Iptables - Versionsgeschichte

imported>RudiWiesmayr am 24. Mai 2012 um 11:18 Uhr

2012-05-24T11:18:34Z

← Nächstältere Version		Version vom 24. Mai 2012, 11:18 Uhr
Zeile 1:		Zeile 1:
			[[Category:Systemdatei]]
	== Was ist iptables ? ==		== Was ist iptables ? ==

imported>Mahgue: Ref. to Startup page

2011-08-20T16:16:24Z

Ref. to Startup page

← Nächstältere Version		Version vom 20. August 2011, 16:16 Uhr
Zeile 70:		Zeile 70:
	== Verwendung in der Diskstation ==		== Verwendung in der Diskstation ==

	Das Startup-Script		Das [[Startup]]-Script

	/usr/syno/etc.defaults/rc.d/S01iptables.sh		/usr/syno/etc.defaults/rc.d/S01iptables.sh
Zeile 78:		Zeile 78:
	/sbin/iptables-restore </etc/firewall_rules.dump		/sbin/iptables-restore </etc/firewall_rules.dump

	die in der Datei <code>firewall_rules.dump</code> gespeicherten Regeln geladen. Da <code>iptables-restore</code> hier ohne die Option <code>--noflush</code> aufgerufen wird, werden alle zuvor geladenen Regeln gelöscht. Startup-Scripte die vor diesem Script laufen und Regeln laden sind daher unwirksam. Beim Herunterfahren werden die Regeln mit		die in der Datei <code>firewall_rules.dump</code> gespeicherten Regeln geladen. Da <code>iptables-restore</code> hier ohne die Option <code>--noflush</code> aufgerufen wird, werden alle zuvor geladenen Regeln gelöscht. [[Startup]]-Scripte die vor diesem Script laufen und Regeln laden sind daher unwirksam. Beim Herunterfahren werden die Regeln mit

	/sbin/iptables -F		/sbin/iptables -F

	gelöscht aber nicht vorher mit <code>iptables-save >/etc/firewall_rules.dump</code> gespeichert. Das bedeutet dass Änderungen an den Regeln die im laufenden Betrieb vorgenommen wurden verloren gehen. Die Datei <code>/etc/firewall_rules.dump</code> wird sogar beim Herunterfahren in der stop-Regel des Scripts gelöscht. Beim Start wird vor dem laden der Regeln		gelöscht aber nicht vorher mit <code>iptables-save >/etc/firewall_rules.dump</code> gespeichert. Das bedeutet dass Änderungen an den Regeln die im laufenden Betrieb vorgenommen wurden verloren gehen. Die Datei <code>/etc/firewall_rules.dump</code> wird sogar beim Herunterfahren in der stop-Regel des Scripts gelöscht. Beim [[Startup\|Start]] wird vor dem laden der Regeln

	/usr/syno/bin/firewalltool -dump_rules /etc/firewall /etc/firewall_rules.dump		/usr/syno/bin/firewalltool -dump_rules /etc/firewall /etc/firewall_rules.dump

	aufgerufen. Wer eine Dokumentation zu diesem Programm hat bitte in [[Synology_Toolset]] einfügen. Der Aufruf von <code>firewalltool --help</code> liefert leider nur den wenig nützlichen Hinweis auf das <code>Copyright (c) 2003-2010 Synology Inc. All rights reserved.</code>. Anhand der Verwendung im Startup-Script kann man aber vermuten dass <code>firewalltool</code> dafür zuständig ist die in <code>/etc/firewall/</code> hinterlegten Firewall-Regeln beim Start der Diskstation in <code>iptables</code>-Regeln zu übersetzen die danach mit <code>iptables-restore</code> zur Ausführung geladen werden.		aufgerufen. Wer eine Dokumentation zu diesem Programm hat bitte in [[Synology_Toolset]] einfügen. Der Aufruf von <code>firewalltool --help</code> liefert leider nur den wenig nützlichen Hinweis auf das <code>Copyright (c) 2003-2010 Synology Inc. All rights reserved.</code>. Anhand der Verwendung im [[Startup]]-Script kann man aber vermuten dass <code>firewalltool</code> dafür zuständig ist die in <code>/etc/firewall/</code> hinterlegten Firewall-Regeln beim [[Startup\|Start]] der Diskstation in <code>iptables</code>-Regeln zu übersetzen die danach mit <code>iptables-restore</code> zur Ausführung geladen werden.

imported>Mahgue: iptales in der Diskstation

2011-08-20T12:32:49Z

iptales in der Diskstation

← Nächstältere Version		Version vom 20. August 2011, 12:32 Uhr
Zeile 68:		Zeile 68:
	/opt/libexec/xtables/libip6t_frag.so		/opt/libexec/xtables/libip6t_frag.so

	== ~~Die Applikationen~~ der ~~Kommandozeile~~ ==		== Verwendung in der Diskstation ==

			Das Startup-Script

			/usr/syno/etc.defaults/rc.d/S01iptables.sh

			läd beim Hochfahren der Diskstation abhängig von der Kern-Release die nötigen Kern-Module für <code>iptables</code>. Danach werden mit

			/sbin/iptables-restore </etc/firewall_rules.dump

			die in der Datei <code>firewall_rules.dump</code> gespeicherten Regeln geladen. Da <code>iptables-restore</code> hier ohne die Option <code>--noflush</code> aufgerufen wird, werden alle zuvor geladenen Regeln gelöscht. Startup-Scripte die vor diesem Script laufen und Regeln laden sind daher unwirksam. Beim Herunterfahren werden die Regeln mit

