Regole avanzate del firewall (IPTables)

IPTables è il potente firewall integrato di Linux. Sebbene ne abbiamo visto le basi, offre funzionalità avanzate per un controllo preciso.

Questa lezione introduce regole complesse, il filtraggio stateful e la Network Address Translation (NAT) per proteggere e gestire realmente la rete del server.

IPTables organizza le regole in tabelle, ognuna con uno scopo specifico. All'interno delle tabelle si trovano le catene, ovvero elenchi di regole valutate in ordine.

• Tabella filter: la tabella predefinita, usata per filtrare (bloccare o consentire) i pacchetti. Contiene le catene INPUT, OUTPUT e FORWARD.
• Tabella nat: usata per la Network Address Translation (NAT). Contiene le catene PREROUTING, POSTROUTING e OUTPUT.
• Esistono anche altre tabelle, come mangle e raw, per la modifica specializzata dei pacchetti.

Un firewall stateful tiene traccia dello stato delle connessioni di rete. Invece di controllare ogni pacchetto singolarmente, riconosce se un pacchetto appartiene a una connessione esistente e stabilita.

Stati principali delle connessioni:

• NEW: il primo pacchetto di una nuova connessione.
• ESTABLISHED: pacchetti appartenenti a una connessione esistente e attiva.
• RELATED: pacchetti che avviano una nuova connessione correlata a una connessione esistente (ad esempio, un trasferimento dati FTP).

Le regole stateful semplificano notevolmente la gestione del firewall. Potete consentire tutto il traffico appartenente a connessioni stabilite, definendo così le regole solo per l'avvio di connessioni NEW.

Questa regola consente tutti i pacchetti in ingresso che fanno parte di una connessione già stabilita o correlata:

IPTables consente di combinare diversi moduli di corrispondenza e opzioni per creare regole altamente specifiche. Questo aiuta a definire con precisione l'accesso per servizi e origini diverse.

Esempio: consentire SSH (porta 22) da una subnet specifica (192.168.1.0/24) solo per le nuove connessioni.

La Network Address Translation (NAT) modifica le informazioni sugli indirizzi di rete nell'intestazione IP dei pacchetti mentre questi sono in transito. È fondamentale per:

• Consentire a più dispositivi di una rete privata di condividere un singolo indirizzo IP pubblico (ad esempio, i router domestici).
• Inoltrare le porte, dirigendo le richieste esterne verso i server interni.

Esistono due tipi principali: Source NAT (SNAT) e Destination NAT (DNAT).

Source NAT (SNAT) modifica l'indirizzo IP di origine dei pacchetti. Viene comunemente usato quando i server interni devono accedere a Internet attraverso un server gateway con un IP pubblico.

Il masquerading è una forma specifica di SNAT in cui l'indirizzo IP dell'interfaccia in uscita viene usato automaticamente come IP di origine, una soluzione utile con gli indirizzi IP dinamici.

Esempio: consentire alla rete interna 192.168.0.0/24 di accedere a Internet tramite eth0.

Destination NAT (DNAT) modifica l'indirizzo IP di destinazione dei pacchetti. È perfetto per il port forwarding, che consente di esporre su Internet, tramite l'IP pubblico del server gateway, un servizio in esecuzione su un server interno.

Esempio: inoltrare le richieste web in ingresso (porta 80) su eth0 a un server web interno all'indirizzo 192.168.1.100.

IPTables può aiutare a proteggersi da attacchi comuni, come i tentativi di accesso brute force (ad esempio tramite SSH), limitando la frequenza con cui vengono accettate nuove connessioni da un determinato IP di origine.

Il modulo limit consente di specificare una frequenza e un limite di burst. Ricordi di eliminare le connessioni successive una volta raggiunto il limite.

Esempio: limitare a 3 al minuto le nuove connessioni SSH, con un burst iniziale di 3 connessioni, quindi eliminare le altre.

Consideri un server che funge da gateway. Dispone di un'interfaccia pubblica eth0 e di un'interfaccia interna eth1 (connessa a 192.168.1.0/24).

Quale comando IPTables consentirebbe di rendere accessibile da Internet sulla porta 80 un server web interno all'indirizzo 192.168.1.50?

Congratulazioni! Ha esplorato concetti avanzati di IPTables:

• Firewall stateful con gli stati ESTABLISHED, RELATED e NEW.
• Creazione di regole complesse combinando più criteri di corrispondenza.
• Implementazione del Network Address Translation (NAT) per il traffico in uscita (SNAT/Masquerade) e in ingresso (DNAT/Port Forwarding).
• Uso del modulo limit per una protezione di base dagli attacchi.

Queste competenze sono fondamentali per creare ambienti server Linux affidabili e sicuri. Ricordi di salvare le regole IPTables dopo aver apportato modifiche, poiché per impostazione predefinita non sono persistenti!