IPTables - Desvendando o mistério

O iptables é uma ferramenta muitas vezes não utilizada por administradores iniciantes, assim como eu, que temem as linhas de comando. Neste tutorial meu foco é explicar e desvendar todo o mistério dessas "linhas malucas", que desempenham um papel tão importante quando se trata de administração de servidores e desktops.

[ Hits: 85.489 ]

Por: Odir em 14/01/2009


Proteções e conclusão



Aqui vou listar direto alguns tipos de proteções mais simples, que podem ajudar a fazer um firewall básico, que supre as necessidades. Não vou explicar muito, pois se você leu o tutorial até aqui, facilmente entenderá o que estão fazendo aqui. No caso, o cenário seria de uma máquina como roteador:

# Rotear a internet
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE
echo "1" >/proc/sys/net/ipv4/ip_forward - Ativa redirecionamento de pacotes, necessário para NAT

# Proteção contra syn flood
iptables -A FORWARD -p tcp --syn -m limit --limit 2/s -j ACCEPT

# Proteção contra ping da Morte
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

# Proteção contra scanners avançados
iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT

# Proteção contra ip spoofing
iptables -A FORWARD -s $ENDEREÇOREDELOCAL -i ! eth0 -j DROP
iptables -A FORWARD -s ! $ENDEREÇOREDELOCAL -i eth0 -j DROP
iptables -A FORWARD -s $ENDEREÇOREDELOCAL -j DROP
iptables -A FORWARD -s $ENDEREÇOREDELOCAL -j DROP

# Proteção para bloquear traceroute externo
iptables -A INPUT -p udp --dport 33435:33525 -s 0/0 -i eth1 -j DROP

Enfim, de resto, cabe a vocês inventarem de acordo com as suas necessidades.

Espero que tenham gostado do meu tutorial. Com calma, farei uma segunda parte dele abordando questões mais técnicas e coisas desse tipo, mas acho que para quem, como eu, sofreu para aprender a mexer no iptables na tentativa e erro, por conta de tutoriais muito difíceis e coisas desse tipo, o meu tutorial vai ajudar bastante. Desejo boa sorte a todos. Go go go Linux!

Esse meu tutorial eu devo ao Guia do Foca e ao pessoal do Viva o Linux, dos quais coloquei links de scripts e tutoriais. Obrigado gente, vocês são demais!

Odir Neto
odirneto@petmais.net

Página anterior    

Páginas do artigo
   1. Introdução e história
   2. A lógica do iptables
   3. Comandos e exemplos
   4. Instalação e uso
   5. Proteções e conclusão
Outros artigos deste autor

Microsoft x Resto - A soma de todas as partes

Leitura recomendada

Como bloquear o Ultrasurf - solução definitiva (iptables + Fail2ban)

Iptables + módulo recent

Firewall seguro com o IPTables

L7-filter (funcionando) no Slackware 10.2

Script de Firewall com redirecionamento de portas em Linux Debian

  
Comentários
[1] Comentário enviado por thiagofanfoni em 14/01/2009 - 13:35h

Parabens odirneto, isto é um assunto que sempre me interessou, porém eu nunca havia entendido muita coisa.
Gostaria de encontrar mais documentações utilizando uma linguagem tão simples como esta, de maneira que, até um leigo como eu consiga entender alguma coisa da maneira que eu entendi agora.

[2] Comentário enviado por renato_pacheco em 14/01/2009 - 14:03h

Sem querer ser chato, mas o iptables não é um firewall (apenas), ele tb é servidor nat e servidor proxy. Na verdade, ele tem a função d filtrar os pacotes (tanto é q tem o nome d netfilter, iptables é apenas o front-end dele).

[3] Comentário enviado por edipo.magrelo em 14/01/2009 - 14:28h

Parabéns pelo artigo..muito boa explicação sobre o iptables,melhor impossivel,bem detalhado e bem escrito.nota 10
valew

[4] Comentário enviado por cesar em 14/01/2009 - 14:45h

Boaa...gostei já até imprimi ;)

Parabéns..

