Tutorial di iptables: come configurare le tabelle di filtraggio del kernel Linux

Il filtro dei pacchetti è un componente importante per le misure di sicurezza di tutti i sistemi che si trovano in una rete, infatti il controllo e la gestione del traffico dati in entrata e in uscita (spesso parte dei compiti di un firewall) deve assicurare che i pacchetti ricevuti e inviati non contengano malware e spam. Nel kernel Linux è in genere già presente un filtro dei pacchetti di questo tipo, offerto da alcuni moduli del pacchetto Netfilter, anche se per configurarlo è necessario un programma aggiuntivo. Per questo kernel di Linux 2.4 e 2.6 avete bisogno del software libero iptables, che è stato sviluppato ugualmente dal team del progetto Netfilter.

Gli amministratori utilizzano iptables per stabilire, cambiare e rimuovere regole, anche se le impostazioni vengono perse al riavvio del sistema. Grazie agli strumenti appartenenti ad iptables, iptables-save e iptables-restore è possibile salvare e ripristinare le regole create, cosa che avviene addirittura automaticamente durante il processo di boot con Init script. iptables è confinato però al protocollo IPv4, per gli altri protocolli ci sono varianti come ip6tables o ebtables rispettivamente per IPv6 e per i pacchetti Ethernet, che sono ugualmente contenute nel core.

Vi presentiamo in questo tutorial le funzioni di base, le opzioni del filtro dei pacchetti iptables e vi spieghiamo anche la configurazione delle tabelle basandoci su diversi esempi.

Su Linux, iptables è generalmente già preinstallato. Se non è questo il caso o se volete essere sicuri di utilizzare l’ultima versione del software, potete scegliere di aggiornarlo e installarlo anche dal gestore di pacchetti della vostra distribuzione. Inserite il seguente comando nel terminale:

Ci sono diverse interfacce grafiche per iptables, ad esempio Webmin, dove l’uso del programma tramite riga di comando è relativamente semplice e facile da imparare.

iptables richiede dei privilegi di sistema avanzati e può quindi essere eseguito solo come utente root o con i relativi permessi di amministratore. Le tabelle (tables) caricate con il programma e create prima dal kernel comprendono catene (chains) di regole (rules) che indicano come devono essere trattati i pacchetti in ingresso e quelli inviati. Questi pacchetti vengono trasmessi all’interno di una catena passando da regola a regola, in cui ognuna di queste può provocare un’azione (jump target) o un passaggio ad un’altra catena (goto chain).

Le azioni, che si verificano quando una regola corrisponde ad un determinato pacchetto, possono essere le seguenti:

• ACCEPT: il pacchetto viene accettato.
• DROP: il pacchetto viene rifiutato.
• QUEUE: il pacchetto viene spostato negli altri processi utente; prevede un intermediario (queue handler) che inoltra i pacchetti all’applicazione.
• RETURN: il pacchetto viene rinviato alla catena precedente, quando si tratta di una catena personalizzata, mentre in quelle standard viene eseguita la policy della catena (di default senza configurazione: ACCEPT).

Le catene standard nominate nell’azione RETURN sono già presenti nella tabella di filtraggio di iptables: si tratta di tre catene INPUT, FORWARD e OUTPUT. La prima si occupa dei pacchetti, che devono essere consegnati al sistema, mentre la seconda elabora i pacchetti in entrata che sono destinati all’inoltro. Invece, la catena OUTPUT controlla il traffico dati, generato dal proprio computer. Per il resto, oltre alle tabelle di filtraggio, esistono una tabella NAT per la conversione degli indirizzi di rete e una tabella MANGLE per la manipolazione del pacchetto. Una panoramica dettagliata sulle funzionalità del software è offerta dalla pagina “Man”, che si può aprire in ogni momento con il comando

In alternativa trovate moltissime guide di iptables in diverse lingue su netfilter.org.

Ora vi indichiamo le possibilità di iptables portando ad esempio la configurazione di un firewall rudimentale. Poiché a seconda della distribuzione le catene standard INPUT, OUTPUT e FORWARD presentano regole già predefinite, bisogna prima eliminarle:

Nel secondo passaggio aggiungete per ognuna delle tre catene la policy DROP per assicurare che vengano bloccati in ogni caso i pacchetti, a patto che nessuna delle regole di filtraggio presentate porti ad un risultato positivo:

Successivamente attivate il vostro sistema, il localhost (lo) per il traffico in ingresso (-i) e in uscita (-o) (quindi verrà compiuta l’azione ACCEPT), ampliando sia la catena INPUT sia quella OUTPUT tramite le regole corrispondenti (-A):

In seguito autorizzate le connessioni HTTP e HTTPS in uscita (Porta 80 e porta 443) per le porte TCP comuni da 1024 a 65535:

Nell’ultimo passaggio accettate tutti i pacchetti in entrata e in uscita che appartengono già ad una connessione esistente (--state ESTABLISHED) o si riferiscono ad una di queste (--state RELATED):

Visto che le regole create con iptables sono temporanee e rimangono valide solo fino a quando non si arresta il computer, dovreste salvare le vostre impostazioni grazie al comando iptables-save nel file .rules della rispettiva cartella iptables. Il comando appropriato per i sistemi Ubuntu è:

Dando il comando

caricate questo file manualmente, dopo ogni riavvio del vostro sistema. Alternativamente potete creare uno script corrispondente, cosicché l’applicazione del filtro dei pacchetti venga eseguita automaticamente.

Per ulteriori informazioni sui filtri di rete e iptables, vi consigliamo di dare un’occhiata alla guida presente sul wiki di Ubuntu.