Social
15.12.2021
648561

Настройка Linux-фаервола iptables

Iptables — утилита командной строки, является стандартным интерфейсом управления работой межсетевого экрана для операционных систем Linux. Что такое iptables Как сказано выше, iptables является утилитой, выполняющей функции межсетевого экрана. Ее настройка производится в командной строке. С помощью правил iptables можно разрешать или блокировать прохождение трафика. Когда происходит попытка установления соединения с текущей машиной, iptables просматривает […]

Iptables — утилита командной строки, является стандартным интерфейсом управления работой межсетевого экрана для операционных систем Linux.

Что такое iptables

Как сказано выше, iptables является утилитой, выполняющей функции межсетевого экрана. Ее настройка производится в командной строке. С помощью правил iptables можно разрешать или блокировать прохождение трафика. Когда происходит попытка установления соединения с текущей машиной, iptables просматривает список правил в списке, чтобы понять, как нужно поступить в этом случае. Если правила нет, то выполняется действие по умолчанию.

Как правило, itpables предустанавливается на всех Linux-дистрибутивах. Чтобы обновить утилиту, или установить ее, если по каким-то причинам она отсутствует в базовой поставке, нужно воспользоваться следующей командой:

# yum install iptables-services		-Centos

Установка Ipset

#yum install ipset			-Centos

Типы правил

В iptables существует три типа правил: input, forward и output.

Input (Входящие) — данные цепочки фильтруют входящие соединения.

Forward (Сквозные) — правила данного типа применяются для входящих соединений, которые перенаправляются дальше и не предназначены данному серверу или маршрутизатору.

Output (Исходящие) — используются для исходящих соединений с данного сервера или маршрутизатора. Чаще всего не настраиваются.

Действие по умолчанию

Перед тем как настраивать межсетевой экран, определяемся каким должно быть поведение цепочек правил по умолчанию или как поступит iptables, если соединение не подходит ни под одно правило.

Смотрим текущие настройки iptables по умолчанию.

Увидеть текущие настройки iptables по умолчанию можно с помощью команды iptables -L | grep policy:

рис. 1

Видим, что входящие и сквозные соединения запрещены, а исходящие разрешены.

Можно добавлять правила в iptables командами через терминал. Но мы сделаем это через скрипт.

Далее создаем исполняемый скрипт:

# touch /root/script_iptables.sh

Даем права на исполнение:

# chmod 755 script_iptables.sh
# nano  /root/script_iptables.sh

Пример скрипта:

#!/bin/sh
### Скрипт конфигурации iptables ###
IPTABLES=/sbin/iptables
IP6TABLES=/sbin/ip6tables
IPSET=/usr/sbin/ipset

#Установка политик по умолчанию
$IPTABLES -P INPUT ACCEPT
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT ACCEPT

$IPTABLES -F 					# Очищаем все цепочки таблицы filter
$IP6TABLES -F					# Цепочки создаются ниже скриптом, поэтому для 
$IPTABLES -F -t raw				# повторного использования скрипта нам нужно их 
$IPTABLES -X VPN 2>/dev/null			# очистить и удалить, затем снова создать.
$IPTABLES -X PHONES 2>/dev/null
$IPTABLES -X ADMIN 2>/dev/null
$IPTABLES -X SIP 2>/dev/null
$IPSET -F
$IPTABLES -X							#Удалить цепочку
$IPSET -X

#
# Настраиваем ipset
#
$IPSET -N blacklist hash:net					#Создать цепочку ipset
# Cписок подсетей для блокировки.
$IPTABLES -A INPUT -m set --match-set blacklist src -j DROP
#Баним не Российские ip адреса. Для примера:
$IPSET -A blacklist 1.0.0.0/8
$IPSET -A blacklist 7.0.0.0/8

#
# Доступ по VPN, где tunnel это Network interface
#
$IPTABLES -N VPN
$IPTABLES -A VPN -i tunnel -s 192.168.0.100/16 -j ACCEPT # VPN
$IPTABLES -A VPN -j RETURN
#
#Создаем цепочку ADMINС для выполнения административных действий (SSH и HTTP)
#
$IPTABLES -N ADMIN
$IPTABLES -A ADMIN -j VPN
$IPTABLES -A ADMIN -s 10.0.0.0/8 -j ACCEPT
$IPTABLES -A ADMIN -s 192.168.0.0/16 -j ACCEPT
$IPTABLES -A ADMIN -j RETURN

#
# Цепочка для подсети телефонов, если они используются
#
$IPTABLES -N PHONES 
$IPTABLES -A PHONES -s 192.168.0.0/16 -j ACCEPT
$IPTABLES -A PHONES -j VPN
$IPTABLES -A PHONES -j RETURN
# Сюда заносим подсети из которых можно подключаться по SIP
#
# Создаем цепочку SIP, в которую входят цепочки Телефонов и Провайдеров.
$IPTABLES -N SIP 
# Телефоны
$IPTABLES -A SIP -j PHONES
# Провайдер
$IPTABLES -A SIP -s 88.77.66.55 -j ACCEPT
$IPTABLES -A SIP -j RETURN

