Fortgeschrittene Firewall-Regeln (IPTables)

IPTables ist die leistungsfähige, integrierte Firewall von Linux. Neben den Grundlagen bietet sie erweiterte Funktionen für eine präzise Kontrolle.

In dieser Lektion lernen Sie komplexe Regeln, zustandsbehaftete Filterung und Network Address Translation (NAT) kennen, um das Netzwerk Ihres Servers wirklich abzusichern und zu verwalten.

IPTables organisiert Regeln in Tabellen, die jeweils einen bestimmten Zweck erfüllen. Innerhalb der Tabellen gibt es Chains, also Listen von Regeln, die der Reihe nach ausgewertet werden.

• filter-Tabelle: Die Standardtabelle zur Filterung (Blockieren/Zulassen) von Paketen. Sie enthält die Chains INPUT, OUTPUT und FORWARD.
• nat-Tabelle: Wird für Network Address Translation (NAT) verwendet. Sie enthält die Chains PREROUTING, POSTROUTING und OUTPUT.
• Weitere Tabellen wie mangle und raw dienen der speziellen Änderung von Paketen.

Eine zustandsbehaftete Firewall verfolgt den Zustand von Netzwerkverbindungen. Statt jedes Paket nur einzeln zu prüfen, erkennt sie, ob ein Paket zu einer bestehenden, bereits aufgebauten Verbindung gehört.

Wichtige Verbindungszustände:

• NEW: Das erste Paket einer neuen Verbindung.
• ESTABLISHED: Pakete, die zu einer bestehenden, aktiven Verbindung gehören.
• RELATED: Pakete, die eine neue Verbindung starten, die mit einer bestehenden verbunden ist (z. B. eine FTP-Datenübertragung).

Zustandsbehaftete Regeln vereinfachen die Verwaltung einer Firewall erheblich. Sie können den gesamten Datenverkehr bestehender Verbindungen zulassen und müssen dann nur Regeln für das Initiieren neuer NEW-Verbindungen definieren.

Diese Regel lässt alle eingehenden Pakete zu, die Teil einer bereits aufgebauten oder zugehörigen Verbindung sind:

IPTables ermöglicht es Ihnen, verschiedene Match-Module und Optionen zu kombinieren, um sehr spezifische Regeln zu erstellen. So können Sie den Zugriff für unterschiedliche Dienste und Quellen genau abstimmen.

Beispiel: SSH (Port 22) für neue Verbindungen nur aus einem bestimmten Subnetz (192.168.1.0/24) zulassen.

Network Address Translation (NAT) verändert die Informationen zu Netzwerkadressen im IP-Header von Paketen, während diese übertragen werden. Sie ist entscheidend für:

• Mehreren Geräten in einem privaten Netzwerk den Zugriff über eine einzige öffentliche IP-Adresse zu ermöglichen (z. B. bei Heimroutern).
• Portweiterleitung, bei der externe Anfragen an interne Server weitergeleitet werden.

Es gibt zwei Haupttypen: Source NAT (SNAT) und Destination NAT (DNAT).

Source NAT (SNAT) ändert die Quell-IP-Adresse von Paketen. Dies wird häufig verwendet, wenn interne Server über einen Gateway-Server mit öffentlicher IP-Adresse auf das Internet zugreifen müssen.

Masquerading ist eine spezielle Form von SNAT, bei der die IP-Adresse der ausgehenden Schnittstelle automatisch als Quell-IP verwendet wird. Das ist bei dynamischen IP-Adressen nützlich.

Beispiel: Dem internen Netzwerk 192.168.0.0/24 über eth0 den Zugriff auf das Internet erlauben.

Destination NAT (DNAT) ändert die Ziel-IP-Adresse von Paketen. Das eignet sich ideal für Portweiterleitung, bei der Sie einen Dienst, der auf einem internen Server läuft, über die öffentliche IP-Adresse Ihres Gateway-Servers im Internet erreichbar machen.

Beispiel: Leiten Sie eingehende Webanfragen (Port 80) auf eth0 an einen internen Webserver unter 192.168.1.100 weiter.

IPTables kann Sie vor häufigen Angriffen wie Brute-Force-Anmeldeversuchen (z. B. über SSH) schützen, indem die Rate begrenzt wird, mit der neue Verbindungen von einer Quell-IP-Adresse angenommen werden.

Mit dem Modul limit können Sie eine Rate und ein Burst-Limit festlegen. Denken Sie daran, weitere Verbindungen zu verwerfen, sobald das Limit erreicht ist.

Beispiel: Begrenzen Sie neue SSH-Verbindungen auf 3 pro Minute mit einem anfänglichen Burst von 3 Verbindungen und verwerfen Sie anschließend alle weiteren.

Stellen Sie sich einen Server vor, der als Gateway fungiert. Er verfügt über eine öffentliche Schnittstelle eth0 und eine interne Schnittstelle eth1 (verbunden mit 192.168.1.0/24).

Welcher IPTables-Befehl würde einen internen Webserver unter 192.168.1.50 im Internet über Port 80 erreichbar machen?

Herzlichen Glückwunsch! Sie haben fortgeschrittene IPTables-Konzepte kennengelernt:

• Stateful-Firewalling mit den Zuständen ESTABLISHED, RELATED und NEW.
• Erstellen komplexer Regeln durch die Kombination mehrerer Übereinstimmungskriterien.
• Implementieren von Network Address Translation (NAT) für ausgehenden (SNAT/Masquerade) und eingehenden (DNAT/Portweiterleitung) Datenverkehr.
• Verwenden des Moduls limit für grundlegenden Angriffsschutz.

Diese Kenntnisse sind entscheidend für den Aufbau robuster und sicherer Linux-Serverumgebungen. Denken Sie daran, Ihre IPTables-Regeln nach Änderungen zu speichern, da sie standardmäßig nicht dauerhaft gespeichert werden!