Iptables

Règles recommandées

# par défaut, droper les paquets qui ne sont pas à destination de l'hôte iptables -P FORWARD DROP # par défaut, autoriser les paquets sortants iptables -P OUTPUT ACCEPT # par défaut, droper les paquets entrants iptables -P INPUT DROP # autorise les paquets des connexions déjà établies ou les paquets de nouvelles connexions liées à celles déjà établies iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT # autorise les packet de l'interface lo (loopback) iptables -A INPUT -i lo -j ACCEPT # dropper le trafic dont l'état est INVALID iptables -A INPUT -m conntrack --ctstate INVALID -j DROP # autorise les requêtes echo ICMP (ping) iptables -A INPUT -p icmp --icmp-type 8 -m conntrack --ctstate NEW -j ACCEPT

Les règles sont appliquées dans l'ordre dans lesquelles elles sont écrites. La première correspondance est appliquée.

TCP et UDP

# créer les chain TCP et UDP iptables -N TCP iptables -N UDP # jumper les nouvelles connexions udp vers la chain UDP iptables -A INPUT -p udp -m conntrack --ctstate NEW -j UDP # jumper les nouvelles (mais pas SYN) connexions tcp vers la chain TCP iptables -A INPUT -p tcp --syn -m conntrack --ctstate NEW -j TCP # logger le reste (ce qui va être rejeté) iptables -I INPUT 7 -m limit --limit 2/min -j LOG --log-prefix "iptables:INPUT:REJECT: " --log-level 4 # rejeter ce qui n'a pas été jumpé vers TCP et UDP iptables -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable iptables -A INPUT -p tcp -j REJECT --reject-with tcp-reset # rejeter les autres protocoles iptables -A INPUT -j REJECT --reject-with icmp-proto-unreachable # ouvrir les ports utilisés # serveur HTTP et HTTPS iptables -A TCP -p tcp --dport 80 -j ACCEPT iptables -A TCP -p tcp --dport 443 -j ACCEPT # serveur SSH iptables -A TCP -p tcp --dport 22 -j ACCEPT -s 192.168.0.0/24 # serveur Postfix iptables -A TCP -p tcp --dport 25 -j ACCEPT # serveur DNS iptables -A UDP -p udp -s 192.168.0.0/24 --dport 53 -j ACCEPT # serveur DHCP iptables -I UDP -i eth0 -p udp -s 192.168.0.0/24 --dport 67:68 --sport 67:68 -j ACCEPT

ipv6

# par défaut, droper tous les paquets ip6tables -P FORWARD DROP ip6tables -P INPUT DROP # ip6tables -P OUTPUT DROP # message d'erreur avec dig: net.c:592: sendmsg() failed: Operation not permitted # sauvegarder la configuration ip6tables-save > /etc/iptables/ip6tables.rules # démarrer le service au démarrage systemctl enable ip6tables

Commenter les lignes référençant les ipv6 dans /etc/hosts

VPN server

# port UDP iptables -A UDP -i eth0 -p udp --dport 1194 -j ACCEPT -m comment --comment "VPN" # FORWARD iptables -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT -m comment --comment "VPN" iptables -A FORWARD -i tun0 -o eth0 -s 10.8.0.0/24 -d 192.168.0.0/24 -m conntrack --ctstate NEW -j ACCEPT -m comment --comment "VPN" # retirer -d 192.168.0.0/24 pour permettre aux clients l'accès à internet # NAT iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE -m comment --comment "VPN" # iptables -t nat -nvL --line-numbers # DNS iptables -A UDP -p udp -s 10.8.0.0/24 --dport 53 -j ACCEPT -m comment --comment "DNS pour VPN"

