Iptables kasutamine Debianiga - Redigeerimiste ajalugu

Imre: /* Stateful märkused */

2025-10-14T13:00:00Z

Stateful märkused

←Vanem redaktsioon		Redaktsioon: 14. oktoober 2025, kell 13:00
252. rida:		252. rida:
	OpenBSD puhul on vajalik väljas sisse pöördumiseks üks paketifiltri reegel		OpenBSD puhul on vajalik väljas sisse pöördumiseks üks paketifiltri reegel

	~~TODO~~		<pre>
			pass in quick on $if_office inet proto tcp from $if_office:network to $if_office keep state
			</pre>

			ning ekstra inimese kirjutatud vastavat vastuspakettide välja saamise reeglit ei ole tarvis esitada; see moodustatakse automaatselt ja nimetatakse 'state'-iks

			<pre>
			# pfctl -s state
			</pre>

	===Logimine paketifiltriga===		===Logimine paketifiltriga===

Imre: /* Stateful märkused */

2025-10-14T12:57:52Z

Stateful märkused

←Vanem redaktsioon		Redaktsioon: 14. oktoober 2025, kell 12:57
231. rida:		231. rida:
	</pre>		</pre>

	* esmalt tabab tcp ühendust algatav syn pakett ~~viimast~~ reeglit ja saab läbi		* esmalt tabab tcp ühendust algatav syn pakett kolmandat reeglit ja saab läbi
	* seejärel tabab tcp ühendusega seotud teine seest välja minev pakett teist reeglit ja saab läbi		* seejärel tabab tcp ühendusega seotud teine seest välja minev pakett teist reeglit ja saab läbi
	* seejärel tabel tcp ühendusega seotud kolmas väljast sisse tulev pakette ~~kolmandat~~ reeglit ja saab läbi		* seejärel tabel tcp ühendusega seotud kolmas väljast sisse tulev pakette esimest reeglit ja saab läbi
	* ülejäänud pakette tabavad esimene ja teine reegel ja paketid saavad läbi		* ülejäänud pakette tabavad esimene ja teine reegel ja paketid saavad läbi

	Ülal iptables seadistusfailis on kasutatud väljuvate pakettide kohta rida		Ülal iptables seadistusfailis on kasutatud väljuvate pakettide kohta ainult rida

	<pre>		<pre>
246. rida:		246. rida:
	* seest välja uute ühenduste moodustamine		* seest välja uute ühenduste moodustamine
	* olemasolevate ühtenduste koosseisus olevate pakettide seest välja saamine (nii väljast sisse algatatud ühendusest, kui seest välja)		* olemasolevate ühtenduste koosseisus olevate pakettide seest välja saamine (nii väljast sisse algatatud ühendusest, kui seest välja)
			* kusjuures seest välja minevate ühtenduste vastuspakettidega tegeleb rida '-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT'

	iptables on selles mõttes erineva käitumisega kui openbsd pfctl paketifilter		iptables on selles mõttes erineva käitumisega kui openbsd pfctl paketifilter

Imre: /* Stateful märkused */

2025-10-14T10:34:48Z

Stateful märkused

←Vanem redaktsioon		Redaktsioon: 14. oktoober 2025, kell 10:34
246. rida:		246. rida:
	* seest välja uute ühenduste moodustamine		* seest välja uute ühenduste moodustamine
	* olemasolevate ühtenduste koosseisus olevate pakettide seest välja saamine (nii väljast sisse algatatud ühendusest, kui seest välja)		* olemasolevate ühtenduste koosseisus olevate pakettide seest välja saamine (nii väljast sisse algatatud ühendusest, kui seest välja)

			iptables on selles mõttes erineva käitumisega kui openbsd pfctl paketifilter

			OpenBSD puhul on vajalik väljas sisse pöördumiseks üks paketifiltri reegel

			TODO

	===Logimine paketifiltriga===		===Logimine paketifiltriga===

Imre: /* Stateful teema märkused */

2025-10-14T10:33:46Z

Stateful teema märkused

←Vanem redaktsioon		Redaktsioon: 14. oktoober 2025, kell 10:33
221. rida:		221. rida:
	# chmod 0755 /etc/network/if-pre-up.d/iptables		# chmod 0755 /etc/network/if-pre-up.d/iptables

