Как составить список и удалить правила брандмауэра Iptables

Iptables - это брандмауэр, который играет важную роль в сетевой безопасности для большинства систем Linux. Хотя многие учебные пособия по iptables будут обучать вас how для создания правил брандмауэра для защиты вашего сервера, этот фокус будет о другом аспекте управления брандмауэром: перечисление и удаление правил.

В этом руководстве мы рассмотрим, как выполнять следующие задачи iptables:

Перед тем, как вы начнете использовать это руководство, у вас должна быть отдельная учетная запись суперпользователя без полномочий root - пользователь с привилегиями sudo - настроенный на вашем сервере. Если вам нужно настроить это, следуйте соответствующему руководству:

Давайте сначала посмотрим, как перечислить правила. Есть два разных способа просмотра ваших активных правил iptables: в таблице или в виде списка спецификаций правил. Оба метода предоставляют примерно одинаковую информацию в разных форматах.

Чтобы вывести список всех активных правил iptables по спецификации, выполните команду + iptables + с параметром + -S +:

Как видите, выходные данные выглядят так же, как команды, которые использовались для их создания, без предшествующей команды + iptables +. Это также будет похоже на файлы конфигурации правил iptables, если вы когда-либо использовали + iptables-persistent + или + iptables save +.

Список правил iptables в табличном представлении может быть полезен для сравнения различных правил друг с другом,

Чтобы вывести все активные правила iptables в таблицу, выполните команду + iptables + с параметром + -L +:

Это выведет все текущие правила, отсортированные по цепочке.

Если вы хотите ограничить вывод определенной цепочкой (+ INPUT,` + OUTPUT`, + TCP и т. Д.), Вы можете указать имя цепочки непосредственно после опции` + -L + `.

Давайте рассмотрим пример цепочки INPUT:

В первой строке вывода указывается имя цепочки (в данном случае INPUT), за которым следует политика по умолчанию (DROP). Следующая строка состоит из заголовков каждого столбца в таблице и сопровождается правилами цепочки. Давайте рассмотрим, что означает каждый заголовок:

В последнем столбце, который не помечен, указаны * параметры * правила. То есть любая часть правила, которая не указана в предыдущих столбцах. Это может быть что угодно, начиная от портов источника и назначения, до состояния соединения пакета.

Если вы хотите очистить или обнулить счетчики пакетов и байтов для ваших правил, используйте опцию + -Z +. Они также сбрасываются при перезагрузке. Это полезно, если вы хотите узнать, получает ли ваш сервер новый трафик, соответствующий вашим существующим правилам.

Чтобы очистить счетчики для всех цепочек и правил, используйте опцию + -Z + отдельно:

Чтобы очистить счетчики для всех правил в определенной цепочке, используйте опцию + -Z + и укажите цепочку. Например, чтобы очистить счетчики цепочек INPUT, выполните следующую команду:

Если вы хотите очистить счетчики для определенного правила, укажите имя цепочки и номер правила. Например, чтобы обнулить счетчики для 1-го правила в цепочке INPUT, выполните следующее:

Теперь, когда вы знаете, как сбросить счетчики пакетов и байтов iptables, давайте рассмотрим два метода, которые можно использовать для их удаления.

Одним из способов удаления правил iptables является их спецификация. Для этого вы можете запустить команду + iptables + с параметром + -D +, за которым следует спецификация правила. Если вы хотите удалить правила, используя этот метод, вы можете использовать вывод списка правил, + iptables -S +, для некоторой помощи.

Например, если вы хотите удалить правило, которое отбрасывает недопустимые входящие пакеты (+ -A INPUT -m conntrack --ctstate INVALID -j DROP +), вы можете выполнить эту команду:

Обратите внимание, что опция + -A +, которая используется для указания положения правила во время создания, здесь должна быть исключена.

Другой способ удалить правила iptables - по его * цепочке * и * номеру строки *. Чтобы определить номер строки правила, перечислите правила в формате таблицы и добавьте опцию + - line-numbers +:

Это добавляет номер строки к каждой строке правила, указанный заголовком * num *.

Как только вы знаете, какое правило вы хотите удалить, запишите цепочку и номер строки правила. Затем выполните команду + iptables -D +, за которой следует цепочка и номер правила.

Например, если мы хотим удалить правило ввода, которое отбрасывает недействительные пакеты, мы можем видеть, что это правило + 3 + цепочки + INPUT +. Итак, мы должны запустить эту команду:

Теперь, когда вы знаете, как удалять отдельные правила брандмауэра, давайте рассмотрим, как можно «очистить» цепочки правил.

Iptables предлагает способ удалить все правила в цепочке или * очистить * цепочку. В этом разделе будут рассмотрены различные способы сделать это.

В этом разделе показано, как очистить все правила, таблицы и цепочки брандмауэра и разрешить весь сетевой трафик.

Сначала установите политики по умолчанию для каждой из встроенных цепочек в + ACCEPT +. Основная причина сделать это, чтобы убедиться, что вы не будете заблокированы с вашего сервера через SSH:

Затем очистите таблицы + nat + и + mangle +, очистите все цепочки (+ -F +) и удалите все цепочки не по умолчанию (+ -X +):

Ваш брандмауэр теперь разрешит весь сетевой трафик. Если вы сейчас перечислите свои правила, вы увидите, что их нет, и останутся только три цепочки по умолчанию (INPUT, FORWARD и OUTPUT).

Изучив это руководство, вы должны знать, как составлять список и удалять правила брандмауэра iptables.

Помните, что любые изменения iptables с помощью команды + iptables + являются эфемерными, и их необходимо сохранить, чтобы сохранить их после перезагрузки сервера. Это описано в Saving Rules раздел учебного пособия по общим правилам и командам брандмауэра.