[5] Comentário enviado por renato_pacheco em 14/01/2009 - 14:53h

Eu não havia lido totalmente o artigo. Gostei muito e os leigos têm a oportunidade d entender mais sobre o assunto. Achei muito criativo suas analogias, pq a maioria das pessoas q começam a mexer com iptables tem problemas com relação às ordens das regras.

Parabéns!

[6] Comentário enviado por odirneto em 14/01/2009 - 15:12h

Logo mais trarei a segunda parte, com algumas proteções extras!

[7] Comentário enviado por odirneto em 14/01/2009 - 15:12h

@ renato_pacheco

Eu sei que ele tem mais funções. Mas, resumindo bastante, o iptables é muito utilizado como firewall. Esse tutorial é mais simplão sabe, num entrei muito nos detalhes para aumentar ele. Mas obrigado de qualquer forma pelo toque, é importante para mim esse tipo de feed back. Agradeço os elogios logo mais farei mais tutoriais de como colocar alguams outras coisinhas online, ok?

@ Quem gostou.

Fico agradecido, mesmo! Obrigadão galera, vou sempre contribuir com novas coisas aqui mais ou menos na mesma idéia. Espero que vocês apreciem mais e mais.

[8] Comentário enviado por percival em 14/01/2009 - 15:38h

Fantástico !

Já está no Favoritos.

[9] Comentário enviado por willinocencio em 14/01/2009 - 16:34h

Neste ponto ai ....

# Proteção contra ip spoofing
iptables -A FORWARD -s $ENDEREÇOREDELOCAL -i ! eth0 -j DROP
iptables -A FORWARD -s ! $ENDEREÇOREDELOCAL -i eth0 -j DROP
iptables -A FORWARD -s $ENDEREÇOREDELOCAL -j DROP
iptables -A FORWARD -s $ENDEREÇOREDELOCAL -j DROP

As regras ...

iptables -A FORWARD -s $ENDEREÇOREDELOCAL -j DROP
iptables -A FORWARD -s $ENDEREÇOREDELOCAL -j DROP

Estão repetidas .... Não seria ...

iptables -A FORWARD -s $ENDEREÇOREDELOCAL -j DROP
iptables -A FORWARD -s ! $ENDEREÇOREDELOCAL -j DROP

Por que vc repetiou as regras duas xx ?

DESDE JÁ PARABÉNS PELO ARTIGO .... MUITO BEM REDIGIDO

[10] Comentário enviado por paulloal em 14/01/2009 - 16:57h

Oww.. gostei do artigo hein.. muito bom mesmo...
hehe.. legal seus exemplos...

[11] Comentário enviado por edsonmsj em 14/01/2009 - 17:31h

Até que enfim artigos com analogia, muito raros hoje em dia!

[12] Comentário enviado por tsanches em 14/01/2009 - 17:45h

Excelente artigo Odir, comecei segunda feira fazer o curso de iptables, e seu artigo me deu um norte, um rumo para chegar la e não ser tão "Cru".
Parabéns pela iniciativa, continue contribuindo!
Um grande abraço.
TSANCHES

[13] Comentário enviado por odirneto em 14/01/2009 - 17:51h

@ willinocencio

Na verdade isso foi um erro de digitação meu, eu copieo para montar as regras acimas dessas 2.. mas deu pau na hora e eu num vi. Só vi depois que publiquei. Vou entrar em contato com mod para ver se ele altera. Ok?

Obrigado pelo elogio =]

[14] Comentário enviado por renato.leite em 14/01/2009 - 20:37h

otimo artigo, ta de parabéns.

[15] Comentário enviado por smrabelo em 15/01/2009 - 11:42h

Parabéns! Ficou muito bem explicado e objetivo.
Que venha a parte 2!
=]

[16] Comentário enviado por gersonraymond em 15/01/2009 - 18:05h

Muito bom o Artigo !!! Super esclarecedor e meus parabéns pela forma, pela qual esclarece os processos do Iptables.

