Iptables - Muutoshistoria

Lahtis: malline

2022-03-04T21:47:36Z

malline

← Vanhempi versio		Versio 5. maaliskuuta 2022 kello 00.47
Rivi 228:		Rivi 228:
	[[Luokka:Komentorivin perustyökalut]]		[[Luokka:Komentorivin perustyökalut]]
	{{Malline:Palvelin}}		{{Malline:Palvelin}}
			{{Palomuuri}}

Foliohattu (7. heinäkuuta 2021 kello 14.40)

2021-07-07T14:40:38Z

← Vanhempi versio		Versio 7. heinäkuuta 2021 kello 17.40
Rivi 11:		Rivi 11:

	Säännöillä voidaan esimerkiksi määrittää, että tietystä IP-osoitteesta tai tiettyyn porttiin saapuvat paketit joko estetään tai päästetään läpi. Säännöillä voidaan myös määritellä edistyneempiä toimintoja, esimerkiksi voidaan estää uudet yhteydet tietystä IP-osoitteesta, jos yhteyksiä on jo samasta IP-osoitteesta auki liian monta.		Säännöillä voidaan esimerkiksi määrittää, että tietystä IP-osoitteesta tai tiettyyn porttiin saapuvat paketit joko estetään tai päästetään läpi. Säännöillä voidaan myös määritellä edistyneempiä toimintoja, esimerkiksi voidaan estää uudet yhteydet tietystä IP-osoitteesta, jos yhteyksiä on jo samasta IP-osoitteesta auki liian monta.
			==Reititin==
			''Pääartikkeli:'' [[iptables/Reititin]]

	== Yksinkertainen palomuuri ==		== Yksinkertainen palomuuri ==

Foliohattu (22. kesäkuuta 2021 kello 12.44)

2021-06-22T12:44:21Z

Foliohattu: finglish suomeksi

2020-12-07T15:38:55Z

finglish suomeksi

← Vanhempi versio		Versio 7. joulukuuta 2020 kello 18.38
Rivi 201:		Rivi 201:
	#Call of Duty		#Call of Duty
	#${IPTABLES} -t nat -A PREROUTING -p udp --dport 28960 -i ${WAN} -j DNAT --to 192.168.x.x		#${IPTABLES} -t nat -A PREROUTING -p udp --dport 28960 -i ${WAN} -j DNAT --to 192.168.x.x
	#web-~~serveri~~		#web-palvelin
	#${IPTABLES} -t nat -A PREROUTING -p tcp --dport http -i ${WAN} -j DNAT --to 192.168.x.x		#${IPTABLES} -t nat -A PREROUTING -p tcp --dport http -i ${WAN} -j DNAT --to 192.168.x.x

Heikkiket: Lisätty Palvelin-malline

2019-01-01T20:00:52Z

Lisätty Palvelin-malline

← Vanhempi versio		Versio 1. tammikuuta 2019 kello 23.00
Rivi 225:		Rivi 225:
	[[Luokka:Ylläpitotyökalut]]		[[Luokka:Ylläpitotyökalut]]
	[[Luokka:Komentorivin perustyökalut]]		[[Luokka:Komentorivin perustyökalut]]
			{{Malline:Palvelin}}

Oselotti (29. maaliskuuta 2016 kello 15.11)

2016-03-29T15:11:06Z

← Vanhempi versio		Versio 29. maaliskuuta 2016 kello 18.11
Rivi 1:		Rivi 1:
	{{DISPLAYTITLE:{{lcfirst:{{PAGENAME}}}}}}		{{DISPLAYTITLE:{{lcfirst:{{PAGENAME}}}}}}
	'''iptables~~-työkalulla~~''' säädetään Linuxin [[Kernel\|ytimessä]] olevaa [[Netfilter]]-pakettisuodatinta. Sen avulla voidaan toteuttaa esimerkiksi [[Palomuuri\|palomuureja]] ja		'''iptables'''-työkalulla säädetään Linuxin [[Kernel\|ytimessä]] olevaa [[Netfilter]]-pakettisuodatinta. Sen avulla voidaan toteuttaa esimerkiksi [[Palomuuri\|palomuureja]] ja
	[[wikipedia:fi:reititin\|reitittimiä.]] Iptables on ollut mukana ytimessä versiosta 2.4-alkaen. [[NFTables]] on korvaamassa ytimen 3.19 versiosta alkaen.		[[wikipedia:fi:reititin\|reitittimiä.]] Iptables on ollut mukana ytimessä versiosta 2.4-alkaen. [[NFTables]] on korvaamassa ytimen 3.19 versiosta alkaen.

