Вики IT-KB

Для того, чтобы настроенные правила iptables автоматически загружались в Debian GNU/Linux при перезагрузке системы, можно использовать разные механизмы и методики. Здесь мы рассмотрим пример того, как без стороннего ПО выполнить настройку автозагрузки таких правил.

Создадим скрипт автозагруки правил, например с говорящим именем iptables, в каталоге /etc/network/if-pre-up.d/ и сделаем его исполняемым:

# touch /etc/network/if-pre-up.d/iptables
# chmod +x /etc/network/if-pre-up.d/iptables
# nano /etc/network/if-pre-up.d/iptables

Наполним скрипт командами, которые будут отвечать за загрузку правил с помощью утилит iptables-restore и ip6tables-restore:

iptables

#!/bin/sh
#
# Load iptables rules from this file
#
/sbin/iptables-restore < /etc/iptables.up.v4.rules
/sbin/ip6tables-restore < /etc/iptables.up.v6.rules

Создадим отдельные конфигурационные файлы iptables.up.v4.rules и iptables.up.v6.rules из которых будут считываться нужные нам правила.

Пример содержимого файла iptables.up.v6.rules:

iptables.up.v6.rules

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
COMMIT

Пример файла iptables.up.v4.rules:

iptables.up.v4.rules

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state --state NEW -i eth0 -s 10.1.1.0/24 -p tcp -m tcp --dport 22 -m comment --comment "Allow access to SSH-server" -j ACCEPT
-A INPUT -m state --state NEW -i eth0 -s 10.1.0.0/13 -p icmp -m icmp --icmp-type 8 -m comment --comment "Allow ping" -j ACCEPT
-A INPUT -m state --state NEW -i eth0 -s 10.1.1.0/24 -p tcp -m tcp --dport 80 -m comment --comment "Allow HTTP-access to Apache web-site" -j ACCEPT
COMMIT

Текущие правила iptables, используемые в данный момент в системе, можно сбросить в соответствующие конфигурационные файлы нехитрыми командами:

# iptables-save > /etc/iptables.up.v4.rules
# ip6tables-save > /etc/iptables.up.v6.rules

Дополнительные источники информации:

• Debian Wiki - Iptables

Проверено на следующих конфигурациях:

Автор первичной редакции:
Алексей Максимов
Время публикации: 28.11.2017 15:26