ThaiCERT: Thai Computer Emergency Response Team ศูนย์ประสานงานการรักษาความปลอดภัยคอมพิวเตอร์ ประเทศไทย

Linux 2.4 Stateful Firewall : IPTABLES
เรียบเรียงโดย : ภูวดล ด่านระหาญ
เผยแพร่เมื่อ : 3 ธันวาคม 2544

เอกสารฉบับนี้จะอธิบายถึงการนำ Linux 2.4 มาใช้เป็นไฟร์วอลล์ เพื่อควบคุมการผ่านเข้าออกของ network traffic และเพิ่มความปลอดภัยให้กับระบบ หากยังไม่เข้าใจในเรื่องไฟร์วอลล์ ก็ขอแนะนำให้อ่านบทความเรื่องความรู้พื้นฐานเกี่ยวกับไฟร์วอลล์ หรือหากต้องการทำความรู้จักแบบลึกๆ กับ stateful firewall แล้ว ก็สามารถศึกษาได้จาก http://thaicert.nectec.or.th/paper/firewall/stateful.php เช่นเดียวกัน

ใครควรอ่านบทความฉบับนี้
เหมาะสำหรับผู้ที่มีเครื่องคอมพิวเตอร์จำนวนมากในความดูแล และ/หรือมีการเชื่อมต่อกับอินเทอร์เน็ต มีเครื่องเซิร์ฟเวอร์เปิดให้บริการกับสาธารณชน เช่น web service, ftp service, mail service เป็นต้น และต้องการเพิ่มความปลอดภัยให้กับระบบ เนื่องจากไฟร์วอลล์ทำหน้าที่ควบคุมการเข้าออกของข้อมูลใน port ที่ได้รับอนุญาตเท่านั้น ดังนั้นผู้ที่จะเขียน rule ของไฟร์วอลล์ได้ต้องมีความรู้เกี่ยวกับ TCP/IP พอสมควร และขอย้ำตรงนี้อีกว่า ไฟร์วอลล์ไม่ใช่อุปกรณ์ป้องกันการบุกรุกระบบที่สมบูรณ์ 100% เพราะการโจมตีที่เกิดขึ้นในปัจจุบันนั้นมักจะโจมตีผ่าน port ที่เป็นที่รู้จัก เช่น 21, 22, 25, 53, 80 ซึ่งไฟร์วอลล์มักจะอนุญาตให้ข้อมูลเข้าออกผ่านทาง port เหล่านี้เสมอ ดังนั้นควรใช้เครื่องมืออื่นๆ ช่วย เช่น การตั้งนโยบายความปลอดภัยที่รัดกุม การนำระบบ network intrusion detection มาใช้ หรือแม้แต่มีการจัดการระดับ host based ที่ดี เช่น มีการทำ hardening OS. ใน NOS(network operating system) ทุกๆ เครื่องที่เปิดให้บริการแก่สาธารณะ ก็จะช่วยเพิ่มความปลอดภัยให้กับระบบมากยิ่งขึ้น

กล่าวนำ
จากความรู้พื้นฐานเรื่องไฟร์วอลล์ ก็พอจะทราบว่าไฟร์วอลล์ในปัจจุบันนั้นแบ่งเป็นสองชนิดหลักๆ คือ stateful packet filtering firewall และ proxy server ซึ่งจะมีการตรวจสอบข้อมูลที่ไหลผ่านเข้าออกที่คนละเลเยอร์กัน โดย packet filtering นั้นจะตรวจสอบข้อมูลที่ network layer และ session layer ในขณะที่ proxy นั้นสามารถตรวจสอบข้อมูลที่ application layer ได้ด้วย

Linux สามารถใช้งานเป็นไฟร์วอลล์ได้ตั้งแต่เคอร์เนล 1.1 ซึ่งเป็นเวอร์ชันแรก โดย Alan Cox ใช้ชื่อว่า ipfw (จาก BSD) ต่อมา Linux 2.0 ได้ถูกพัฒนาและปรับปรุงได้เครื่องมือที่มีชื่อว่า ipfwadm โดยเครื่องมือชิ้นนี้อนุญาตให้ผู้ใช้สามารถควบคุม filtering rule ได้ และต่อมา Linux 2.2 ก็ได้สร้างเครื่องมือตัวใหม่ชื่อ ipchains ซึ่งเผยแพร่ในปี 1998 โดย Rusty Russel และทีมงาน ทั้งนี้ ipchains นี้ถือได้ว่าเป็นพัฒนาการขั้นที่สามของ Linux Firewall จวบจนกระทั่งในปัจจุบัน ก็มี netfilter และ iptables ซึ่งถือว่าเป็นพัฒนาการขั้นที่สี่ของ Linux Firewall