[17] Comentário enviado por elgio em 15/01/2009 - 18:59h

Parabéns pelo artigo, no entanto:

# Proteção contra syn flood
iptables -A FORWARD -p tcp --syn -m limit --limit 2/s -j ACCEPT

ISTO É UM ENGODO.
Não apenas não resolve como torna a negação de serviço MUITO MAIS FÁCIL!

Tenho lutado para que ninguém mais coloque esta FALSA proteção em seu Linux.

Só existe uma única maneira realmente 100% eficiente para Syn flood e ela se chama Syn cookie.
AS demais são inócuas ou, PIOR, como no caso desta, são um TIRO NO PÉ!

http://www.vivaolinux.com.br/artigo/Iptables-protege-contra-SYN-FLOOD/
http://rfc-editor.org/rfc/rfc4987.txt

[18] Comentário enviado por elgio em 15/01/2009 - 18:59h

Alias, inclusive o guia avançado foca traz esta sugestão de proteção. Cansei de enviar emails ao autor solicitando que ele corrija, todos SEM RESPOSTA. Considero um erro de altíssima gravidade, ate por que o Guia Foca é tido como uma referência... Lamentável..

[19] Comentário enviado por odirneto em 16/01/2009 - 00:19h

@ elgio

Peço desculpas, coloquei um exemplo, que realmente talves não seja funcional, como fizeram lá no proprio guia do foca. Mas enfim, peço desculpas por isso... nem precisava se exaltar não com isso.. era só me manda um e-mail se quisesse que eu teria todo o prazer em te atender.

Agora, você falou com um desdem tão feroz do meu tutorial.. com esse Lamentavel ou seu tiro no pé.. que eu to até envergonhado de ter postado ele aqui. Mal ae cara, da proxima vez eu guardo meus guiazinhos para mim mesmo, e deixo gente realmente muito mais experiente fazer tutoriais excelentes, tais como os seus ok?

Desculpa novamente.
Odir

[20] Comentário enviado por jose.freitas.rj em 16/01/2009 - 09:33h

Graaaaaaaaaande Odir! Cara, adorei seu post. Muito show! Estou aprendendo iptables tem alguns meses e pelo que vi seu post foi 1 dos melhores se não o melhor! :D :P
Agora, sobre o post a cima do nosso amigo geek " elgio", não é a primeira vez que ele comenta sobre esse "erro" do iptables num post aqui no VOL e não é a primeira vez que ela comenta dessa forma com uma pessoa que como eu, está aprendendo e que com o pouco de conhecimento que tem, quer passar a diante para outras pessoas aprenderem o iptables...
Não deixe de postar meu querido!

Vou deixar uma mensagem que diz o seguinte:

SE SUA ESTRELA NÃO BRILHA, NÃO TENTE APAGAR AS DOS OUTROS!

[21] Comentário enviado por elgio em 16/01/2009 - 09:54h

Explicar o que se diz é temerário...

Podia editar meu post anterior, mas convém explicá-lo:

1) Tiro no pé: a regra iptables para syn flood. E o é mesmo. Como não é você que inventou ela o tiro no pé não é o seu artigo, até porque o seu artigo não é sobre syn flood mas sobre configurações iptables.

2) Comecei meu comentário dando-lhe os parabens pelo artigo.

3) O "Lamentável" está (leia novamente!) ao final do meu comentário sobre o guia foca. Lamentável o guia foca ensinar isto. Lamentável o seu autor não o corrigir.

[22] Comentário enviado por odirneto em 16/01/2009 - 11:13h

Acho que foi um mal entendido então né elgio? Talves seu post não tenha ficado muito claro. Eu tava tentando fazer o meu melhor, as dicas, copiei direto do guia do foca e, de verdade, me esqueci dessa regra. Eu inclusive ja tinha lido o seu artigo sobre isso elgio, mas me falhou a memoria na hora de postar.