Lahtis (9. helmikuuta 2016 kello 04.51)

2016-02-09T04:51:51Z

← Vanhempi versio		Versio 9. helmikuuta 2016 kello 07.51
Rivi 1:		Rivi 1:
	'''~~Iptables~~-työkalulla''' säädetään Linuxin [[Kernel\|ytimessä]] olevaa [[Netfilter]]-pakettisuodatinta. Sen avulla voidaan toteuttaa esimerkiksi [[Palomuuri\|palomuureja]] ja		{{DISPLAYTITLE:{{lcfirst:{{PAGENAME}}}}}}
			'''iptables-työkalulla''' säädetään Linuxin [[Kernel\|ytimessä]] olevaa [[Netfilter]]-pakettisuodatinta. Sen avulla voidaan toteuttaa esimerkiksi [[Palomuuri\|palomuureja]] ja
	[[wikipedia:fi:reititin\|reitittimiä.]] Iptables on ollut mukana ytimessä versiosta 2.4-alkaen. [[NFTables]] on korvaamassa ytimen 3.19 versiosta alkaen.		[[wikipedia:fi:reititin\|reitittimiä.]] Iptables on ollut mukana ytimessä versiosta 2.4-alkaen. [[NFTables]] on korvaamassa ytimen 3.19 versiosta alkaen.

Lahtis: '''

2015-11-06T11:29:59Z

'''

← Vanhempi versio		Versio 6. marraskuuta 2015 kello 14.29
Rivi 1:		Rivi 1:
	Iptables-työkalulla säädetään Linuxin [[Kernel\|ytimessä]] olevaa [[Netfilter]]-pakettisuodatinta. Sen avulla voidaan toteuttaa esimerkiksi [[Palomuuri\|palomuureja]] ja		'''Iptables-työkalulla''' säädetään Linuxin [[Kernel\|ytimessä]] olevaa [[Netfilter]]-pakettisuodatinta. Sen avulla voidaan toteuttaa esimerkiksi [[Palomuuri\|palomuureja]] ja
	[[wikipedia:fi:reititin\|reitittimiä.]] Iptables on ollut mukana ytimessä versiosta 2.4-alkaen. [[NFTables]] on korvaamassa ytimen 3.19 versiosta alkaen.		[[wikipedia:fi:reititin\|reitittimiä.]] Iptables on ollut mukana ytimessä versiosta 2.4-alkaen. [[NFTables]] on korvaamassa ytimen 3.19 versiosta alkaen.

Tommi Siivola: Uutta selkeämpää (toivottavasti) tekstiä iptablesin perusteista

2014-08-30T12:56:40Z

Uutta selkeämpää (toivottavasti) tekstiä iptablesin perusteista

@@ Rivi 2: / Rivi 2: @@
 [[wikipedia:fi:reititin|reitittimiä.]]  Iptables on ollut mukana ytimessä versiosta 2.4-alkaen. [[NFTables]] on korvaamassa ytimen 3.19 versiosta alkaen.
-== Palomuuriasetusten listaaminen ==
+== Peruskäsitteitä ==
-Tämänhetkiset palomuuriasetukset näkee komennolla
+Pakettien käsittely perustuu sääntöihin (rule), joita voidaan muokata iptables-komennolla. Kussakin säännössä on tietyt ehdot, jotka määrittävät mihin paketteihin kyseistä sääntöä sovelletaan. Ehdot voivat määrittää esimerkiksi, että sääntöä sovelletaan paketteihin, jotka saapuvat tietystä IP-osoitteesta, tai jotka ovat matkalla tiettyyn porttiin. Lisäksi kussakin säännössä määritellään mikä toiminto suoritetaan kun paketti täsmää säännön ehtoihin. Yleensä toiminto on joko hylkääminen (DROP) tai hyväksyminen (ACCEPT).
   iptables -L
-lisä[[valitsin]] -n näyttää osoitteet IP-muodossa. NAT-asetukset näkee komennolla
+Säännöt tallennetaan ketjuihin (chain). Kun paketti tulee käsiteltäväksi tiettyyn ketjuun, käydään ketjun sääntöjä järjestyksessä lävitse yksi kerrallaan, kunnes löytyy sääntö joka täsmää pakettiin.
-  iptables -t nat -L
 == Pakettien rajoittaminen ==

Kuhkuli: nfttables

2013-12-12T16:41:21Z

nfttables

← Vanhempi versio		Versio 12. joulukuuta 2013 kello 19.41
Rivi 1:		Rivi 1:
	Iptables-työkalulla säädetään Linuxin [[Kernel\|ytimessä]] olevaa [[Netfilter]]-pakettisuodatinta. Sen avulla voidaan toteuttaa esimerkiksi [[Palomuuri\|palomuureja]] ja		Iptables-työkalulla säädetään Linuxin [[Kernel\|ytimessä]] olevaa [[Netfilter]]-pakettisuodatinta. Sen avulla voidaan toteuttaa esimerkiksi [[Palomuuri\|palomuureja]] ja
	[[wikipedia:fi:reititin\|reitittimiä.]] Iptables on ollut mukana ytimessä versiosta 2.4-alkaen.		[[wikipedia:fi:reititin\|reitittimiä.]] Iptables on ollut mukana ytimessä versiosta 2.4-alkaen. [[NFTables]] on korvaamassa ytimen 3.19 versiosta alkaen.

