Hier werden die Unterschiede zwischen zwei Versionen gezeigt.
Beide Seiten, vorherige Überarbeitung Vorherige Überarbeitung Nächste Überarbeitung | Vorherige Überarbeitung | ||
lpi2:iptables [2013/12/13 17:44] ingo_wichmann |
lpi2:iptables [2019/12/19 17:19] (aktuell) dirk_streubel [Links] |
||
---|---|---|---|
Zeile 1: | Zeile 1: | ||
====== iptables beobachten ====== | ====== iptables beobachten ====== | ||
- | watch -d iptables -L -n -v --line-numbers | + | watch -d iptables -nvL --line-numbers |
* -L = List (auflisten) | * -L = List (auflisten) | ||
Zeile 7: | Zeile 7: | ||
* --line-numbers = Regeln Nummerieren (einzelne Regeln können anhand der Nummer z.B. gelöscht werden) | * --line-numbers = Regeln Nummerieren (einzelne Regeln können anhand der Nummer z.B. gelöscht werden) | ||
- | ====== iptables Syntax ====== | + | ====== iptables Regeln zurücksetzen ====== |
+ | ===== filter ===== | ||
+ | iptables -P INPUT ACCEPT | ||
+ | iptables -P OUTPUT ACCEPT | ||
+ | iptables -P FORWARD ACCEPT | ||
+ | iptables -F | ||
+ | iptables -X | ||
+ | ===== nat ===== | ||
+ | iptables -t nat -F | ||
+ | iptables -t nat -X | ||
+ | ====== iptables Syntax ====== | ||
^ table ^ command ^ chain ^ rule-specification ^^^ target ^^ | ^ table ^ command ^ chain ^ rule-specification ^^^ target ^^ | ||
| -t filter | -A | INPUT | -s | | | -j | ACCEPT | | | -t filter | -A | INPUT | -s | | | -j | ACCEPT | | ||
Zeile 15: | Zeile 25: | ||
| ::: | -I | ::: | -o | | | :::| LOG | | | ::: | -I | ::: | -o | | | :::| LOG | | ||
| ::: | -R | ::: | | | | :::| ::: | | | ::: | -R | ::: | | | | :::| ::: | | ||
- | | -t nat | -L | PREROUTING | -p | udp | ''--dport'' | -j | SNAT | | + | | -t nat | -L | PREROUTING | -p | udp | ''%%--dport%%'' | -j | SNAT | |
- | | ::: | -S | OUTPUT | :::| ::: | ''--sport'' | :::| DNAT | | + | | ::: | -S | OUTPUT | :::| ::: | ''%%--sport%%'' | :::| DNAT | |
- | | ::: | -F | POSTROUTING | :::| tcp | ''--dport'' | :::| MASQUERADE | | + | | ::: | -F | POSTROUTING | :::| tcp | ''%%--dport%%'' | :::| MASQUERADE | |
- | | ::: | -Z | ::: | :::| ::: | ''--sport'' | :::| ::: | | + | | ::: | -Z | ::: | :::| ::: | ''%%--sport%%'' | :::| ::: | |
- | | -t mangle | -N | PREROUTING | :::| icmp | ''--icmp-type'' | :::| ::: | | + | | -t mangle | -N | PREROUTING | :::| icmp | ''%%--icmp-type%%'' | :::| ::: | |
| ::: | -X | OUTPUT | | | | :::| ::: | | | ::: | -X | OUTPUT | | | | :::| ::: | | ||
- | | ::: | -P | INPUT | -m | conntrack | --ctstate | :::| ::: | | + | | ::: | -P | INPUT | -m | conntrack | ''%%--ctstate%%'' | :::| ::: | |
| ::: | -E | POSTROUTING | | | | :::| ::: | | | ::: | -E | POSTROUTING | | | | :::| ::: | | ||
(( inspiriert von: | (( inspiriert von: | ||
{{:iptables.jpg?direct&900|}} | {{:iptables.jpg?direct&900|}} | ||
)) | )) | ||
- | |||
- | ====== iptables filter-Regeln komplett zurücksetzen ====== | ||
- | iptables -P INPUT ACCEPT | ||
- | iptables -P OUTPUT ACCEPT | ||
- | iptables -P FORWARD ACCEPT | ||
- | iptables -F | ||
- | iptables -X | ||
- | iptables -t nat -F | ||
- | iptables -t nat -X | ||
====== Einbindung von iptables in den Bootvorgang ====== | ====== Einbindung von iptables in den Bootvorgang ====== | ||
- | ===== CentOS ===== | + | ===== CentOS (bis 6) ===== |
+ | Paket: iptables-services | ||
/etc/init.d/iptables save | /etc/init.d/iptables save | ||
speichert die aktuell aktiven iptables-Regeln in der Datei ''/etc/sysconfig/iptables''. Beim Booten werden sie hier wieder ausgelesen. | speichert die aktuell aktiven iptables-Regeln in der Datei ''/etc/sysconfig/iptables''. Beim Booten werden sie hier wieder ausgelesen. | ||
+ | |||
+ | ===== CentOS (ab 7) ===== | ||
+ | wie SuSE, oder ''firewalld'' nutzen | ||
+ | |||
===== SuSE ===== | ===== SuSE ===== | ||
Zeile 112: | Zeile 119: | ||
update-rc.d iptables start 40 S . stop 89 0 6 . | update-rc.d iptables start 40 S . stop 89 0 6 . | ||
+ | Alternativ: | ||
+ | ''/etc/network/interfaces'' : | ||
+ | <file> | ||
+ | auto eth0 | ||
+ | iface eth0 inet dhcp | ||
+ | up sh -c 'iptables-restore < /etc/iptables' | ||
+ | </file> | ||
====== Einfacher Paketfilter mit NAT ====== | ====== Einfacher Paketfilter mit NAT ====== | ||
Zeile 180: | Zeile 194: | ||
* http://www.netfilter.org/documentation/HOWTO/netfilter-extensions-HOWTO.html | * http://www.netfilter.org/documentation/HOWTO/netfilter-extensions-HOWTO.html | ||
* http://www.frozentux.net/iptables-tutorial/iptables-tutorial.html | * http://www.frozentux.net/iptables-tutorial/iptables-tutorial.html | ||
+ | * https://gist.github.com/mcastelino/c38e71eb0809d1427a6650d843c42ac2 | ||
+ | |||
- | ===== iptables und dhcp ===== | ||
- | * http://www.faveve.uni-stuttgart.de/it/auth/dhcp.php | ||
===== iptables und ssh ===== | ===== iptables und ssh ===== | ||
* http://www.debian-administration.org/articles/187 , aber: http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=332231 | * http://www.debian-administration.org/articles/187 , aber: http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=332231 | ||