Netfilter นั้นเป็นชื่อใหม่ของโค้ดที่ทำหน้าที่เป็น packet handler(stateful inspection) ใน Linux kernel 2.4 (จริงคือเวอร์ชัน 2.3.15 และเวอร์ชันต่อๆ มา) ซึ่งได้ถูกออกแบบและปรับปรุงใหม่จากเวอร์ชันก่อนหน้านี้ เป็นเรื่องที่น่ายินดีคือ netfilter นั้นสามารถทำงานย้อนหลังร่วมกับ ipchains และ ipfwadm ได้ และคำสั่งในการเรียกใช้งานคือ iptables

ความแตกต่างระหว่าง iptables และ ipchains

• ชื่อของ built-in chain (ประกอบไปด้วย INPUT, OUTPUT, FORWARD) เปลี่ยนจากตัวอักษรเล็ก (lowercase) เป็นตัวอักษรใหญ่ (uppercase)
• การใช้งานที่ต้องระบุ port ทั้ง TCP และ UDP นั้น ต้องใช้คำว่า --source-port หรือ --sport (--destination-port หรือ --dport) และต้องใช้ตามหลังจาก -p tcp หรือ -p udp
• TCP -y flag เปลี่ยนเป็น --syn และต้องใช้ร่วมกับ -p tcp
• target จาก DENY เปลี่ยนเป็น DROP
• chain ที่ไม่มี rule ใดๆ เลยก็สามารถทำงานได้
• การทำ zeroing built-in chain จะทำให้ byte counter ถูกล้างค่าไปด้วย
• ชื่อของ chain ยาวสูงสุดได้ 31 ตัวอักษร
• MASQ เปลี่ยนเป็น MASQUERADE และมีรูปแบบการใช้งานเปลี่ยนไป รวมทั้ง REDIRECT ก็มีการเปลี่ยนแปลงรูปแบบใหม่ รายละเอียดโปรดศึกษาในส่วนของ NAT

ดาวน์โหลด
ก่อนที่ใช้งานไฟร์วอลล์ตัวใหม่นี้ได้ ให้ล็อกอินเป็น root และทดลองพิมพ์คำว่า iptables ดูว่าคำสั่งนี้มีอยู่หรือไม่ ถ้าไม่มี ต้องดาวน์โหลดจาก http://netfilter.samba.org โดยให้ดาวน์โหลดเวอร์ชันล่าสุดมา ในที่นี้คือ iptables-1.2.4.tar.bz2 จากนั้นให้ขยายไฟล์และติดตั้งดังคำสั่งด้านล่าง

tar -jxvf iptables-1.2.4.tar.bz2
cd iptables-1.2.4
make
make install

ปรับแต่งเคอร์เนล
หลังจากที่มีคำสั่ง iptables อยู่ในระบบแล้ว บางระบบที่มีเคอร์เนลต่ำกว่า 2.4 จำเป็นต้องคอมไพล์เคอร์เนลใหม่ เพื่อให้ใช้งาน iptables ได้ ทั้งนี้ขอแนะนำให้ใช้เคอร์เนลเวอร์ชันล่าสุด ปัจจุบันคือ 2.4.14 ซึ่งสามารถดาวน์โหลดได้จาก http://www.kernel.org

หลังจากที่ดาวน์โหลดมาแล้วให้ขยายไฟล์ไปไว้ที่ /usr/src/linux จากนั้นใช้คำสั่ง make menuconfig หรืออาจใช้ make xconfig ในกรณีที่ได้ติดตั้ง XWindows ไว้แล้ว โดยต้องมั่นใจว่าได้ enable option ต่างๆ ด้านล่างนี้ ภายใต้ Networking options

<*> Packet socket
[*] Network packet filtering (replaces ipchains)
<*> Unix domain sockets
[*] TCP/IP networking
[*] IP: advanced router
[*] IP: policy routing
[*] IP: use netfilter MARK value as routing key
[*] IP: fast network address translation
[*] IP: use TOS value as routing key

และภายใต้เมนู "IP: Netfilter Configuration -- >" ให้ enable ทุกออปชันเพื่อให้ใช้งาน netfilter ได้เต็มประสิทธิภาพ

