Linux:Iptables - Versionsgeschichte

Admin: /* SSH Brute Force reglementieren */

2015-02-06T10:14:33Z

SSH Brute Force reglementieren

← Nächstältere Version		Version vom 6. Februar 2015, 10:14 Uhr
Zeile 154:		Zeile 154:
	-A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT		-A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
	</source>		</source>

			:Regel Nummer 1: Pakete, die eine SSH-Verbindung öffnen wollen, sollen als ''SSH'' markiert werden.
			:Regel Nummer 2: Das 4. Eröffnunspaket von einer Quelle innerhalb von 30 Sekunden soll verworfen werden (Verhindert Mehrfacheinträge in der Logdatei).
			:Regel Nummer 3: Das 3. Eröffnunspaket von einer Quelle innerhalb von 30 Sekunden soll gelogt werden.
			:Regel Nummer 4: Das 3. Eröffnunspaket von einer Quelle innerhalb von 30 Sekunden soll verworfen werden.
			:Regel Nummer 5: Was bis hierher gekommen ist (SSH), soll akzeptiert werden.

Admin: /* SSH Brute Force reglementieren */

2015-02-06T10:02:57Z

SSH Brute Force reglementieren

← Nächstältere Version		Version vom 6. Februar 2015, 10:02 Uhr
Zeile 148:		Zeile 148:
	== SSH Brute Force reglementieren ==		== SSH Brute Force reglementieren ==
	<source line=1 start=1 lang="bash">		<source line=1 start=1 lang="bash">
	~~iptables -N LOGDROP~~		-A INPUT -i eth0 -p tcp -m tcp --dport 22 -m state --state NEW -m recent --set --name SSH --rsource
	~~iptables~~ -A ~~LOGDROP~~ -~~j LOG~~		-A INPUT -i eth0 -p tcp -m tcp --dport 22 -m recent --rcheck --seconds 30 --hitcount 4 --rttl --name SSH --rsource -j REJECT --reject-with tcp-reset
	~~iptables~~ -~~A LOGDROP~~ -~~j DROP~~		-A INPUT -i eth0 -p tcp -m tcp --dport 22 -m recent --rcheck --seconds 30 --hitcount 3 --rttl --name SSH --rsource -j LOG --log-prefix "SSH brute force "
	~~iptables -I INPUT -p~~ tcp --dport 22 ~~-i eth0~~ -m state --state NEW -m recent --set		-A INPUT -i eth0 -p tcp -m tcp --dport 22 -m recent --update --seconds 30 --hitcount 3 --rttl --name SSH --rsource -j REJECT --reject-with tcp-reset
	~~iptables~~ -I INPUT -p tcp --dport 22 -i eth0 -m ~~state~~ --~~state NEW~~ -m recent --update --seconds 60 --hitcount 4 -j ~~LOGDROP~~		-A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
	</source>		</source>

Admin am 6. Februar 2015 um 09:29 Uhr

2015-02-06T09:29:10Z

← Nächstältere Version		Version vom 6. Februar 2015, 09:29 Uhr
Zeile 145:		Zeile 145:
	Zeile 2: Begrenzung auf ein Netzwerk		Zeile 2: Begrenzung auf ein Netzwerk
	Zeile 3: Begrenzung auf eine Schnittstelle (z.B. LAN und WLAN)		Zeile 3: Begrenzung auf eine Schnittstelle (z.B. LAN und WLAN)

			== SSH Brute Force reglementieren ==
			<source line=1 start=1 lang="bash">
			iptables -N LOGDROP
			iptables -A LOGDROP -j LOG
			iptables -A LOGDROP -j DROP
			iptables -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --set
			iptables -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 -j LOGDROP
			</source>

Admin am 15. Dezember 2013 um 14:10 Uhr

2013-12-15T14:10:39Z

← Nächstältere Version		Version vom 15. Dezember 2013, 14:10 Uhr
Zeile 1:		Zeile 1:
	= Standardregeln =		== Standardregeln ==
	=== FTP-Server ===		=== FTP-Server ===
	<source lang="bash">		<source lang="bash">

Admin am 15. Dezember 2013 um 14:09 Uhr

2013-12-15T14:09:19Z

← Nächstältere Version		Version vom 15. Dezember 2013, 14:09 Uhr
Zeile 1:		Zeile 1:
			= Standardregeln =
			=== FTP-Server ===
			<source lang="bash">
			-A INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT
			</source>