	====Stateful ~~teema~~ märkused====		====Stateful märkused====

	Iseenesest on Linux paketifilter stateful st kerneli paketifiltri osakond oskab jälgida ühendusi, saada aru, mis paketid kuuluvad ühenduse koosseisu jne. Aga reeglina tuleb lisaks mõlema suuna liiklust ja ühe suuna erinevate omadustega pakettide süsteemi suhtes liikumist selgelt kirjeldada. Nt väljast sisse http päringuga seoses tcp ühenduse töötamiseks on vajalikud kolm reeglit		Iseenesest on Linux paketifilter stateful st kerneli paketifiltri osakond oskab jälgida ühendusi, saada aru, mis paketid kuuluvad ühenduse koosseisu jne. Aga reeglina tuleb lisaks mõlema suuna liiklust ja ühe suuna erinevate omadustega pakettide süsteemi suhtes liikumist selgelt kirjeldada. Nt väljast sisse http päringuga seoses tcp ühenduse töötamiseks on vajalikud kolm reeglit
235. rida:		235. rida:
	* seejärel tabel tcp ühendusega seotud kolmas väljast sisse tulev pakette kolmandat reeglit ja saab läbi		* seejärel tabel tcp ühendusega seotud kolmas väljast sisse tulev pakette kolmandat reeglit ja saab läbi
	* ülejäänud pakette tabavad esimene ja teine reegel ja paketid saavad läbi		* ülejäänud pakette tabavad esimene ja teine reegel ja paketid saavad läbi

			Ülal iptables seadistusfailis on kasutatud väljuvate pakettide kohta rida

			<pre>
			-OUTPUT -j ACCEPT
			</pre>

			mis klapib nö kahte tüüpi väljuvate pakettidega

			* seest välja uute ühenduste moodustamine
			* olemasolevate ühtenduste koosseisus olevate pakettide seest välja saamine (nii väljast sisse algatatud ühendusest, kui seest välja)

	===Logimine paketifiltriga===		===Logimine paketifiltriga===

Imre: /* Reeglite laadimine seadistusfailiga */

2025-10-14T10:29:52Z

Reeglite laadimine seadistusfailiga

←Vanem redaktsioon		Redaktsioon: 14. oktoober 2025, kell 10:29
220. rida:		220. rida:

	# chmod 0755 /etc/network/if-pre-up.d/iptables		# chmod 0755 /etc/network/if-pre-up.d/iptables

			====Stateful teema märkused====

			Iseenesest on Linux paketifilter stateful st kerneli paketifiltri osakond oskab jälgida ühendusi, saada aru, mis paketid kuuluvad ühenduse koosseisu jne. Aga reeglina tuleb lisaks mõlema suuna liiklust ja ühe suuna erinevate omadustega pakettide süsteemi suhtes liikumist selgelt kirjeldada. Nt väljast sisse http päringuga seoses tcp ühenduse töötamiseks on vajalikud kolm reeglit

			<pre>
			-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
			-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
			-A INPUT -p tcp -m state --state NEW --dport 80 -j ACCEPT
			</pre>

			* esmalt tabab tcp ühendust algatav syn pakett viimast reeglit ja saab läbi
			* seejärel tabab tcp ühendusega seotud teine seest välja minev pakett teist reeglit ja saab läbi
			* seejärel tabel tcp ühendusega seotud kolmas väljast sisse tulev pakette kolmandat reeglit ja saab läbi
			* ülejäänud pakette tabavad esimene ja teine reegel ja paketid saavad läbi

	===Logimine paketifiltriga===		===Logimine paketifiltriga===

Imre: /* Automaatne käivitamine */

2025-09-22T07:43:50Z

Automaatne käivitamine

@@ 1091. rida: / 1091. rida: @@
 [Install]
 WantedBy=multi-user.target
 </pre>

Imre: /* IPv6 liikluse kontrollimine */

2025-08-18T17:04:56Z

IPv6 liikluse kontrollimine

←Vanem redaktsioon		Redaktsioon: 18. august 2025, kell 17:04
404. rida:		404. rida:

	# chmod 0755 /etc/network/if-pre-up.d/ip6tables		# chmod 0755 /etc/network/if-pre-up.d/ip6tables

			====ipv6 aadressi eemaldamine====

			<pre>
			# ip -6 addr del 2001:cc8:1001::22/64 dev eth1
			</pre>

	====DST NAT====		====DST NAT====

Imre: /* Tööpõhimõte - ipv6 */

2025-08-08T22:51:14Z

Tööpõhimõte - ipv6

←Vanem redaktsioon		Redaktsioon: 8. august 2025, kell 22:51
986. rida:		986. rida:
	...		...

