Расширенные правила брандмауэра (IPTables)

IPTables — это мощный встроенный брандмауэр Linux. Мы уже рассмотрели основы, но он также предоставляет расширенные возможности для точного управления.

В этом уроке Вы познакомитесь со сложными правилами, отслеживанием состояний и трансляцией сетевых адресов (NAT), чтобы по-настоящему защищать сеть сервера и управлять ею.

IPTables организует правила в таблицы, каждая из которых предназначена для определённой цели. В таблицах находятся цепочки — списки правил, проверяемых по порядку.

• Таблица filter: таблица по умолчанию, используемая для фильтрации (блокировки или разрешения) пакетов. Содержит цепочки INPUT, OUTPUT, FORWARD.
• Таблица nat: используется для трансляции сетевых адресов (NAT). Содержит цепочки PREROUTING, POSTROUTING, OUTPUT.
• Другие таблицы, такие как mangle и raw, предназначены для специализированного изменения пакетов.

Брандмауэр с отслеживанием состояний отслеживает состояние сетевых соединений. Вместо отдельной проверки каждого пакета он запоминает, относится ли пакет к существующему установленному соединению.

Основные состояния соединений:

• NEW: первый пакет нового соединения.
• ESTABLISHED: пакеты существующего активного соединения.
• RELATED: пакеты, начинающие новое соединение, связанное с существующим (например, передача данных по FTP).

Правила с отслеживанием состояний значительно упрощают управление брандмауэром. Можно разрешить весь трафик существующих соединений, определяя правила только для инициирования соединений NEW.

Это правило разрешает все входящие пакеты, являющиеся частью уже установленного или связанного соединения:

IPTables позволяет объединять различные модули сопоставления и параметры для создания очень точных правил. Это помогает тонко настраивать доступ для разных служб и источников.

Пример: разрешить SSH (порт 22) из определённой подсети (192.168.1.0/24) только для новых соединений.

Трансляция сетевых адресов (NAT) изменяет сведения о сетевых адресах в заголовке IP-пакетов во время их передачи. Она необходима для:

• Предоставления нескольким устройствам в частной сети доступа через один общедоступный IP-адрес (например, через домашний маршрутизатор).
• Перенаправления портов — направления внешних запросов на внутренние серверы.

Существует два основных типа: трансляция исходного адреса (SNAT) и трансляция адреса назначения (DNAT).

Трансляция исходного адреса (SNAT) изменяет исходный IP-адрес пакетов. Обычно её используют, когда внутренним серверам требуется доступ в Интернет через шлюзовой сервер с общедоступным IP-адресом.

Маскарадинг — это особая форма SNAT, при которой IP-адрес исходящего интерфейса автоматически используется как исходный IP-адрес. Это удобно при динамических IP-адресах.

Пример: разрешить внутренней сети 192.168.0.0/24 доступ в Интернет через eth0.

Трансляция сетевых адресов назначения (DNAT) изменяет IP-адрес назначения пакетов. Это идеально подходит для перенаправления портов, когда Вы открываете доступ к сервису, работающему на внутреннем сервере, через общедоступный IP-адрес шлюзового сервера.

Пример: перенаправить входящие веб-запросы (порт 80) на eth0 к внутреннему веб-серверу с адресом 192.168.1.100.

IPTables помогает защищаться от распространённых атак, таких как попытки входа методом перебора (например, через SSH), ограничивая скорость принятия новых подключений с исходного IP-адреса.

Модуль limit позволяет задать скорость и размер начального всплеска подключений. Не забудьте отклонять последующие подключения после достижения лимита.

Пример: ограничить число новых подключений SSH до 3 в минуту с начальным всплеском в 3 подключения, а остальные отклонять.

Рассмотрим сервер, выполняющий роль шлюза. У него есть общедоступный интерфейс eth0 и внутренний интерфейс eth1, подключённый к сети 192.168.1.0/24.

Какая команда IPTables позволит получить доступ из интернета к внутреннему веб-серверу с адресом 192.168.1.50 через порт 80?

Поздравляем! Вы изучили расширенные возможности IPTables:

• Межсетевой экран с отслеживанием состояния и состояниями ESTABLISHED, RELATED и NEW.
• Создание сложных правил путём объединения нескольких критериев сопоставления.
• Реализация трансляции сетевых адресов (NAT) для исходящего (SNAT/маскарадинг) и входящего (DNAT/перенаправление портов) трафика.
• Использование модуля limit для базовой защиты от атак.

Эти навыки необходимы для создания надёжной и защищённой среды серверов Linux. Не забывайте сохранять правила IPTables после внесения изменений, поскольку по умолчанию они не сохраняются после перезапуска!