Linux-firewall (Netfilter/iptables)

Wat is een firewall? Het is een soort beveiligingsbewaker voor je netwerk die bepaalt welk verkeer naar binnen en naar buiten mag. In Linux heet het centrale firewallframework Netfilter. We gebruiken een opdrachtregelprogramma met de naam iptables om de regels ervan te beheren.

Netfilter is een krachtig framework dat rechtstreeks in de Linux-kernel is ingebouwd. Hiermee kunnen verschillende kernelmodules netwerkpakketten inspecteren, wijzigen en laten vallen.

Zie het als de motor achter de firewall. Het biedt "hooks" waar het verwerken van pakketten kan worden onderschept.

Netfilter bevindt zich in de kernel, terwijl iptables het opdrachtregelprogramma is waarmee je ermee communiceert. Je kunt er regels mee definiëren die Netfilter vertellen wat het met specifieke pakketten moet doen.

Deze regels zijn georganiseerd in tabellen en ketens, die we hierna verkennen.

iptables organiseert regels in ketens. Dit zijn geordende lijsten met regels waaraan pakketten worden getoetst. De drie meest voorkomende ingebouwde ketens zijn:

• INPUT: voor pakketten die bestemd zijn voor het lokale systeem.
• OUTPUT: voor pakketten die afkomstig zijn van het lokale systeem.
• FORWARD: voor pakketten die door het systeem gaan, bijvoorbeeld via een router.

Elke keten heeft een standaardbeleid: de actie die wordt uitgevoerd als geen enkele regel in de keten overeenkomt met een pakket. Veelgebruikte beleidsregels zijn:

• ACCEPT: laat het pakket door.
• DROP: verwijdert het pakket stilzwijgend (de afzender krijgt geen antwoord).
• REJECT: verwijdert het pakket en stuurt een foutmelding terug naar de afzender.

Voor de beveiliging is het gebruikelijk om het standaardbeleid in te stellen op DROP.

Voordat je regels toevoegt, is het verstandig om te bekijken wat er al staat. Met de optie -L kun je alle huidige iptables-regels weergeven. Met -n worden IP-adressen numeriek weergegeven en met -v voeg je meer uitvoer toe.

Laten we een regel toevoegen om inkomende SSH-verbindingen toe te staan (poort 22). We voegen (-A) deze regel toe aan de keten INPUT, waarbij we het TCP-protocol (-p tcp) en de bestemmingspoort (--dport 22) opgeven. De actie (-j) wordt ACCEPT.

Laten we nu alle uitgaande pingverzoeken blokkeren (ICMP-protocol). We voegen deze regel toe aan de keten OUTPUT en geven het ICMP-protocol op. De actie wordt DROP.

Dit betekent dat je systeem geen pingverzoeken verstuurt, maar ze mogelijk nog wel ontvangt als ze niet bij INPUT worden geblokkeerd.

iptables-regels zijn tijdelijk; na een herstart verdwijnen ze! Om ze permanent te maken, moet je ze opslaan. Op veel systemen gebruik je iptables-save om regels te exporteren en iptables-restore om ze te laden.

Sommige Linux-distributies gebruiken specifieke diensten, zoals netfilter-persistent, of bestanden, bijvoorbeeld /etc/sysconfig/iptables, om persistentie te beheren.

Je hebt geleerd over Netfilter, het firewallframework van de kernel, en iptables, het hulpprogramma in de gebruikersruimte waarmee je de regels ervan beheert. We hebben de belangrijkste ketens (INPUT, OUTPUT, FORWARD) en beleidsregels (ACCEPT, DROP, REJECT) behandeld.

Je hebt ook gezien hoe je regels kunt weergeven en eenvoudige regels kunt toevoegen, en waarom het belangrijk is om ze op te slaan zodat ze behouden blijven. Dit is een cruciale stap om elk Linux-systeem te beveiligen!