Prezentacja dotyczy zaawansowanego zarządzania ruchem sieciowym w systemie Linux z wykorzystaniem frameworku Netfilter oraz narzędzi iptables i nftables. Omówione zostaną architektura zapory stanowej i bezstanowej, mechanizmy translacji adresów NAT (SNAT, DNAT, masquerading) oraz przekierowanie portów w środowisku produkcyjnym. Jest to jedenasta część cyklu Administracja Sieci Komputerowych.
Zarządzanie bezpieczeństwem i translacją pakietów na warstwie rdzeniowej systemu Linux.
Netfilter to framework wbudowany bezpośrednio w jądro Linux, umożliwiający przechwytywanie i modyfikację pakietów sieciowych.
# Ustawienie domyślnej polityki DROP iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT # Zezwolenie na ruch lokalny (loopback) iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT # Zezwolenie na ustanowione i powiązane połączenia iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
# Reguła odrzucająca niepoprawne pakiety iptables -A INPUT -m conntrack --ctstate INVALID -j DROP iptables -A FORWARD -m conntrack --ctstate INVALID -j DROP # Przykłady INVALID: # - TCP SYN na istniejącym połączeniu # - Pakiet z błędną sumą kontrolną # - TCP z flagami SYN i FIN jednocześnie # - ICMP echo-reply bez wcześniejszego request # - Fragmenty IP z błędnym przesunięciem
# Ogólna składnia: iptables -t tabela -A łańcuch -m moduł -j cel # Przykład: SSH z sieci 192.168.1.0/24 iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT # Najważniejsze opcje: -A (append) – dodaj regułę na koniec łańcucha -I (insert) – wstaw regułę na początek łańcucha -D (delete) – usuń regułę -L (list) – wyświetl reguły -F (flush) – wyczyść wszystkie reguły -P (policy) – ustaw politykę domyślną
# Rodziny adresów w nftables: nft add table inet filter # inet = IPv4 + IPv6 nft add table ip filter # ip = tylko IPv4 # Definiowanie łańcucha i reguł: nft add chain inet filter input { type filter hook input priority 0; } nft add rule inet filter input tcp dport 22 accept # Drop by Default w nftables nft add rule inet filter input ct state invalid drop nft add rule inet filter input iif lo accept nft add rule inet filter input ct state established,related accept
| Cecha | iptables | nftables |
|---|---|---|
| Składnia | Osobne dla IPv4/IPv6 | Jednolita (inet) |
| Wydajność | Starsza, większy narzut | Zoptymalizowana |
| Atomowość | Reguły dodawane pojedynczo | Ruleset ładowany atomowo |
| Zestawy/Maps | Wymaga ipset | Wbudowane (sets, maps) |
| Debugowanie | iptables -v -L, trace | nft monitor trace |
| Backward compat | Standard od lat 90. | iptables-translate |
# SSH tylko z sieci administracyjnej iptables -A INPUT -s 10.0.0.0/8 -p tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT # HTTP/HTTPS dla wszystkich iptables -A INPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate NEW -j ACCEPT # Ping tylko z sieci lokalnej iptables -A INPUT -s 192.168.1.0/24 -p icmp --icmp-type echo-request -j ACCEPT # DNS tylko dla zapytań do serwera iptables -A INPUT -p udp --dport 53 -j ACCEPT
# Zapis reguł iptables do pliku iptables-save > /etc/iptables/rules.v4 ip6tables-save > /etc/iptables/rules.v6 # Przywrócenie reguł z pliku iptables-restore < /etc/iptables/rules.v4 # Automatyczne ładowanie (Debian/Ubuntu) apt install iptables-persistent # nftables – zapis całego ruleset nft list ruleset > /etc/nftables.conf nft -f /etc/nftables.conf
# SNAT – stałe mapowanie na konkretny adres IP iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 203.0.113.5 # SNAT z zakresem adresów (round-robin) iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 203.0.113.5-203.0.113.10 # SNAT tylko dla konkretnych portów docelowych iptables -t nat -A POSTROUTING -p tcp --dport 80 -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 203.0.113.5
# Masquerading – używa adresu interfejsu wyjściowego iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE # nftables – odpowiednik masquerady nft add rule nat postrouting ip saddr 192.168.1.0/24 oif eth0 masquerade # Sprawdzenie działania iptables -t nat -L -n -v # Zastosowanie: interfejsy z dynamicznym IP (PPPoE, DHCP)
| Sytuacja | Zalecane | Uzasadnienie |
|---|---|---|
| Statyczny adres IP na WAN | SNAT | Większa wydajność |
| Dynamiczny adres IP (PPPoE, DHCP) | MASQUERADE | Automatyczna adaptacja |
| Pula adresów publicznych | SNAT z zakresem | Rozłożenie ruchu |
| Router zapasowy (failover) | MASQUERADE | Adres zmienia się |
| Wysoka wydajność (100k+ sesji) | SNAT | Mniejszy narzut |
Założenia: LAN 192.168.1.0/24, WAN eth0 z adresem 203.0.113.5
# Krok 1: Włączenie routingu IP sysctl -w net.ipv4.ip_forward=1 echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf # Krok 2: Polityka DROP dla FORWARD iptables -P FORWARD DROP # Krok 3: Zezwolenie na ESTABLISHED,RELATED iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT # Krok 4: SNAT dla ruchu LAN do Internetu iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 203.0.113.5
# LAN 10.0.0.0/24, WAN = ppp0 (PPPoE) sysctl -w net.ipv4.ip_forward=1 iptables -P FORWARD DROP iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -s 10.0.0.0/24 -m conntrack --ctstate NEW -j ACCEPT iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o ppp0 -j MASQUERADE
Adres ppp0 zmienia się – MASQUERADE automatycznie go śledzi.
