iptablesはクライアントIPインターネットアクセスをブロックし、LANアクセスを維持します
ネットワークアクセスとハッキングの可能性があるアプライアンスの増加に伴い、特定のIPアドレスがインターネットにアクセスするのをブロックし、LANアクセスは許可したいと考えています。たとえば、Logitech Harmonyリモートを使用して、ボタン1つでステレオ、衛星放送、およびテレビを制御します。また、ローカルネットワークを介してiPadで制御することもできます。しかし、ハッカーがテレビを操作したくないので、ハーモニーリモートに割り当てられたIPアドレスをIPテーブルファイアウォールでブロックします。
これが、IPテーブル構成の編集に使用する現在のスクリプトです。 2つのネットワークカードを搭載した私のFedora 20ボックスで動作しています。セクション6では、ルールを挿入しようとしています。それ以外はすべて意図したとおりに機能しています。私の質問に関係なくても、スクリプト全体が他の人の役に立つことを期待して含めています。結局のところ、それはすべて自分の検索から得られた知識から構築されています！
#!/bin/sh
#
# A script for creating an iptables firewall
#
#
# Start by clearing iptables
#
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X
#
# Define our interfaces, Squid IP, and Squid port
#
WAN="p4p1"
LAN="p4p2"
SQUIDIP="192.168.10.10"
SQUIDPORT="3129"
#
# Create log files to help troubleshooting. (We can comment out when not needed)
#
# iptables -A OUTPUT -j LOG
# iptables -A INPUT -j LOG
# iptables -A FORWARD -j LOG
#
# Now to create the Routing Firewall
#
#
# (1) Create the default policies (DROP)
#
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
#
# (2) User-defined chain called "okay" for ACCEPTed TCP packets
#
iptables -N okay
iptables -A okay -p tcp --syn -j ACCEPT
iptables -A okay -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A okay -p tcp -j DROP
#
# (3) INPUT rules
#
###### (A) Rules for incoming packets from the LAN
iptables -A INPUT -p ALL -i $LAN -s 192.168.10.0/24 -j ACCEPT
iptables -A INPUT -p ALL -i lo -s 127.0.0.1 -j ACCEPT
iptables -A INPUT -p ALL -i lo -s 192.168.10.10 -j ACCEPT
iptables -A INPUT -p ALL -i lo -s 192.168.1.10 -j ACCEPT
iptables -A INPUT -p ALL -i $LAN -d 192.168.10.255 -j ACCEPT
##### (B) Rules for incoming packets from the Internet
###### (i) Packets for established connections
iptables -A INPUT -p ALL -d 192.168.1.10 -m state --state ESTABLISHED,RELATED -j ACCEPT
##### (ii) TCP rules ## Opens the server port to any TCP from the internet
iptables -A INPUT -p tcp -i $WAN -s 0/0 –dport 22 -j okay
##### (iii) UDP rules ## Opens the server port to any UDP from the internet
# iptables -A INPUT -p udp -i $WAN -s 0/0 –dport 53 -j okay
##### (iv) ICMP rules
iptables -A INPUT -p icmp -i $WAN -s 0/0 --icmp-tpe 8 -j ACCEPT
iptables -A INPUT -p icmp -i $WAN -s 0/0 --icmp-tpe 11 -j ACCEPT
#
# Creates the router between the 2 ethernet cards to accept the packets we want to forward
#
iptables -A FORWARD -i $LAN -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
#
# (5) OUTPUT rules
# Only output packets with local addresses (no spoofing)
#
iptables -A OUTPUT -p ALL -s 127.0.0.1 -j ACCEPT
iptables -A OUTPUT -p ALL -s 192.168.10.10 -j ACCEPT
iptables -A OUTPUT -p ALL -s 192.168.1.10 -j ACCEPT
#
# (6) OUTPUT rule to allow a client LAN access, but DROP internet access
# I use this to prevent various home appliances from accessing the internet
#
iptables -A OUTPUT -s 192.168.10.110 -j DROP
