Tulemüürimas IPTABLES abiga
Enne kui asuda IPTABLES juurde
Antud manuaalis tuleb juttu ainult kõige tavalisematest kasutamisviisidest, nendest algteadmisteks millest peaks piisama, et edasiuurida või koostada enda vajadustele vajalik tulemüürimisreeglistik.
Siinkohas tooks ka ära materjalid mida kasutasin antud manuaali koostamiseks: Järgmised lingid on http://www.netfilter.org kellel inglise keel suus võib lugeda antuid manuaale seal käsitletakse rohkem IPTABLES võimalusi.
Antud manuaalis võib olla vigu, ebatäpsusi. Kõik ettepanekud ja parandused on teretulnud mr.bobc[ät]gmail.com
Milleks tulemüür?
Tulemüüri vajalikus seisneb selles, et kaitsta oma võrgurakendusi, balansseerida võrguliiklust, suunata, jagada võrguühendust ja veel muid võimalusi millel esialgu ei peatu. Juhul uui asuda arvuti asub sisevõrgus ja arvuti välisvõrgus nähtav (näiteks: võrku jagab ruuter, mis on varustatud ja häälestatud tulemüüriga) siis ei pruugi kasutaja vajalikuks pidada lisaks eraldi tulemüüri häälestada. Ka peaks enamus GNU/Linux distributdsioone olema eelnevalt koostatud minimaalse tulemüürimisreeglistikuga. Seega need, kes on rahul oma senise olukorraga ja ei pea vajalikuks torkida IPTABLES või lihtsalt minimaalselt end harida, jätku asi siinkohas katki. Minu arvates on tulemüür arvuti, eriti kui on kasutuses mingit liiki, jaoks vägagi tähtsal kohal.
IPCHAINS või IPTABLES?
Kernelite seeria 2.2 ja ka 2.4 on võimalus kasutada IPCHAINS'i mida küll tulevikus hakkab asendama IPTABLES. Kernel seeria 2.4 ja 2.6 on siis varustatud IPTABLES`iga, mida saab sisse kompileerida nii moodulina või otse kerneli bzImage`sse. Eeldan, et lugejal on väikene kogemus kerneli kompileerimisega, kui pole siis pole midagi muud teha kui lugeda kernel-compiling HOWTO'D. Vägagi vajalikuks osutub siinkohas omada ülevaadet, mis riistvaraga tegemist on, et vältida ebameeldivusi kui mõni seade või liides ei toimi.
Kerneli moodulid
Mida siis valida, et oleks iptables kernellisse sisse kompileeritud (kas moodulina või mitte) ise eelistan moodulina.
Valides:
Device Drivers -> Networking Support -> Networking Options -> *Network paket filtering
Siin saab valida kas IPv4 ja ka IPv6 kohta iptables tugi, ise peatun IPv4 kohapealt kuigi toon ära ka lihtsa reeglistiku IPv6 kohta. On ju ka IPv6 juba üpris palju levinud. Ettetulevas loetelus märkisin enamus Moodulitena jätsin valimata ainult EXPERIMENTAL, kuigi ei pruugi kõiki mooduleid vaja minna. Muidugi on iga mooduli, optioni kohta ka piisav Help, soovitan seda uurida enne kui otsustad. Kui soovid võrku jagada siis vali kindlasti ka M, kus on märge masq/NAT.
Mida vaja läheb
Connection tracking IP Tables support Limit match support (võib vaja minna näiteks pingimise piiramisel), ka võib hiljem vaja minna mark mooduleid (näiteks võrgu liikluse balansseerimisel või muul otstarbel) IP range match Ka on soovitav äramärkida kõik FTP IRC TFTP ja muud protocl support, neid on siis vaja kui kasutada MASQ ja sisevõrgus on kellelgi vaja antud protokolli kasutus (FTP ja IRC ikke on). Packet filtering LOG rarget support vajalik näiteks võrguliikluse jälgimiseks, kes kust üritas ühendust saada. Full NAT MASQURADE REDIRECT
Nüüd peaks eluks vajalik olemas olema, antud loetelus võib olla midagi puudu või üleliigselt, ise nagu eespool mainisin selekteerin tavaliselt enamuse, kunagi ei või teada ette mida võib vaja minna, ja ega need moodulid kettaruumi ka nii palju võta. Siinkohas sai ainult äratoodud kerneli pinnapealne konfigureerimine, vähemalt annab see suuna kätte. Ka eeldan, et Netfilter IPTABLES on eelnevalt installeeritud, kui pole saab selle lehelt http://www.netfilter.org/ millega kaasneb ka korralik installeerimisõpetus, kus ka peaks olema äramainitud vajaminevad moodulid mida kernelisse kompileerida.
