IT 위키 - 사용자 기여 [ko]

리눅스 iptables

2023-10-17T03:31:43Z

경민:

[[분류:리눅스]][[분류:리눅스 프로그램]]
==개요==
리눅스의 패킷 필터링(Packet Filtering) 도구로서 방화벽 구성이나 NAT(Network Address Translation)에 사용된다.

==사용법==
<pre class='shell'>
# iptables [-t 테이블] [액션] [체인] [매치] [-j 타겟]
</pre>

===테이블(Table)===
* filter, nat, mangle, raw
* 명시하지 않으면 기본적으로 filter이다.

===액션(Action)===
* -A: APPEND: 정책 추가
* -I: INSERT: 정책 삽입
* -D: DELETE: 정책 삭제
* -R: REPLACE: 정책 교체
* -F: FLUSH: 모든 정책 삭제
* -P: POLICY: 기본 정책을 설정
* -L: LIST: 정책 나열

===체인(Chain)===
* INPUT
* OUTPUT
* FORWARD
* PREROUTING
* POSTROUTING

=== 매치(Match) ===
* -s: 출발지 매칭. 도메인, IP 주소, 넷마스크 값을 이용하여 표기(––source, ––src)
* -d: 목적지 매칭. 도메인, IP 주소, 넷마스크 값을 이용하여 표기(––destination, ––dst)
* -p: 프로토콜과 매칭. TCP, UDP, ICMP 와 같은 이름을 사용하고 대소문자는 구분하지 않음
* -i: 입력 인터페이스와 매칭(––in-interface)
* -o: 출력 인터페이스와 매칭(––out-interface)
* -j: 매치되는 패킷을 어떻게 처리할지 지정 (--jump)

== 타깃(target) ==
패킷이 규칙과 일치할 때 취하는 동작을 지정한다.

* ACCEPT: 패킷을 허용한다.
* DROP: 패킷을 버린다(패킷이 전송된 적이 없던 것처럼)
* REJECT: 패킷을 버리고 이와 동시에 적절한 응답 패킷을 전송한다.(icmp-port-unreachable)
* LOG: 패킷을 syslog에 기록한다.
* SNAT --to [주소]: 소스 IP를 [변환(NAT)|NAT]한다.
* DNAT --to [주소]: 목적지 IP를 변환(NAT)한다.
* RETURN: 호출 체인 내에서 패킷 처리를 계속한다.

== 정책 열람·저장·반영 ==
* 보기
<pre class='shell'>
# iptables -L
또는
# cat /etc/sysconfig/iptables
</pre>

* 차단 횟수 및 byte 수 포함하여 보기
<pre class="shell">
# iptables -L -nvx
</pre>

* 저장
<pre class='shell'>
# service iptables save
</pre>

* 저장 & 불러오기
<pre class='shell'>
# iptables-save > firewall.sh
# iptables-restore < firewall.sh
</pre>

* '''정책을 추가한 다음 재시작이나 다른 조치를 하지 않아도 바로 적용된다.'''

== 예제 ==
* 192.168.10.22로부터 들어오는 패킷들은 차단하는 정책을 추가<ref>http://q.fran.kr/문제/2748 리눅스마스터 1급 1501 필기 기출문제</ref>
<pre class='shell'>
# iptables -A INPUT 192.168.10.22 -j DROP
또는
# iptables -I INPUT 192.168.10.22 -j DROP
</pre>

* 192.168.10. 대역으로부터 들어오는 패킷들은 차단하는 정책을 추가
<pre class='shell'>
# iptables -A INPUT 192.168.10.0/24 -j DROP
또는
# iptables -I INPUT 192.168.10.0/24 -j DROP
</pre>

* '''예제 조건'''<ref>http://q.fran.kr/문제/6515 리눅스마스터 1급 1501 실기 기출문제</ref>
** 패킷은 거부 메시지 없이 무조건 거절한다. (DROP)
** 두 번째 이더넷카드(eth1)로 들어오는 패킷인 경우에만 포워딩을 허가한다.
** 어떠한 방화벽도 설정되어 있지 않고 커널에서 포워딩을 허가한 상태이다.
<pre class='shell'>
# iptables -P FORWARD DROP
# iptables -A FORWARD -i eth1 -j ACCEPT
</pre>

* '''예제 조건'''<ref>http://q.fran.kr/문제/6483 리눅스마스터 1급 1602 실기 기출문제</ref>
** 해당 시스템에는 이더넷 카드가 두 개가 장착되어 있는데, 첫 번째 이더넷 카드에서 나가는 패킷에 대해 공인 IP 주소인 203.247.40.100을 할당한다.
<pre class='shell'>
# iptables –t nat –A POSTROUTING -o eth0 –j SNAT --to 203.247.40.100
</pre>