Sobre o seu parabens, eu agradeço. É que a proporção parabenização/reclamação ficou tão diferente que parece que só reclamou, sem falar a nota que voce deu né? Mas ta tudo bem. Muito obrigado de qualquer jeito, como disse, estou aprendendo, foi meu primeiro artigo. Espero que vocês tenham gostado.

Odir

[23] Comentário enviado por elgio em 16/01/2009 - 11:52h

Nota que eu dei?
Não dei nota alguma ao seu artigo (nem boa e nem ruim). Alias, não costumo dar notas aos artigos até porque não acredito muito neste sistema de notas do VOL.

[24] Comentário enviado por odirneto em 16/01/2009 - 11:59h

Então foi coincidencia, bem apos o teu comentario caiu um pouco minha nota. Acho que me enganei. Desculpe.

[25] Comentário enviado por elgio em 16/01/2009 - 12:07h

...

[26] Comentário enviado por elgio em 16/01/2009 - 12:08h

Alias, Ordir, este é o meu jeito. raramente compreendido.

Não costumo escrever linhas e linhas melosas elogiando isto ou aquilo.
Sou mais do estilo critico, pois acho que receber criticas de forma construtiva é o desejo de todo o autor.

Veja, eu li todo o seu artigo. Só me chamou a atenção esta do syn flood, um equívoco não seu e que não está relacionado com o artigo já que é apenas um exemplo.

Teu artigo é da linha dos que acho essenciais, pois não é a (chatérrima) receita de bolo do tipo "Faça um firewall mega power extreme em 5 segundos". Ensinar a pescar...

Quanto as notas, eu não acredito nelas pois os critérios de quem vota são duvidosos. Alguém só vota ou porque amou muito (e dá 10) ou porque odiou demais (e dá ZERO). E como muitos, infelizmente, querem mesmo receber as coisas de BARBADA e tem preguiça de aprender, tenho observado que as tais receitas de bolo são sempre bem votadas... :-D

[27] Comentário enviado por viniciuspedra em 16/01/2009 - 12:12h

opa! gostei mto do artigo! parabens.

[28] Comentário enviado por odirneto em 16/01/2009 - 12:19h

Entendi elgio... Sem problemas cara =]

Eu concordo com você, acredito que seja meio falho isso tambem.. Mãããs, eu não sou adm daqui hehehe.

Po cara, depois me passa um e-mail seu, vamos trocar umas 'figurinhas' =]

meu email é odirneto@petmais.net

[29] Comentário enviado por tuxSoares em 18/01/2009 - 00:04h

Olá,

parabéns pelo seu artigo, como ele possui uma linguagem simples e objetiva fica fácil de entender os passos básicos de como funciona "essa encrenca" de iptables.
Trabalho com o iptables a 4 anos, se quando comecei tivesse encontrado um artigo desse nível as coisas teriam sido muito mais descomplicadas, por isso minha felicitação ao seu artigo, parabéns mesmo.

Grande abraço.


[30] Comentário enviado por vaini em 21/12/2009 - 21:17h

beleza de artigo...esse alem dos favoritos, vai pra impressora tb...valew

[31] Comentário enviado por julio_hoffimann em 22/02/2010 - 11:55h

Valeu Odir!

O artigo me ajudou bastante, não sou da área e pude entender claramente o que foi dito.

Obrigado!

[32] Comentário enviado por abelfrancia em 25/04/2012 - 16:31h

Obrigado pelo artigo! Me ajudou muito, a tempos queria subir um firewall nem que seja com um script básico de segurança (contra ping da morte e lá vai).

E graças seu artigo isso foi possivel, tks!

Abraços,


Contribuir com comentário




Patrocínio

Site hospedado pelo provedor RedeHost.
Linux banner

Destaques

Artigos

Dicas

Tópicos

Top 10 do mês

Scripts