Paketfilter / IPTables

Sven Velt


(page 1)


Warum braucht man einen Paketfilter?







(page 2)


Was macht ein Paketfilter?






(page 3)


Konzepte eines Paketfilters







(page 4)


Bsp.: Abruf einer HTML-Datei per HTTP






(page 5)


Paketfilter unter Linux - Vergangenheit






(page 6)


Paketfilter unter Linux - Gegenwart









(page 7)


Begriffsklärung Netfilter/IPTables






(page 8)


"iptables"- Optionen








(page 9)


Die Tabelle "filter"






(page 10)


Die Tabelle "filter" - Beispiel














(page 11)


Die Tabelle "nat"







(page 12)


Szenario 1: Ein Rechner am Internet




iptables -N block



iptables -A block -m state \
--state ESTABLISHED,RELATED -j ACCEPT

iptables -A block -m state --state NEW \
-i ! ppp0 -j ACCEPT
iptables -A block -j DROP


iptables -A INPUT -j block
iptables -A FORWARD -j block


(page 13)


Szenario 2: Router mit internem Netz




iptables -t nat -A POSTROUTING -o ppp0 \
-j MASQUERADE


iptables -A INPUT -i ppp0 -m state \
--state NEW,INVALID -j DROP
iptables -A FORWARD -i ppp0 -m state \
--state NEW,INVALID -j DROP


echo 1 > /proc/sys/net/ipv4/ip_forward


(page 14)


Szenario 3: Router mit DMZ an eth1




iptables -P FORWARD REJECT


iptables -A FORWARD -o eth1 -j DMZin
iptables -A FORWARD -i eth1 -j DMZout


iptables -P DMZin -j REJECT
iptables -P DMZout -j REJECT


iptables -A DMZin -d $APACHEIP \
--dport 80 -j ACCEPT
iptables -A DMZout -s $APACHEIP \
--sport 80 -j ACCEPT


(page 15)


Szenario 4: Paranoia?!?



DNS-Server in DMZ, Anfragen nach aussen


iptables -A FORWARD -i $DEV_INNEN \
-s $IP_DNSSERVER --sport 1024: \
-o $DEV_AUSSEN -d $IP_ANY --dport 53 \
-p udp -m state \
--state NEW,ESTABLISHED -j ACCEPT


iptables -A FORWARD -i $DEV_AUSSEN \
-s $IP_ANY --sport 53 -o $DEV_INNEN \
-d $IP_DNSSERVER --dport 1024: -p udp \
-m state --state ESTABLISHED -j ACCEPT


(page 16)


Szenario 5: Port-Forwarding



iptables -t nat -A PREROUTING \
-p tcp -d 1.2.3.4 --dport 8080 \
-j DNAT \
--to 192.168.1.1:80


(page 17)


Zum Nachlesen






(page 18)

(page 19)