* '''예제 조건'''<ref>http://q.fran.kr/문제/6547 리눅스마스터 1급 1701 실시 기출문제</ref>
** 첫 번째로 기존에 설정된 정책을 전부 삭제한다.
** 두 번째로 INPUT 체인에 loopback 인터페이스에 들어오는 모든 패킷에 대해 허용 정책을 추가 한다.
** 세 번째로 INPUT 체인에 프로토콜이 tcp이며 목적지포트가 22번부터 23번 포트인 패킷에 대해 허용 정책을 추가 한다.
** 마지막으로 INPUT 체인에 대한 기본 정책을 거부 메시지 없이 거절로 변경한다.
<pre class='shell'>
# iptables -F INPUT
# iptables -A INPUT -i lo -j ACCEPT
# iptables -A INPUT -p tcp --dport 22:23 -j ACCEPT
# iptables -P INPUT DROP
</pre>

* '''예제 조건'''<ref>http://q.fran.kr/문제/6499 리눅스마스터 1급 1502 실시 기출문제</ref>
** 서버에서 외부로는 ping 테스트가 되고 외부에서 서버쪽으로는 ping 테스트가 되지 않도록 한다.
** iptables 명령어를 수행하는 서버의 IP는 192.168.10.1이다.
** INPUT 체인의 기본 정책은 DROP이다.
**# 프로토콜은 icmp이며 icmp echo request 패킷이 외부로 나가는 것에 대해 허용한다.
**# 프로토콜은 icmp이며 외부에서 들어오는 icmp echo reply 패킷에 대해서 허용한다.
**# 프로토콜은 icmp이며 외부에서 들어오는 icmp destination-unreachable 패킷에 대해서 허용한다.
<pre class='shell'>
# iptables –A INPUT -p icmp --icmp-type echo-request -s 192.168.10.1 –d 0/0 -j ACCEPT
# iptables –A INPUT -p icmp --icmp-type echo-reply -s 0/0 –d 192.168.10.1 -j ACCEPT
# iptables –A INPUT -p icmp --icmp-type destination-unreachable -s 0/0 –d 192.168.10.1 -j ACCEPT
</pre>

* '''예제 조건'''
** 로드 밸런서나 프록시 등을 통해 들어온 경우X-Forwarded-For을 사용하여 차단
** String을 기반으로 차단 규칙 설정
<pre class="shell">
# iptables -I INPUT -p tcp --dport 80 -m string --string "X-Forwarded-For: 111.222.111.222" --algo bm -j DROP
</pre>

* '''예제 조건'''<ref>http://q.fran.kr/문제/2963 리눅스마스터 1급 1601 필기 기출문제</ref>
** 대상 프로토콜 SSH
** 같은 IP 주소에서 60초 동안에 15번 이상 접속을 시도하면 DROP시키는 정책을 추가
<pre class='shell'>
# iptables -A SSH -p udp --dport 22 -m recent --update--seconds 60 --hitcount 15 -j drop
</pre>

* '''삭제'''
** --line-number 옵션을 통해 정책의 번호를 확인한다.
<pre class='shell'>
iptables -L --line-numbers
</pre>
** -D 옵션을 지정하여 특정 번호의 정책을 삭제한다.
<pre class='shell'>
iptables -D INPUT [번호]
</pre>

== 참고 문헌 ==

리눅스 iptables

2023-10-17T03:28:12Z

경민:

[[분류:리눅스]][[분류:리눅스 프로그램]]
==개요==
리눅스의 패킷 필터링(Packet Filtering) 도구로서 방화벽 구성이나 NAT(Network Address Translation)에 사용된다.

==사용법==
<pre class='shell'>
# iptables [-t 테이블] [액션] [체인] [매치] [-j 타겟]
</pre>

===테이블(Table)===
* filter, nat, mangle, raw
* 명시하지 않으면 기본적으로 filter이다.

===액션(Action)===
* -A: APPEND: 정책 추가
* -I: INSERT: 정책 삽입
* -D: DELETE: 정책 삭제
* -R: REPLACE: 정책 교체
* -F: FLUSH: 모든 정책 삭제
* -P: POLICY: 기본 정책을 설정
* -L: LIST: 정책 나열

===체인(Chain)===
* INPUT
* OUTPUT
* FORWARD
* PREROUTING
* POSTROUTING

=== 매치(Match) ===
* -s: 출발지 매칭. 도메인, IP 주소, 넷마스크 값을 이용하여 표기(––source, ––src)
* -d: 목적지 매칭. 도메인, IP 주소, 넷마스크 값을 이용하여 표기(––destination, ––dst)
* -p: 프로토콜과 매칭. TCP, UDP, ICMP 와 같은 이름을 사용하고 대소문자는 구분하지 않음
* -i: 입력 인터페이스와 매칭(––in-interface)
* -o: 출력 인터페이스와 매칭(––out-interface)
* -j: 매치되는 패킷을 어떻게 처리할지 지정 (--jump)

== 타깃(target) ==
패킷이 규칙과 일치할 때 취하는 동작을 지정한다.

