Geavanceerde firewallregels (IPTables)

Een statusbewuste firewall houdt de status van netwerkverbindingen bij. In plaats van elk pakket afzonderlijk te controleren, onthoudt de firewall of een pakket bij een bestaande, tot stand gebrachte verbinding hoort.

Belangrijke verbindingsstatussen:

• NEW: Het eerste pakket van een nieuwe verbinding.
• ESTABLISHED: Pakketten die bij een bestaande, actieve verbinding horen.
• RELATED: Pakketten die een nieuwe verbinding starten die verband houdt met een bestaande verbinding (bijvoorbeeld een FTP-gegevensoverdracht).

Statusbewuste regels maken firewallbeheer veel eenvoudiger. Je kunt al het verkeer toestaan dat bij tot stand gebrachte verbindingen hoort. Daardoor hoef je alleen regels te definiëren voor het starten van NEW-verbindingen.

Deze regel staat alle binnenkomende pakketten toe die deel uitmaken van een al tot stand gebrachte of gerelateerde verbinding:

Met IPTables kun je verschillende overeenkomende modules en opties combineren om zeer specifieke regels te maken. Zo kun je de toegang voor verschillende diensten en bronnen nauwkeurig afstemmen.

Voorbeeld: SSH (poort 22) toestaan vanaf een specifiek subnet (192.168.1.0/24), maar alleen voor nieuwe verbindingen.

Network Address Translation (NAT) wijzigt adresinformatie in de IP-header van pakketten terwijl deze onderweg zijn. Dit is essentieel voor:

• Meerdere apparaten op een privénetwerk één openbaar IP-adres laten delen (bijvoorbeeld thuisrouters).
• Poortdoorsturing, waarbij externe aanvragen naar interne servers worden doorgestuurd.

Er zijn twee hoofdtypen: Source NAT (SNAT) en Destination NAT (DNAT).

Source NAT (SNAT) wijzigt het bron-IP-adres van pakketten. Dit wordt vaak gebruikt wanneer interne servers via een gatewayserver met een openbaar IP-adres toegang tot internet moeten krijgen.

Masquerading is een specifieke vorm van SNAT waarbij het IP-adres van de uitgaande interface automatisch als bron-IP wordt gebruikt. Dit is handig bij dynamische IP-adressen.

Voorbeeld: het interne netwerk 192.168.0.0/24 toegang geven tot internet via eth0.

Destination NAT (DNAT) wijzigt het bestemmings-IP-adres van pakketten. Dit is ideaal voor port forwarding, waarbij je een dienst die op een interne server draait via het openbare IP-adres van je gatewayserver beschikbaar maakt op internet.

Voorbeeld: stuur binnenkomende webverzoeken (poort 80) op eth0 door naar een interne webserver op 192.168.1.100.

IPTables kan helpen beschermen tegen veelvoorkomende aanvallen, zoals brute-forcepogingen om in te loggen (bijvoorbeeld via SSH), door het tempo te beperken waarin nieuwe verbindingen vanaf een bron-IP-adres worden geaccepteerd.

Met de module limit kun je een tempo en een burstlimiet instellen. Vergeet niet om volgende verbindingen te weigeren zodra de limiet is bereikt.

Voorbeeld: beperk nieuwe SSH-verbindingen tot 3 per minuut, met een initiële burst van 3 verbindingen, en weiger daarna de overige verbindingen.

Gefeliciteerd! Je hebt geavanceerde IPTables-concepten verkend:

• Stateful firewalling met de statussen ESTABLISHED, RELATED en NEW.
• Complexe regels maken door meerdere overeenkomende criteria te combineren.
• Network Address Translation (NAT) toepassen op zowel uitgaand verkeer (SNAT/Masquerade) als inkomend verkeer (DNAT/Port Forwarding).
• De module limit gebruiken voor eenvoudige aanvalsbeveiliging.

Deze vaardigheden zijn essentieel voor het bouwen van robuuste en veilige Linux-serveromgevingen. Vergeet niet om je IPTables-regels op te slaan nadat je wijzigingen hebt aangebracht, want standaard blijven ze niet bewaard!