			/sbin/iptables -F

			gelöscht aber nicht vorher mit <code>iptables-save >/etc/firewall_rules.dump</code> gespeichert. Das bedeutet dass Änderungen an den Regeln die im laufenden Betrieb vorgenommen wurden verloren gehen. Die Datei <code>/etc/firewall_rules.dump</code> wird sogar beim Herunterfahren in der stop-Regel des Scripts gelöscht. Beim Start wird vor dem laden der Regeln

			/usr/syno/bin/firewalltool -dump_rules /etc/firewall /etc/firewall_rules.dump

			aufgerufen. Wer eine Dokumentation zu diesem Programm hat bitte in [[Synology_Toolset]] einfügen. Der Aufruf von <code>firewalltool --help</code> liefert leider nur den wenig nützlichen Hinweis auf das <code>Copyright (c) 2003-2010 Synology Inc. All rights reserved.</code>. Anhand der Verwendung im Startup-Script kann man aber vermuten dass <code>firewalltool</code> dafür zuständig ist die in <code>/etc/firewall/</code> hinterlegten Firewall-Regeln beim Start der Diskstation in <code>iptables</code>-Regeln zu übersetzen die danach mit <code>iptables-restore</code> zur Ausführung geladen werden.

imported>Mahgue: /* Die zwei iptables der Diskstation */

2011-08-20T11:36:39Z

Die zwei iptables der Diskstation

@@ Zeile 5: / Zeile 5: @@
 == Die zwei iptables der Diskstation ==
-<code>iptables</code> besteht aus Teilen die im Kern der Betriebsystems arbeiten und ggf. als Kern-Modul geladen werden. Diese Module liegen zusammen mit allen anderen Kern-Modulen in <code>/lib/modules</code>. Zusätzlich gibt es noch Teile die im User-Space arbeiten. Applikationen für die Kommandozeile wie
+<code>iptables</code> besteht aus Teilen die im Kern des Betriebssystems arbeiten und ggf. als Kern-Modul geladen werden. Diese Module liegen zusammen mit allen anderen Kern-Modulen in <code>/lib/modules</code>. Zusätzlich gibt es noch Teile die im User-Space arbeiten. Applikationen für die Kommandozeile wie
   /sbin/iptables
@@ Zeile 14: / Zeile 14: @@
 und Zusatzfunktionen die bei Bedarf aus Bibliotheken dynamisch gelinkt werden können:
   /lib/iptables/libxt_multiport.so
   /lib/iptables/libxt_udp.so
   /lib/iptables/libxt_tcp.so
   /lib/iptables/libxt_state.so
   /lib/iptables/libxt_standard.so
-Den Teil außerhalb des Kerns gibt es auch als Optware über [[IPKG|ipkg]] ladbar. Er enthält die Applikationen und Bibliotheken die bereits vorhanden sind nochmal ggf. in erweiterten Versionen und bringt neue mit.
+Den Teil außerhalb des Kerns gibt es auch als Optware über [[IPKG|ipkg]] ladbar. Er enthält die Applikationen und Bibliotheken die bereits vorhanden sind nochmal ggf. in erweiterten Versionen und bringt neue mit. Die Applikation <code>iptables-xml</code> konvertiert mit <code>iptables-save</code> erstellte Dumps der <code>iptables</code> Regelsätze in das XML-Format.
   /opt/bin/iptables-xml

imported>Mahgue: Iptables intro

2011-08-19T20:05:31Z

Iptables intro

Neue Seite

== Was ist iptables ? ==

<code>iptables</code> ist ein System von Tabellen, Regeln und modular ladbaren Mechanismen die dazu dienen den Fluss von TCP/IP-Paketen durch das System zu regeln. Man kann damit z.B. im einfachsten Fall die Pakete einer bestimmten IP-Adresse verwerfen, man kann bestimmte Dienste sperren (z.B. kein FTP) oder auch komplexere Verarbeitungen wie die Zuweisung neuer Adressen und Port-Nummern um eine andere Identität zu simulieren (siehe [[NAT]]). Mit <code>iptabels</code> können Schutzmechanismen realisiert werden weshalb viele Linux basierte Router diesen Mechanismus verwenden. Auch unser Diskstation verwendet <code>iptables</code> meist ohne dass man als normaler Anwender sich Gedanken darüber machen muss.

== Die zwei iptables der Diskstation ==

<code>iptables</code> besteht aus Teilen die im Kern der Betriebsystems arbeiten und ggf. als Kern-Modul geladen werden. Diese Module liegen zusammen mit allen anderen Kern-Modulen in <code>/lib/modules</code>. Zusätzlich gibt es noch Teile die im User-Space arbeiten. Applikationen für die Kommandozeile wie

/sbin/iptables
/sbin/iptables-save
/sbin/iptables-restore
/sbin/iptables-multi

und Zusatzfunktionen die bei Bedarf aus Bibliotheken dynamisch gelinkt werden können:

/lib/iptables/libxt_multiport.so
/lib/iptables/libxt_udp.so
/lib/iptables/libipt_icmp.so
/lib/iptables/libxt_tcp.so
/lib/iptables/libxt_state.so
/lib/iptables/libipt_REDIRECT.so
/lib/iptables/libxt_standard.so

Den Teil außerhalb des Kerns gibt es auch als Optware über [[IPKG|ipkg]] ladbar. Er enthält die Applikationen und Bibliotheken die bereits vorhanden sind nochmal ggf. in erweiterten Versionen und bringt neue mit.

/opt/bin/iptables-xml