	== Palomuuriasetusten listaaminen ==		== Palomuuriasetusten listaaminen ==

← Vanhempi versio		Versio 22. kesäkuuta 2021 kello 15.44
Rivi 1:		Rivi 1:
	{{DISPLAYTITLE:{{lcfirst:{{PAGENAME}}}}}}		{{DISPLAYTITLE:{{lcfirst:{{PAGENAME}}}}}}
	'''iptables'''-työkalulla säädetään Linuxin [[Kernel\|ytimessä]] olevaa [[Netfilter]]-pakettisuodatinta. Sen avulla voidaan toteuttaa esimerkiksi [[Palomuuri\|palomuureja]] ja		'''iptables'''-työkalulla säädetään Linuxin [[Kernel\|ytimessä]] olevaa [[Netfilter]]-pakettisuodatinta. Sen avulla voidaan toteuttaa esimerkiksi [[Palomuuri\|palomuureja]] ja
	[[wikipedia:fi:reititin\|reitittimiä.]] ~~Iptables~~ on ollut mukana ytimessä versiosta 2.4-alkaen. [[NFTables]] on korvaamassa ytimen 3.19 versiosta alkaen.		[[wikipedia:fi:reititin\|reitittimiä.]] iptables on ollut mukana ytimessä versiosta 2.4-alkaen. [[NFTables]] on korvaamassa ytimen 3.19 versiosta alkaen.

	== Peruskäsitteitä ==		== Peruskäsitteitä ==
Rivi 13:		Rivi 13:

	== Yksinkertainen palomuuri ==		== Yksinkertainen palomuuri ==
	~~Iptablesin~~ oletuksena käsittelemässä filter-taulussa on kolme sisäänrakennettua ketjua, INPUT, FORWARD ja OUTPUT. Kun ulkomaailmasta saapuu palvelimelle paketti, siihen sovelletaan INPUT-ketjussa olevia sääntöjä. Vastaavasti jos palvelimelta lähtee ulospäin paketti, siihen sovelletaan OUTPUT-ketjussa olevia sääntöjä. FORWARD-ketjun sääntöjä sovelletaan siinä tapauksessa, että paketti saapuu palvelimelle ulkoa päin, mutta sen lopullinen kohde on jokin toinen palvelin, eli paketti on vain kauttakulkumatkalla.		iptablesin oletuksena käsittelemässä filter-taulussa on kolme sisäänrakennettua ketjua, INPUT, FORWARD ja OUTPUT. Kun ulkomaailmasta saapuu palvelimelle paketti, siihen sovelletaan INPUT-ketjussa olevia sääntöjä. Vastaavasti jos palvelimelta lähtee ulospäin paketti, siihen sovelletaan OUTPUT-ketjussa olevia sääntöjä. FORWARD-ketjun sääntöjä sovelletaan siinä tapauksessa, että paketti saapuu palvelimelle ulkoa päin, mutta sen lopullinen kohde on jokin toinen palvelin, eli paketti on vain kauttakulkumatkalla.

	Jos siis halutaan vaikkapa estää palvelimelle tuleva liikenne tietystä IP-osoitteesta, täytyy lisätä uusi sääntö INPUT-ketjuun. Samoin jos halutaan estää palvelimelta yhteydet ulospäin tiettyihin portteihin, täytyy lisätä yksi tai useampi sääntö OUTPUT-ketjuun.		Jos siis halutaan vaikkapa estää palvelimelle tuleva liikenne tietystä IP-osoitteesta, täytyy lisätä uusi sääntö INPUT-ketjuun. Samoin jos halutaan estää palvelimelta yhteydet ulospäin tiettyihin portteihin, täytyy lisätä yksi tai useampi sääntö OUTPUT-ketjuun.
Rivi 60:		Rivi 60:
	Palomuuri perustuu siihen, että tietyt paketit (tieto liikkuu Internetissä paketteina) pääsevät palomuurin läpi ja tietyt estetään. Näitä esto- ja päästösääntöjä säädetään iptablesilla.		Palomuuri perustuu siihen, että tietyt paketit (tieto liikkuu Internetissä paketteina) pääsevät palomuurin läpi ja tietyt estetään. Näitä esto- ja päästösääntöjä säädetään iptablesilla.