แต่มีอีกจุดหนึ่งที่ห้าม enable ภายใต้ "Networking options" คือ

[ ] IP: TCP Explicit Congestion Notification support

เพราะออปชันนี้ จะทำให้บาง packet ที่ออกจาก linux ถูกเซ็ตบิต ECN ไปด้วย ซึ่งจะทำให้ไม่สามารถสื่อสารกับ internet router บางตัวได้

จากนั้นก็ให้คอมไพล์และติดตั้งเคอร์เนลโดยใช้คำสั่งดังตัวอย่างใน Appendix A

รูปแบบการใช้งาน iptables เบื้องต้น
iptables จะมีรูปแบบการใช้งานดังนี้คือ

iptables [table] <command> <match> <target/jump>

โดย rule ที่เขียนขึ้นจะเป็นเป็นตัวบอกเคอร์เนลว่าให้กระทำ action อย่างไร ในกรณีที่พบ packet ตรงตามที่ระบุไว้

• [table] หมายถึง ตารางหรือ table ที่ต้องการระบุ เช่น iptables -t nat หมายถึงให้ทำงานกับ nat table
  ในกรณีที่ไม่ได้ระบุตาราง iptables จะถือว่าคำสั่งดังกล่าวระบุถึง filter table โดยอัตโนมัติ
• <command> จะเป็นตัวสั่งให้ iptables ทำในสิ่งที่ต้องการ เช่น iptables -A INPUT ซึ่งหมายถึงให้สร้าง rule ต่อท้าย INPUT chain ใน filter table
• <match> เป็นส่วนที่ใช้ตรวจสอบว่า packet มีข้อมูลตรง (match) กับที่ระบุไว้หรือไม่ เช่น มี source ip address เป็น 1.2.3.4
• <target/jump> เป็นตัวระบุว่าเมื่อเจอ packet ที่ match ก็จะกระทำ (action) ตามที่ระบุไว้ เช่น ถ้า packet ใดมี source ip address เป็น 1.2.3.4 ให้ DROP packet นั้นทิ้งไป

Table
iptables สามารถทำงานได้กับตาราง(table) 3 ตารางหลัก สามารถระบุตารางได้โดยใช้ออปชัน -t ตามด้วยชื่อ table คือ

1. Filter table ใช้สำหรับกรอง packet มี 3 built-in chain คือ INPUT, OUTPUT, FORWARD ซึ่งจะได้อธิบายรายละเอียดต่อไป
2. Nat table ใช้สำหรับการแปลงแอดเดรส (Network Address Translation) มี 3 built-in chain คือ PREROUTING, POSTROUTING, OUTPUT ซึ่งรายละเอียดจะได้อธิบายต่อไป
3. Mangle table เป็นตารางที่ใช้เปลี่ยนแปลงหรือแก้ไข packet เช่น เปลี่ยนค่า TTL, MARK ซึ่งปกติจะใช้ในการทำ routing ที่มีความซับซ้อนสูง มี 2 built-in chain คือ PREROUTING chain (ใช้แก้ไข packet ก่อนที่จะเข้าสู่ไฟร์วอลล์และก่อนเข้าสู่ routing decision) และ OUTPUT chain (ใช้แก้ไข packet ที่ถูกสร้างโดยไฟร์วอลล์ก่อนที่มันจะถูกส่งไปยัง routing decision) ทั้งนี้ไม่สามารถทำ network address translation หรือ masquerading ที่ table นี้ได้ และในเอกสารฉบับนี้จะไม่กล่าวถึง mangle อีก เนื่องจากเป็นส่วนที่ไม่นิยมนำไปใช้งาน

Command

• -A เพิ่ม rule ใหม่ต่อท้าย chain (Append rule) เช่น
  # iptables -A INPUT -p ALL -i eth0 -j ACCEPT
  
  
• -D ลบ rule (Delete rule) เช่น
  # iptables -D INPUT --dport 80 -j DROP
  
  
• -I เพิ่ม rule ใหม่ ใน chain (Insert rule) เช่น
  # iptables -I OUTPUT -p ALL -s 127.0.0.1/32 -j ACCEPT
  
  
• -R แทนที่ rule เดิม ด้วย rule ใหม่ (Replace rule)
  
  
• -L แสดง rule ทั้งหมดใน chain (ถ้าไม่ระบุ chain จะแสดง rule ทั้งหมดใน filter table ทั้งสาม built-in chain) เช่น
  # iptables -L
  # iptables -L -t nat
  # iptables -L INPUT
  
  
• -F ลบ rule ทั้งหมดใน chain ทิ้ง เช่น
  # iptables -F INPUT
  # iptables -F mychain
  
  
• -Z ใช้ reset byte counter สำหรับทุก rule ใน chain ที่กำหนด เช่น
  # iptables -Z INPUT
  
  
• -N ใช้สร้าง chain ใหม่ เช่น
  # iptables -N mychain
  
  
• -X ลบ chain ที่ไม่มี rule ซึ่งสามารถลบ user-defined chain ที่ไม่มี rule ได้ แต่ไม่สามารถลบ built-in chain ได้ เช่น
  # iptables -X emptychain
  
  
• -P เปลี่ยน default policy ของ chain ค่าที่ใช้ได้คือ ACCEPT, DROP ทั้งนี้ค่านี้มีความสำคัญอย่างมากเพราะหาก packet ถูกส่งเข้ามาใน chain แล้ว และไม่ match กับ rule ใดๆ เลย packet นั้นก็ต้องถูกตัดสินใจโดย policy ของ chain นั้นๆ เช่น
  # iptables -P FORWARD DROP
  ซึ่งหาก packet ถูกส่งเข้ามายัง FORWARD chain และไม่ match กับ rule ใดๆ ใน FORWARD chain นี้เลย มันก็จะถูก DROP ทันที
  

• -E ใช้เปลี่ยนชื่อ chain ใหม่ เช่น
  # iptables -E myoldchain mynewchain

การใช้ command ด้านบนนั้นสามารถใช้ร่วมกับออปชันบางอย่างได้ คือ

• -V, --verbose ใช้ร่วมกับ -L, -A, -I, -D, -R เพื่อให้แสดงจำนวน byte ที่ match กับ rule ออกมาด้วย (หน่วยเป็นได้ทั้ง K(x1,000),M(x1,000,000),G(x1,000,000,000)) เช่น
  # iptables -L -v
  
  
• -x, --exact ใช้ร่วมกับ -L และ -v เพื่อให้แสดงจำนวน packet และจำนวนของ byte ข้อมูลที่ match โดยไม่ให้แสดงผลในหน่วยของ K,M,G เช่น
  # iptables -L OUTPUT -v -x
  
  
• -n, --numeric ใช้ร่วมกับ -L เพื่อสั่งให้ iptables แสดงข้อมูลไอพีแอดเดรสและ port เป็นตัวเลขเท่านั้น เช่น
  # iptables -L OUTPUT -n
  
  
• --line-numbers ใช้ร่วมกับ -L เพื่อแสดงเลขบรรทัดของ rule ซึ่งตัวเลขที่แสดงนี้จะสามารถใช้ได้กับคำสั่ง insert rule ที่ระบุเป็นลำดับที่ของ rule เช่น
  # iptables -L --line-numbers
  
  
• --modprobe=command  เพื่อโหลด module ที่เกี่ยวข้อง

Match
การตั้งเงื่อนไขของการ match นั้นจะต้องอาศัยความเข้าใจในเรื่อง IP, TCP, UDP, และ ICMP มาบ้างพอสมควร จึงจะสามารถตั้งเงื่อนไขที่เหมาะสมและตรงตามความต้องการได้ ซึ่งมีรายละเอียดดังนี้

• การระบุ source, destination IP address
  สามารถระบุ source ip address ของ packet โดยใช้ -s หรือ --source หรือ --src และสำหรับ destination ip address ก็ใช้ -d หรือ --destination หรือ --dst การระบุไอพีแอดเดรสนั้นสามารถทำได้ 4 แบบด้วยกันคือ
  1. ใช้ชื่อเต็มแทน เช่น localhost หรือ www.nectec.or.th
  2. ระบุไอพีแอดเดรสโดยตรง เช่น 127.0.0.1 หรือ 202.44.204.33
  3. ระบุเป็น group ของไอพีแอดเดรส เช่น 202.44.204.0/24 ซึ่งหมายถึงไอพีแอดเดรสตั้งแต่ 202.44.204.0 - 202.44.204.255
  4. หรืออาจจะใช้ 202.44.204.0/255.255.255.0 แทน 202.44.204.0/24 ได้
     
