Ja, det är väl lite sådär…

Här kommer en snabb guide som behandlar hur du sätter upp en brandvägg med NAT och port forwarding under Linux. Alla kommandon som använder kan du med fördel lägga i en scriptfil som körs varje gång datorn startar. Tänk bara på att gör du fel så kommer du inte komma åt datorn via SSH utan måste koppla in skärm och tangentbord.

Vi antar att brandväggen har två nätverkskort, eth0 som är kopplat till Internet och eth1 som är kopplat till det interna nätverket. \ betyder att jag har gjort en radbrytning och att de två raderna egentligen ska skrivas på en rad.

1. Vi börjar med att sätta standardreglerna till DENY. Vi kommer sedan undan för undan att tillåta endast den nätverkstrafiken som vi vill att ta sig genom brandväggen.

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

2. För att vi ska kunna komma åt alla tjänster på brandväggen från det interna nätverket öppnar vi upp ingående och utgående trafik till/från brandväggen på eth1.

iptables -A INPUT -i eth1 -j ACCEPT
iptables -A OUTPUT -o eth1 -j ACCEPT

3. Nu ska vi fixa så att brandväggen släpper genom trafik från det interna nätverket samt NATar den, precis som en “hemmarouter”. Vi kommer även lägga till regler som säger att datorer på det INTERNA nätverket måste initiera uppkopplinar.

iptables -A FORWARD -i eth1 -o eth0 -m state --state\
 NEW,ESTABLISHED,RELATED -j ACCEPT

Ovanstående regel tillåter oss att skapa nya anslutningar ut genom brandväggen från det interna nätverket samt att även redan etablerade och relaterade anslutningar tillåts.

iptables -A FORWARD -i eth0 -o eth1 -m state --state\
 ESTABLISHED,RELATED -j ACCEPT

Ovanstående regel tillåter svar från anslutningar som gjorts från det interna nätverket. Utan denna regeln kan alltså inte datorer på internet svara på anropen som dina datorer gör.

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Denna regeln NATar alla utgående anslutningar på eth0.

4. Sista steget är såkallad port forwarding. Detta gör så att datorer ute på internet kan komma åt dina interna datorer på de portar du vill. I detta exemplet kommer vi att ha en webbserver på det interna IP:t 192.168.0.5 som man kan komma åt från internet genom att anropa brandväggens externa IP.

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT\
 --to-destination 192.168.0.5

Ovanstående regel skickar vidare (port forwarding alltså) alla inkommande anslutningar på port 80 på eth0 till webbservern.

iptables –A FORWARD –i eth0 –o eth1 –p tcp –d 192.168.0.5\
 --dport 80 -m state --state NEW –j ACCEPT

Tillåter att ovanstående portforwardade anslutningar går genom brandväggen till webbservern.

iptables –A FORWARD –i eth0 –o eth1 –m state --state\
 ESTABLISHED,RELATED –j ACCEPT

Tillåter redan etablerade anslutningar från internet till det interna nätverket genom brandväggen. (Behövs egentligen inte då vi skrev in exakt samma regel tidigare).

iptables –A FORWARD –i eth1 –o eth0 –m state --state\
 ESTABLISHED,RELATED –j ACCEPT

Tillåter redan etablerade anslutningar från det interna nätverket till internet genom brandväggen. (Denna regeln behövs inte heller egentligen då vi tillät detta tidigare).

5. Det sista steget blir att tillåta att brandväggen skickar data från ett interface till ett annat, såkallad IP-Forwarding. Ta bort avkommenteringen på följande rad i /etc/sysctl.conf:

#net.ipv4.ip_forward=1

Vi tillåter inte ICMP i detta exemplet, det betyder att du kommer inte att kunna pinga brandväggens externa IP.

Share on Facebook