Estrutura do Iptables

elgio

INPUT, OUTPUT, PREROUTING, POSTROUTING... Afinal, o que são estes nomes e em quais circunstâncias uma regra deve ir em um ou outro? E as tabelas filter, nat e mangle? Como o iptables é estruturado?

[ Hits: 324.092 ]

Por: Elgio Schlemer em 13/07/2007 | Blog: https://profelgio.duckdns.org/~elgio

8 0

Denuncie Favoritos Indicar Impressora

Por onde passa um datagrama

O iptables, presente no Linux a partir do kernel 2.4, usa o conceito de "ganchos" do netfilter, permitindo avaliar um datagrama em alguns pontos dentro do kernel.

Conforme pode ser observado na Figura 1, um datagrama IP dentro do kernel do Linux passa por várias etapas. Basicamente um datagrama IP é de um dentre três tipos:

O datagrama chegou por uma de suas interfaces, o nível de enlace viu o seu mac address no quadro ethernet. Contudo o datagrama não é destinado ao número IP desta máquina. Se a máquina não for configurada para atuar como roteador, o datagrama é descartado. Se a máquina estiver atuando como roteador, o datagrama deve ser roteado por ela.
O datagrama chegou por uma de suas interfaces, o nível de enlace viu o seu mac address no quadro ethernet e ele é destinado ao IP desta máquina, logo deve ser entregue a um de seus processos locais (se for HTTP, por exemplo, deve ser entregue ao apache).
O datagrama IP foi gerado por um de seus processos locais, por um cliente de email por exemplo, e deve ser repassado a outra máquina.
Cada datagrama passa por uma etapa de roteamento, onde o kernel decide para onde ele vai. Nesta etapa é que são consultadas, se for o caso, as tabelas de roteamento. Os do tipo 1 devem serem roteados para fora da máquina, que no caso deve estar atuando como roteador, sendo que na etapa de roteamento o kernel decide qual o próximo ponto de rota que deve ser usada. Se for para o IP desta máquina, é o roteamento que verifica isto (isto é, recebe o datagrama, vê que é local e entrega ao nível de transporte, que irá repassá-lo ao processo correspondente).

Da mesma forma, pacotes os gerados por processos locais também passam pelo roteamento para serem encaminhados. Logo, todos os datagramas passam, de uma forma ou de outra, pela etapa de roteamento.

Caso ele precise ser repassado a outra máquina (somente se ela estiver atuando como roteador IP), a etapa de "repasse de pacotes" realiza as alterações necessárias, como a reescrita total do cabeçalho de enlace (trocando o MAC origem para o seu), atualização do TTL, etc. Evidente que isto após a decisão de roteamento, pois a escrita do cabeçalho de enlace leva em conta o destino.

Página anterior Próxima página

Páginas do artigo

   1. Introdução: o que esperar deste artigo
   2. Por onde passa um datagrama
   3. Ganchos do netfilter
   4. Enfim, as tabelas
   5. A tabela filter
   6. Conclusão

Outros artigos deste autor

Guerra Infinita, uma análise da Ciência da Computação

Introdução a criptografia

Sinais em Linux

Iptables protege contra SYN FLOOD?

Armazenamento de senhas no Linux

Leitura recomendada

Reforçando a segurança das conexões HTTPS no Apache

Integrando ModSecurity ao NGINX e Apache

Rede wireless: autenticação em uma rede WPA

Seguraça extrema com LIDS

Scanners de portas e de vulnerabilidades

Comentários

[1] Comentário enviado por baxman em 13/07/2007 - 08:33h

Excelente artigo. Mostra com muita clareza todos os aspectos envolvidos tanto no protocolo TCP/IP, como nas tabelas do netfilter.

0 0

[2] Comentário enviado por loammy em 13/07/2007 - 08:53h

Otimo artigo. Elgio, pode ter certeza que o seu artigo vai ajudar muitos usuarios iniciantes a entender como funciona o Netfilter/Iptables, fazendo com que eles mesmos criem regras personalizadas para cada caso. E muitos deles não precisaram ficar copiando scripts sobre Netfilter/Iptables de terceiros.

E finalmente alguem escreveu um artigo com muita clareza sobre a essencia do Netfilter/Iptables. Parabens...

0 0

[3] Comentário enviado por fag_oliv em 13/07/2007 - 08:54h

Excelente artigo professor ; ) . Agora tem que fazer o de nat, e demonstrar algumas regrinhas do mesmo (conforme seu artigo, nao e o seu foco).

Abraços ....

0 0

[4] Comentário enviado por V3rM3 em 13/07/2007 - 10:14h

Parabens pelo ótimo artigo! irá servir como base para muitos que queiram começar a estudar ipatables =D

1 0

[5] Comentário enviado por dailson em 13/07/2007 - 10:24h

Parabéns!! Um artigo excelente!

