APOSTILA GNU/DEBIAN AVANÇADO - Gerds

APOSTILA GNU/DEBIAN AVANÇADO
nunca poderá ser especificada em um chain como o INPUT. Abaixo uma rápida
referência:
Tabela Chain
Interface
filter
nat
mangle
INPUT
OUTPUT
FORWARD
PREROUTING
OUTPUT
POSTROUTING
PREROUTING
OUTPUT
Entrada (-i) Saída (-o)
SIM
NÃO
SIM
SIM
NÃO
NÃO
SIM
NÃO
NÃO
SIM
SIM
NÃO
SIM
SIM
NÃO
O caminho do pacote na interface será determinado pelo tipo da interface e pela
posição dos chains nas etapas de seu roteamento. O chain OUTPUT da tabela “filter”
somente poderá conter a interface de saída (veja a tabela acima). No caso do chain
FORWARD da mesma tabela, podemos perceber que este é o único que aceita a
especificação de ambas as interfaces, este é um ótimo chain para controlar o tráfego que
passa entre as diferentes interfaces de rede do firewall.
Por exemplo, para bloquear o acesso do tráfego de qualquer máquina com o
endereço IP “200.123.123.10”, que venha da interface ppp0 (uma placa de fax-modem),
podemos utilizar o seguinte comando:
iptables -t filter -A INPUT -s 200.123.123.10 -i ppp0 -j DROP
A mesma regra pode ser especificada de uma forma um pouco diferente:
iptables -t filter -A INPUT -s 200.123.123.10 -i ppp+ -j DROP
O sinal de "+" funciona como um coringa, assim a regra terá efeito em qualquer
interface de ppp0 a ppp9. As interfaces ativas no momento podem ser listadas com o
comando “ifconfig”. Também é permitido, especificar uma regra que faça referência a
uma interface que ainda não existe, isto é interessante, para conexões intermitentes
como o PPP (acesso a Internet via modem).
Vamos a outro exemplo, suponha agora que queremos bloquear a passagem de
tráfego da interface ppp0 para a interface eth1 (uma de nossas redes internas). Podemos
fazer isso usando o seguinte comando:
iptables -t filter -A FORWARD -i ppp0 -o eth1 -j DROP
10.5.14. Especificando um protocolo
A opção “-p” (ou “--protocol”) é usada para especificar protocolos que podem ser
configurados para uso com o iptables. Os protocolos que podem ser usados são: TCP,
UDP e ICMP. Por exemplo, supondo que se deseja rejeitar todos os pacotes UDP vindos
do endereço “200.200.200.200”, podemos incluir a seguinte regra no iptables:
iptables -t filter -A INPUT -s 200.200.200.200 -p udp -j DROP
OBS: Os nomes de protocolos podem ser especificados usando letras maiúsculas
ou minúsculas.
10.5.15. Especificando portas de origem/destino
As portas de origem/destino devem ser especificadas após o protocolo, e podem
ser precedidas por uma das seguintes opções:
• “--source-port” ou “--sport” - Especifica uma porta ou faixa de portas de origem.
SIM
PÁG.: 103