#
# (7) PREROUTING rules to allow a client to bypass our Squid proxy
# (NetFlix works better when it bypasses the proxy)
iptables -t nat -A PREROUTING -s 192.168.10.204 -j ACCEPT # BluRay player
iptables -t nat -A PREROUTING -s 192.168.10.205 -j ACCEPT # Sony TV
#
# (8) PREROUTING rules for transparent Squid proxy (also requires changes in the squid configuration file)
# (from: http://wiki.squidcache.org/ConfigExamples/Intercept/LinuxRedirect)
#
iptables -t nat -A PREROUTING -s $SQUIDIP -p tcp --dport 80 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port $SQUIDPORT
iptables -t mangle -A PREROUTING -p tcp --dport $SQUIDPORT -j DROP
#
# (9) POSTROUTING chain rules. SNAT is for static IP, MASQUERADE is for dynamic IP
#
iptables -t nat -A POSTROUTING -o $WAN -j SNAT --to-source 192.168.1.10
# iptables -t nat -A POSTROUTING -o $WAN -j MASQUERADE
#
# Last, but not least, save the new configuration in /etc/sysconfig/iptables
#
service iptables save
#
# EOF
#
これは機能しません。
#
# (6) OUTPUT rule to allow a client LAN access, but DROP internet access
# I use this to prevent various home appliances from accessing the internet
# iptables -A OUTPUT -s 192.168.10.110 -j DROP
これが機能しない理由は、OUTPUTテーブルは、ルーターを通過するのではなく、ルーターから発信されるトラフィックのみをフィルタリングするためです。次のようにFORWARDテーブルにルールを適用したいとします。
iptables -A FORWARD -s 192.168.10.110 -j DROP
ただし、デバイスに割り当てられたIPアドレスはDHCPで変更される可能性があるため、永続的に機能しない場合があります。そのため、代わりにMACアドレスでフィルタリングすることをお勧めします。
何かのようなもの：
/sbin/iptables -A PREROUTING -i $LAN -m mac --mac-source ff:ff:ff:ff:ff:ff -j DROP
どこ ff:ff:ff:ff:ff:ffは、ハーモニーリモートまたはフィルタリングするその他のデバイスのMACアドレスです。
注：コメントで指摘されているように、MACアドレスはレイヤー2でのみ機能します。私が見た例では、フィルターがLANインターフェースに適用されているため、上記は機能するはずです。テストして、期待どおりに動作するかどうかをお知らせください。
私も追加したいと思います：
#
# Creates the router between the 2 ethernet cards to accept the packets we want to forward
#
iptables -A FORWARD -i $LAN -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
いいえ、2つのイーサネットカード間にルーターは作成されません。ルーティングは、IP転送がオンになっているときにカーネルによって自動的に行われます。
上記のiptablesルールは、$ LANから発信されたパケットがすべてのインターフェースを通過することを許可または許可します。また、$ LANから発信されたのではなく、ルーターに入ってくる転送チェーンを通過する確立済み/関連セッションの状態を維持します。それは最初のルールに達して停止するからです。
マットありがとう！私はそれがこのような簡単なものになると考えました。したがって、出力ではなく、FORWARDルールを使用する必要があります。このサーバーはDHCPも提供し、MACアドレスに基づいてアプライアンスに割り当てるため、IPアドレスの変更について心配する必要はありません。しかし、あなたの提案が別のシナリオでどのように機能するかはわかります。
ルーティングコメントについて...私はカットアンドペーストプログラマーです。 RedHatがFedoraを分割する前に、何年も前に「The RedHat 8 Bible」からコピーした場合、私はスクリプトのその部分を使用してきました。コメントは元のスクリプトにはありませんでしたが、自分の理解のためにコメントしようとしました。本からの実際のコメントは述べています：
"FOWARDチェーンルール-ファイアウォールはルーターとしても機能しているため、ファイアウォールが2つのネットワーク（インターネットとLAN）の間を通過する、または通過しないものを制限するために、FORWARDルールが必要です"
コメントは私が読んだものを誤って解釈したものです。謝罪いたします。以下は、MattがFORWARDルールに変更した修正済みスクリプトです。さらに、これはFORWARDセクションの先頭に移動し、元のスクリプトを入手した本で実際に述べられていることを反映するようにコメントを更新しました。
目的のIPにはローカルネットワークアクセスがありますが、インターネットアクセスはありません。
#!/bin/sh
#
# A script for creating an iptables firewall
#
#
# Start by clearing iptables
#
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X
#
# Define our interfaces, Squid IP, and Squid port
#
WAN="p4p1"
LAN="p4p2"
SQUIDIP="192.168.10.10"
SQUIDPORT="3129"
