Arch Linux

Ports freigeben mit iptables

sts81

Hallo zusammen,

ich würde gerne Port 21 und 80 freigeben, zum testen von proftp und apache.

Wenn ich meine Ports testen lasse sind alle "stealth" und im Browser nicht erreichbar von aussen.
Der PC ist testweise über ein Iphone im Internet. Kann es sein das, egal was ich mache, das Iphone die Weiterleitung sperrt?

Folgendes habe ich eingegeben:


#!/bin/bash
 
 #Ports: Hier eintragen welche Ports geöffnet werden sollen
 SERVICES_UDP="" #freigegebene UDP-Ports 
 SERVICES_TCP="21 80" #freigegebene TCP-Ports (Hier sshd und http)
 
#Alle vorhandenen Regeln löschen
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X

#Grundregeln
iptables -P OUTPUT  ACCEPT
iptables -P INPUT   DROP
iptables -P FORWARD DROP

#Sicherheit
iptables -N other_packets								#Tabelle "other_packets" erzeugen
iptables -A other_packets -p ALL -m state --state INVALID -j DROP			#Kaputte Pakete verwerfen
iptables -A other_packets -p icmp -m limit --limit 1/s -j ACCEPT			#ICMP auf max. 1 Paket/Sekunde limitieren
iptables -A other_packets -p ALL -j RETURN						#Tabelle "other_packets" verlassen

iptables -N service_sec								#Tabelle "services_sec" erzeugen
iptables -A service_sec -p tcp --syn -m limit --limit 2/s -j ACCEPT			#SYN-Flood Attacken
iptables -A service_sec -p tcp ! --syn -m state --state NEW -j DROP			#TCP-SYN-Pakete ohne Status NEW verwerfen
iptables -A service_sec -p tcp --tcp-flags ALL NONE -m limit --limit 1/h -j ACCEPT	#Portscanner ausschalten
iptables -A service_sec -p tcp --tcp-flags ALL ALL -m limit --limit 1/h -j ACCEPT	#Portscanner ausschalten
iptables -A service_sec -p ALL -j RETURN						#Tabelle "services" verlassen

iptables -N reject_packets								#Tabelle "reject_packets" erzeugen
iptables -A reject_packets -p tcp -j REJECT --reject-with tcp-reset			#TCP Pakete(Protokoll) zurückweisen
iptables -A reject_packets -p udp -j REJECT --reject-with icmp-port-unreachable	#UDP Pakete(Protokoll) zurückweisen
iptables -A reject_packets -p icmp -j REJECT --reject-with icmp-host-unreachable	#ICMP Pakete(Protokoll) zurückweisen (bei mehr als 1Paket/Sekunde [s.o.])
iptables -A reject_packets -j REJECT --reject-with icmp-proto-unreachable		#Alle anderen Pakete(Protokolle) zurückweisen 
iptables -A reject_packets -p ALL -j RETURN						#Tabelle "reject_packets" verlassen

#Dienste
iptables -N services									#Tabelle für die Dienste erzeugen
for port in $SERVICES_TCP ; do								#Für jeden TCP Port (oben definiert) folgendes tun:
       iptables -A services -p tcp --dport $port -j service_sec			#Bei Verbindungen auf TCP Port "$port in die Tabelle "services_sec" springen
       iptables -A services -p tcp --dport $port -j ACCEPT				#Bei Verbindungen auf TCP Port "$port Verbindung zulassen
done
for port in $SERVICES_UDP ; do								 #Für jeden UDP Port (oben definiert) folgendes tun:
       iptables -A services -p udp --dport $port -j service_sec			#Bei Verbindungen auf UDP Port "$port" in die Tabelle "services_sec" springen
       iptables -A services -p udp --dport $port -j ACCEPT				#Bei Verbindungen auf UDP Port "$port Verbindung zulassen
done
iptables -A services -p ALL -j RETURN							#Tabelle "services" verlassen

#INPUT
iptables -A INPUT -p ALL -i lo -j ACCEPT						#Alle Pakete vom Loopback Interface zulassen
iptables -A INPUT -p ALL -m state --state ESTABLISHED,RELATED -j ACCEPT		#Bereits vorhandene Verbindungen zulassen
iptables -A INPUT -p ALL -j other_packets						#In die Tabelle "other_packets" springen
iptables -A INPUT -p ALL -j services							#In die Tabelle "services" gehen
iptables -A INPUT -p ALL -m limit --limit 10/s -j reject_packets			#Nicht erlaubte Pakete zurückweisen, max 10Pakete/Sekunde (Tabelle "reject_Packets")
iptables -A INPUT -p ALL -j DROP							#Alles andere verwerfen

#OUTPUT:
iptables -A OUTPUT -p ALL -j ACCEPT							#Ausgehende Pakete erlauben

#Speichern
iptables-save

Dann

systemctl enable iptables.service

und

systemctl start iptables.service

Es wird kein Port als geöffnet angezeigt, egal ob der iptables.service läuft oder nicht.

