Linux.iptables - Versionsgeschichte

OrgaMon: /* Modem im eigenen Netz fernwarten */

2019-10-14T10:53:11Z

Modem im eigenen Netz fernwarten

← Nächstältere Version		Version vom 14. Oktober 2019, 12:53 Uhr
Zeile 12:		Zeile 12:
	==== Modem im eigenen Netz fernwarten ====		==== Modem im eigenen Netz fernwarten ====

	Oftmals entsteht der Wunsch das Modem von einem beliebigen Punkt im Netzwerk fernzuwarten. In meiner Konfiguration hängt das Modem an einer eigenen ~~Netzwerkkaret des Servers~~. Dieser verpasse ich natürlich ein anderes Netzwerk. Um dennoch an das Web-Interface des Modems ranzukommen verwende ich folgende Regel:		Oftmals entsteht der Wunsch das Modem/den Router von einem beliebigen Punkt im Netzwerk fernzuwarten. In meiner Konfiguration hängt das Modem an einer eigenen Netzwerkkarte. Dieser verpasse ich natürlich ein anderes Netzwerk. Um dennoch an das Web-Interface des Modems ranzukommen verwende ich folgende Regel:


	iptables -t nat -A PREROUTING -i ~~$DEV_LOC~~ -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.1:80		* eth0 sei die Netzwerkkarte deines "normalen" Netzwerkes
			* eth2 sei in diesem Fall die Netzwerkarte, an der das Modem hängt
			* das Webinterface veröffentlicht das Modem auf 192.168.1.1:80


			echo "1" > /proc/sys/net/ipv4/ip_forward
			iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.1:80
	iptables -t nat -A POSTROUTING -o eth2 -j MASQUERADE		iptables -t nat -A POSTROUTING -o eth2 -j MASQUERADE

	* $DEV_LOC ist die Netzwerkkarte deines "normalen" Netzwerkes
	* eth2 ist in diesem Fall die Netzwerkarte, an der das Modem hängt

	== IP-Tables erledigt das NAT ==		== IP-Tables erledigt das NAT ==

Root: /* auf dem Labortisch */

2010-04-08T15:08:22Z

auf dem Labortisch

← Nächstältere Version		Version vom 8. April 2010, 17:08 Uhr
Zeile 155:		Zeile 155:
	== auf dem Labortisch ==		== auf dem Labortisch ==

	iptables -F INPUT		iptables -F INPUT
	iptables -F OUTPUT		iptables -F OUTPUT
	iptables -F FORWARD		iptables -F FORWARD
	iptables -F -t nat		iptables -F -t nat

	#Default Policys setzen		#Default Policys setzen
	iptables -P INPUT DROP		iptables -P INPUT DROP
	iptables -P OUTPUT DROP		iptables -P OUTPUT DROP
	iptables -P FORWARD DROP		iptables -P FORWARD DROP

	#SSH lokal erlauben		#SSH lokal erlauben
	iptables -A INPUT -p tcp --destination-port 22 -j ACCEPT		iptables -A INPUT -p tcp --destination-port 22 -j ACCEPT
	iptables -A OUTPUT -p tcp --source-port 22 -j ACCEPT		iptables -A OUTPUT -p tcp --source-port 22 -j ACCEPT

	#DNS lokal erlauben		#DNS lokal erlauben
	iptables -A INPUT -p udp --sport 53 -j ACCEPT		iptables -A INPUT -p udp --sport 53 -j ACCEPT
	iptables -A OUTPUT -p udp --dport 53 -j ACCEPT		iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

	#HTTP lokal erlauben		#HTTP lokal erlauben
	iptables -A INPUT -p tcp --sport 80 -j ACCEPT		iptables -A INPUT -p tcp --sport 80 -j ACCEPT
	iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT		iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT

	#NTP lokal erlauben		#NTP lokal erlauben
	iptables -A INPUT -p udp --sport 123 -j ACCEPT		iptables -A INPUT -p udp --sport 123 -j ACCEPT
	iptables -A OUTPUT -p udp --dport 123 -j ACCEPT		iptables -A OUTPUT -p udp --dport 123 -j ACCEPT

	#HTML erlauben		#HTML erlauben
	iptables -A FORWARD -p tcp --destination-port 80 -j ACCEPT		iptables -A FORWARD -p tcp --destination-port 80 -j ACCEPT
	iptables -A FORWARD -p tcp --source-port 80 -j ACCEPT		iptables -A FORWARD -p tcp --source-port 80 -j ACCEPT

