iptables – SMsoft – informatica e dintorni

iptables: fare un flush completo

admin — Tue, 07 Sep 2021 08:30:00 +0000

Ecco le istruzioni da eseguire per un flush (svuotamento delle regole) completo (NAT e MANGLE) di iptables:

# Accept all traffic first to avoid ssh lockdown  via iptables firewall rules #
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
 
# Flush All Iptables Chains/Firewall rules #
iptables -F
 
# Delete all Iptables Chains #
iptables -X
 
# Flush all counters too #
iptables -Z 

# Flush and delete all nat and  mangle #
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -t raw -F
iptables -t raw -X

enjoy!

iptables: inoltrare tutte le connessioni in uscita verso una porta, ad una porta differente

admin — Tue, 31 Aug 2021 08:30:00 +0000

Oggi vi mostro come attivare l’invio del traffico in uscita (chain OUTPUT) verso un ip:porta, su una porta differente (magari anche ip). In particolare questo esempio invia tutto il traffico in uscita verso l’IP 10.10.10.2 sulla porta 25, all’IP 10.10.10.5 con porta 465 iptables -t nat -A OUTPUT --destination 10.10.10.2 -p tcp --dport 25 -j ... Leggi tutto

iptables: forward delle richieste DNS

admin — Tue, 29 May 2018 08:30:09 +0000

Se avete un linux router/proxy e volete gestire anche il forward delle richieste DNS, potrebbe essere utile configurare un port forward della porta 53 verso il server DNS del router/proxy.

Per farlo, basta eseguire:
iptables -t nat -A PREROUTING -p tcp --dport 53 -j DNAT --to-destination XX.XX.XX.XX:53 iptables -t nat -A PREROUTING -p udp --dport 53 -j DNAT --to-destination XX.XX.XX.XX:53

dove XX.XX.XX.XX è l’IP del server DNS del router/proxy

Se usate il mitico apf-firewall, le direttive vanno nel file /etc/apf-firewall/preroute.rules:$IPT -t nat -A PREROUTING -p tcp --dport 53 -j DNAT --to-destination XX.XX.XX.XX:53 $IPT -t nat -A PREROUTING -p udp --dport 53 -j DNAT --to-destination XX.XX.XX.XX:53

enjoy!

Come mai iptables -L impiega molto tempo per essere eseguito?

admin — Tue, 28 Jul 2015 09:30:25 +0000

Il comando iptables -L visualizza le regole del firewall attive al momento. Dato che il comando tenta la risoluzione DNS per visualizzare l’hostname al posto dell’IP, nel caso non sia possibile effettuare la risoluzione DNS, il comando diventa terribilmente lento a rispondere.

In questo caso, basta forzare iptables a non fare la risoluzione DNS:

iptables -L -n

enjoy!

Linux: Port forwarding

admin — Tue, 15 Apr 2014 09:31:16 +0000

Il port forwarding è il sistema con cui si effettua la redirezione delle richieste alla porta di un host verso un altro host.

Prendiamo ad esempio una Linux Box che funge da firewall con IP pubblico (eth0 sulla rete esterna ed eth1 su quella interna) e tramite cui vorremmo permettere dall’esterno di raggiungere i servizi di un host interno alla rete.

internet –> firewall:1080 –> Host interno:80
x.x.x.x –> 212.30.30.30 –> 10.109.10.10

Ad esempio all’interno della rete c’è un host che gestisce un servizio web sulla classica 80 e vogliamo rendere raggiungibile il servizio anche all’esterno. Potremmo configurare il firewall per inoltrare le richieste alla porta 1080 verso la porta 80 dell’host interno.

Innanzitutto bisogna decommentare nel file /etc/sysctl.conf la riga:

net.ipv4.ip_forward=1

e ricaricare le impostazioni:

sysctl -p

Successivamente, se utilizziamo il nostro fidato apf-firewall, possiamo aggiungere nel file postroute.rules la direttiva:

$IPT -t nat -A POSTROUTING -o eth1 -j MASQUERADE

e poi nel file preroute.rules la direttiva:

$IPT -t nat -A PREROUTING -p tcp --dport 1080 -i eth0 -j DNAT --to-destination 10.109.10.10:80

e riavviare:

/etc/init.d/apf

In alternativa, se vogliamo farlo manualmente, possiamo inserire in un nostro script da avviare al boot, le seguenti righe:

/sbin/iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 1080 -i eth0 -j DNAT --to-destination 10.109.10.10:80

enjoy!

Arginare un attacco dDoS verso un sito web con iptables

admin — Sat, 07 Apr 2012 09:09:28 +0000

In caso di attacco dDoS verso un sito web, generalmente apache ne risente, perché c’è un overloads del server web. A volte si può provare con mod_dosevasive ma comunque è sempre il apache in questo caso che gestisce le richieste, portanto ad un rallentamento del servizio.
In questo caso, si può provare a bloccare le richieste verso il sito, alla fonte, ovvero direttamente con il nostro firewall iptables. Ipotizzando di voler bloccare le richieste verso il nostro sito www.dominio.com, si possono attivare le seguenti due regole:

iptables -I INPUT 1 -p tcp --dport 80 -m string --string "domain.com" --algo kmp -j DROP
ip6tables -I INPUT 1 -p tcp --dport 80 -m string --string "domain.com" --algo kmp -j DROP

enjoy!

Aggiungere una regola di PREROUTING o POSTROUTING al firewall apf

admin — Tue, 24 Aug 2010 07:53:36 +0000

Leggendo il mio blog avrete notato che utilizzo spesso apf per la gestione del firewall su macchine GNU/Linux. Lo trovo molto comodo e ben fatto ed è possibile personalizzarlo con poco sforzo. Oggi voglio parlarvi di come impostare una regola personalizzata di PREROUTING (la stessa cosa si può fare con le regole di POSTROUTING).
Nella cartella dove lo script è installato /etc/apf si trovano due files denominati preroute.rules e postroute.rules che chiaramente servono per le regole di prerouting e postrouting. Se ad esempio volessimo aggiungere la regola di prerouting:

iptables -t nat -A PREROUTING -p tcp -d 10.109.7.100 -j REDIRECT

basterà aprire il file /etc/apf/preroute.rules e scrivere come ultima riga:

$IPT -t nat -A PREROUTING -p tcp -d 10.109.7.100 -j REDIRECT

Ora riavviate il apf e controllate che la nuova regola sia stata caricata con:

/etc/init.d/apf restart
iptables -L -t nat

Girare le richieste che vengono da un IP verso un altro IP con iptables

admin — Thu, 06 Aug 2009 08:26:31 +0000

Segue un semplice script in bash che utilizza iptables per creare una sorta di “ponte” tra due macchine. Questo può servire se una delle due macchine non riesce a connettersi direttamente con la seconda, ma potrebbe utilizzare una terza macchina (quella in cui eseguiremo lo script) come “ponte” per raggiungerla. Ipotizziamo che l’IP della prima sia 10.109.7.180, che l’IP della seconda sia 10.109.11.13 e che vogliamo giare le richieste provenienti dalla porta 8080 della prima macchina verso la porta 8080 della seconda macchina, lo script sarà:

#!/bin/sh
echo 1 >/proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -s 10.109.7.180/32 -o eth0 -j MASQUERADE
iptables -t nat -A PREROUTING -p tcp --dport 8080 -i eth0 -j DNAT --to \
10.109.11.13:8080
iptables -A FORWARD -p tcp -d 10.109.11.13 --dport 8080 -j ACCEPT
iptables -A INPUT -p tcp -m state --state NEW --dport 8080 -i eth0 -j ACCEPT