Log

# tous les éléments entrant ne provenant pas de 192.168.0.x iptables -I INPUT 1 -j LOG ! -s 192.168.0.x # créer une nouvelle chain iptables -N LOGGING # inscrire dans le log (journalctl) tous les packet passant par LOGGING iptables -A LOGGING -j LOG --log-prefix "IPTables-LOGGING: " --log-level 5 # log-level: 0 - Emergency, 1 - Alerts, 2 - Critical, 3 - Errors, 4 - Warnings, 5 - Notification, 6 - Information, 7 - Debug # rediriger tous les packets entrants et sortants vers LOGGING iptables -A INPUT -j LOGGING iptables -A OUTPUT -j LOGGING

Loguer seulement les paquets droppés

iptables -N LOGDROP # tous les packet passant par LOGDROP sont logués dans la limite de 10 puis de 5 par minute iptables -A LOGDROP -m limit --limit 5/m --limit-burst 10 -j LOG # tous les packet passant par LOGDROP sont droppés iptables -A LOGDROP -j DROP # jumper les paquets vers LOGDROP les log puis les drop iptables -A INPUT -s x.x.x.x -j LOGDROP

Commandes

Lister les règles existantes

# lister toutes les chaînes et toutes les règles iptables -nvL --line-numbers # -n afficher les adresses ip plutôt que les noms d'hôte # -v plus de détails (pkts, bytes, in, out) # --line-numbers les numéros des règles # lister les règles d'une chaîne donnée iptables -nvL [chain] --line-numbers

Chaînes

# ajouter une chaîne iptables -N [new-chain] # supprimer une chaîne vide créée par un utilisateur iptables -X [chain] # définir la politique par défaut d'une chaîne iptables -P [chain] [ACCEPT ou DROP] # iptables -P INPUT DROP

Règles

# ajouter une règle à la fin (Append) iptables -A [chain] [rule] # iptables -A INPUT -p tcp --dport 80 -j ACCEPT # insérer une règle au numéro spécifié, 1 par défaut iptables -I [chain] [rule_number] [rule] # iptables -I INPUT 1 -p tcp --dport 80 -j ACCEPT # supprimer une règle par son numéro iptables -D [chain] [rule_number] # iptables -D INPUT 1 # supprimer une règle par correspondance iptables -D [chain] [rule] # supprimer toutes les règles de la chaîne spécifiée iptables -F [chain] # supprimer toutes les règles (Flush) iptables -F # modifier une règle iptables -R [chain] [rule_number] [règle complète modifiée] # remettre à 0 les compteurs iptables -LZ [chain [rule_number]] # tester si une règle existe déjà iptables -C [chain] [rule] # if [[ $? -ne 0 ]]; then [la règle n'existe pas];fi

Écriture des règles

# protocol (tcp, udp, icmp) iptables -A INPUT -p tcp ... # port de destination (pour tcp et udp) iptables -A INPUT -p tcp --dport xxxx # adresse ip de l'expéditeur iptables -A INPUT -s x.x.x.x ... iptables -A INPUT -m iprange --src-range x.x.x.0-x.x.x.255 ... # adresse ip du destinataire iptables -A INPUT -d x.x.x.x ... # interface réseau d'entrée iptables -A INPUT -i [interface] ... # interface réseau de sortie iptables -A OUTPUT -o [interface] ... # état de la connexion iptables -A INPUT -m conntrack --ctstate [state] iptables -A INPUT -m state --state [state] # (remplacé par conntrack) # INVALID le paquet n'est associé à aucune connexion # NEW le paquet démarre une nouvelle connexion # ESTABLISHED le paquet appartient à une connexion déjà existante # RELATED le paquet démarre une nouvelle connexion et appartient à une connexion déjà existante # commentaires iptables -A INPUT ... -m comment --comment "mon commentaire"

jump

# autorise les paquets correspondant à la règle iptables -A INPUT [rule] -j ACCEPT # bloque les paquets correspondant à la règle iptables -A INPUT [rule] -j DROP # bloque les paquets correspondant à la règle et envoie un message d'erreur à l'expéditeur iptables -A INPUT [rule] -j REJECT # « --reject-with tcp-reset » permet de demander à l'expéditeur de fermer la connexion tcp # « --reject-with icmp-port-unreachable » # « --reject-with icmp-proto-unreachable »

DROP devrait être utilisé pour les expéditeurs qui ne devraient pas connaître l’existence du serveur et à l'inverse REJECT devrait être utilisé pour les expéditeurs qui connaissent l’existence du serveur.