#
#Разрешаем порты для цепочек ADMIN, SIP соответственно необходимо эти цепочки создать
#
$IPTABLES -A INPUT -p tcp --dport 22 -j ADMIN 				# SSH
$IPTABLES -A INPUT -p tcp --dport 80 -j ADMIN 				# HTTP
$IPTABLES -A INPUT -p tcp --dport 443 -j ADMIN 			# HTTPS
$IPTABLES -A INPUT -p udp --dport 5060 -j SIP				# SIP
$IPTABLES -A INPUT -p tcp --dport 5060 -j SIP				# SIP TCP

# Закрываем входящий трафик, не подходящий под правила.
$IPTABLES -P INPUT DROP

#
# Скидываем весь IP6, вдруг он включен
#
$IP6TABLES -P INPUT DROP 2>/dev/null
$IP6TABLES -P FORWARD DROP 2>/dev/null
$IP6TABLES -P OUTPUT DROP 2>/dev/null
service ip6tables save >/dev/null 2>&1
systemctl enable ip6tables.service

#Применяем настройки
service iptables save
service ipset save
systemctl enable iptables.service
systemctl enable ipset.service
systemctl restart fail2ban.service

Сохраняем файл.

Запускаем скрипт:

# ./script_iptables.sh
рис. 2

Проверяем соединение:

рис. 3

Проверяем правила iptables:

рис. 4
Подписаться
Уведомить о
guest
0 комментариев
Межтекстовые Отзывы
Посмотреть все комментарии

Остались вопросы?

Я - Игорь Кондрашин, менеджер компании Voxlink. Хотите уточнить детали или готовы оставить заявку? Укажите номер телефона, я перезвоню в течение 3-х секунд.

VoIP оборудование


ближайшие курсы

10 доводов в пользу Asterisk

Распространяется бесплатно.

Asterisk – программное обеспечение с открытым исходным кодом, распространяется по лицензии GPL. Следовательно, установив один раз Asterisk вам не придется дополнительно платить за новых абонентов, подключение новых транков, расширение функционала и прочие лицензии. Это приближает стоимость владения станцией к нулю.

Безопасен в использовании.

Любое программное обеспечение может стать объектом интереса злоумышленников, в том числе телефонная станция. Однако, сам Asterisk, а также операционная система, на которой он работает, дают множество инструментов защиты от любых атак. При грамотной настройке безопасности у злоумышленников нет никаких шансов попасть на станцию.

Надежен в эксплуатации.

Время работы серверов некоторых наших клиентов исчисляется годами. Это значит, что Asterisk работает несколько лет, ему не требуются никакие перезагрузки или принудительные отключения. А еще это говорит о том, что в районе отличная ситуация с электроэнергией, но это уже не заслуга Asterisk.

Гибкий в настройке.

Зачастую возможности Asterisk ограничивает только фантазия пользователя. Ни один конструктор шаблонов не сравнится с Asterisk по гибкости настройки. Это позволяет решать с помощью Asterisk любые бизнес задачи, даже те, в которых выбор в его пользу не кажется изначально очевидным.

Имеет огромный функционал.

Во многом именно Asterisk показал какой должна быть современная телефонная станция. За многие годы развития функциональность Asterisk расширилась, а все основные возможности по-прежнему доступны бесплатно сразу после установки.

Интегрируется с любыми системами.

То, что Asterisk не умеет сам, он позволяет реализовать за счет интеграции. Это могут быть интеграции с коммерческими телефонными станциями, CRM, ERP системами, биллингом, сервисами колл-трекинга, колл-бэка и модулями статистики и аналитики.

Позволяет телефонизировать офис за считанные часы.

В нашей практике были проекты, реализованные за один рабочий день. Это значит, что утром к нам обращался клиент, а уже через несколько часов он пользовался новой IP-АТС. Безусловно, такая скорость редкость, ведь АТС – инструмент зарабатывания денег для многих компаний и спешка во внедрении не уместна. Но в случае острой необходимости Asterisk готов к быстрому старту.

Отличная масштабируемость.

Очень утомительно постоянно возвращаться к одному и тому же вопросу. Такое часто бывает в случае некачественного исполнения работ или выбора заведомо неподходящего бизнес-решения. С Asterisk точно не будет такой проблемы! Телефонная станция, построенная на Asterisk может быть масштабируема до немыслимых размеров. Главное – правильно подобрать оборудование.

Повышает управляемость бизнеса.

Asterisk дает не просто набор полезных функций, он повышает управляемость организации, качества и комфортности управления, а также увеличивает прозрачность бизнеса для руководства. Достичь этого можно, например, за счет автоматизации отчетов, подключения бота в Telegram, санкционированного доступа к станции из любой точки мира.

Снижает расходы на связь.

Связь между внутренними абонентами IP-АТС бесплатна всегда, независимо от их географического расположения. Также к Asterisk можно подключить любых операторов телефонии, в том числе GSM сим-карты и настроить маршрутизацию вызовов по наиболее выгодному тарифу. Всё это позволяет экономить с первых минут пользования станцией.