Dirk

sts81 schriebKann es sein das, egal was ich mache, das Iphone die Weiterleitung sperrt?

Keine Ahnung, was das iPhone macht, aber die Carrier machen meist alles außer Web dicht.

maltem

Was sagt denn „iptables -L“?

Falls es nicht eh klar gewesen sein sollte: „iptables-save“ gibt die aktuell eingestellten Regeln auf stdout aus; die Ausgabe sollte irgendwohin, typischerweise nach /etc/iptables/iptables.rules, umgeleitet werden. („Typischerweise“ wegen des Inhalts von iptables.service.)

Creshal

WWAN ist typischerweise durch den Carrier geNATet (externe IP in 10./8), d.h. was du bei dir mit IPTables machst ist herzlich egal, du bist eh nicht direkt aus dem Internet erreichbar. 🙂

sts81

Habe es mal abgeändert zu iptables-save > /etc/iptables/iptables.rules.
Die neue iptables.rules wird auch geschrieben aber ich sehe nichts von Port 21 oder 80.
Läuft da was falsch von meiner Seite oder ist das von der Archwiki-Seite veraltet?

[root@arch st]# iptables -L

Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere             state RELATED,ESTABLISHED
other_packets  all  --  anywhere             anywhere            
services   all  --  anywhere             anywhere            
reject_packets  all  --  anywhere             anywhere             limit: avg 10/sec burst 5
DROP       all  --  anywhere             anywhere            

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere            

Chain other_packets (1 references)
target     prot opt source               destination         
DROP       all  --  anywhere             anywhere             state INVALID
ACCEPT     icmp --  anywhere             anywhere             limit: avg 1/sec burst 5
RETURN     all  --  anywhere             anywhere            

Chain reject_packets (1 references)
target     prot opt source               destination         
REJECT     tcp  --  anywhere             anywhere             reject-with tcp-reset
REJECT     udp  --  anywhere             anywhere             reject-with icmp-port-unreachable
[root@arch st]# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere             state RELATED,ESTABLISHED
other_packets  all  --  anywhere             anywhere            
services   all  --  anywhere             anywhere            
reject_packets  all  --  anywhere             anywhere             limit: avg 10/sec burst 5
DROP       all  --  anywhere             anywhere            

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere            

Chain other_packets (1 references)
target     prot opt source               destination         
DROP       all  --  anywhere             anywhere             state INVALID
ACCEPT     icmp --  anywhere             anywhere             limit: avg 1/sec burst 5
RETURN     all  --  anywhere             anywhere            

Chain reject_packets (1 references)
target     prot opt source               destination         
REJECT     tcp  --  anywhere             anywhere             reject-with tcp-reset
REJECT     udp  --  anywhere             anywhere             reject-with icmp-port-unreachable
REJECT     icmp --  anywhere             anywhere             reject-with icmp-host-unreachable
REJECT     all  --  anywhere             anywhere             reject-with icmp-proto-unreachable
RETURN     all  --  anywhere             anywhere            

Chain service_sec (2 references)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere             tcp flags:FIN,SYN,RST,ACK/SYN limit: avg 2/sec burst 5
DROP       tcp  --  anywhere             anywhere             tcp flags:!FIN,SYN,RST,ACK/SYN state NEW
ACCEPT     tcp  --  anywhere             anywhere             tcp flags:FIN,SYN,RST,PSH,ACK,URG/NONE limit: avg 1/hour burst 5
ACCEPT     tcp  --  anywhere             anywhere             tcp flags:FIN,SYN,RST,PSH,ACK,URG/FIN,SYN,RST,PSH,ACK,URG limit: avg 1/hour burst 5
RETURN     all  --  anywhere             anywhere            

Chain services (1 references)
target     prot opt source               destination         
service_sec  tcp  --  anywhere             anywhere             tcp dpt:51413
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:51413
service_sec  udp  --  anywhere             anywhere             udp dpt:51413
ACCEPT     udp  --  anywhere             anywhere             udp dpt:51413
RETURN     all  --  anywhere             anywhere

sts81

Ah ich sehe liegt wohl am Iphone. Die Ports stehen doch in der iptables.rules.