	#DNS erlauben		#DNS erlauben
	iptables -A FORWARD -p udp --destination-port 53 -j ACCEPT		iptables -A FORWARD -p udp --destination-port 53 -j ACCEPT
	iptables -A FORWARD -p udp --source-port 53 -j ACCEPT		iptables -A FORWARD -p udp --source-port 53 -j ACCEPT

	#VPN-Konfiguration		#VPN-Konfiguration
	iptables -A FORWARD -p udp --dport 500 -j ACCEPT		iptables -A FORWARD -p udp --dport 500 -j ACCEPT
	iptables -A FORWARD -p udp --sport 500 -j ACCEPT		iptables -A FORWARD -p udp --sport 500 -j ACCEPT
	iptables -A FORWARD -p udp --dport 10000 -j ACCEPT		iptables -A FORWARD -p udp --dport 10000 -j ACCEPT
	iptables -A FORWARD -p udp --sport 10000 -j ACCEPT		iptables -A FORWARD -p udp --sport 10000 -j ACCEPT
	iptables -A FORWARD -p tcp --dport 10000 -j ACCEPT		iptables -A FORWARD -p tcp --dport 10000 -j ACCEPT
	iptables -A FORWARD -p tcp --sport 10000 -j ACCEPT		iptables -A FORWARD -p tcp --sport 10000 -j ACCEPT
	iptables -A FORWARD -p udp --dport 4500 -j ACCEPT		iptables -A FORWARD -p udp --dport 4500 -j ACCEPT
	iptables -A FORWARD -p udp --sport 4500 -j ACCEPT		iptables -A FORWARD -p udp --sport 4500 -j ACCEPT
	iptables -A FORWARD -p 50 -j ACCEPT		iptables -A FORWARD -p 50 -j ACCEPT
	iptables -A FORWARD -p 51 -j ACCEPT		iptables -A FORWARD -p 51 -j ACCEPT
	iptables -t nat -A PREROUTING -i dsl0 -p udp --dport 500 -j DNAT --to 192.168.22.1:500		iptables -t nat -A PREROUTING -i dsl0 -p udp --dport 500 -j DNAT --to 192.168.22.1:500
	iptables -t nat -A PREROUTING -i dsl0 -p 50 -j DNAT --to 192.168.22.1		iptables -t nat -A PREROUTING -i dsl0 -p 50 -j DNAT --to 192.168.22.1
	iptables -t nat -A PREROUTING -i dsl0 -p 51 -j DNAT --to 192.168.22.1		iptables -t nat -A PREROUTING -i dsl0 -p 51 -j DNAT --to 192.168.22.1

	#Routing aktivieren		#Routing aktivieren
	iptables -t nat -A POSTROUTING -o dsl0 -j MASQUERADE		iptables -t nat -A POSTROUTING -o dsl0 -j MASQUERADE

	#IP Forwarding aktivieren		#IP Forwarding aktivieren
	echo 1 > /proc/sys/net/ipv4/ip_forward		echo 1 > /proc/sys/net/ipv4/ip_forward

	#Ausgabe nach erfolgreichem Starten		#Ausgabe nach erfolgreichem Starten
	echo "Firewall gestartet";;		echo "Firewall gestartet";;

Root am 8. April 2010 um 15:07 Uhr

2010-04-08T15:07:10Z

← Nächstältere Version		Version vom 8. April 2010, 17:07 Uhr
Zeile 152:		Zeile 152:
	* http://www.urlfilter.net/download/ipcop-urlfilter-1.9.3.tar.gz		* http://www.urlfilter.net/download/ipcop-urlfilter-1.9.3.tar.gz
	* http://www.shallalist.de/		* http://www.shallalist.de/

			== auf dem Labortisch ==

			iptables -F INPUT
			iptables -F OUTPUT
			iptables -F FORWARD
			iptables -F -t nat

			#Default Policys setzen
			iptables -P INPUT DROP
			iptables -P OUTPUT DROP
			iptables -P FORWARD DROP

			#SSH lokal erlauben
			iptables -A INPUT -p tcp --destination-port 22 -j ACCEPT
			iptables -A OUTPUT -p tcp --source-port 22 -j ACCEPT