# Przekierowanie portu 80 na serwer WWW 192.168.1.10:80 iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.10:80 # Przekierowanie portu 443 na serwer WWW iptables -t nat -A PREROUTING -p tcp --dport 443 -j DNAT --to-destination 192.168.1.10:443 # Przekierowanie portu 3030 na SSH (port 22) iptables -t nat -A PREROUTING -p tcp --dport 3030 -j DNAT --to-destination 192.168.1.20:22 # nftables – port forwarding nft add rule nat prerouting tcp dport 80 dnat to 192.168.1.10:80
# Krok 1: Włączenie routingu sysctl -w net.ipv4.ip_forward=1 # Krok 2: Polityka DROP dla FORWARD iptables -P FORWARD DROP # Krok 3: ESTABLISHED,RELATED iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT # Krok 4: DNAT – port 80 na serwer iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.10:80 # Krok 5: FORWARD dla ruchu do serwera iptables -A FORWARD -p tcp -d 192.168.1.10 --dport 80 -m conntrack --ctstate NEW -j ACCEPT
# Serwer WWW na 192.168.1.10 iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.10:80 iptables -A FORWARD -p tcp -d 192.168.1.10 --dport 80 -m conntrack --ctstate NEW -j ACCEPT # Serwer poczty na 192.168.1.20 (SMTP, IMAP) iptables -t nat -A PREROUTING -p tcp --dport 25 -j DNAT --to-destination 192.168.1.20:25 iptables -t nat -A PREROUTING -p tcp --dport 143 -j DNAT --to-destination 192.168.1.20:143 iptables -A FORWARD -p tcp -d 192.168.1.20 -m multiport --dports 25,143 -m conntrack --ctstate NEW -j ACCEPT # Baza danych tylko dla VPN iptables -t nat -A PREROUTING -s 192.168.2.0/24 -p tcp --dport 3306 -j DNAT --to-destination 192.168.1.30:3306
# DNAT na serwer WWW iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.10:80 # SNAT dla ruchu przekierowanego iptables -t nat -A POSTROUTING -d 192.168.1.10 -p tcp --dport 80 -j SNAT --to-source 192.168.1.1 # Alternatywnie: MASQUERADE iptables -t nat -A POSTROUTING -d 192.168.1.10 -p tcp --dport 80 -j MASQUERADE
Uwaga: może powodować problemy z dostępem LAN przez adres publiczny.
# Zakres portów (gry: 27015-27030) iptables -t nat -A PREROUTING -p udp --dport 27015:27030 -j DNAT --to-destination 192.168.1.50 # DMZ – cały ruch na jeden serwer iptables -t nat -A PREROUTING -d 203.0.113.5 -j DNAT --to-destination 192.168.1.100 # TCP i UDP dla portu 53 (DNS) iptables -t nat -A PREROUTING -p tcp --dport 53 -j DNAT --to-destination 192.168.1.10:53 iptables -t nat -A PREROUTING -p udp --dport 53 -j DNAT --to-destination 192.168.1.10:53 # FORWARD dla zakresu iptables -A FORWARD -p udp -d 192.168.1.50 -m multiport --dports 27015:27030 -m conntrack --ctstate NEW -j ACCEPT
Zawsze: DNAT + FORWARD + ip_forward = kompletna konfiguracja.
Bez forwardingu pakiety nie są przekazywane między interfejsami – NAT nie działa.
