18.3. Mit iptables-Befehlen verwendete Optionen

18.3.1. Struktur der iptables-Optionen

Viele iptables-Befehle haben folgende Struktur:

iptables [-t <table-name>] <command> <chain-name> <parameter-1> \
         <option-1> <parameter-n> <option-n>

Die Option <table-name> erlaubt dem Benutzer eine andere Tabelle als die standardm��ige filter-Tabelle auszuw�hlen, die mit dem Befehl verwendet werden soll. Die Option <command> l�st einen bestimmten Vorgang aus, wie z.B. das Anh�ngen oder L�schen einer Regel in einer Chain, die in der Option <chain-name> spezifiziert ist. Nach der Option <chain-name> befinden sich Parameterpaare und Optionen, die letztendlich dar�ber entscheiden, wie die Regel angewandt wird und was passiert, wenn ein Paket einer Regel entspricht.

Bei der Betrachtung der Struktur eines iptables-Befehls ist es wichtig, daran zu denken, dass sich anders als bei den meisten anderen Befehlen L�nge und Komplexit�t eines iptables-Befehls je nach seinem Zweck ver�ndern k�nnen. Ein einfacher Befehl f�r das Entfernen einer Regel aus einer Chain kann z.B. sehr kurz sein, w�hrend ein Befehl f�r das Filtern von Paketen aus einem bestimmten Sub-Netz aufgrund verschiedener spezifischer Parameter und Optionen sehr lang sein kann. Bei iptables-Befehlen sollten Sie ber�cksichtigen, dass manche Parameter und Optionen, die verwendet werden, unter Umst�nden die Notwendigkeit nach sich ziehen, weitere Parameter und Optionen zu erstellen, damit die Anforderungen der ersten Option weiter spezifiziert werden k�nnen. Um eine g�ltige Regel zu erstellen, muss diese weitergef�hrt werden, bis jeder Parameter und jede Option, die einen weiteren Optionensatz erfordert, erf�llt ist.

Wenn Sie iptables -h eingeben, erhalten Sie eine vollst�ndige Liste der iptables-Befehlsstrukturen.

18.3.2. Befehlsoptionen

Mit Befehlsoptionen wird iptables angewiesen, einen bestimmten Vorgang auszuf�hren. Nur ein einziger Befehl pro iptables-Befehlszeichenkette ist zugelassen. Mit Ausnahme des Hilfebefehls sind alle Befehle in Gro�buchstaben geschrieben.

Die iptables-Befehle sind:

• -A — H�ngt die iptables-Regel an das Ende der spezifizierten Chain an. Dies ist der Befehl, mit dem eine Regel einfach hinzugef�gt wird, wenn die Reihenfolge der Regeln in der Chain nicht ausschlaggebend ist.

• -C — Kontrolliert eine bestimmte Regel, bevor sie zur benutzerdefinierten Chain hinzugef�gt wird. Dieser Befehl kann Ihnen dabei helfen, komplizierte iptables-Regeln zu erstellen, indem er Sie jeweils durch Aufforderungen dazu bringt, zus�tzliche Parameter und Optionen einzugeben.

• -D — Entfernt eine Regel in einer bestimmten Chain nach ihrer Ziffer (z.B. 5 f�r die 5. Regel einer Chain). Sie k�nnen ebenfalls die gesamte Regel eingeben, woraufhin iptables dann die entsprechende Regel aus der Chain, mit der die Regel �bereinstimmt, entfernt.

• -E — Benennt eine benutzerdefinierte Chain um. Dies hat allerdings keine Auswirkung auf die Tabellenstruktur.

• -F — L�scht die gew�hlte Chain, woraufhin effektiv jede Regel in der Chain entfernt wird. Wenn keine Chain angegeben wird, l�scht dieser Befehl jede Regel jeder Chain.

• -h — Liefert eine Liste mit Befehlsstrukturen sowie eine kurze Zusammenfassung der Befehlsparameter und -Optionen.

• -I — F�gt eine Regel an einem bestimmten Punkt in eine Chain ein, welcher ein ganzzahliger Wert ist. Wenn kein Wert angegeben ist, setzt iptables den Befehl an den Anfang der Regelliste.

  	Achtung
  	Achten Sie darauf, dass, wenn Sie die Option -A oder -I verwenden, die Reihenfolge der Regeln sehr wichtig sein kann, wenn Sie bestimmen, welche Regeln auf welche Pakete zutreffen.

• -L — Listet alle Regeln in der nach dem Befehl spezifizierten Chain auf. Um alle Regeln in allen Chains in der Standardtabelle filter aufzulisten, spezifizieren Sie nicht eine Chain oder eine Tabelle. Ansonsten sollte folgende Satzstruktur verwendet werden, um die Regeln in einer spezifischen Chain in einer bestimmten Tabelle aufzulisten:

  iptables -L <chain-name> -t <table-name>

  Zus�tzliche Optionen f�r die -L-Befehlsoption, die Regelziffern liefern und ausf�hrlichere Regelbeschreibungen erm�glichen, finden Sie in Abschnitt 18.3.6.

• -N — Erstellt eine neue Chain mit benutzerdefiniertem Namen.

• -P — Setzt die standardm��ige Policy f�r eine bestimmte Chain, damit bei der Durchquerung von Paketen durch eine Chain, die Pakete, wie bei ACCEPT oder DROP, ohne �bereinstimmung mit einer Regel an ein bestimmtes Ziel weitergeleitet werden k�nnen.

• -R — Ersetzt eine Regel in einer bestimmten Chain. Sie m�ssen eine Regelnummer nach dem Namen der Chain verwenden, um die Regel zu ersetzen. Die erste Regel einer Chain bezieht sich auf die Regelziffer eins.

• -X — Entfernt eine benutzerdefinierte Chain. Das Entfernen einer integrierten Chain f�r eine Tabelle ist nicht zugelassen.

• -Z — Stellt Byte- und Paketz�hler in allen Chains f�r eine bestimmte Tabelle auf Null.

18.3.3. iptables Parameteroptionen

Sobald gewisse iptables-Befehle spezifiziert worden sind, einschlie�lich derer zum Hinzuf�gen, Anh�ngen, Entfernen, Einf�gen oder Ersetzen innerhalb einer bestimmten Chain, m�ssen Sie Parameter definieren, um mit der Erstellung einer Paketfilterungsregel beginnen zu k�nnen.

• -c — Setzt die Z�hler f�r eine bestimmte Regel zur�ck. Dieser Parameter akzeptiert die PKTS- und BYTES-Optionen zur Spezifizierung der zur�ckzusetzenden Z�hler.

• -d — Stellt Ziel-Hostnamen, IP-Adresse oder Netzwerk eines Pakets ein, das mit der Regel �bereinstimmt. Wenn das Paket mit einem Netzwerk �bereinstimmt, sind die folgenden Formate f�r IP-Adressen/Netmasks unterst�tzt:

  • N.N.N.N/M.M.M.M — Wobei N.N.N.N der Bereich der IP-Adresse und M.M.M.M die Netmask ist.

  • N.N.N.N/M — Wobei N.N.N.N der Bereich der IP-Adresse und M die Bitmask ist.

• -f — Wendet diese Regel nur auf fragmentierte Pakete an.

  Durch Verwendung der !-Option nach diesem Parameter werden nur unfragmentierte Parameter verglichen.

• -i — Setzt die Schnittstelle des Eingangsnetzwerks, z.B. eth0 oder ppp0, die f�r eine bestimmte Regel benutzt werden soll. Mit iptables sollte dieser zus�tzliche Parameter nur mit INPUT- und FORWARD-Chains in Verbindung mit der filter-Tabelle und der PREROUTING-Chain mit den nat- und mangle-Tabellen verwendet werden.

  Dieser Parameter unterst�tzt auch folgende spezielle Optionen:

  • ! — Macht die Anweisung r�ckg�ngig, was bedeutet, dass jegliche spezifizierte Schnittstellen von dieser Regel ausgenommen sind.

  • + — Ein Platzhalterzeichen, das verwendet wird, um alle Schnittstellen zu kontrollieren, die einer bestimmten Zeichenkette entsprechen. Der -i eth+-Parameter w�rde diese Regel z.B. f�r alle Ethnernet-Schnittstellen Ihres Systems anwenden, aber alle anderen Schnittstellen, wie z.B. ppp0 auslassen.

  Wenn der -i-Parameter ohne Spezifizierung einer Schnittstelle verwendet wird, ist jede Schnittstelle von dieser Regel betroffen.

• -j — Springt zum festgelegten Ziel, wenn ein Paket einer bestimmten Regel entspricht. G�ltige Ziele, die nach der -j-Option verwendet werden k�nnen, sind unter anderem die Standardoptionen ACCEPT, DROP, QUEUE und RETURN sowie erweiterte Optionen, die �ber Module verf�gbar sind, die standardm��ig mit mit dem Red Hat Enterprise Linux iptablesRPM-Paket geladen werden, wie z.B. unter anderem LOG, MARK und REJECT. Weitere Informationen zu diesen und anderen Zielen sowie Regeln zu deren Verwendung finden Sie auf der iptables-man-Seite.

  Sie k�nnen ein Paket, das dieser Regel entspricht, auch an eine benutzerdefinierte Chain au�erhalb der aktuellen Chain weiterleiten. Dadurch k�nnen Sie andere Regeln auf dieses Paket anwenden.

  Wenn kein Ziel festgelegt ist, bewegt sich das Paket an der Regel vorbei, ohne dass etwas passieren w�rde. Der Z�hler f�r diese Regel springt jedoch um eine Stelle weiter.

• -o — Setzt die Schnittstelle des Ausgangsnetzwerks f�r eine bestimmte Regel fest, die nur mit OUTPUT- un d FORWARD-Chains in der filter-Tabelle und mit der POSTROUTING-Chain in den nat- und mangle-Tabellen verwendet werden kann. Die Optionen dieses Parameters sind dieselben wie die des Parameters der Schnittstelle des Eingangsnetzwerks (-i).

• -p — Setzt das IP-Protokoll f�r die Regel, die entweder icmp, tcp, udp oder all sein kann, um allen m�glichen Protokollen zu entsprechen. Au�erdem k�nnen weniger verwendete Protokolle, die in /etc/protocols aufgelistet sind, ebenfalls verwendet werden. Wenn diese Option beim Erstellen einer Regel ausgelassen wird, ist die all-Option der Standard.

• -s — Setzt die Quelle eines bestimmten Pakets mit Hilfe derselben Satzstrukturen, die der Zielparameter (-d) verwendet.

18.3.4. iptables Match-Optionen

Verschiedene Netzwerkprotokolle erm�glichen spezielle �bereinstimmungsoptionen, die auf spezifische Weise gesetzt werden k�nnen, um ein bestimmtes Paket mit Hilfe dieses Protokolls zu kontrollieren. Das Protokoll muss nat�rlich zuerst im iptables-Befehl spezifiziert werden, z.B. durch die Verwendung von -p tcp <Protokollname> (wobei <Protokollname> das Ziel-Protokoll ist) die Optionen f�r dieses Protokoll verf�gbar zu machen.

18.3.5. Zieloptionen

Sobald ein Paket mit einer bestimmten Regel �bereinstimmt, kann die Regel das Paket an viele verschiedene Ziele senden, an denen dann eventuell weitere Vorg�nge erfolgen. Au�erdem hat jede Chain ein standardm��iges Ziel, das verwendet wird, wenn ein Paket keiner Regel entspricht oder wenn in der Regel, mit dem das Paket �bereinstimmt, ein Ziel angegeben ist.

Die Folgenden sind die Standardziele:

• <user-defined-chain> — <user-defined-chain> steht hier f�r den Namen der benutzerdefinierten Chain. Dieses Ziel leitet das Paket zur Ziel-Chain weiter.

• ACCEPT — Das Paket gelangt erfolgreich an sein Ziel oder an eine andere Chain.

• DROP — Das Paket wird "ausgelassen". Das System, das dieses Paket gesendet hat, wird nicht �ber das "Ausfallen" des Pakets benachrichtigt.

• QUEUE — Das Paket wird zur Warteschlange f�r die Bearbeitung durch eine Benutzerraum-Applikation hinzugef�gt.

• RETURN — H�lt die �berpr�fung der �bereinstimmung des Pakets mit Regeln in der aktuellen Chain an. Wenn das Paket mit einem RETURN-Ziel mit einer Regel in einer Chain �bereinstimmt, die von einer anderen Chain aufgerufen wurde, wird das Paket an die erste Chain zur�ckgesendet, damit die �berpr�fung wieder dort aufgenommen werden kann, wo sie unterbrochen wurde. Wenn die RETURN-Regel in einer integrierten Chain verwendet wird und das Paket nicht zu seiner vorherigen Chain zur�ckkehren kann, entscheidet das Standardziel f�r die aktuelle Chain, welche Ma�nahme getroffen wird.

Zus�tzlich zu diesen Standardzielen k�nnen auch noch verschiedene andere Ziele mit Erweiterungen verwendet werden, sogenannte Zielmodule. Weitere Informationen zu �bereinstimmungsoptionsmodulen finden Sie unter Abschnitt 18.3.4.4.

Es gibt viele erweiterte Zielmodule, von denen sich die meisten auf bestimmte Tabellen oder Situationen beziehen. Einige der bekanntesten Zielmodule, die standardm��ig in Red Hat Enterprise Linux enthalten sind:

• LOG — Protokolliert alle Pakete, die dieser Regel entsprechen. Da die Pakete vom Kernel protokolliert werden, bestimmt die /etc/syslog.conf-Datei, wo diese Protokolldateien geschrieben werden. Standardm��ig werden sie in der /var/log/messages-Datei abgelegt.

  Nach dem LOG-Ziel k�nnen verschiedene Optionen verwendet werden, um die Art des Protokolls zu bestimmen:

  • --log-level — Bestimmt die Priorit�tsstufe eines Protokolliervorgangs. Auf den man-Seiten von syslog.conf- finden Sie eine Liste der Priorit�tsstufen.

  • --log-ip-options — Alle in den Kopfzeilen eines IP-Pakets enthaltenen Optionen werden protokolliert.

  • --log-prefix — F�gt beim Schreiben einer Protokollzeile eine Zeichenkette vor der Protokollzeile ein. Es werden bis zu 29 Zeichen nach der --log-prefix- Option akzeptiert. Dies ist auch beim Schreiben von syslog-Filtern im Zusammenhang mit der Paketprotokollierung sehr n�tzlich.

  • --log-tcp-options — Alle in den Kopfzeilen eines TCP-Pakets enthaltenen Optionen werden protokolliert.

  • --log-tcp-sequence — Schreibt die TCP- Sequenznummer f�r das Paket in der Protokolldatei.

• REJECT — Sendet ein Fehlerpaket an das System zur�ck, das das Paket gesendet hat, und l�sst dieses dann "aus" (DROP).

  Mit dem REJECT-Ziel kann die --reject-with <Typ> -Option verwendet werden, um mehrere Details zusammen mit dem Fehlerpaket zu senden. Die Meldung port-unreachable ist die standardm��ige <type>-Fehlermeldung (wobei <type> die Art der Zur�ckweisung angibt), die angezeigt wird, wenn keine andere Option angewandt wurde. Eine vollst�ndige Liste der verwendbaren <type>-Optionen finden Sie auf der iptables-man-Seite.

Andere Zielerweiterungen, die f�r die Maskierung unter Verwendung der nat-Tabelle oder f�r Paket�nderung mithilfe der mangle-Tabelle n�tzlich sind, finden Sie auf der iptables-man-Seite.

18.3.6. Auflistungsoptionen

Der standardm��ige Auflistungsbefehl iptables -L bietet eine sehr allgemeine �bersicht �ber die standardm��igen aktuellen Regel-Chains der Filtertabelle. Es gibt aber auch noch zus�tzliche Optionen mit weiteren Informationen:

• -v — Zeigt eine ausf�hrliche Ausgabe an, wie z.B. die Anzahl der Pakete und Bytes, die jede Chain gesehen hat, die Anzahl der Pakete und Bytes, die von jeder Regel auf �bereinstimmung �berpr�ft wurden und auf deren Schnittstellen eine bestimmte Regel angewandt werden.

• -x — Erweitert die Zahlen auf ihre exakten Werte. In einem arbeitenden System kann die Anzahl der Pakte und Bytes, die von einer bestimmten Chain oder Regel gesehen werden, unter Verwendung der Abk�rzungen K (Tausender), M (Millionen) und G (Milliarden) am Ende der Zahl wiedergegeben werden. Mit dieser Option muss zwangsl�ufig die vollst�ndige Zahl angezeigt werden.

• -n — Zeigt IP-Adressen und Portnummern im numerischen Format an, und nicht im standardm��igen Hostnamen- und Netzwerkdienst-Format.

• --line-numbers — Listet Regeln in jeder Chain in N�he derer numerischer Reihenfolge in der Chain auf. Diese Option ist n�tzlich, wenn man versucht, eine bestimmte Regel aus einer Chain zu entfernen oder zu bestimmen, wo eine Regel in einer Chain eingef�gt werden soll.

• -t — Gibt einen Tabellennamen an.