			#DNS lokal erlauben
			iptables -A INPUT -p udp --sport 53 -j ACCEPT
			iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

			#HTTP lokal erlauben
			iptables -A INPUT -p tcp --sport 80 -j ACCEPT
			iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT

			#NTP lokal erlauben
			iptables -A INPUT -p udp --sport 123 -j ACCEPT
			iptables -A OUTPUT -p udp --dport 123 -j ACCEPT

			#HTML erlauben
			iptables -A FORWARD -p tcp --destination-port 80 -j ACCEPT
			iptables -A FORWARD -p tcp --source-port 80 -j ACCEPT

			#DNS erlauben
			iptables -A FORWARD -p udp --destination-port 53 -j ACCEPT
			iptables -A FORWARD -p udp --source-port 53 -j ACCEPT

			#VPN-Konfiguration
			iptables -A FORWARD -p udp --dport 500 -j ACCEPT
			iptables -A FORWARD -p udp --sport 500 -j ACCEPT
			iptables -A FORWARD -p udp --dport 10000 -j ACCEPT
			iptables -A FORWARD -p udp --sport 10000 -j ACCEPT
			iptables -A FORWARD -p tcp --dport 10000 -j ACCEPT
			iptables -A FORWARD -p tcp --sport 10000 -j ACCEPT
			iptables -A FORWARD -p udp --dport 4500 -j ACCEPT
			iptables -A FORWARD -p udp --sport 4500 -j ACCEPT
			iptables -A FORWARD -p 50 -j ACCEPT
			iptables -A FORWARD -p 51 -j ACCEPT
			iptables -t nat -A PREROUTING -i dsl0 -p udp --dport 500 -j DNAT --to 192.168.22.1:500
			iptables -t nat -A PREROUTING -i dsl0 -p 50 -j DNAT --to 192.168.22.1
			iptables -t nat -A PREROUTING -i dsl0 -p 51 -j DNAT --to 192.168.22.1

			#Routing aktivieren
			iptables -t nat -A POSTROUTING -o dsl0 -j MASQUERADE

			#IP Forwarding aktivieren
			echo 1 > /proc/sys/net/ipv4/ip_forward

			#Ausgabe nach erfolgreichem Starten
			echo "Firewall gestartet";;

Root: /* Neues DMZ Konzept */

2010-04-01T12:40:31Z

Neues DMZ Konzept

← Nächstältere Version		Version vom 1. April 2010, 14:40 Uhr
Zeile 152:		Zeile 152:
	* http://www.urlfilter.net/download/ipcop-urlfilter-1.9.3.tar.gz		* http://www.urlfilter.net/download/ipcop-urlfilter-1.9.3.tar.gz
	* http://www.shallalist.de/		* http://www.shallalist.de/

	~~== Neues DMZ Konzept ==~~


	~~[[Bild:Heiwadori.png]]~~

	Info zur Verwendung der japanischen Worte: Zur Erhaltung der Erinnerung an den Atombomben Abwurf von Hiroshima und in tiefen Respekt vor allen Opfern verwende ich folgende japanische Ausdrücke für Domänen und Hostnamen des Sicherungskonzeptes:

	* Hibakusha (Explosionsopfer) -> Host der dem Internet ausgesetzt ist
	* Heiwadori (Friedensallee) -> Domäne
	* Heiwakoen (Friedenspark) -> Host der den Router für das interne LAN darstellt

	~~[[Bild:Firewall-dmz-interner-externer-router.png]]~~

	~~=== Skizze ===~~

	~~DSL-Modem~~
	\|
	\|
	\|
	-eth1--------------------*
	~~* *~~
	~~* Host [[Linux.iptables#Hibakusha\|Hibakusha]] *~~
	~~* *~~
	~~-eth0@.100-----------------~~
	\|
	\|
	~~\| 192.168.1.0/255.255.255.0 (DMZ-Netz "Heiwadori")~~
	\|
	~~-eth1@.2------------------~~
	~~* *~~
	~~* Host [[Linux.iptables#Heiwakoen\|Heiwakoen]] *~~
	~~* *~~
	~~-eth0@.20-----------------~~
	\|
	\|
	~~\| 192.168.115.0/255.255.255.0 (LAN-Netz "Lummerland")~~
	\|
	**** Clients