* ACCEPT: 패킷을 허용한다.
* DROP: 패킷을 버린다(패킷이 전송된 적이 없던 것처럼)
* REJECT: 패킷을 버리고 이와 동시에 적절한 응답 패킷을 전송한다.(icmp-port-unreachable)
* LOG: 패킷을 syslog에 기록한다.
* SNAT --to [주소]: 소스 IP를 [변환(NAT)|NAT]한다.
* DNAT --to [주소]: 목적지 IP를 변환(NAT)한다.
* RETURN: 호출 체인 내에서 패킷 처리를 계속한다.

== 정책 열람·저장·반영 ==
* 보기
<pre class='shell'>
# iptables -L
또는
# cat /etc/sysconfig/iptables
</pre>

* 저장
<pre class='shell'>
# service iptables save
</pre>

* 저장 & 불러오기
<pre class='shell'>
# iptables-save > firewall.sh
# iptables-restore < firewall.sh
</pre>

* '''정책을 추가한 다음 재시작이나 다른 조치를 하지 않아도 바로 적용된다.'''

== 예제 ==
* 192.168.10.22로부터 들어오는 패킷들은 차단하는 정책을 추가<ref>http://q.fran.kr/문제/2748 리눅스마스터 1급 1501 필기 기출문제</ref>
<pre class='shell'>
# iptables -A INPUT 192.168.10.22 -j DROP
또는
# iptables -I INPUT 192.168.10.22 -j DROP
</pre>

* 192.168.10. 대역으로부터 들어오는 패킷들은 차단하는 정책을 추가
<pre class='shell'>
# iptables -A INPUT 192.168.10.0/24 -j DROP
또는
# iptables -I INPUT 192.168.10.0/24 -j DROP
</pre>

* '''예제 조건'''<ref>http://q.fran.kr/문제/6515 리눅스마스터 1급 1501 실기 기출문제</ref>
** 패킷은 거부 메시지 없이 무조건 거절한다. (DROP)
** 두 번째 이더넷카드(eth1)로 들어오는 패킷인 경우에만 포워딩을 허가한다.
** 어떠한 방화벽도 설정되어 있지 않고 커널에서 포워딩을 허가한 상태이다.
<pre class='shell'>
# iptables -P FORWARD DROP
# iptables -A FORWARD -i eth1 -j ACCEPT
</pre>

* '''예제 조건'''<ref>http://q.fran.kr/문제/6483 리눅스마스터 1급 1602 실기 기출문제</ref>
** 해당 시스템에는 이더넷 카드가 두 개가 장착되어 있는데, 첫 번째 이더넷 카드에서 나가는 패킷에 대해 공인 IP 주소인 203.247.40.100을 할당한다.
<pre class='shell'>
# iptables –t nat –A POSTROUTING -o eth0 –j SNAT --to 203.247.40.100
</pre>

* '''예제 조건'''<ref>http://q.fran.kr/문제/6547 리눅스마스터 1급 1701 실시 기출문제</ref>
** 첫 번째로 기존에 설정된 정책을 전부 삭제한다.
** 두 번째로 INPUT 체인에 loopback 인터페이스에 들어오는 모든 패킷에 대해 허용 정책을 추가 한다.
** 세 번째로 INPUT 체인에 프로토콜이 tcp이며 목적지포트가 22번부터 23번 포트인 패킷에 대해 허용 정책을 추가 한다.
** 마지막으로 INPUT 체인에 대한 기본 정책을 거부 메시지 없이 거절로 변경한다.
<pre class='shell'>
# iptables -F INPUT
# iptables -A INPUT -i lo -j ACCEPT
# iptables -A INPUT -p tcp --dport 22:23 -j ACCEPT
# iptables -P INPUT DROP
</pre>