1 0

[6] Comentário enviado por m4rc310 em 13/07/2007 - 10:42h

Muito bom o artigo e muito bem explicado. As figuras ilustrativas mostrando os ganchos são informações valiosas. Parabéns.

1 0

[7] Comentário enviado por julianlinuxer em 13/07/2007 - 14:03h

Mostrou fácil, fácil a lógica do iptables pra galera, tem até coisa que eu não sabia, meus parabéns, Té+!!!

0 0

[8] Comentário enviado por fe.pinky em 13/07/2007 - 15:25h

Muito bom o artigo!
Esclarecedor e contribui muito para aprimorar os prévios conhecimentos!
[]´s

1 0

[9] Comentário enviado por zilli em 13/07/2007 - 16:48h

Tchê ! Parabéns .
Essa é a diferença entre didática e receita de bolo.
Continue assim, espero que seja o primeiro de vários.

Abraços,
Daniel

1 0

[10] Comentário enviado por an_drade em 13/07/2007 - 17:07h

Muito bom artigo!!! Muito explicativo, simples, conciso e curto. Excelente material p/ quem está começando a aprender iptables, e até mesmo noções de roteamente.

Merece ser repassado!!!

Aguardo pelos prómixos artigos!!!!

Carlos

1 0

[11] Comentário enviado por doliver em 14/07/2007 - 10:45h

Otimo Artigo!

Parabéns !!

0 0

[12] Comentário enviado por gersonraymond em 14/07/2007 - 12:12h

Meu caro amigo seu artigo e show de bola !! você define os processos de uma forma bastante clara e objetiva, parabéns.

0 0

[13] Comentário enviado por bitencourt em 15/07/2007 - 15:55h

Ae professor, muito legal o artigo, parabens, soh para variar bem feito e com muita qualidade como suas aulas!!

Abracos

1 0

[14] Comentário enviado por marcrock em 16/07/2007 - 14:27h

Excelente artigo!!!!
Claro e objetivo!!!

Valew.

1 0

[15] Comentário enviado por forkd em 17/07/2007 - 09:11h

Muito bom o artigo!
Só senti falta de referências... :(

1 0

[16] Comentário enviado por elgio em 17/07/2007 - 09:45h

"falta de referências"

Realmente, falha minha.
Quando fui estudar o ipfilter/iptables fui direto na fonte, lendo os howto e os tutoriais publicados:

http://www.netfilter.org/documentation/HOWTO//netfilter-hacking-HOWTO-3.html#ss3.1
Howto do netfilter, onde mostra os caminhos de um pacote.

http://iptables-tutorial.frozentux.net/iptables-tutorial.html
Tutorial do iptables. Destaque para a introdução sobre redes. Legal que ele inclusive descreve o novo protocolo SCTP, uma evolução do TCP, digamos assim.

ftp://ftp.registro.br/pub/gts/gts0103/gts-2003-artur_jarbas-iptables.pdf
Slides sobre o netfilter, muito completo, embora desatualizado (já se passaram 4 anos e muitos novos módulos do iptables foram amadurecidos ou construidos)

1 0

[17] Comentário enviado por forkd em 17/07/2007 - 11:18h

Como já respondi via email, muito obrigado!

1 0

[18] Comentário enviado por forkd em 17/07/2007 - 11:50h

Cara,

muito bom o tutorial de IPTables, heim? Tô lendo ele aqui!
Agora sim! Excelente referência pra um ótimo artigo!
Era isso que eu estava querendo há algum tempo!
Aguardo os próximos artigos da série!

Obrigado!

1 0

[19] Comentário enviado por hugoalvarez em 17/07/2007 - 20:28h

Gostei das figuras,

parabéns. hehehe

0 0

[20] Comentário enviado por adrianoturbo em 18/11/2007 - 22:01h

Interessante ter falado sobre as tabelas parabéns professor.

0 0

[21] Comentário enviado por juliocm em 15/01/2008 - 22:52h

Eita...Você copiou quase tudo do livro do Iptables...e mundo hacking...

0 0

[22] Comentário enviado por elgio em 17/01/2008 - 11:23h

Julio.

Tá bom, tá bom.
Tu realmente não gostou de minha manifestação no seu artigo (http://www.vivaolinux.com.br/artigos/verArtigo.php?codigo=7393)

Faz um favor para o Vol: manda ai o link de onde "eu copiei" este meu artigo que escrevi. Sim, porque linha por linha do que está aqui eu escrevi de meu próprio punho.

Agora tu vai começar a me perseguir no Vol?
Vai ser divertido... :-D

0 0

[23] Comentário enviado por lipecys em 04/04/2008 - 09:38h

Simplesmente muito bom.