Fichier de configuration

# après avoir utiliser la ligne de commandes pour modifier la configuration d'iptables # il faut enregistrer ces modifications pour quelles puissent être chargée au démarrage du service iptables-save > /etc/iptables/iptables.rules # restaurer la configuration du fichier iptables.rules iptables-restore < /etc/iptables/iptables.rules # recharger les règles du fichier de configuration au cas ou le fichier aurait été modifié systemctl reload iptables

Mangle table

Mark packets.

iptables -t mangle -A OUTPUT -j CONNMARK --restore-mark # mark packet sent by [user] iptables -t mangle -A OUTPUT ! --dest [local-ip] -m owner --uid-owner [user] -j MARK --set-mark 1 iptables -t mangle -A OUTPUT -j CONNMARK --save-mark # flush the mangle table iptables -F -t mangle

Service

# lit le fichier de configuration et charge les règles systemctl start iptables # lit le fichier de configuration et charge les règles au démarrage systemctl enable iptables

Ban IPs with ipsum

# install ipset and ipset-persistent ai ipset ipset-persistent # create a set of IPs sudo ipset create ipsum hash:ip # add an iptables rule to drop all communications from the IPs in the ipsum set iptables -I INPUT -m set --match-set ipsum src -j DROP # list the ipsets sudo ipset -n list # list the ipsets with their content sudo ipset list # list the content of a specific ipset sudo ipset list [SETNAME]

Make it work with UFW

/root/scripts/ban-ipsum.sh

# create a cron script to load the list of IPs to ban # flush all entries of the ipsum set ipset -q flush ipsum # add the IPs to the ipsum set for ip in $(curl --compressed https://raw.githubusercontent.com/stamparm/ipsum/master/ipsum.txt 2>/dev/null \ | grep -v "#" | grep -v -E "\s[1-2]$" | cut -f 1); do ipset add ipsum $ip; done # save the banned ips to /etc/iptables/ipsets so they will be ban again on startup thanks to ipset.service netfilter-persistent save

ipset-persistent package installs: /lib/systemd/system/netfilter-persistent.service /usr/sbin/netfilter-persistent /usr/share/netfilter-persistent/plugins.d

Bad IP

badips.sh

set -u set -e set -o pipefail DATABASE=badips.db INTERFACE=eth0 CHAIN=BADIPS cd /tmp # Get the bad IPs wget -qO- http://www.badips.com/get/list/any/5 > ${DATABASE} || { echo "$0: Unable to download ip list."; exit 1; } # Ajout de la chain BADIPS si elle n'existe pas set +e $(iptables -S ${CHAIN} >/dev/null 2>&1) ok=$? set -e if [[ ${ok} -ne 0 ]]; then iptables -N ${CHAIN} fi # Flush the previous rules iptables -F ${CHAIN} # Append everything to $CHAIN for IP in $(cat ${DATABASE}) do $(iptables -A ${CHAIN} -s ${IP} -j DROP) done # ajoute le filtrage des ips si la règle n'existe pas set +e $(iptables -C INPUT -i ${INTERFACE} -j ${CHAIN} >/dev/null 2>&1) ok=$? set -e if [[ ${ok} -ne 0 ]]; then iptables -I INPUT 5 -i ${INTERFACE} -j ${CHAIN} fi # supprime le fichier rm -f ${DATABASE} exit 0

• https://gist.github.com/mtompkins/e20fff22e2eeefd0a80f
• http://www.timokorthals.de/?p=334