	~~# nft add rule ip nat OUTPUT ip daddr 192.168.0.19 udp dport 53 dnat to 192.168.0.119~~
	# nft add rule ip nat OUTPUT ip daddr 192.168.0.19 udp dport 53 dnat to 192.168.0.119		# nft add rule ip nat OUTPUT ip daddr 192.168.0.19 udp dport 53 dnat to 192.168.0.119
	# nft add rule ip nat OUTPUT ip daddr 192.168.0.19 tcp dport 53 dnat to 192.168.0.119		# nft add rule ip nat OUTPUT ip daddr 192.168.0.19 tcp dport 53 dnat to 192.168.0.119

Imre: /* Tööpõhimõte - ipv6 */

2025-08-08T22:50:54Z

Tööpõhimõte - ipv6

←Vanem redaktsioon		Redaktsioon: 8. august 2025, kell 22:50
971. rida:		971. rida:

	<pre>		<pre>
			# nft add table ip6 nat
			# nft add chain ip6 nat OUTPUT '{ type nat hook output priority dstnat; policy accept; }'
			...

	# nft add rule ip6 nat OUTPUT ip6 daddr 2001:cc7:1119::19 udp dport 53 dnat to 2001:cc7:1119::1119		# nft add rule ip6 nat OUTPUT ip6 daddr 2001:cc7:1119::19 udp dport 53 dnat to 2001:cc7:1119::1119
	# nft add rule ip6 nat OUTPUT ip6 daddr 2001:cc7:1119::19 tcp dport 53 dnat to 2001:cc7:1119::1119		# nft add rule ip6 nat OUTPUT ip6 daddr 2001:cc7:1119::19 tcp dport 53 dnat to 2001:cc7:1119::1119

Imre: /* nft kasutamine */

2025-08-08T22:50:00Z

nft kasutamine

←Vanem redaktsioon		Redaktsioon: 8. august 2025, kell 22:50
950. rida:		950. rida:
	nft (nftables) on linux kernel paketifiltri-aadress-teisenduse-jms raamistik. nft on ka lahendusega käsurealt opereerimise utiliidi nimi. 2025 aastal kasutab linux kernel sisemiselt nft lahendust, iptables lähenemine töötab samuti läbi nö wrapperi. Sellest annab tunnistust nt		nft (nftables) on linux kernel paketifiltri-aadress-teisenduse-jms raamistik. nft on ka lahendusega käsurealt opereerimise utiliidi nimi. 2025 aastal kasutab linux kernel sisemiselt nft lahendust, iptables lähenemine töötab samuti läbi nö wrapperi. Sellest annab tunnistust nt

	====Tööpõhimõte====		====Tööpõhimõte - ipv4====

			<pre>
			# nft add table ip nat
			# nft add chain ip nat OUTPUT '{ type nat hook output priority dstnat; policy accept; }'
			# nft add rule ip nat OUTPUT ip daddr 192.168.0.19 udp dport 53 dnat to 192.168.0.119
			</pre>

			====Tööpõhimõte - ipv6====

	<pre>		<pre>
970. rida:		978. rida:

	<pre>		<pre>
			# nft add table ip nat
			# nft add chain ip nat OUTPUT '{ type nat hook output priority dstnat; policy accept; }'
			...

			# nft add rule ip nat OUTPUT ip daddr 192.168.0.19 udp dport 53 dnat to 192.168.0.119
	# nft add rule ip nat OUTPUT ip daddr 192.168.0.19 udp dport 53 dnat to 192.168.0.119		# nft add rule ip nat OUTPUT ip daddr 192.168.0.19 udp dport 53 dnat to 192.168.0.119
	# nft add rule ip nat OUTPUT ip daddr 192.168.0.19 tcp dport 53 dnat to 192.168.0.119		# nft add rule ip nat OUTPUT ip daddr 192.168.0.19 tcp dport 53 dnat to 192.168.0.119