0 0

[24] Comentário enviado por felipe_pepii em 14/04/2008 - 22:40h

hahaah cada coisa que soh acontece aqui.. (comentarios acima)

Parabens, como sempre otimos artigos e esse nao eh diferente!!!
Abraços

0 0

[25] Comentário enviado por marcosfilho em 29/07/2008 - 12:41h

simplismente o melhor artigo que já vi de iptables. não adianta nada saber a sintaxe de criação de regras se não souber o conceito. parabéns!

0 0

[26] Comentário enviado por nuvem_negra em 01/09/2008 - 16:21h

Muito bom sem mais comentários.

0 0

[27] Comentário enviado por carlosdias98 em 28/10/2008 - 23:27h

Parabéns, muito bem explicado !

0 0

[28] Comentário enviado por carlaliliane em 15/11/2008 - 16:06h

Realmente muito bom....e muito útil também!!!!!! Parabéns!

0 0

[29] Comentário enviado por jonathan bispo em 02/01/2009 - 14:44h

Excelente artigo.
Era justamente essa explicação que eu estava buscando na internet.
Agora ficou muito mais simples entender as regras do iptables e configurá-las da forma que eu precisar.
Parabéns!!!

0 0

[30] Comentário enviado por andriopj em 06/03/2009 - 15:59h

cara
precisa falar mais alguma coisa?
acho q todo mundo ja disse

otimo tutorial

0 0

[31] Comentário enviado por schipfer em 27/03/2009 - 08:54h

parabéns

ótimo artigo

0 0

[32] Comentário enviado por jose.freitas.rj em 24/04/2009 - 12:16h

olá elgio! pelo que tenho visto, você saca muito de iptables e eu estou começando agora e estou com dúvidas. tenho 1 ADSL velox com ip dinâmico. tenho um servidor de internet com duas placas de rede. meu servidor está normalíssimo, mas meu único problemas é fazer meu ssh ser acessado pelo pessoal de fora da empresa, ou seja, pela internet, coisa que não estou conseguindo! neste servidor tenho uma placa de rede interna ligada na rede com o ip 192.168.3.252. já na placa que está ligada direto no modem ADSL o ip é 192.168.254.1 e o modem tem o ip 192.168.254.254.
minha dúvida é:
qual seria a regra de iptables pra liberar o pessoal de fora da empresa pela internet pra acessar meu servidor de vendas na porta 22 ssh que está atrás de servidor firewall? pelo fato de eu ter 2 placas rede, sendo uma ligada direto na rede e outra direto na porta WAN do modem não estou conseguindo cara! meu ajuda pelo amor de DEUS... ah! não tenho nem noção de como seria essa regra de direcionamento já que tenho 2 placas de rede!

abraços...

0 0

[33] Comentário enviado por jose.freitas.rj em 29/04/2009 - 13:45h

elgio, não precisa! já fiz e funcionou! :D
o comando "echo 1 > /proc/sys/net/ipv4/ip_forward" já faz o que eu quero!
ele é quem manda no DNAT e SNAT, sendo assim coloquei essas regras com a ajuda de um parceiro de linux chamado sylvio que me passou esses regras:

#DIRECIONANDO SSH DA INTERNET
iptables -A INPUT -i eth0 -s 0/0 -d 0/0 -p tcp --dport 22 -m state --state NEW -j ACCEPT
iptables -A FORWARD -i eth0 -s 0/0 -d 0/0 -p tcp --dport 22 -m state --state NEW -j ACCEPT
iptables -t nat -A PREROUTING -i eth0 -s 0/0 -p tcp --dport 22 -j DNAT --to 192.168.3.1:22

abraços...

0 0

[34] Comentário enviado por beckenjunior2002 em 17/09/2011 - 09:34h

artigo muito bom e bem didático...

0 0

[35] Comentário enviado por victormredes em 09/09/2012 - 22:09h

Excelente artigo, fiz questão de logar para comentar, clareou muito meu conceito sobre iptables.
Obrigado, abraço

0 0

[36] Comentário enviado por px em 18/07/2013 - 22:34h

Estava lendo os seus trabalhos, como o colega acima comentou, fiz questão de logar para votar tbm 10!

---
Atenciosamente, Pedro.

0 0

[37] Comentário enviado por malokagc em 24/07/2013 - 10:44h

Ajudou pra caramba... Acabei de entrar no Linux e hoje comecei a ler sobre a iptables e segurança. O VOl parece que adivinha tudo,..rs

0 0

[38] Comentário enviado por removido em 20/01/2014 - 21:10h

So para complementar,

O iptables possui uma caracteristica interessante que o seu antecessor ipchains não possuia, que a capacidade de STATE-FULL dos pocotes que correm nas chains que torna o firewall mais seguro entre outros beneficios.

Recentemente tive a oportunidade de estudar algumas ferramentas desenvolvidas pelo pessoal da netfilter.org e gostei muito das ferramentas de extenção do iptables para sincronismo de estados de conexões, muito util em ambiente de firewalls balanceados.

Att,

Tiago Eduardo Zacarias
LPIC-1

0 0