IPTables: Configurare il Firewall (Ubuntu)

Twitter

Linkedin

Facebook

Tumblr

email

Utilizzare IPTables

Lo strumento principale per gestire il firewall su Ubuntu è iptables, corredato di alcuni tool, tra cui iptables-restore, iptables-save ed iptables. Iptables permette di definire politiche di comportamento ed eventuali eccezioni, ovvero accettare o rifiutare determinati tipi di connessioni ad eccezione di alcuni specifici casi da noi definiti.
Vi sono 2 modi per utilizzare iptables:

1. RIGA DI COMANDO

   Veloce e temporaneo, qualsiasi regola verrà dimenticata al riavvio. Si può impostare una regola o una politica per volta, quindi in alcuni casi potrebbe essere necessario concatenare più comandi per evitare di isolare il server dall’esterno.

   Definizione Politiche INPUT, FORWARD ed OUTPUT:

   Shell

   iptables -P

   1	iptables -P

   Definizione regole per l’apertura o la chiusura di porte specifiche:

   Shell

   iptables -A

   1	iptables -A

2. ELENCO REGOLE SU FILE

   Pratico ed efficiente per configurazioni definitive.
   Il file può essere usato temporaneamente o definitivamente.
   Il file di configurazione deve seguire alcune regole, se si desidera specificare le politiche è necessario precedere tale elenco da *filter ed ogni voce deve essere preceduta dal due-punti (:), inoltre nell’ultima riga deve esserci COMMIT per confermare l’esecuzione delle politiche e delle regole. Il cancelletto (#) è il simbolo utilizzato per i commenti.

   Un esempio di configurazione:

   Shell

   # Dichiarazione Politiche *filter :INPUT :FORWARD :OUTPUT -A INPUT -A OUTPUT COMMIT

   1 2 3 4 5 6 7 8

   # Dichiarazione Politiche *filter :INPUT :FORWARD :OUTPUT -A INPUT -A OUTPUT COMMIT

   Una volta compilato il file di configurazione dovremo servirci dei seguenti comandi per poter caricare o salvare una configurazione iptables da o su file.

3. Applicare e salvare la configurazione

   Caricare una configurazione da file:

   Shell

   iptables-restore < [nome file]

   1	iptables-restore < [nome file]

   Salvare la configurazione su file:

   Shell

   iptables-save > [nome file]

   1	iptables-save > [nome file]

   Salvare la configurazione in modo permanente (è possibile omettere il comando “sudo -i” se si è già root):

   Shell

   sudo -i iptables-save > /etc/iptables.up.rules

   1 2	sudo -i iptables-save > /etc/iptables.up.rules

• Configurare il firewall

  Inserire le parti di proprio interesse (oltre alle prime 3 che sono indispensabili) nel proprio file di configurazione o eseguire una serie di comandi iptables concatenati. Ricordarsi inoltre di inserire COMMIT alla fine del file di configurazione

  1. Consultare e Ripulire (LIST & FLUSH)

     Prima di iniziare potrebbe essere necessario rimuovere o verificare le regole iptables esistenti sul proprio server.

     Consultare la lista delle regole in vigore (LIST):

     Shell

     iptables -L

     1	iptables -L

     Ripulire l’elenco regole (FLUSH):

     Shell

     # Autorizzo le connessioni in ingresso iptables -P INPUT ALLOW # Elimino le regole iptables -F

     1 2 3 4

     # Autorizzo le connessioni in ingresso iptables -P INPUT ALLOW # Elimino le regole iptables -F

  2. Politiche Filtri

     Le politiche permettono di definire il comportamento predefinito del firewall per i vari tipi di pacchetti in transito (connessioni). Una buona politica di base rifiuta (DROP) qualsiasi pacchetto in ingresso o reindirizzato (FORWARD) ed ammette tutti quelli in uscita (OUTPUT).

     Definizione delle politiche base nel file di configurazione:

     Shell

     *filter :INPUT DROP :FORWARD DROP :OUTPUT ACCEPT

     1 2 3 4

     *filter :INPUT DROP :FORWARD DROP :OUTPUT ACCEPT

     Definizione delle politiche base da riga di comando (concatenare i comandi assieme a quelli loopback, di persistenza e per l’apertura della porta SSH per evitare di restare isolati fuori dal server):

     Shell

     iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT

     1 2 3

     iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT

  3. LOOPBACK

     Si accettino tutti pacchetti in entrata dall’interfaccia di loopback (la porta usata dal server per dialogare con se stesso: localhost / 127.0.0.1)

     Shell

     -A INPUT -i lo -j ACCEPT

     1	-A INPUT -i lo -j ACCEPT

  4. Persistenza connessioni (STABILITE e CORRELATE)

     Le connessioni sono di 3 tipi: Nuove, Stabilite e Correlate; è quindi necessario garantire l’accesso ai pacchetti di quelle Stabilite e Correlate in modo da autorizzare automaticamente le risposte a connessioni che partono dal server verso l’esterno o la comunicazione su ulteriori porte per servizi che usano una porta per la richiesta di connessione ed un altra, a volte casuale, per la comunicazione.

     Shell

     -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

     1	-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

  5. SSH (indispensabile se si lavora in remoto)

     Apertura porta TCP 22 per accettare le connessioni ssh in ingresso.

     Shell

     -A INPUT -p tcp --dport 22 -j ACCEPT

     1	-A INPUT -p tcp --dport 22 -j ACCEPT

  6. HTTP

     Apertura della porta TCP 80 per accettare le connessioni in ingresso al server web.

     Shell

     -A INPUT -p tcp --dport 80 -j ACCEPT

     1	-A INPUT -p tcp --dport 80 -j ACCEPT

  7. HTTPS

     Apertura della porta TCP 443 per accettare le connessioni in ingresso al server web sicuro.

     Shell

     -A INPUT -p tcp --dport 443 -j ACCEPT

     1	-A INPUT -p tcp --dport 443 -j ACCEPT

  8. DNS

     Apertura della porta UDP 53 per poter fornire il servizio DNS (come ad esempio bind9, puoi consultare una guida completa qui) ad altri computer della rete o verso l’esterno. Consenso richieste TCP su qualsiasi porta dalla porta di partenza 53.

     Shell

     -A INPUT -p udp --dport 53 -j ACCEPT -A INPUT -p tcp --sport 53 -j ACCEPT

     1 2	-A INPUT -p udp --dport 53 -j ACCEPT -A INPUT -p tcp --sport 53 -j ACCEPT

  9. SAMBA

     Apertura delle porte TCP 139,445 e UDP 137,138 per rendere accessibile il servizio SAMBA

     Shell

     -A INPUT -p tcp --dport 139 -j ACCEPT -A INPUT -p tcp --dport 445 -j ACCEPT -A INPUT -p udp --dport 137 -j ACCEPT -A INPUT -p udp --dport 138 -j ACCEPT

     1 2 3 4

     -A INPUT -p tcp --dport 139 -j ACCEPT -A INPUT -p tcp --dport 445 -j ACCEPT -A INPUT -p udp --dport 137 -j ACCEPT -A INPUT -p udp --dport 138 -j ACCEPT

  10. FTP

      Apertura della porta TCP 21 per il server FTP

      Shell

      -A INPUT -p tcp --dport 21 -j ACCEPT

      1	-A INPUT -p tcp --dport 21 -j ACCEPT

  11. SMTP

      Apertura della porta TCP 25 per il server SMTP

      Shell

      -A INPUT -p tcp --dport 25 -j ACCEPT

      1	-A INPUT -p tcp --dport 25 -j ACCEPT

      Apertura della porta TCP 587 per il server SMTP

      Shell

      -A INPUT -p tcp –dport 587 -j ACCEPT

      1	-A INPUT -p tcp –dport 587 -j ACCEPT

  12. IMAP

      Apertura delle porte TCP 143 per il server IMAP

      Shell

      -A INPUT -p tcp --dport 143 -j ACCEPT

      1	-A INPUT -p tcp --dport 143 -j ACCEPT

  13. IMAPS

      Apertura delle porte TCP 993 per il server IMAP in modalità sicura

      Shell

      -A INPUT -p tcp --dport 993 -j ACCEPT

      1	-A INPUT -p tcp --dport 993 -j ACCEPT

  14. POP3

      Apertura delle porte TCP 110 e 995 per il server POP3

      Shell

      -A INPUT -p tcp --dport 110 -j ACCEPT -A INPUT -p tcp --dport 993 -j ACCEPT

      1 2	-A INPUT -p tcp --dport 110 -j ACCEPT -A INPUT -p tcp --dport 993 -j ACCEPT

  15. Hamachi

      Apertura delle porte TCP 12957,32976 e della porta UDP 17771 per permettere al servizio di tunnelling logmein-hamachi di funzionare correttamente.

      Shell

      -A INPUT -p tcp --dport 12957 -j ACCEPT -A INPUT -p tcp --dport 32976 -j ACCEPT -A INPUT -p udp --dport 17771 -j ACCEPT

      1 2 3

      -A INPUT -p tcp --dport 12957 -j ACCEPT -A INPUT -p tcp --dport 32976 -j ACCEPT -A INPUT -p udp --dport 17771 -j ACCEPT

  16. COMMIT (solo nel file di configurazione)

      Come precedentemente descritto, è necessario inserire tale comando alla fine del documento di configurazione; non ne è previsto l’utilizzo quando si definiscono le regole da riga di comando poiché vengono elaborate immediatamente.

      Shell

      # Fine delle politiche e delle regole COMMIT

      1 2	# Fine delle politiche e delle regole COMMIT

Twitter

Linkedin

Facebook

Tumblr

email

Questo post è disponibile anche in: Inglese