#
# Create log files to help troubleshooting. Comment out when not needed.
#
# iptables -A OUTPUT -j LOG
# iptables -A INPUT -j LOG
# iptables -A FORWARD -j LOG
# Turn on ip forwarding in the kernel with:
# echo 1 > /proc/sys/net/ipv4/ip_forward
# or edit /etc/sysctl.conf and add: "net.ipv4.ip_forward = 1"
#
##### Now to create the Routing Firewall
#
#
# (1) Create the default policies (DROP)
#
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
#
# (2) User-defined chain called "okay" for ACCEPTed TCP packets
#
iptables -N okay
iptables -A okay -p tcp --syn -j ACCEPT
iptables -A okay -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A okay -p tcp -j DROP
#
# (3) INPUT rules
#
###### (A) Rules for incoming packets from the LAN
iptables -A INPUT -p ALL -i $LAN -s 192.168.10.0/24 -j ACCEPT
iptables -A INPUT -p ALL -i lo -s 127.0.0.1 -j ACCEPT
iptables -A INPUT -p ALL -i lo -s 192.168.10.10 -j ACCEPT
iptables -A INPUT -p ALL -i lo -s 192.168.1.10 -j ACCEPT
iptables -A INPUT -p ALL -i $LAN -d 192.168.10.255 -j ACCEPT
##### (B) Rules for incoming packets from the Internet
###### (i) Packets for established connetions
iptables -A INPUT -p ALL -d 192.168.1.10 -m state --state ESTABLISHED,RELATED -j ACCEPT
##### (ii) TCP rules ## Opens the server port to any TCP from the internet
iptables -A INPUT -p tcp -i $WAN -s 0/0 --dport 22 -j okay
##### (iii) UDP rules ## Opens the server port to any UDP from the internet
# iptables -A INPUT -p udp -i $WAN -s 0/0 --dport 53 -j okay
##### (iv) ICMP rules
iptables -A INPUT -p icmp -i $WAN -s 0/0 --icmp-type 8 -j ACCEPT
iptables -A INPUT -p icmp -i $WAN -s 0/0 --icmp-type 11 -j ACCEPT
#
# (4) FORWARD rules
#
##### (A) FORWARD rule to allow a client LAN access, but DROP internet access
##### I use this to prevent various home appliances from accessing the internet
#
iptables -A FORWARD -s 192.168.10.110 -j DROP
##### (B) Since this firewall is also a router, limit what packets are forwarded
##### between the 2 ethernet cards
#
iptables -A FORWARD -i $LAN -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
#
# (5) OUTPUT rules
# Only output packets with local addresses (no spoofing)
#
iptables -A OUTPUT -p ALL -s 127.0.0.1 -j ACCEPT
iptables -A OUTPUT -p ALL -s 192.168.10.10 -j ACCEPT
iptables -A OUTPUT -p ALL -s 192.168.1.10 -j ACCEPT
#
# (6) PREROUTING rules to allow a client to bypass our Squid proxy
# (NetFlix works better when it bypasses the proxy)
iptables -t nat -A PREROUTING -s 192.168.10.204 -j ACCEPT # BluRay player
iptables -t nat -A PREROUTING -s 192.168.10.205 -j ACCEPT # Sony TV
#
# (7) PREROUTING rules for transparent Squid proxy
# Also requires changes in the squid configuration file
# (from: http://wiki.squid-cache.org/ConfigExamples/Intercept/LinuxRedirect)
#
iptables -t nat -A PREROUTING -s $SQUIDIP -p tcp --dport 80 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port $SQUIDPORT
iptables -t mangle -A PREROUTING -p tcp --dport $SQUIDPORT -j DROP
#
# (8) POSTROUTING chain rules. SNAT is for static IP, MASQUERADE is for dynamic IP
#
iptables -t nat -A POSTROUTING -o $WAN -j SNAT --to-source 192.168.1.10
# iptables -t nat -A POSTROUTING -o $WAN -j MASQUERADE
#
# Last, but not least, save the new configuration in /etc/sysconfig/iptables
#
service iptables save
#
# EOF
#