			=== Samba Server ===
			<source lang="bash">
			-A INPUT -p udp -m state --state NEW -m udp --dport 137 -j ACCEPT
			-A INPUT -p udp -m state --state NEW -m udp --dport 138 -j ACCEPT
			-A INPUT -p tcp -m state --state NEW -m tcp --dport 139 -j ACCEPT
			-A INPUT -p tcp -m state --state NEW -m tcp --dport 445 -j ACCEPT
			</source>

			=== Webserver ===
			<source lang="bash">
			-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT
			-A INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT
			</source>

			=== Mailserver ===
			<source lang="bash">
			-A INPUT -p tcp -m state --state NEW -m tcp --dport 25 -j ACCEPT
			-A INPUT -p tcp -m state --state NEW -m tcp --dport 110 -j ACCEPT
			-A INPUT -p tcp -m state --state NEW -m tcp --dport 995 -j ACCEPT
			-A INPUT -p tcp -m state --state NEW -m tcp --dport 143 -j ACCEPT
			-A INPUT -p tcp -m state --state NEW -m tcp --dport 993 -j ACCEPT
			</source>

			=== DNS Server ===
			<source lang="bash">
			-A INPUT -p tcp -m state --state NEW -m tcp --dport 53 -j ACCEPT
			-A INPUT -p udp -m state --state NEW -m udp --dport 53 -j ACCEPT
			</source>

			=== DHCP-Server ===
			<source lang="bash">
			-A INPUT -p tcp -m state --state NEW -m tcp --dport 68 -j ACCEPT
			</source>

			=== TFTP-Server ===
			<source lang="bash">
			-A INPUT -p udp -m state --state NEW -m udp --dport 69 -j ACCEPT
			</source>

			=== NTP-Server ===
			<source lang="bash">
			-A INPUT -p udp -m state --state NEW -m udp --dport 123 -j ACCEPT
			</source>

			=== Druckserver ===
			<source lang="bash">
			-A INPUT -p tcp -m tcp --dport 631 -j ACCEPT
			-A INPUT -p udp -m udp --dport 631 -j ACCEPT
			</source>

			=== Rsync-Server ===
			<source lang="bash">
			-A INPUT -p tcp -m state --state NEW -m tcp --dport 873 -j ACCEPT
			</source>

			=== OpenVPN-Server ===
			<source lang="bash">
			-A INPUT -p udp -m state --state NEW -m udp --dport 1194 -j ACCEPT #Konfiguration OpenVPN beachten!
			</source>

			=== TightVNC-Server ===
			<source lang="bash">
			-A INPUT -p tcp -m state --state NEW -m tcp --dport 5901 -j ACCEPT #jeder Desktop erhöht die Portnummer!
			</source>

	== Raspberry Pi ==		== Raspberry Pi ==

Admin am 15. Dezember 2013 um 13:18 Uhr

2013-12-15T13:18:57Z

← Nächstältere Version		Version vom 15. Dezember 2013, 13:18 Uhr
Zeile 26:		Zeile 26:
	* Zeile 8: erlaubt Zugriffe auf den TCP-Port 22 (ssh-Daemon)		* Zeile 8: erlaubt Zugriffe auf den TCP-Port 22 (ssh-Daemon)
	* Zeile 9: alles verwerfen, was bis hierher gekommen ist (also die vorherigen Regeln nicht gegriffen haben)		* Zeile 9: alles verwerfen, was bis hierher gekommen ist (also die vorherigen Regeln nicht gegriffen haben)

			Die Regeln laden und anzeigen:
			<source lang="bash">
			sudo iptables-restore /etc/network/iptables
			sudo iptables -L
			</source>

			Die Anzeige dürfte dann so aussehen:
			<source lang="bash">
			Chain INPUT (policy DROP)
			target prot opt source destination
			ACCEPT all -- anywhere anywhere
			ACCEPT icmp -- anywhere anywhere
			ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
			ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:ssh
			REJECT all -- anywhere anywhere reject-with icmp-host-prohibited

			Chain FORWARD (policy ACCEPT)
			target prot opt source destination

			Chain OUTPUT (policy ACCEPT)
			target prot opt source destination
			</source>

			Damit die Firewall-Regeln bei einem Neustart des Systems oder des Netzwerkdienstes automatisch geladen werden, muss noch ein Pre-Up Skript erstellen.
			<source lang="bash">
			sudo vi /etc/network/if-pre-up.d/iptables
			</source>

			In der Datei ''/etc/network/if-pre-up.d/iptables'' die folgenden Zeilen einfügen:
			<source lang="bash">
			#!/bin/sh
			/sbin/iptables-restore /etc/network/iptables
			</source>

			Damit das Skript ausgeführt werden kann müssen die Zugriffsrechte entsprechend anpassen werden:
			<source lang="bash">
			sudo chmod +x /etc/network/if-pre-up.d/iptables
			</source>

	== Informationen ==		== Informationen ==

Admin am 15. Dezember 2013 um 13:11 Uhr

2013-12-15T13:11:58Z

← Nächstältere Version		Version vom 15. Dezember 2013, 13:11 Uhr
Zeile 8:		Zeile 8:

	Nun werden die Regeln eingefügt (ohne die Zeilennummern):		Nun werden die Regeln eingefügt (ohne die Zeilennummern):
	<source line=":" start=1 lang="bash">		<source line="true" start=1 lang="bash">
	*filter		*filter
	:INPUT DROP [159:12505]		:INPUT DROP [159:12505]
Zeile 20:		Zeile 20:
	COMMIT		COMMIT
	</source>		</source>

			* Zeile 5: erlaubt alle Zugriffe über die Loopback-Schnittstelle ''lo''. Dies können nur Zugriffe vom eigenen Linux-System sein.
			* Zeile 6: erlaubt ICMP-Anfragen (z.B. ping)
			* Zeile 7: erlaubt bereits aufgebaute eingehende Verbindungen generell
			* Zeile 8: erlaubt Zugriffe auf den TCP-Port 22 (ssh-Daemon)
			* Zeile 9: alles verwerfen, was bis hierher gekommen ist (also die vorherigen Regeln nicht gegriffen haben)

			== Informationen ==
			<source line=1 start=1 lang="bash">
			-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
			-A INPUT -s 192.168.10.0/24 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
			-A INPUT -i eth0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
			</source>

			Zeile 1: Der "Originalebefehl"
			Zeile 2: Begrenzung auf ein Netzwerk
			Zeile 3: Begrenzung auf eine Schnittstelle (z.B. LAN und WLAN)

Admin am 15. Dezember 2013 um 13:03 Uhr

2013-12-15T13:03:01Z

← Nächstältere Version		Version vom 15. Dezember 2013, 13:03 Uhr
Zeile 7:		Zeile 7:
	</source>		</source>

	Nun werden die Regeln eingefügt:		Nun werden die Regeln eingefügt (ohne die Zeilennummern):
	<source lang="bash">		<source line=":" start=1 lang="bash">
	*filter		*filter
	:INPUT DROP [159:12505]		:INPUT DROP [159:12505]

Admin am 15. Dezember 2013 um 12:23 Uhr

2013-12-15T12:23:56Z

← Nächstältere Version		Version vom 15. Dezember 2013, 12:23 Uhr
Zeile 5:		Zeile 5:
	<source lang="bash">		<source lang="bash">
	sudo nano /etc/network/iptables		sudo nano /etc/network/iptables
			</source>

			Nun werden die Regeln eingefügt:
			<source lang="bash">
			*filter
			:INPUT DROP [159:12505]
			:FORWARD ACCEPT [0:0]
			:OUTPUT ACCEPT [140:13492]
			-A INPUT -i lo -j ACCEPT
			-A INPUT -p icmp -j ACCEPT
			-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
			-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
			-A INPUT -j REJECT --reject-with icmp-host-prohibited
			COMMIT
	</source>		</source>

Admin: Die Seite wurde neu angelegt: „ == Raspberry Pi == Standardmäßig gibt es im aktuellen Raspbian Image noch keine Konfigurationsdatei für die Firewall-Regeln. Daher erstellen einer Datei /…“

2013-12-15T12:21:02Z

Die Seite wurde neu angelegt: „ == Raspberry Pi == Standardmäßig gibt es im aktuellen Raspbian Image noch keine Konfigurationsdatei für die Firewall-Regeln. Daher erstellen einer Datei /…“

Neue Seite

== Raspberry Pi ==
Standardmäßig gibt es im aktuellen Raspbian Image noch keine Konfigurationsdatei für die Firewall-Regeln. Daher erstellen einer Datei /etc/network/iptables mit einem Editor.
<source lang="bash">
sudo nano /etc/network/iptables
</source>