Ich habe einige IP-Bereiche, zu denen mein Server eine Verbindung herstellen kann, und Benutzer, von denen aus eine Verbindung hergestellt werden soll. Alles andere sollte gesperrt werden.
Wie soll ich das mit iptables machen?
Mein Betriebssystem ist eine Debian-basierte Linux-Distribution.
Dadurch wird Ihr System zu einem nicht vorhandenen System für nicht zugelassene Computer.
quelle
Wenn Sie statt ganzer Subnetze beliebige Bereiche zulassen möchten, können Sie das iptables-Modul 'iprange' verwenden:
iptables -P INPUT DROP
iptables -A INPUT -m iprange --src-range 192.168.1.30-50 -j ACCEPT
Ermöglicht beispielsweise Datenverkehr von allen Computern mit einer Adresse zwischen 192.168.1.30 und 192.168.1.50.
Wenn Sie ein- und ausgehenden Datenverkehr für denselben IP-Bereich zulassen möchten, würde ich vorschlagen, dass Sie eine bestimmte Kette erstellen, die diese IPs zulässt und das gesamte Eingabe- und Ausgabeziel darauf abzielt:
--Definieren Sie die Standardrichtlinien, die gelöscht werden sollen:
iptables -P INPUT DROP
iptables -P OUTPUT DROP
--Erstelle die neue Kette:
iptables -N allowed_ips
--wenn die Quelle Teil des zulässigen Bereichs ist, akzeptieren Sie
iptables -A allowed_ips -m iprange --src-range 192.168.1.30-50 -j ACCEPT
--wenn nicht, kehren Sie zur Aufruferkette zurück, um die Verarbeitung fortzusetzen
iptables -A allowed_ips -j RETURN
- Lassen Sie den gesamten Verkehr, der in die Maschine eintritt und sie verlässt, durch unsere neue Kette laufen
iptables -A INPUT -j allowed_ips
iptables -A OUTPUT -j allowed_ips
und das ist es! Natürlich benötigen Sie möglicherweise zusätzliche Regeln, z. B. eine, die den gesamten Datenverkehr von / zur lo-Schnittstelle usw. zulässt.
quelle
Wenn Sie mit Ihren Regeln zufrieden sind, möchten Sie sie wahrscheinlich speichern . Die Kommentare in diesem Link haben verschiedene Möglichkeiten, wie das geht.
Ein benutzerfreundlicher iptables- Regelgenerator für einfache Anforderungen ist ufw . Das Paket ist in Debian Unstable verfügbar.
Probieren Sie auch Firestarter . Erhältlich in Lenny.
quelle
Sie können auch ferm verwenden, das ich auch im letzten Jahr verwendet habe und das mir bei Fällen wie bedingten Firewall-Regeln sehr geholfen hat.
quelle