# Tymczasowe włączenie sysctl -w net.ipv4.ip_forward=1 # Trwałe włączenie echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf # lub: /etc/sysctl.d/99-forward.conf # Weryfikacja sysctl net.ipv4.ip_forward # Oczekiwany: net.ipv4.ip_forward = 1
# Lista reguł w filter z licznikami iptables -nL -v # Lista reguł w tabeli nat iptables -t nat -L -n -v # Lista z numerami reguł iptables -L --line-numbers # Podgląd konkretnego łańcucha iptables -L INPUT -n -v # Polityki domyślne iptables -L | grep "policy"
# Założenia: LAN 192.168.1.0/24, WAN eth0 # Polityka DROP dla FORWARD iptables -P FORWARD DROP # Ruch powrotny iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT # Ruch wychodzący z LAN iptables -A FORWARD -s 192.168.1.0/24 -m conntrack --ctstate NEW -j ACCEPT # Masquerada iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
# Założenia: serwer WWW na 192.168.1.10:80 # DNAT – przekierowanie portu 80 iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.10:80 # FORWARD dla ruchu do serwera iptables -A FORWARD -p tcp -d 192.168.1.10 --dport 80 -m conntrack --ctstate NEW -j ACCEPT # Sprawdzenie reguł NAT iptables -t nat -L -n -v # Sprawdzenie działania curl http://localhost:80 # lub z zewnątrz: curl http://203.0.113.5:80
# Kompletny zestaw reguł FORWARD dla routera NAT # 1. DROP dla INVALID iptables -A FORWARD -m conntrack --ctstate INVALID -j DROP # 2. ACCEPT dla ESTABLISHED,RELATED iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT # 3. ACCEPT dla ruchu LAN do Internetu iptables -A FORWARD -s 192.168.1.0/24 -m conntrack --ctstate NEW -j ACCEPT # 4. ACCEPT dla DNAT (port 80 do serwera) iptables -A FORWARD -p tcp -d 192.168.1.10 --dport 80 -m conntrack --ctstate NEW -j ACCEPT # 5. Polityka domyślna: DROP (ustawiona wcześniej)
# === ROUTER LINUX – NAT + PORT FORWARDING === # 1. Włączenie routingu sysctl -w net.ipv4.ip_forward=1 echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf # 2. Reset i polityki domyślne iptables -F iptables -t nat -F iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT # 3. INPUT – ochrona routera iptables -A INPUT -i lo -j ACCEPT iptables -A INPUT -m conntrack --ctstate INVALID -j DROP iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -p tcp --dport 22 -s 10.0.0.0/8 -m conntrack --ctstate NEW -j ACCEPT # 4. FORWARD – ruch tranzytowy iptables -A FORWARD -m conntrack --ctstate INVALID -j DROP iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -s 192.168.1.0/24 -m conntrack --ctstate NEW -j ACCEPT # 5. NAT iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.10:80 iptables -A FORWARD -p tcp -d 192.168.1.10 --dport 80 -m conntrack --ctstate NEW -j ACCEPT # 6. Zapis reguł iptables-save > /etc/iptables/rules.v4
# Nasłuchiwanie na interfejsie zewnętrznym tcpdump -i eth0 -nn port 80 # Nasłuchiwanie na interfejsie wewnętrznym tcpdump -i eth1 -nn port 80 # Sprawdzenie czy pakiet dociera do routera tcpdump -i any -nn host 203.0.113.5 # Podgląd ruchu ICMP tcpdump -i eth0 -nn icmp # Zapis do pliku do późniejszej analizy tcpdump -i eth0 -nn -w capture.pcap # Sprawdzenie czy conntrack widzi połączenie conntrack -L | grep 192.168.1.10
# Logowanie odrzuconych pakietów do syslog iptables -A INPUT -m conntrack --ctstate INVALID -j LOG --log-prefix "INVALID: " --log-level 4 # Logowanie nowych połączeń HTTP iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW -j LOG --log-prefix "HTTP_NEW: " # Podgląd logów tail -f /var/log/syslog | grep "INVALID\|HTTP_NEW" # nftables – logowanie nft add rule inet filter input tcp dport 22 log prefix "SSH: " # Liczniki reguł – sprawdzenie czy reguła jest używana iptables -L -n -v
| Problem | Diagnoza | Rozwiązanie |
|---|---|---|
| Brak Internetu z LAN | ip_forward=0, brak MASQUERADE | sysctl -w, dodaj MASQUERADE |
| Przekierowanie portów nie działa | Brak reguły FORWARD | Dodaj FORWARD dla DNAT |
| SSH przerywa połączenie | DROP dla ESTABLISHED | Dodaj ESTABLISHED,RELATED |
| Po restarcie brak reguł | iptables-save nie wykonane | Zapisz reguły, zainstaluj iptables-persistent |
| Niektóre strony nie działają | MTU/MSS, fragmentacja | iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu |
| Polecenie | Opis |
|---|---|
| iptables -L -n -v | Lista reguł w tabeli filter |
| iptables -t nat -L -n -v | Lista reguł NAT |
| iptables-save | Zapis reguł do pliku |
| iptables-restore < plik | Przywrócenie reguł z pliku |
| sysctl net.ipv4.ip_forward | Sprawdzenie forwardingu |
| tcpdump -i eth0 -nn | Nasłuch pakietów |
| conntrack -L | Podgląd tablicy połączeń |
| nft list ruleset | Lista reguł nftables |
| iptables-translate ... | Tłumaczenie iptables na nftables |
Prezentacja omówiła architekturę Netfilter, konfigurację firewalla z iptables i nftables, mechanizmy NAT (SNAT, DNAT, masquerading) oraz port forwarding. Praktyczne laboratorium przedstawiło kompletny proces konfiguracji routera Linux.
Praca własna:
