Tulemüürimas IPTABLES abiga - Redigeerimiste ajalugu

Bobc: /* Näite seletus */

2011-07-21T10:06:33Z

Näite seletus

←Vanem redaktsioon		Redaktsioon: 21. juuli 2011, kell 13:06
251. rida:		251. rida:
	Selleks tuleb ainult sisestada reegel enne rida 3. ja milleks võiks olla:		Selleks tuleb ainult sisestada reegel enne rida 3. ja milleks võiks olla:

	<pre>~~[i]~~input -I block -p tcp --dport 80 -j ACCEPT~~[/i]~~		<pre>input -I block -p tcp --dport 80 -j ACCEPT

	//mis lisab antud reegli esimeseks.</pre>		//mis lisab antud reegli esimeseks.</pre>
259. rida:		259. rida:
	peale siis teda ei logitaks. Saab ka logida näiteks ühendust mingi pordi peale jne.		peale siis teda ei logitaks. Saab ka logida näiteks ühendust mingi pordi peale jne.

	<pre>~~[i]~~input -I block -m limit -j LOG~~[/i]~~		<pre>input -I block -m limit -j LOG

	// log kirjutatakse /var/log/message faili.</pre>		// log kirjutatakse /var/log/message faili.</pre>


	'''5.''' ja''' 6.''' lisavad antud reeglikogu INPUT ja FORWARD põhikogusse.		'''5.''' ja''' 6.''' lisavad antud reeglikogu INPUT ja FORWARD põhikogusse.


	====Näide koos LOG ja avatud port 80.====		====Näide koos LOG ja avatud port 80.====

Mihkel: Parandasin paar näpuviga

2008-01-17T17:57:54Z

Parandasin paar näpuviga

←Vanem redaktsioon		Redaktsioon: 17. jaanuar 2008, kell 20:57
351. rida:		351. rida:
	Laeb failist reeglistiku.		Laeb failist reeglistiku.

	===Näide kus kõik on koos===		===Näide, kus kõik on koos===

	<pre><nowiki>iptables -P INPUT DROP		<pre><nowiki>iptables -P INPUT DROP
369. rida:		369. rida:

	iptables -A POSTROUTING -o ppp0 -j MASQUERADE		iptables -A POSTROUTING -o ppp0 -j MASQUERADE
	</nowiki></pre>		</nowiki></pre>


	===IPv6===		===IPv6===

Mihkel: Parandasin paar näpuviga

2008-01-17T17:57:23Z

Parandasin paar näpuviga

←Vanem redaktsioon		Redaktsioon: 17. jaanuar 2008, kell 20:57
335. rida:		335. rida:
	Võimalus on kombineerida erinevaid viise kust pakett alguse sai ja kuhu läheb.NAT kohta peaks esialgu piisama.		Võimalus on kombineerida erinevaid viise kust pakett alguse sai ja kuhu läheb.NAT kohta peaks esialgu piisama.

	==~~Lõppetuseks~~, NÄIDE ning natuke ka IPv6'st==		==Lõpetuseks, NÄIDE ning natuke ka IPv6'st==


342. rida:		342. rida:
	'''Hoiatus! Reeglid püsivad järgneva reboodini!'''		'''Hoiatus! Reeglid püsivad järgneva reboodini!'''

	Kuna reegleid hoitakse mälus ja ei salvestata kettale peab, kasutaja seda tegema, või teeb vastavalt distributsioonile seda init rc ~~scriptid~~. Näiteks RedHat olid iptables reeglistik failis /etc/sysconfig/iptables. Siin kohas mainin ainult ära kuidas salvestada ja uuesti laadida reeglistikku failist. Kuidas täpsemini sinu distributsioonis asi käib uuri kodulehelt või tehnilise toe foorumist.		Kuna reegleid hoitakse mälus ja ei salvestata kettale peab, kasutaja seda tegema, või teeb vastavalt distributsioonile seda init rc skriptid. Näiteks RedHat olid iptables reeglistik failis /etc/sysconfig/iptables. Siin kohas mainin ainult ära kuidas salvestada ja uuesti laadida reeglistikku failist. Kuidas täpsemini sinu distributsioonis asi käib uuri kodulehelt või tehnilise toe foorumist.
	iptables-save > FAILI		iptables-save > FAILI

396. rida:		396. rida:

	Kui tekkis küsimusi ideid paluks emailida mr.bobc[ät]gmail.com		Kui tekkis küsimusi ideid paluks emailida mr.bobc[ät]gmail.com


	==Välislingid==		==Välislingid==

Mihkel: Parandasin paar näpuviga

2008-01-17T17:56:00Z

Parandasin paar näpuviga

←Vanem redaktsioon		Redaktsioon: 17. jaanuar 2008, kell 20:56
279. rida:		279. rida:
	# iptables -A FORWARD -j block</nowiki></pre>		# iptables -A FORWARD -j block</nowiki></pre>

	==Neti jagamine ja ~~tesised~~ NAT'i võimalused==		==Neti jagamine ja teised NAT'i võimalused==


334. rida:		334. rida:

	Võimalus on kombineerida erinevaid viise kust pakett alguse sai ja kuhu läheb.NAT kohta peaks esialgu piisama.		Võimalus on kombineerida erinevaid viise kust pakett alguse sai ja kuhu läheb.NAT kohta peaks esialgu piisama.


	==Lõppetuseks, NÄIDE ning natuke ka IPv6'st==		==Lõppetuseks, NÄIDE ning natuke ka IPv6'st==

Mihkel: Parandasin paar näpuviga

2008-01-17T17:55:04Z

Parandasin paar näpuviga

←Vanem redaktsioon		Redaktsioon: 17. jaanuar 2008, kell 20:55
232. rida:		232. rida:
	'''State tüübid:'''		'''State tüübid:'''
	*'''NEW''' - uus pakett, mis soovib ühendust luua.		*'''NEW''' - uus pakett, mis soovib ühendust luua.
	*'''ESTABLISHED''' - ~~olemasolev~~ ühendus.		*'''ESTABLISHED''' - olemas olev ühendus.
	*'''RELATED''' - seotud juba loodud ühendusega.		*'''RELATED''' - seotud juba loodud ühendusega.
	*'''INVALID''' - vigane paket või pole lihtsalt seotud olemasolevate ühendustega.		*'''INVALID''' - vigane paket või pole lihtsalt seotud olemasolevate ühendustega.


	====Näite seletus====		====Näite seletus====

Mihkel: Parandasin paar näpuviga

2008-01-17T17:54:42Z

Parandasin paar näpuviga

←Vanem redaktsioon		Redaktsioon: 17. jaanuar 2008, kell 20:54
242. rida:		242. rida:
	Ka läheb vaja reeglikogu keerulisemate reeglite koostamisel.		Ka läheb vaja reeglikogu keerulisemate reeglite koostamisel.

	'''2.''' rida lubab siis kõiki pakette läbi, mis on ~~olemasolevad~~ või seotud.		'''2.''' rida lubab siis kõiki pakette läbi, mis on olemas olevad või seotud.

	'''3.''' lubab läbi uusi pakette väljaarvatud seadme ppp0 pealt.		'''3.''' lubab läbi uusi pakette väljaarvatud seadme ppp0 pealt.
279. rida:		279. rida:
	# iptables -A INPUT -j block		# iptables -A INPUT -j block
	# iptables -A FORWARD -j block</nowiki></pre>		# iptables -A FORWARD -j block</nowiki></pre>



	==Neti jagamine ja tesised NAT'i võimalused==		==Neti jagamine ja tesised NAT'i võimalused==

Mihkel: Parandasin paar näpuviga

2008-01-17T17:53:11Z

Parandasin paar näpuviga

←Vanem redaktsioon		Redaktsioon: 17. jaanuar 2008, kell 20:53
83. rida:		83. rida:
	*Kõigepealt kui pakett tuleb võrgu seadme pealt, kontrollitakse paketti lõpppunkti (kuhu pakett oli suunatud, mis ip ja mis pordi peale)		*Kõigepealt kui pakett tuleb võrgu seadme pealt, kontrollitakse paketti lõpppunkti (kuhu pakett oli suunatud, mis ip ja mis pordi peale)
	*Kui pakett oli suunatud antud PC ip peale, siis läbib pakett INPUT ahelat. Kui ta läbib selle, st. ei visata maha siis jõuab ta programmile.		*Kui pakett oli suunatud antud PC ip peale, siis läbib pakett INPUT ahelat. Kui ta läbib selle, st. ei visata maha siis jõuab ta programmile.
	*Kui ~~pakettiedastus~~ (ip forward) on lubatud ja sissetulev paketti lõpppunkt on teine ip, võrguseade, siis pakett läbib FORWARD ahelat.		*Kui paketiedastus (ip forward) on lubatud ja sissetulev paketti lõpppunkt on teine ip, võrguseade, siis pakett läbib FORWARD ahelat.
	*Kõik paketid, mis saavad algust antud PC pealt läbivad OUTPUT ahelat enne kui nad jõuavad võrguseadmele.		*Kõik paketid, mis saavad algust antud PC pealt läbivad OUTPUT ahelat enne kui nad jõuavad võrguseadmele.

211. rida:		211. rida:
	Antud reegel lubab kõikide võrguseadmete pealt tulevat liiklust port 80`le väljaarvatud ppp0 pealt tulevat.		Antud reegel lubab kõikide võrguseadmete pealt tulevat liiklust port 80`le väljaarvatud ppp0 pealt tulevat.
	Hetkel võib tunduda eelnev jutt tiba segasena, seega asume konkreetse näite juurde.		Hetkel võib tunduda eelnev jutt tiba segasena, seega asume konkreetse näite juurde.


	==Keerulisem näide==		==Keerulisem näide==

Mihkel: Parandasin paar näpuviga

2008-01-17T17:51:45Z

Parandasin paar näpuviga

←Vanem redaktsioon		Redaktsioon: 17. jaanuar 2008, kell 20:51
3. rida:		3. rida:
	==Enne kui asuda IPTABLES juurde==		==Enne kui asuda IPTABLES juurde==
	Antud manuaalis tuleb juttu ainult kõige tavalisematest kasutamisviisidest, nendest algteadmisteks millest peaks piisama,		Antud manuaalis tuleb juttu ainult kõige tavalisematest kasutamisviisidest, nendest algteadmisteks millest peaks piisama,
	et ~~edasiuurida~~ või koostada enda vajadustele vajalik tulemüürimisreeglistik.		et edasi uurida või koostada enda vajadustele vajalik tulemüürimisreeglistik.

	Siinkohas tooks ka ära materjalid mida kasutasin antud manuaali koostamiseks:		Siinkohas tooks ka ära materjalid, mida kasutasin antud manuaali koostamiseks:
	Järgmised lingid on http://www.netfilter.org kellel inglise keel suus võib lugeda antuid manuaale seal		Järgmised lingid on http://www.netfilter.org kellel inglise keel suus võib lugeda antuid manuaale seal
	käsitletakse rohkem IPTABLES võimalusi.		käsitletakse rohkem IPTABLES võimalusi.
18. rida:		18. rida:
	===Milleks tulemüür?===		===Milleks tulemüür?===

	Tulemüüri vajalikus seisneb selles, et kaitsta oma võrgurakendusi, balansseerida võrguliiklust, suunata, jagada võrguühendust ja veel muid võimalusi millel esialgu ei peatu. Juhul kui arvuti asub sisevõrgus ja arvuti on välisvõrgus nähtav (näiteks: võrku jagab ruuter, mis on varustatud ja häälestatud tulemüüriga) siis ei pruugi kasutaja vajalikuks pidada lisaks eraldi tulemüüri häälestada. Ka peaks enamus GNU/Linux ~~distributdsioone~~ olema eelnevalt koostatud minimaalse tulemüürimisreeglistikuga. Seega need, kes on rahul oma senise olukorraga ja ei pea vajalikuks torkida IPTABLES või lihtsalt minimaalselt end harida, jätku asi siinkohas katki. Minu arvates on tulemüür arvuti, eriti kui on kasutuses mingit liiki ???, jaoks vägagi tähtsal kohal.		Tulemüüri vajalikus seisneb selles, et kaitsta oma võrgurakendusi, balansseerida võrguliiklust, suunata, jagada võrguühendust ja veel muid võimalusi millel esialgu ei peatu. Juhul kui arvuti asub sisevõrgus ja arvuti on välisvõrgus nähtav (näiteks: võrku jagab ruuter, mis on varustatud ja häälestatud tulemüüriga) siis ei pruugi kasutaja vajalikuks pidada lisaks eraldi tulemüüri häälestada. Ka peaks enamus GNU/Linux distributsioone olema eelnevalt koostatud minimaalse tulemüürimisreeglistikuga. Seega need, kes on rahul oma senise olukorraga ja ei pea vajalikuks torkida IPTABLES või lihtsalt minimaalselt end harida, jätku asi siinkohas katki. Minu arvates on tulemüür arvuti, eriti kui on kasutuses mingit liiki ???, jaoks vägagi tähtsal kohal.

	===IPCHAINS või IPTABLES?===		===IPCHAINS või IPTABLES?===
26. rida:		26. rida:
	===Kerneli moodulid===		===Kerneli moodulid===

	Mida siis valida, et oleks iptables ~~kernellisse~~ sisse kompileeritud (kas moodulina või mitte) ise eelistan moodulina.		Mida siis valida, et oleks iptables kernelisse sisse kompileeritud (kas moodulina või mitte) ise eelistan moodulina.

	Valides:		Valides:
58. rida:		58. rida:
	Netfilter IPTABLES on eelnevalt installeeritud, kui pole saab selle lehelt http://www.netfilter.org/ millega kaasneb		Netfilter IPTABLES on eelnevalt installeeritud, kui pole saab selle lehelt http://www.netfilter.org/ millega kaasneb
	ka korralik installeerimisõpetus, kus ka peaks olema äramainitud vajaminevad moodulid mida kernelisse kompileerida.		ka korralik installeerimisõpetus, kus ka peaks olema äramainitud vajaminevad moodulid mida kernelisse kompileerida.


	==Aeg asuda IPTABLES juurde==		==Aeg asuda IPTABLES juurde==

Sips: /* IPCHAINS või IPTABLES? */

2007-12-02T07:24:52Z

IPCHAINS või IPTABLES?

←Vanem redaktsioon		Redaktsioon: 2. detsember 2007, kell 10:24
22. rida:		22. rida:
	===IPCHAINS või IPTABLES?===		===IPCHAINS või IPTABLES?===

	Kernelite seeria 2.2 ja ka 2.4 on võimalus kasutada IPCHAINS'i mida küll tulevikus hakkab asendama IPTABLES. Kernel seeria 2.4 ja 2.6 on siis varustatud IPTABLES`iga, mida saab sisse kompileerida nii moodulina või otse kerneli bzImage`sse. Eeldan, et lugejal on väikene kogemus kerneli kompileerimisega, kui pole siis pole midagi muud teha kui lugeda kernel-compiling HOWTO'D. Vägagi vajalikuks osutub siinkohas omada ülevaadet, mis riistvaraga tegemist on, et vältida ebameeldivusi kui mõni seade või liides ei toimi.		Kernelite seeria 2.2 ja ka 2.4 on võimalus kasutada IPCHAINS'i mida küll tulevikus hakkab asendama IPTABLES. Kernel seeria 2.4 ja 2.6 on siis varustatud IPTABLES`iga, mida saab sisse kompileerida nii moodulina või otse kerneli bzImage`sse. Eeldan, et lugejal on väikene kogemus kerneli kompileerimisega, kui pole siis pole midagi muud teha kui lugeda kernel-compiling HOWTO'd. Vägagi vajalikuks osutub siinkohas omada ülevaadet, mis riistvaraga tegemist on, et vältida ebameeldivusi kui mõni seade või liides ei toimi.


	===Kerneli moodulid===		===Kerneli moodulid===

Sips: /* Milleks tulemüür? */

2007-12-02T07:23:55Z

Milleks tulemüür?

←Vanem redaktsioon		Redaktsioon: 2. detsember 2007, kell 10:23
18. rida:		18. rida:
	===Milleks tulemüür?===		===Milleks tulemüür?===

	Tulemüüri vajalikus seisneb selles, et kaitsta oma võrgurakendusi, balansseerida võrguliiklust, suunata, jagada võrguühendust ja veel muid võimalusi millel esialgu ei peatu. Juhul ~~uui asuda~~ arvuti asub sisevõrgus ja arvuti välisvõrgus nähtav (näiteks: võrku jagab ruuter, mis on varustatud ja häälestatud tulemüüriga) siis ei pruugi kasutaja vajalikuks pidada lisaks eraldi tulemüüri häälestada. Ka peaks enamus GNU/Linux distributdsioone olema eelnevalt koostatud minimaalse tulemüürimisreeglistikuga. Seega need, kes on rahul oma senise olukorraga ja ei pea vajalikuks torkida IPTABLES või lihtsalt minimaalselt end harida, jätku asi siinkohas katki. Minu arvates on tulemüür arvuti, eriti kui on kasutuses mingit liiki, jaoks vägagi tähtsal kohal.		Tulemüüri vajalikus seisneb selles, et kaitsta oma võrgurakendusi, balansseerida võrguliiklust, suunata, jagada võrguühendust ja veel muid võimalusi millel esialgu ei peatu. Juhul kui arvuti asub sisevõrgus ja arvuti on välisvõrgus nähtav (näiteks: võrku jagab ruuter, mis on varustatud ja häälestatud tulemüüriga) siis ei pruugi kasutaja vajalikuks pidada lisaks eraldi tulemüüri häälestada. Ka peaks enamus GNU/Linux distributdsioone olema eelnevalt koostatud minimaalse tulemüürimisreeglistikuga. Seega need, kes on rahul oma senise olukorraga ja ei pea vajalikuks torkida IPTABLES või lihtsalt minimaalselt end harida, jätku asi siinkohas katki. Minu arvates on tulemüür arvuti, eriti kui on kasutuses mingit liiki ???, jaoks vägagi tähtsal kohal.


	===IPCHAINS või IPTABLES?===		===IPCHAINS või IPTABLES?===