HOWTO: Iptables для новичков

[kolyan_k]

вот   пытаюсь   сделать
iptables -t nat -A PREROUTING --src 169.254.0.141 --dst 194.186.121.35 -p tcp --dport 80 -j DNAT --to-destination 169.254.0.10:83/index.html
блокируеться   сайт  с  ip 169.254.0.141 но не  перенапрвляется почему???

а чой то вдрук ресурсы сервера в таблесах появились?
и настройте сеть нормальную 192,168 или 10 или 172,16

сеть  тестовая.....
а про ресурсы можно  подробнее??

[censor]

   DNAT
       This target is only valid in the nat table, in the PREROUTING and OUTPUT chains, and user-defined chains which are only called from those  chains.
       It  specifies  that the destination address of the packet should be modified (and all future packets in this connection will also be mangled), and
       rules should cease being examined.  It takes one type of option:

       --to-destination [ipaddr][-ipaddr][:port[-port]]
              which can specify a single new destination IP address, an inclusive range of IP addresses, and optionally, a  port  range  (which  is  only
              valid if the rule also specifies -p tcp or -p udp).  If no port range is specified, then the destination port will never be modified. If no
              IP address is specified then only the destination port will be modified.

              In Kernels up to 2.6.10 you can add several --to-destination options. For those kernels, if you specify more than one destination  address,
              either  via  an  address range or multiple --to-destination options, a simple round-robin (one after another in cycle) load balancing takes
              place between these addresses.  Later Kernels (>= 2.6.11-rc1) don't have the ability to NAT to multiple ranges anymore.

       --random
              If option --random is used then port mapping will be randomized (kernel >= 2.6.22).

       --persistent
              Gives a client the same source-/destination-address for each connection.  This supersedes the SAME target. Support for persistent  mappings
              is available from 2.6.29-rc2.

и нефиг писать мусор в виде /index.html это пакетный фильтр, а не вэб сервер.

[kolyan_k]

   DNAT
       This target is only valid in the nat table, in the PREROUTING and OUTPUT chains, and user-defined chains which are only called from those  chains.
       It  specifies  that the destination address of the packet should be modified (and all future packets in this connection will also be mangled), and
       rules should cease being examined.  It takes one type of option:

       --to-destination [ipaddr][-ipaddr][:port[-port]]
              which can specify a single new destination IP address, an inclusive range of IP addresses, and optionally, a  port  range  (which  is  only
              valid if the rule also specifies -p tcp or -p udp).  If no port range is specified, then the destination port will never be modified. If no
              IP address is specified then only the destination port will be modified.

              In Kernels up to 2.6.10 you can add several --to-destination options. For those kernels, if you specify more than one destination  address,
              either  via  an  address range or multiple --to-destination options, a simple round-robin (one after another in cycle) load balancing takes
              place between these addresses.  Later Kernels (>= 2.6.11-rc1) don't have the ability to NAT to multiple ranges anymore.

       --random
              If option --random is used then port mapping will be randomized (kernel >= 2.6.22).

       --persistent
              Gives a client the same source-/destination-address for each connection.  This supersedes the SAME target. Support for persistent  mappings
              is available from 2.6.29-rc2.

и нефиг писать мусор в виде /index.html это пакетный фильтр, а не вэб сервер.

извините  если  я вас  правильно понял то должно быть  так??
iptables -t nat -A PREROUTING --src 169.254.0.141 --dst 194.186.121.35 -p tcp --dport 80 -j DNAT --to-destination 169.254.0.10:83
или как  мне  правильно  перенаправить??

[censor]

http://www.debianhelp.ru/iptables/#DNATTARGET
подробно расписано на примере 80 порта

[chikatillo]

Вообщем глянул в основном дропаются 25 и 445 и 135  как мне правельно банить атаки?
Помогите разобраться...

У меня в скрипте 25 445 и 135 фигурируют только в

$IPTABLES -A FORWARD -p TCP --dport 25 -s $LAN_IP_RANGE -j ACCEPT
$IPTABLES -A local_in -p TCP -s $LAN_IP_RANGE --dport 445 -j ACCEPT

135 ваще нет.. т.е. все закрыты


Это же все мне не нужно?

(Нажмите, чтобы показать/скрыть)

-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -p gre -j ACCEPT
-A INPUT -p icmp -j ACCEPT
# Local network. A bit scary but generally safe to allow all things these pests could do.
-A INPUT ! -i eth0 -s 192.168.17.0/255.255.255.0 -m conntrack --ctstate NEW -j ACCEPT
# Flood/portscan check. Basically - aggregating all monitored ports into one rule, to make portscan looks like flood to the system.
-A INPUT -p tcp -m multiport --dports 9,22,25,110,4899 -m conntrack --ctstate NEW -j SSH_CHECK
# And now, we be dealin' with only connections that made it past the generic flood check.
-A INPUT -p tcp -m tcp --dport 9 -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -m conntrack --ctstate NEW -j REJECT --reject-with icmp-port-unreachable
-A INPUT -p tcp -m tcp --dport 80 -m conntrack --ctstate NEW -j REJECT --reject-with icmp-port-unreachable
-A INPUT -p tcp -m tcp --dport 110 -m conntrack --ctstate NEW -j REJECT --reject-with icmp-port-unreachable
-A INPUT -p tcp -m tcp --dport 1723 -m conntrack --ctstate NEW -j ACCEPT
# Log everything that made it past the rules up there and didn't came from the wild.
-A INPUT ! -i eth0 -j LOG
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -m conntrack --ctstate DNAT -j ACCEPT
-A FORWARD ! -i eth0 -s 192.168.17.0/255.255.255.0 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD ! -i eth0 -j LOG
# Here is the check.
# If we happen to have completely new client - create a new record for it. If it's exist already - it'll be updated.
-A SSH_CHECK -m conntrack --ctstate NEW -m recent --name SSH --rsource --set
# We first check, if there's existing record(s) for originating IP in the list, how old it is, and how many of them we have.
# If all limits are exceeded, the connection will be dropped.
-A SSH_CHECK -m conntrack --ctstate NEW -m recent --update --seconds 90 --hitcount 4 --name SSH --rsource -j REJECT --reject-with icmp-port-unreachable

