Utilizzo di iptables per Linux per implementare un firewall di filtro a pacchetto senza stato

2

Quando ho iniziato la mia carriera nella sicurezza della rete, a quasi un decennio fa, lo standard del settore era costituito da firewall di stato che avevano persino la capacità di ispezionare alcuni protocolli del livello dell'applicazione. Avevo solo sentito dire che un firewall di filtraggio dei pacchetti era la precedente generazione di firewall. Non ho mai avuto modo di lavorare e capire come funziona un rigido filtro di pacchetti, il firewall stateless. Ora, voglio capirlo meglio. Ho avuto uno stagista che me lo chiedeva e voglio mostrargli la differenza tra i 2 firewall. Credo che iptables possa essere usato per configurare un firewall per il filtraggio dei pacchetti senza stato. Il fatto è che non sono sicuro di come un firewall stateless possa tenere traccia delle risposte in arrivo che provengono da dietro il firewall. Ho fatto del mio meglio per trovare alcune risorse online su come implementare un firewall di questo tipo. Qualsiasi suggerimento su qualche articolo sarebbe molto utile.

    
posta user1720897 08.12.2014 - 12:23
fonte

1 risposta

2

Per un firewall senza stato, puoi accettare o rilasciare un pacchetto in base al suo protocollo, numero di porta e indirizzo IP di origine. Ad esempio, la regola seguente accetta tutti i pacchetti TCP dalla sottorete 192.168.1.x associata alla porta 80.

-A INPUT -p tcp -s 192.168.1.0/24 -m tcp --dport 80 -j ACCEPT

Per l'output, le regole sono simili. Pertanto, i pacchetti in uscita (uscita) vengono accettati solo se esiste una regola di corrispondenza. La regola seguente consente solo i pacchetti in uscita sulla porta 80.

-A OUTPUT -o eth0 -p tcp --sport 80 -j ACCEPT

Per un firewall stateful, hai la possibilità di monitorare lo stato. Ad esempio, la regola seguente accetta solo i pacchetti sulla porta 80 se sta iniziando una nuova connessione o è associata a una connessione esistente. Il tracciamento è fatto da un modulo del kernel "ip_conntrack". Mantiene una tabella di tutte le connessioni attive.

-A INPUT -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
    
risposta data 08.12.2014 - 13:34
fonte

Leggi altre domande sui tag