* '''예제 조건'''<ref>http://q.fran.kr/문제/6499 리눅스마스터 1급 1502 실시 기출문제</ref>
** 서버에서 외부로는 ping 테스트가 되고 외부에서 서버쪽으로는 ping 테스트가 되지 않도록 한다.
** iptables 명령어를 수행하는 서버의 IP는 192.168.10.1이다.
** INPUT 체인의 기본 정책은 DROP이다.
**# 프로토콜은 icmp이며 icmp echo request 패킷이 외부로 나가는 것에 대해 허용한다.
**# 프로토콜은 icmp이며 외부에서 들어오는 icmp echo reply 패킷에 대해서 허용한다.
**# 프로토콜은 icmp이며 외부에서 들어오는 icmp destination-unreachable 패킷에 대해서 허용한다.
<pre class='shell'>
# iptables –A INPUT -p icmp --icmp-type echo-request -s 192.168.10.1 –d 0/0 -j ACCEPT
# iptables –A INPUT -p icmp --icmp-type echo-reply -s 0/0 –d 192.168.10.1 -j ACCEPT
# iptables –A INPUT -p icmp --icmp-type destination-unreachable -s 0/0 –d 192.168.10.1 -j ACCEPT
</pre>

* '''예제 조건'''
** 로드 밸런서나 프록시 등을 통해 들어온 경우X-Forwarded-For을 사용하여 차단
** String을 기반으로 차단 규칙 설정
<pre class="shell">
# iptables -I INPUT -p tcp --dport 80 -m string --string "X-Forwarded-For: 111.222.111.222" --algo bm -j DROP
</pre>

* '''예제 조건'''<ref>http://q.fran.kr/문제/2963 리눅스마스터 1급 1601 필기 기출문제</ref>
** 대상 프로토콜 SSH
** 같은 IP 주소에서 60초 동안에 15번 이상 접속을 시도하면 DROP시키는 정책을 추가
<pre class='shell'>
# iptables -A SSH -p udp --dport 22 -m recent --update--seconds 60 --hitcount 15 -j drop
</pre>

* '''삭제'''
** --line-number 옵션을 통해 정책의 번호를 확인한다.
<pre class='shell'>
iptables -L --line-numbers
</pre>
** -D 옵션을 지정하여 특정 번호의 정책을 삭제한다.
<pre class='shell'>
iptables -D INPUT [번호]
</pre>

== 참고 문헌 ==

리눅스 tcpdump

2023-10-17T02:20:58Z

경민:

[[분류:리눅스]]
[[분류:리눅스 명령어]]
[[분류:보안 도구]]
[[분류:정보보안기사]]

;네트워크 인터페이스를 거치는 패킷을 캡처해주는 도구(패킷 스니퍼)

==사용법==
<pre class="shell">
# tcpdump [옵션] [BPF]
</pre>

==주요 옵션 및 사용법==

*-i: 인터페이스를 지정
*-nn: 출력시 호스트/서비스명이 아닌 IP주소와 Port번호로 출력
*-v, -vv, -vvv: 패킷을 헤더부까지 자세하게, 더 자세하게 출력
*IP주소는 192.168.0.1/24와 같이 CIDR 포맷으로 지정 가능

==BPF==

;Berkely Packet Filter

*원하는 패킷만을 스니핑하기 위한 룰 지정부
*대부분의 패킷 스니퍼에서 표준으로 지원되는 형식

==사용 예시==

*'''tcpdump -i eth0''': 인터페이스 eth0을 보여줌
*'''tcpdump -i eth0 -c 10''': 10개만 덤프
*'''tcpdump -i eth0 tcp port 80''': TCP 80 포트로 통신하는 패킷 덤프
*'''tcpdump -i eth0 src 192.168.0.1:''' 출발지 IP가 192.168.0.1인 패킷 덤프
*'''tcpdump -i eth0 dst 192.168.0.1''': 목적지 IP가 192.168.0.1인 패킷 덤프
*'''tcpdump -i eth0 src 192.168.0.1 and tcp port 80''': 목적지 IP가 192.168.0.1이면서 TCP 80 포트인 패킷 보여줌
*'''tcpdump -i eth0 dst 192.168.0.1''': 목적지IP가 192.168.0.1인 패킷 보여줌
*'''tcpdump host 192.168.0.1''': 특정 호스트 IP로 들어오거가 나가는 양방향 패킷 모두 덤프
*'''tcpdump src 192.168.0.1''': 특정 호스트 중에서 출발지가 192.168.0.1인 것만 덤프
*'''tcpdump dst 192.168.0.1''': 특정 호스트 중에서 목적지가 192.168.0.1인 것만 덤프
*'''tcpdump port 3389''': 포트 양뱡항으로 3389이면 덤프
*'''tcpdump src port 3389''': 출발지 포트가 3389인 것만 덤프
*'''tcpdump dst port 3389''': 목적지 포트가 3389인 것만 덤프
*t'''cpdump udp and src port 53''': UDP이고 출발지 포트가 53이면 덤프
*'''tcpdump src 192.168.0.1 and not dst port 22''': 출발지 IP가 192.168.0.1이고 목적지 포트가 22 가 아닌 패킷 덤프
*'''tcpdump -w tcpdump.log''': 결과를 파일로 저장(텍스트가 아닌 바이너리 형식으로 저장)
*'''tcpdump -r tcpdump.log''': 저장한 파일을 읽음

== 실무 예제 ==
X-Forwarded-For 조회

결과 예시<blockquote>GET /api/files/file/name/History%20EX-Guide.docx/properties?aewgaweg.com&siteName=asgsd.com&folderName=1231212 HTTP/1.1

Host: mydlb.lb.anypointdns.net

X-Real-IP: 1.1.1.1

X-Forwarded-For: 1.1.1.1

User-Agent: curl/7.64.1

Accept: */*

Authorization: bearer 23423</blockquote>조회 방법<blockquote>tcpdump -A -s 10240 'tcp port 8091 and (((ip[2: 2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' | egrep --line-buffered "^ ........(GET |HTTP\/|POST |HEAD )|^[A-Za-z0-9-]+: " | sed -r 's/^........(GET | HTTP\/|POST |HEAD )/\n\1/g'</blockquote>

리눅스 tcpdump

2023-10-17T02:18:24Z

경민:

[[분류:리눅스]]
[[분류:리눅스 명령어]]
[[분류:보안 도구]]
[[분류:정보보안기사]]

;네트워크 인터페이스를 거치는 패킷을 캡처해주는 도구(패킷 스니퍼)

==사용법==
<pre class="shell">
# tcpdump [옵션] [BPF]
</pre>

==주요 옵션 및 사용법==

*-i: 인터페이스를 지정
*-nn: 출력시 호스트/서비스명이 아닌 IP주소와 Port번호로 출력
*-v, -vv, -vvv: 패킷을 헤더부까지 자세하게, 더 자세하게 출력
*IP주소는 192.168.0.1/24와 같이 CIDR 포맷으로 지정 가능

==BPF==

;Berkely Packet Filter

*원하는 패킷만을 스니핑하기 위한 룰 지정부
*대부분의 패킷 스니퍼에서 표준으로 지원되는 형식

==사용 예시==

*'''tcpdump -i eth0''': 인터페이스 eth0을 보여줌
*'''tcpdump -i eth0 -c 10''': 10개만 덤프
*'''tcpdump -i eth0 tcp port 80''': TCP 80 포트로 통신하는 패킷 덤프
*'''tcpdump -i eth0 src 192.168.0.1:''' 출발지 IP가 192.168.0.1인 패킷 덤프
*'''tcpdump -i eth0 dst 192.168.0.1''': 목적지 IP가 192.168.0.1인 패킷 덤프
*'''tcpdump -i eth0 src 192.168.0.1 and tcp port 80''': 목적지 IP가 192.168.0.1이면서 TCP 80 포트인 패킷 보여줌
*'''tcpdump -i eth0 dst 192.168.0.1''': 목적지IP가 192.168.0.1인 패킷 보여줌
*'''tcpdump host 192.168.0.1''': 특정 호스트 IP로 들어오거가 나가는 양방향 패킷 모두 덤프
*'''tcpdump src 192.168.0.1''': 특정 호스트 중에서 출발지가 192.168.0.1인 것만 덤프
*'''tcpdump dst 192.168.0.1''': 특정 호스트 중에서 목적지가 192.168.0.1인 것만 덤프
*'''tcpdump port 3389''': 포트 양뱡항으로 3389이면 덤프
*'''tcpdump src port 3389''': 출발지 포트가 3389인 것만 덤프
*'''tcpdump dst port 3389''': 목적지 포트가 3389인 것만 덤프
*t'''cpdump udp and src port 53''': UDP이고 출발지 포트가 53이면 덤프
*'''tcpdump src 192.168.0.1 and not dst port 22''': 출발지 IP가 192.168.0.1이고 목적지 포트가 22 가 아닌 패킷 덤프
*'''tcpdump -w tcpdump.log''': 결과를 파일로 저장(텍스트가 아닌 바이너리 형식으로 저장)
*'''tcpdump -r tcpdump.log''': 저장한 파일을 읽음

== 실무 예제 ==
tcpdump -A -s 10240 'tcp port 8091 and (((ip[2: 2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' | egrep --line-buffered "^ ........(GET |HTTP\/|POST |HEAD )|^[A-Za-z0-9-]+: " | sed -r 's/^........(GET | HTTP\/|POST |HEAD )/\n\1/g'