COMMIT

Можете объяснить что мне нужно добавить и небольшое описание...
как я понимаю мне нужно:
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT  Все новые соединения это мне не надо?
-A INPUT -p tcp -m tcp --dport 25 -m conntrack --ctstate NEW -j REJECT --reject-with icmp-port-unreachable - говорим что порт недоступен?
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT - не понял, у меня есть  -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
-A SSH_CHECK -m conntrack --ctstate NEW -m recent --name SSH --rsource --set - считаем кол подключений?
-A SSH_CHECK -m conntrack --ctstate NEW -m recent --update --seconds 90 --hitcount 4 --name SSH --rsource -j REJECT --reject-with icmp-port-unreachable если за 90 секунд 4 подключения бан?

[bubuntu-ru]

А  у тебя на этих портах, в инет что нить "глядит", ну или во внешку локалку(типа провика).

[chikatillo]

А  у тебя на этих портах, в инет что нить "глядит", ну или во внешку локалку(типа провика).

В смысле? почта уходит из локальной сети и сервера(только для отправки отчетов состояния системы) -25 порт , синхронизация времени - 445...135 ваще нету

[bubuntu-ru]

Хм для оправки почты вроде и так можно слать, не открывая.

[chikatillo]

Хм для оправки почты вроде и так можно слать, не открывая.

Ну я же писал :
$IPTABLES -A FORWARD -p TCP --dport 25 -s $LAN_IP_RANGE -j ACCEPT

[chikatillo]

Добавил
IPTABLES -N SSH_CHECK

и

-A INPUT -p tcp -m multiport --dports 25 -m conntrack --ctstate NEW -j SSH_CHECK
-A SSH_CHECK -m conntrack --ctstate NEW -m recent --name SSH --rsource --set
-A SSH_CHECK -m conntrack --ctstate NEW -m recent --update --seconds 90 --hitcount 4 --name SSH --rsource -j REJECT --reject-with icmp-port-unreachable

и все равно постоянно дропаются :
 inet_in DROP: IN=ppp0 OUT= MAC= SRC=195.88.208.63 DST=... LEN=60 TOS=0x00 PREC=0x00 TTL=49 ID=34236 DF PROTO=TCP SPT=39853 DPT=25 WINDOW=5840 RES=0x00 SYN URGP=0
Причем каждый день одни и те же атаки с 195.88.208.0-254...

[maroshka]

По умолчанию логи iptables сыпятся сразу в 3 файла kernel.log; messages; syslog. Лично меня такая ситуация немного раздражала. Стал вопрос о том, как сделать так, чтобы эти логи сыпались в отдельный файл, например в созданный мной iptables.log в /var/log/ ? Понятно, что направление копрания - rsyslog как инструмент логирования по умолчанию.
в iptables строка логов поганых входящих пакетов :  iptables -A INPUT -m conntrack --ctstate INVALID -j LOG --log-prefix "INVALID_IN_PKG DROP: "      с префиксом  "INVALID_IN_PKG DROP: "
т.е. входящие пакеты, попадающие под это правило будут падать в лог с NVALID_IN_PKG DROP: в заголовке строки. Теперь нам надо по этому заголовку отфильтровать эти строки и сделать так, чтобы они падали в созданный нами  лог файл  /var/log/iptables.log.  
Поиски вопроса как это сделать отпали после просмотра вот этого: http://www.rsyslog.com/writing-specific-messages-to-a-file-and-discarding-them/
Я сделал следующее, дабы не засорять rsyslog.conf, в: /etc/rsyslog.d/  создал файл 0000-iptables.conf (спасибо за правку AnrDaemon):

(Нажмите, чтобы показать/скрыть)

:msg,contains, "INVALID_IN_PKG DROP: " -/var/log/iptables.log

& ~

#здесь строка & ~   означает, что после отфильтровки логов, попадающих под правило :msg,contains, "INVALID_IN_PKG DROP: " -/var/log/iptables.log  подобные сообщения должны быть удалены из других логов.

Рестартим rsyslog и все.
Надеюсь расписал все доступно.
 



 

[AnrDaemon]

Далее, в /etc/rsyslog.conf в конце файла ПЕРЕД СТРОКОЙ:  $IncludeConfig /etc/rsyslog.d/*.conf   вставил строку, указывающую на мой файл /etc/rsyslog.d/iptables.conf :  $IncludeConfig /etc/rsyslog.d/iptables.conf

А зачем? (Чтобы не сказать крепче...)
Так у тебя файл будет читаться два раза - оно тебе надо?
Назови свой файл как-нибудь типа 0000-iptables.conf - будет читаться самым первым.

[maroshka]

о, мисль, спасибо, переделаю.

[Druge]

Иногда наблюдаю сетевую активность (аплет информирует).
Открыто несколько закладок в браузере - предполагаю, что сайты со мной общаются.
Но хочется убедиться, что это так или левая активность.
Как это можно сделать?
Сеть VPN, iptables вроде настроен.

[AnrDaemon]

Иногда наблюдаю сетевую активность (аплет информирует).
Открыто несколько закладок в браузере - предполагаю, что сайты со мной общаются.
Но хочется убедиться, что это так или левая активность.
Как это можно сделать?
Сеть VPN, iptables вроде настроен.

tcpdump, wireshark