Zaawansowane reguły zapory sieciowej (IPTables)

IPTables to potężna, wbudowana zapora sieciowa systemu Linux. Choć poznaliśmy już podstawy, oferuje ona zaawansowane funkcje umożliwiające precyzyjną kontrolę.

W tej lekcji poznasz złożone reguły, filtrowanie stanowe oraz translację adresów sieciowych (NAT), które pozwalają skutecznie zabezpieczać serwer i zarządzać jego siecią.

IPTables organizuje reguły w tabele, z których każda służy konkretnemu celowi. W tabelach znajdują się łańcuchy, czyli uporządkowane listy reguł.

• tabela filter: Domyślna tabela używana do filtrowania pakietów (blokowania lub zezwalania na ich przesyłanie). Zawiera łańcuchy INPUT, OUTPUT i FORWARD.
• tabela nat: Używana do translacji adresów sieciowych (NAT). Zawiera łańcuchy PREROUTING, POSTROUTING i OUTPUT.
• Istnieją także inne tabele, takie jak mangle i raw, przeznaczone do wyspecjalizowanej modyfikacji pakietów.

Zapora stanowa śledzi stan połączeń sieciowych. Zamiast sprawdzać każdy pakiet osobno, zapamiętuje, czy dany pakiet należy do istniejącego, ustanowionego połączenia.

Najważniejsze stany połączeń:

• NEW: Pierwszy pakiet nowego połączenia.
• ESTABLISHED: Pakiety należące do istniejącego, aktywnego połączenia.
• RELATED: Pakiety rozpoczynające nowe połączenie powiązane z istniejącym połączeniem (np. transfer danych FTP).

Reguły stanowe znacznie upraszczają zarządzanie zaporą. Można zezwolić na cały ruch należący do ustanowionych połączeń, dzięki czemu wystarczy definiować reguły tylko dla połączeń inicjujących, czyli NEW.

Ta reguła zezwala na wszystkie przychodzące pakiety należące do już ustanowionego lub powiązanego połączenia:

IPTables umożliwia łączenie różnych modułów dopasowywania i opcji w celu tworzenia bardzo szczegółowych reguł. Ułatwia to precyzyjne dostosowanie dostępu dla różnych usług i źródeł.

Przykład: zezwolenie na SSH (port 22) z określonej podsieci (192.168.1.0/24) wyłącznie dla nowych połączeń.

Translacja adresów sieciowych (NAT) modyfikuje informacje o adresach sieciowych w nagłówku IP pakietów podczas ich przesyłania. Jest niezbędna do:

• Umożliwienia wielu urządzeniom w sieci prywatnej współdzielenia jednego publicznego adresu IP (np. w routerach domowych).
• Przekierowywania portów, czyli kierowania zewnętrznych żądań do serwerów wewnętrznych.

Istnieją dwa główne typy: translacja adresu źródłowego (SNAT) i translacja adresu docelowego (DNAT).

Translacja adresu źródłowego (SNAT) zmienia źródłowy adres IP pakietów. Jest powszechnie używana, gdy serwery wewnętrzne muszą uzyskiwać dostęp do Internetu za pośrednictwem serwera bramy z publicznym adresem IP.

Maskarada to szczególna forma SNAT, w której adres IP interfejsu wychodzącego jest automatycznie używany jako adres źródłowy. Jest to przydatne w przypadku dynamicznych adresów IP.

Przykład: zezwolenie sieci wewnętrznej 192.168.0.0/24 na dostęp do Internetu za pośrednictwem eth0.

Destination NAT (DNAT) zmienia docelowy adres IP pakietów. Doskonale nadaje się do przekierowywania portów, dzięki któremu można udostępnić w internecie usługę działającą na serwerze wewnętrznym za pośrednictwem publicznego adresu IP serwera bramy.

Przykład: przekierowanie przychodzących żądań internetowych (port 80) z interfejsu eth0 do wewnętrznego serwera WWW pod adresem 192.168.1.100.

IPTables może pomóc w ochronie przed typowymi atakami, takimi jak próby logowania metodą brute force (np. przez SSH), ograniczając częstotliwość akceptowania nowych połączeń z danego źródłowego adresu IP.

Moduł limit umożliwia określenie limitu częstotliwości oraz limitu serii. Należy pamiętać o odrzucaniu kolejnych połączeń po osiągnięciu limitu.

Przykład: ograniczenie liczby nowych połączeń SSH do 3 na minutę, z początkową serią 3 połączeń, a następnie odrzucanie pozostałych.

Rozważmy serwer działający jako brama. Ma on publiczny interfejs eth0 oraz interfejs wewnętrzny eth1 (połączony z siecią 192.168.1.0/24).

Jakie polecenie IPTables umożliwi dostęp do wewnętrznego serwera WWW pod adresem 192.168.1.50 z internetu przez port 80?

Gratulacje! Poznali Państwo zaawansowane zagadnienia związane z IPTables:

• Zapora stanowa wykorzystująca stany ESTABLISHED, RELATED i NEW.
• Tworzenie złożonych reguł przez łączenie wielu kryteriów dopasowania.
• Implementowanie Network Address Translation (NAT) dla ruchu wychodzącego (SNAT/Masquerade) i przychodzącego (DNAT/Port Forwarding).
• Wykorzystywanie modułu limit do podstawowej ochrony przed atakami.

Umiejętności te są niezbędne do budowania niezawodnych i bezpiecznych środowisk serwerowych Linux. Należy pamiętać o zapisaniu reguł IPTables po wprowadzeniu zmian, ponieważ domyślnie nie są one trwałe!