	~~Iptablesin~~ kanssa paketit jaetaan viiteen luokkaan: INPUT, OUTPUT, FORWARD, PREROUTING ja POSTROUTING. OUTPUT-tyyppiset paketit ovat paketteja jotka lähtevät koneeltasi Internettiin - esimerkiksi ladatessasi tämän sivun lähetit wikin palvelimelle paketin, jossa pyysit tätä sivua. Kun palvelin sitten vastaa pyyntöösi lähettäen tätä sivua paketteina, ne tulevat INPUT-tyyppisinä. FORWARD-tyyppiset paketit ovat paketteja, jotka vastaanotetaan toisesta verkosta ja lähetetään toiseen (yleensä Internetistä lähiverkkoon tai päinvastoin).		iptablesin kanssa paketit jaetaan viiteen luokkaan: INPUT, OUTPUT, FORWARD, PREROUTING ja POSTROUTING. OUTPUT-tyyppiset paketit ovat paketteja jotka lähtevät koneeltasi Internettiin - esimerkiksi ladatessasi tämän sivun lähetit wikin palvelimelle paketin, jossa pyysit tätä sivua. Kun palvelin sitten vastaa pyyntöösi lähettäen tätä sivua paketteina, ne tulevat INPUT-tyyppisinä. FORWARD-tyyppiset paketit ovat paketteja, jotka vastaanotetaan toisesta verkosta ja lähetetään toiseen (yleensä Internetistä lähiverkkoon tai päinvastoin).

	Vielä yksi perusasia ennen kuin lähdemme säätelemään palomuuriamme: tehtyäsi asetukset ne eivät tallennu mihinkään, vaan seuraavan uudelleenkäynnistyken jälkeen asetukset palautuvat alkuperäisiksi. Tallentaminen onnistuu komennoilla <tt>iptables-save</tt> ja <tt>iptables-restore</tt> joista lisää myöhemmin.		Vielä yksi perusasia ennen kuin lähdemme säätelemään palomuuriamme: tehtyäsi asetukset ne eivät tallennu mihinkään, vaan seuraavan uudelleenkäynnistyken jälkeen asetukset palautuvat alkuperäisiksi. Tallentaminen onnistuu komennoilla <tt>iptables-save</tt> ja <tt>iptables-restore</tt> joista lisää myöhemmin.
Rivi 82:		Rivi 82:

	=== Tarkempaa rajoittamista ===		=== Tarkempaa rajoittamista ===
	Edellä estimme kaikki mahdolliset paketit tiettyyn osoitteeseen. ~~Iptables~~ tarjoaa kuitenkin mahdollisuuden käyttää tarkempia rajoituksia. Esimerkiksi seuraavassa estäisimme kaiken saapuvan [[SSH]]-liikenteen osoitteesta 123.456.789.123 (porttiin 22 kohdistuvan [[TCP]]-protokollaa käyttävän liikenteen).		Edellä estimme kaikki mahdolliset paketit tiettyyn osoitteeseen. iptables tarjoaa kuitenkin mahdollisuuden käyttää tarkempia rajoituksia. Esimerkiksi seuraavassa estäisimme kaiken saapuvan [[SSH]]-liikenteen osoitteesta 123.456.789.123 (porttiin 22 kohdistuvan [[TCP]]-protokollaa käyttävän liikenteen).
	iptables -A INPUT -s 123.456.789.123 -p tcp --dport 22 -j DROP		iptables -A INPUT -s 123.456.789.123 -p tcp --dport 22 -j DROP
	Huomaa uudet valitsimet -p (protokolla) ja --dport (kohdeportti, <i>destination port</i>, voi olla myös alue muodossa alku:loppu). ~~Iptables~~ ymmärtää myös portin numeron sijasta protokollien nimiä, esimerkiksi ssh (portti 22) tai http (80).		Huomaa uudet valitsimet -p (protokolla) ja --dport (kohdeportti, <i>destination port</i>, voi olla myös alue muodossa alku:loppu). iptables ymmärtää myös portin numeron sijasta protokollien nimiä, esimerkiksi ssh (portti 22) tai http (80).

	=== SYN-paketit ===		=== SYN-paketit ===
Rivi 94:		Rivi 94:

	== Asetusten tallentaminen ja palauttaminen ==		== Asetusten tallentaminen ja palauttaminen ==
	~~Iptablesin~~ senhetkiset asetukset saa ulos ajamalla pääkäyttäjänä komennon		iptablesin senhetkiset asetukset saa ulos ajamalla pääkäyttäjänä komennon
	iptables-save		iptables-save
	, joka tulostaa nykyiset asetukset (käytännössä normaaleita iptables-komentoja ilman iptables-alkuosaa). Toimivat asetukset kannattaakin [[Komentorivin perusteet#putkitus\|tallentaa]] tiedostoon:		, joka tulostaa nykyiset asetukset (käytännössä normaaleita iptables-komentoja ilman iptables-alkuosaa). Toimivat asetukset kannattaakin [[Komentorivin perusteet#putkitus\|tallentaa]] tiedostoon: