. Мы заходим на адрес http://192.168.2.17 с хоста с адресом 192.168.2.2 и всё отлично работает:","type":"unstyled","key":"7jgu6"},{"data":{"image":{"id":"5bf7d93b13b7d100aa9bbd82"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"fa6v2"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":4,"offset":40,"style":"BOLD"}],"text":"А теперь открываем командную строку под root на хосте 192.168.2.17 и пишем:","type":"unstyled","key":"dae89"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"iptables -A INPUT -p tcp -s 192.168.2.2 --dport 80 -j DROP ","type":"unstyled","key":"7te09"},{"data":{},"depth":0,"entityRanges":[{"key":3,"length":19,"offset":26}],"inlineStyleRanges":[{"length":19,"offset":26,"style":"BOLD"}],"text":"Попробуем открыть открыть http://192.168.2.17 ещё раз:","type":"unstyled","key":"5cdoc"},{"data":{"image":{"id":"5bf7d93bbf9a1400af48d0a8"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"b5fbe"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Упс, не работает. Давайте теперь разбираться, что мы наделали?","type":"unstyled","key":"1ip32"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Всё очень просто – данной командой мы:","type":"unstyled","key":"ff8m5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":8,"offset":16,"style":"BOLD"}],"text":"вызвали утилиту iptables;","type":"unordered-list-item","key":"2lpbu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":2,"offset":0,"style":"BOLD"}],"text":"-A - этим ключом мы указали, что нужно добавить правило к существующей цепочке;","type":"unordered-list-item","key":"722pf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":5,"offset":0,"style":"BOLD"}],"text":"INPUT - указали цепочку, к которой хотим добавить правило;","type":"unordered-list-item","key":"f9qo"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":6,"offset":0,"style":"BOLD"}],"text":"-p tcp - явно указали протокол TCP. Здесь также можно указывать другие протоколы (udp, icmp, sctp), или номер протокола, инкапсулируемого в IP (17 – udp, 6 – tcp и др.);","type":"unordered-list-item","key":"ddgga"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":14,"offset":0,"style":"BOLD"}],"text":"-s 192.168.2.2 - указали, какой адрес источника должен быть у пакета, который мы хотим фильтровать;","type":"unordered-list-item","key":"40ekd"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":10,"offset":0,"style":"BOLD"},{"length":2,"offset":94,"style":"BOLD"}],"text":"--dport 80 - указали адресованные какому порту пакеты мы хотим фильтровать. В данном случае - 80, на котором работает наш сервер Apache.","type":"unordered-list-item","key":"48j4a"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":7,"offset":0,"style":"BOLD"}],"text":"-j DROP - указали что нужно сделать с пакетом, параметры которого совпали с данными критериями. В данном случае – просто тихо выбросить.","type":"unordered-list-item","key":"8id2u"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Таким образом, мы заблокировали все пакеты с адреса 192.168.2.2 на локальный порт 80 и тем самым закрыли доступ к нашему серверу Apache для данного хоста.","type":"unstyled","key":"7viqj"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":121,"offset":0,"style":"ITALIC"},{"length":77,"offset":122,"style":"ITALIC"},{"length":2,"offset":200,"style":"ITALIC"},{"length":13,"offset":203,"style":"ITALIC"},{"length":6,"offset":122,"style":"BOLD"},{"length":2,"offset":200,"style":"BOLD"},{"length":7,"offset":208,"style":"BOLD"}],"text":"Обратите внимание – мы не указывали таблицу, в цепочки которой мы хотим добавить правило. Поэтому, по умолчанию таблица - filter. Для явного указания таблицы нужно перед указанием цепочки ввести ключ -t или (--table)","type":"blockquote","key":"2h55n"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":2,"offset":48,"style":"BOLD"},{"length":2,"offset":64,"style":"BOLD"}],"text":"Чтобы открыть доступ опять просто поменяем ключ -A в правиле на -D, тем самым мы удалим данное правило из iptables.","type":"unstyled","key":"8l7ml"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":18,"offset":0,"style":"BOLD"}],"text":"СИНТАКСИС IPTABLES","type":"header-three","key":"9and1"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Друзья, на самом деле в iptables очень богатый синтаксис правил. Полный список ключей и параметров вы можете найти в официальном гайде на iptables.org. Мы же приведём самые “ходовые” опции, которыми вы, вероятно, будете пользоваться. Чтобы вы не запутались, мы приводим их в табличках ниже.","type":"unstyled","key":"21t8t"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":103,"offset":0,"style":"ITALIC"},{"length":2,"offset":104,"style":"ITALIC"},{"length":14,"offset":107,"style":"ITALIC"},{"length":9,"offset":122,"style":"ITALIC"},{"length":2,"offset":132,"style":"ITALIC"},{"length":14,"offset":135,"style":"ITALIC"},{"length":8,"offset":150,"style":"ITALIC"},{"length":2,"offset":159,"style":"ITALIC"},{"length":14,"offset":162,"style":"ITALIC"},{"length":69,"offset":177,"style":"ITALIC"},{"length":2,"offset":104,"style":"BOLD"},{"length":8,"offset":122,"style":"BOLD"},{"length":2,"offset":132,"style":"BOLD"},{"length":7,"offset":150,"style":"BOLD"},{"length":2,"offset":159,"style":"BOLD"},{"length":8,"offset":177,"style":"BOLD"}],"text":"Для удобства, в iptables реализовано очень много сокращений для разных ключей. Например, мы писали ключ -A вместо полного --append, -p вместо полного --protoи -s вместо полного --source, дальше мы покажем, что ещё можно сократить и где применить.","type":"blockquote","key":"dkads"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Начнём с команд для редактирования правил и цепочек – добавления, удаления, замены и так далее:","type":"unstyled","key":"ep279"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":44,"offset":0,"style":"BOLD"}],"text":"коротко <-> синтаксис правила <-> применение","type":"unstyled","key":"8siub"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-A <-> --append {цепочка правила} <-> добавить правило к цепочке (в самое начало)","type":"unstyled","key":"f8hf5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-D <-> --delete {цепочка правила} <-> удалить правило из цепочки","type":"unstyled","key":"f2k6a"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-D <-> --delete {номер правила в цепочке} <-> удалить правило из цепочки по номеру (1 - x)","type":"unstyled","key":"af8r4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-I <-> --insert {номер правила вцепочке} <-> вставить правило в цепочку по номеру (1 - x)","type":"unstyled","key":"7n68b"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-R <-> --replace {номер правила вцепочке} <-> заменить правило в цепочке по номеру (1 - x)","type":"unstyled","key":"8eiic"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-X <-> --delete-chain {цепочка} <-> удалить цепочку (только для пользовательских)","type":"unstyled","key":"54t1p"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-E <-> --rename-chain {старое имя цепочки} {новое имя цепочки} <-> переименовать цепочку","type":"unstyled","key":"6o6g4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-N <-> --new {имя цепочки} <-> создание новой пользовательской цепочки","type":"unstyled","key":"cbj8r"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-C <-> --check {правило цепочки} <-> проверит наличие правила в цепочке","type":"unstyled","key":"5lccm"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-F <-> --flush {цепочка} <-> удаляет все правила в цепочке, если цепочка не указана – удалятся все правила","type":"unstyled","key":"a4m4t"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-Z <-> --zero {цепочка} {номер правила вцепочке} <-> обнуляет все счётчики пакетов и байтов в цепочке или всех цепочках","type":"unstyled","key":"d50d6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-P <-> --policy {цепочка} {номер правила вцепочке} <-> изменяет политику по умолчанию, она должна основываться на встроенном target’e {ACCEPT, DROP, QUEUE}","type":"unstyled","key":"e40mr"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Продолжим синтаксисом настройки правил – на каком сетевом интерфейсе следить за пакетами, какой протокол проверять, адрес источника, назначения и так далее.","type":"unstyled","key":"bu5oj"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":73,"offset":0,"style":"ITALIC"},{"length":24,"offset":74,"style":"ITALIC"},{"length":60,"offset":99,"style":"ITALIC"},{"length":1,"offset":74,"style":"BOLD"},{"length":2,"offset":99,"style":"BOLD"}],"text":"Кстати, перед некоторыми параметрами можно ставить восклицательный знак - !, означающее логическое НЕ. В таблице мы пометим такие параметры таким значком – (!)","type":"blockquote","key":"54efg"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":42,"offset":0,"style":"BOLD"}],"text":"коротко <-> синтаксис опции <-> применение","type":"unstyled","key":"dhihd"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-p <-> (!) --proto {протокол} <-> протокол {tcp, udp, udplite, icmp, esp, ah, sctp} или номер протокола {16,7}, all - все протоколы","type":"unstyled","key":"5bfmv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-4 <-> --ipv4 <-> указывает версию протокола ipv4","type":"unstyled","key":"4int7"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-6 <-> --ipv6 <-> указывает версию протокола ipv6","type":"unstyled","key":"7ccc3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-s <-> (!) --source {адрес/маска} <-> указывает ip адрес источника","type":"unstyled","key":"bpjbs"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-d <-> (!) --destination {адрес/маска} <-> указывает ip адрес назначения","type":"unstyled","key":"udd0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-m <-> --match <-> включает дополнительные модули, явно задающимися данным ключем. например m limit --limit 3/min - установит лимит на количество пакетов в минуту","type":"unstyled","key":"4hria"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-f <-> (!) --fragment <-> включает обработку фрагментированных пакетов, в которых нет параметров изначального полного пакета, содержащихся в первом фрагменте пакета","type":"unstyled","key":"9rmae"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-i <-> (!) --in-interface {имя интерфейса} <-> обрабатывает только входящие пакеты, прилетающие на сетевой интерфейс {имя интерфейса}","type":"unstyled","key":"7jfvm"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-o <-> (!) --out-interface {имя интерфейса} <-> обрабатывает только исходящие пакеты, прилетающие на сетевой интерфейс {имя интерфейса}","type":"unstyled","key":"8mmu8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"--set-counters {пакеты} {байты} <-> включает счётчик для ключей--insert, --append, --replace","type":"unstyled","key":"1a7q5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Теперь рассмотрим опции для действий, которые должны сработать по совпадению критериев:","type":"unstyled","key":"ehmeq"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":42,"offset":0,"style":"BOLD"}],"text":"коротко <-> синтаксис опции <-> применение","type":"unstyled","key":"bg6le"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-j <-> --jump {действие} <-> применяет одно из действий accept, drop, reject и другие","type":"unstyled","key":"2m5lu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-g <-> --goto {цепочка} <-> переходит к другой цепочке правил","type":"unstyled","key":"2bd2c"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Теперь рассмотрим какую информацию мы можем вытянуть с помощью iptables и какие опции для этого нужно использовать:","type":"unstyled","key":"6iukl"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":44,"offset":0,"style":"BOLD"}],"text":"коротко <-> синтаксис команды <-> применение","type":"unstyled","key":"dce9h"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-l <-> --list {цепочка} {номер правила} <-> показывает правила в цепочке или всех цепочках. по умолчанию покажет таблицу filter","type":"unstyled","key":"fccdh"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-s <-> --list-rules{цепочка} {номер правила} <-> показывает текст правила в цепочке или всех цепочках","type":"unstyled","key":"eb07f"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-n <-> --numeric <-> покажет параметры правила в числовом виде. например не порт будет не http, а 80","type":"unstyled","key":"b1i30"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-v <-> --verbose <-> выводит более подробную информацию","type":"unstyled","key":"ddd4h"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-v <-> --version <-> покажет версию iptables","type":"unstyled","key":"a7rsn"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"-x <-> --exact <-> покажет точные значения числовых параметров","type":"unstyled","key":"5tmgr"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"--line-numbers <-> покажет номера правил","type":"unstyled","key":"ahreu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Для быстрого получения информации о настроенных правилах и о метриках их срабатывания, часто применяется команда, комбинирующая 3 ключа - iptables -nLv. Например, для настроенного нами ранее правила – вывод будет такой:","type":"unstyled","key":"dodma"},{"data":{"image":{"id":"5bf7d93bcd1ead00ae384a57"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"34amv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":16,"offset":0,"style":"BOLD"}],"text":"ПРИМЕР ПОСЛОЖНЕЕ","type":"header-three","key":"3k47j"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":12,"offset":79,"style":"BOLD"},{"length":3,"offset":214,"style":"BOLD"},{"length":6,"offset":322,"style":"BOLD"},{"length":2,"offset":360,"style":"BOLD"}],"text":"Давайте рассмотрим ещё один пример. Допустим у нас во локальной сети есть хост 192.168.2.19 с сервером Apache. Мы хотим сделать его доступным из Интернета. Для этого нам нужно воспользоваться возможностями таблицы nat и написать правило, которое будет перенаправлять входящий http трафик на внешний интерфейс (пусть будет enp0s3 с адресом 101.12.13.14) и порт 80 на адрес нашего сервера внутри сети и 80 порт – 192.168.2.19:80. По сути – нужно сделать проброс портов.","type":"unstyled","key":"5bego"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Напишем такое правило:","type":"unstyled","key":"87qrj"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"iptables -t nat -A PREROUTING -i enp0s3 -p tcp --dport 80 -j DNAT --to 192.168.2.19:80","type":"unstyled","key":"7098h"},{"data":{},"depth":0,"entityRanges":[{"key":4,"length":19,"offset":34}],"inlineStyleRanges":[{"length":19,"offset":34,"style":"BOLD"}],"text":"Теперь если мы перейдём по адресу http://101.12.13.14, то должны попасть на наш Apache.","type":"unstyled","key":"dt1c2"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Возможности iptables настолько обширны, что мы могли бы начать писать новую Базу знаний по нему. В статье мы показали лишь базовые варианты применения. Это действительно великий инструмент и освоить его не так уж сложно. Надеюсь, данная статья Вам в этом поможет. Спасибо за внимание!","type":"unstyled","key":"abnnu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"marker","key":"yZEN13XjDBFhZRX55qJP"}],"entityMap":{"0":{"data":{"href":"https://wiki.merionet.ru/seti/13/nat-na-palcax-chto-eto/","url":"https://wiki.merionet.ru/seti/13/nat-na-palcax-chto-eto/"},"mutability":"MUTABLE","type":"LINK"},"1":{"data":{"href":"https://wiki.merionet.ru/ip-telephoniya/qos-networks/","url":"https://wiki.merionet.ru/ip-telephoniya/qos-networks/"},"mutability":"MUTABLE","type":"LINK"},"2":{"data":{"href":"http://192.168.2.17/","url":"http://192.168.2.17/"},"mutability":"MUTABLE","type":"LINK"},"3":{"data":{"href":"http://192.168.2.17/","url":"http://192.168.2.17/"},"mutability":"MUTABLE","type":"LINK"},"4":{"data":{"href":"http://101.12.13.14/","url":"http://101.12.13.14/"},"mutability":"MUTABLE","type":"LINK"}}},"mentions":[]}