Linux-palomuuri (Netfilter/iptables)

Mikä palomuuri on? Se on kuin verkon vartija, joka valvoo, mitä liikennettä pääsee sisään ja ulos. Linuxissa palomuurin ydinratkaisua kutsutaan nimellä Netfilter. Sen sääntöjen hallintaan käytämme komentorivityökalua iptables.

Netfilter on suoraan Linux-ytimeen rakennettu tehokas kehys. Sen avulla ytimen eri moduulit voivat tarkastella, muokata ja hylätä verkkopaketteja.

Ajatelkaa sitä palomuurin moottorina. Se tarjoaa "koukkuja", joissa pakettien käsittely voidaan keskeyttää ja ottaa tarkasteluun.

Netfilter sijaitsee ytimessä, mutta iptables on komentorivityökalu, jolla sitä käytetään. Sen avulla määritätte säännöt, jotka kertovat Netfilterille, mitä tietyille paketeille tehdään.

Nämä säännöt järjestetään taulukoihin ja ketjuihin, joihin tutustumme seuraavaksi.

iptables järjestää säännöt ketjuihin. Ne ovat järjestettyjä sääntöluetteloita, joihin paketteja verrataan. Kolme yleisintä valmista ketjua ovat:

• INPUT: Paikalliselle järjestelmälle tarkoitettuihin paketteihin.
• OUTPUT: Paikallisesta järjestelmästä lähteviin paketteihin.
• FORWARD: Järjestelmän läpi kulkeviin paketteihin (esimerkiksi reitittimessä).

Jokaisella ketjulla on oletusarvoinen käytäntö, joka määrittää toiminnon, jos mikään ketjun sääntö ei vastaa pakettia. Yleisiä käytäntöjä ovat:

• ACCEPT: Päästää paketin läpi.
• DROP: Hylkää paketin hiljaisesti (lähettäjä ei saa vastausta).
• REJECT: Hylkää paketin ja lähettää lähettäjälle virheilmoituksen.

Oletuskäytännöksi asetetaan tietoturvan vuoksi usein DROP.

Ennen sääntöjen lisäämistä kannattaa tarkistaa, mitä sääntöjä järjestelmässä jo on. Voitte luetteloida kaikki nykyiset iptables-säännöt -L-valitsimella. -n näyttää IP-osoitteet numeerisina, ja -v lisää tulosteen yksityiskohtaisuutta.

Lisätään sääntö saapuvien SSH-yhteyksien sallimiseksi (portti 22). Liitämme (-A) tämän säännön INPUT-ketjuun ja määritämme TCP-protokollan (-p tcp) sekä kohdeportin (--dport 22). Toiminnoksi (-j) asetetaan ACCEPT.

Estetään nyt kaikki lähtevät ping-pyynnöt (ICMP-protokolla). Liitämme tämän säännön OUTPUT-ketjuun ja määritämme ICMP-protokollan. Toiminnoksi asetetaan DROP.

Tämä tarkoittaa, ettei järjestelmä lähetä ping-pyyntöjä, mutta se voi silti vastaanottaa niitä, jos niitä ei estetä INPUT-ketjussa.

iptables-säännöt ovat väliaikaisia ja katoavat uudelleenkäynnistyksen yhteydessä! Jos haluatte säilyttää ne, ne on tallennettava. Monissa järjestelmissä käytetään komentoa iptables-save sääntöjen viemiseen ja komentoa iptables-restore niiden lataamiseen.

Joissakin Linux-jakeluissa pysyvyyttä hallitaan erityisillä palveluilla, kuten netfilter-persistent, tai tiedostoilla, kuten /etc/sysconfig/iptables.

Olet tutustunut Netfilteriin, ytimen palomuurikehykseen, sekä iptables-työkaluun, jolla hallitaan sen sääntöjä käyttäjätilassa. Käsittelimme tärkeimmät ketjut (INPUT, OUTPUT, FORWARD) ja käytännöt (ACCEPT, DROP, REJECT).

Näimme myös, miten sääntöjä luetellaan ja lisätään sekä miksi niiden tallentaminen pysyvyyden varmistamiseksi on tärkeää. Tämä on keskeinen vaihe minkä tahansa Linux-järjestelmän suojaamisessa!