Что вы знаете о iptables?

Iptables — это утилита командной строки в операционных системах Linux, используемая для настройки таблиц правил пакетной фильтрации Linux-ядра (netfilter). Работает на уровне сетевого стека, позволяя принимать, отбрасывать, изменять или перенаправлять сетевые пакеты на основе заданных критериев.

Основные концепции:

• Таблицы (Tables): Наборы цепочек правил. Основные таблицы:
  • filter: Используется для фильтрации пакетов (принять/отбросить).
  • nat: Используется для преобразования сетевых адресов (форвардинг портов, маскарадинг).
  • mangle: Используется для изменения заголовков пакетов.
  • raw: Используется для обработки пакетов до того, как они будут отслеживаться соединением (connection tracking).
• Цепочки (Chains): Список правил, через которые проходят пакеты. В каждой таблице есть предопределенные цепочки (INPUT, OUTPUT, FORWARD), а также можно создавать пользовательские.
  • INPUT: Пакеты, предназначенные для локального хоста.
  • OUTPUT: Пакеты, сгенерированные локальным хостом.
  • FORWARD: Пакеты, проходящие через хост (маршрутизация).
• Правила (Rules): Инструкции, определяющие, что делать с пакетом, соответствующим определенным критериям (источник/назначение IP, порт, протокол и т.д.).
• Цели (Targets): Действие, выполняемое над пакетом, соответствующим правилу.
  • ACCEPT: Принять пакет.
  • DROP: Бесшумно отбросить пакет.
  • REJECT: Отбросить пакет и отправить отправителю соответствующее уведомление (например, ICMP unreachable).
  • SNAT: Изменение исходного IP-адреса пакета (в таблице nat).
  • DNAT: Изменение IP-адреса назначения пакета (в таблице nat).
  • MASQUERADE: Динамический SNAT, использующий IP-адрес исходящего интерфейса (в таблице nat).

Примеры команд (таблица filter):

# Показать текущие правила в таблице filter
iptables -L

# Разрешить входящие SSH-соединения (порт 22)
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# Отклонить весь остальной входящий трафик
iptables -A INPUT -j DROP

# Разрешить исходящий трафик
iptables -A OUTPUT -j ACCEPT

# Удалить все правила в таблице filter
iptables -F

# Установить политику по умолчанию для цепочки INPUT в DROP
iptables -P INPUT DROP

Примеры команд (таблица nat):

# Включить форвардинг в ядре
# sysctl net.ipv4.ip_forward=1
# Или через файл /etc/sysctl.d/
# echo "net.ipv4.ip_forward = 1" > /etc/sysctl.d/99-sysctl.conf
# sysctl -p

# Маскарадинг для исходящего трафика через интерфейс eth0
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# DNAT: Перенаправить трафик с внешнего порта 80 на внутренний IP 192.168.1.10 на порт 8080
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.10:8080

Правила iptables не сохраняются автоматически после перезагрузки. Для сохранения используются специальные утилиты (iptables-save, iptables-restore) или сторонние пакеты (iptables- persistent).

Iptables является мощным инструментом для настройки сетевого взаимодействия и безопасности на уровне ядра, но для сложных конфигураций может быть не столь удобен, как более высокоуровневые инструменты типа firewalld или ufw, которые часто используют его в качестве бэкэнда. Однако понимание iptables критически важно для диагностики и тонкой настройки сети в Linux.