	~~=== Hibakusha ===~~

	* ist das Gateway inerhalb der DMZ, er ist mit dem Internet verbunden. Ich denke er macht ein ganz normales NAT, hierzu hat er eine zentrale Regel:

	#
	~~# anfragen aus dem lokalen Netz verfälschen dass es mit einer IP funktioniert~~
	#
	~~$IPTABLES -t nat -A POSTROUTING -o $DEV_EXT -j MASQUERADE~~

	#
	~~# Pakete neu stückeln, so dass das DSL Netz damit klar kommt~~
	#
	~~$IPTABLES -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu~~


	* Routing: Hierbei ist wichtig, dass im bekannt ist wohin er "Antworten" ans LAN schicken darf. Dabei ist ja Heiwakoen unser "Router"

	~~Kernel IP routing table~~
	~~Destination Gateway Genmask Flags Metric Ref Use Iface~~
	~~217.5.98.1 * 255.255.255.255 UH 0 0 0 dsl0~~
	~~192.168.2.0 * 255.255.255.0 U 0 0 0 eth1~~
	~~192.168.1.0 * 255.255.255.0 U 0 0 0 eth0~~
	~~192.168.115.0 192.168.1.2 255.255.255.0 UG 0 0 0 eth0 <-- wichtig, sonst geht nix!~~
	~~link-local * 255.255.0.0 U 0 0 0 eth0~~
	~~loopback * 255.0.0.0 U 0 0 0 lo~~
	~~default * 0.0.0.0 U 0 0 0 dsl0~~

	~~=== Heiwakoen ===~~

	* ist das Gateway für das normale LAN, er muss sich anfühlen wie ein normaler Router, dass hinter ihm die DMZ und der wirkliche Router steht soll das LAN natürlich nicht merken! Ich denke Heiwakoen macht den DHCPD für beide Netze.

	~~==== Status ====~~




	Problem: auf der Maschine selbst funktioniert das inet. Das LAN sieht Heiwakoen ja als Router an, Pakete mit "fremden" IPs landen bei diesem internen Router. Ich hatte gedacht der merkt das selbst, dass er diese Pakete an "sein" Gateway weiterleiten muss ...

	* erfolgloser Versuch:

	~~iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 192.168.1.2~~

	* erfolgreicher Versuch:

	~~das Routing auf "Hibakasu" war falsch: Er fand keine Route mehr zurück ins LAN. Siehe den Auszug seiner korrekten Routing Tabelle!~~

	~~==== Links ====~~

	~~http://www.freebsd.org/doc/de/books/handbook/network-routing.html~~

Root: /* Neues DMZ Konzept */

2010-03-31T21:08:52Z

Neues DMZ Konzept

← Nächstältere Version		Version vom 31. März 2010, 23:08 Uhr
Zeile 163:		Zeile 163:
	* Heiwadori (Friedensallee) -> Domäne		* Heiwadori (Friedensallee) -> Domäne
	* Heiwakoen (Friedenspark) -> Host der den Router für das interne LAN darstellt		* Heiwakoen (Friedenspark) -> Host der den Router für das interne LAN darstellt

			[[Bild:Firewall-dmz-interner-externer-router.png]]

	=== Skizze ===		=== Skizze ===

Root: /* Neues DMZ Konzept */

2010-03-31T16:13:25Z

Neues DMZ Konzept

← Nächstältere Version		Version vom 31. März 2010, 18:13 Uhr
Zeile 235:		Zeile 235:

	das Routing auf "Hibakasu" war falsch: Er fand keine Route mehr zurück ins LAN. Siehe den Auszug seiner korrekten Routing Tabelle!		das Routing auf "Hibakasu" war falsch: Er fand keine Route mehr zurück ins LAN. Siehe den Auszug seiner korrekten Routing Tabelle!

			==== Links ====

			http://www.freebsd.org/doc/de/books/handbook/network-routing.html

Root: /* Hibakusha */

2010-03-31T15:58:02Z

Hibakusha

← Nächstältere Version		Version vom 31. März 2010, 17:58 Uhr
Zeile 212:		Zeile 212:
	192.168.2.0 * 255.255.255.0 U 0 0 0 eth1		192.168.2.0 * 255.255.255.0 U 0 0 0 eth1
	192.168.1.0 * 255.255.255.0 U 0 0 0 eth0		192.168.1.0 * 255.255.255.0 U 0 0 0 eth0
	192.168.115.0 192.168.1.2 255.255.255.0 UG 0 0 0 eth0		192.168.115.0 192.168.1.2 255.255.255.0 UG 0 0 0 eth0 <-- wichtig, sonst geht nix!
	link-local * 255.255.0.0 U 0 0 0 eth0		link-local * 255.255.0.0 U 0 0 0 eth0
	loopback * 255.0.0.0 U 0 0 0 lo		loopback * 255.0.0.0 U 0 0 0 lo

Root: /* Hibakusha */

2010-03-31T15:56:06Z

Hibakusha

← Nächstältere Version		Version vom 31. März 2010, 17:56 Uhr
Zeile 192:		Zeile 192:
	=== Hibakusha ===		=== Hibakusha ===

	ist das Gateway inerhalb der DMZ, er ist mit dem Internet verbunden. Ich denke er macht ein ganz normales NAT, hierzu hat er eine zentrale Regel:		* ist das Gateway inerhalb der DMZ, er ist mit dem Internet verbunden. Ich denke er macht ein ganz normales NAT, hierzu hat er eine zentrale Regel:

	#		#
Zeile 203:		Zeile 203:
	#		#
	$IPTABLES -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu		$IPTABLES -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu


			* Routing: Hierbei ist wichtig, dass im bekannt ist wohin er "Antworten" ans LAN schicken darf. Dabei ist ja Heiwakoen unser "Router"

			Kernel IP routing table
			Destination Gateway Genmask Flags Metric Ref Use Iface
			217.5.98.1 * 255.255.255.255 UH 0 0 0 dsl0
			192.168.2.0 * 255.255.255.0 U 0 0 0 eth1
			192.168.1.0 * 255.255.255.0 U 0 0 0 eth0
			192.168.115.0 192.168.1.2 255.255.255.0 UG 0 0 0 eth0
			link-local * 255.255.0.0 U 0 0 0 eth0
			loopback * 255.0.0.0 U 0 0 0 lo
			default * 0.0.0.0 U 0 0 0 dsl0

	=== Heiwakoen ===		=== Heiwakoen ===

Root: /* Status */

2010-03-31T15:54:35Z

Status

← Nächstältere Version		Version vom 31. März 2010, 17:54 Uhr
Zeile 209:		Zeile 209:

	==== Status ====		==== Status ====




	Problem: auf der Maschine selbst funktioniert das inet. Das LAN sieht Heiwakoen ja als Router an, Pakete mit "fremden" IPs landen bei diesem internen Router. Ich hatte gedacht der merkt das selbst, dass er diese Pakete an "sein" Gateway weiterleiten muss ...		Problem: auf der Maschine selbst funktioniert das inet. Das LAN sieht Heiwakoen ja als Router an, Pakete mit "fremden" IPs landen bei diesem internen Router. Ich hatte gedacht der merkt das selbst, dass er diese Pakete an "sein" Gateway weiterleiten muss ...
Zeile 215:		Zeile 218:

	iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 192.168.1.2		iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 192.168.1.2

			* erfolgreicher Versuch:

			das Routing auf "Hibakasu" war falsch: Er fand keine Route mehr zurück ins LAN. Siehe den Auszug seiner korrekten Routing Tabelle!

Root: /* Neues DMZ Konzept */

2010-03-31T15:36:24Z

Neues DMZ Konzept

← Nächstältere Version		Version vom 31. März 2010, 17:36 Uhr
Zeile 158:		Zeile 158:
	[[Bild:Heiwadori.png]]		[[Bild:Heiwadori.png]]

	Info zur Verwendung der japanischen Worte: Zur Erhaltung der Erinnerung an den Atombomben Abwurf von Hiroshima und in tiefen Respekt vor allen Opfern verwende ich folgende Ausdrücke für Domänen und Hostnamen des Sicherungskonzeptes:		Info zur Verwendung der japanischen Worte: Zur Erhaltung der Erinnerung an den Atombomben Abwurf von Hiroshima und in tiefen Respekt vor allen Opfern verwende ich folgende japanische Ausdrücke für Domänen und Hostnamen des Sicherungskonzeptes:

	* Hibakusha (Explosionsopfer) -> Host der dem Internet ausgesetzt ist		* Hibakusha (Explosionsopfer) -> Host der dem Internet ausgesetzt ist