     
• การทำ Inversion
  ในบางกรณีนั้นหากต้องการระบุเป็น inverse เช่น อนุญาตให้ทุกไอพียกเว้นไอพีที่ระบุไว้ ซึ่งการใช้คำสั่งดังกล่าวสามารถทำได้โดยใช้เครื่องหมาย ! นำหน้า argument ที่ต้องการ (เครื่องหมาย ! หมายถึง NOT) เช่น -p ! TCP ซึ่งจะ match กับโพรโตคอลทุกๆ ตัวที่ไม่ใช่ TCP หรือ -s ! localhost ซึ่งหมายถึง packet ที่มี source ip address อื่นๆ ยกเว้น localhost (127.0.0.1)
  
  
• การระบุโพรโตคอล
  สามารถระบุโพรโตคอลที่ต้องการได้ดังนี้คือ TCP, UDP, ICMP หรือสามารถใช้ตัวเลขแทนได้ (สำหรับ *NIX อ้างอิงได้จาก /etc/protocols) และยังสามารถใช้ได้ทั้งตัวอักษรเล็กหรือใหญ่ (ใช้ได้ทั้ง tcp และ TCP) เช่น -p TCP หรือ -p ! tcp
  
  
• การระบุ interface
  -i หรือ --in-interface ตามด้วยชื่อ interface ใช้เพื่อระบุ incoming interface ซึ่งหมายถึงว่า packet ที่จะ match กับ rule นี้ต้องเข้ามาจาก interface ที่กำหนด เช่น -i eth0 หมายความว่า ทุก packet ที่เข้ามาทาง eth0 จะ match กับ rule นี้ ทั้งนี้ชื่อ interface ที่สามารถใช้ได้นั้น สามารถตรวจสอบได้โดยใช้คำสั่ง ifconfig
  
  และ -o หรือ --out-interface ตามด้วยชื่อของ interface ใช้เพื่อระบุ outgoing interface ซึ่งหมายถึงว่า packet ที่จะ match กับ rule นี้ กำลังจะเดินทางผ่าน interface ที่ระบุไว้ เช่น -o eth1 หรือ -o ! eth1
  
  ข้อสังเกต
  • สำหรับ INPUT chain นั้นไม่มี output interface ดังนั้นหากใช้ -o ร่วมกับ INPUT chain ก็จะไม่มี packet ใดที่ match กับ rule นี้เลย
  • ทำนองเดียวกันกับ OUTPUT chain ที่ไม่มี input interface ดังนั้นหากใช้ -i ร่วมกับ OUTPUT chain ก็ไม่มีประโยชน์อันใด
  • FORWARD chain มีได้ทั้ง input และ output interface
  • หากระบุ interface ที่ไม่มีอยู่จริง ก็จะไม่มี packet ใดที่ match กับ rule นั้นเลย
  • หากใช้เครื่องหมาย + ร่วมกับ interface เช่น ppp+ นั้นจะหมายถึงทุกๆ ppp interface เช่น ppp0, ppp1
    
    
• fragment packet
  ในการส่งข้อมูลใน ip network นั้นเป็นเรื่องปกติที่จะเกิดการ fragment ของ packet เนื่องจากขนาดของ packet มีขนาดใหญ่เกินไปที่จะส่งไปในครั้งเดียว จำเป็นต้องมีการแบ่ง packet ออกเป็นหลายๆ ชิ้นทยอยส่งไป ซึ่งเรียกกันว่าการทำ fragment โดยเครื่องปลายทางจะทำหน้าที่ประกอบ fragment packet รวมกันเป็น packet ที่สมบูรณ์ดังเดิม
  
  ข้อมูลที่เป็น fragment packet นั้นจะมี header ที่สมบูรณ์แค่ packet แรกเท่านั้น ตัว packet ที่ตามมาจะมีแค่ header บางส่วนคือ ไอพีแอดเดรสเท่านั้น ไม่มีข้อมูลของโพรโตคอลแนบมาด้วย ดังนั้นการตรวจสอบข้อมูล header ของ TCP, UDP, ICMP จึงไม่สามารถทำได้ใน packet ที่สองเป็นต้นมา
  
  หากใช้ NAT บรรดา fragment packet จะถูกประกอบเข้าด้วยกันจนสมบูรณ์ก่อนที่ packet จะเข้าไปถึง packet filtering ดังนั้นจึงไม่มีความจำเป็นที่จะต้องกังวลเกี่ยวกับ fragment packet
  
  ดังนั้นถ้าไม่ได้ใช้ NAT ก็ควรทำความเข้าใจไว้ว่า iptables มีกระบวนการในการทำงานกับ fragment packet อย่างไร หลังจากที่ fragment packet แรกผ่านเข้ามาแล้ว iptables สามารถตรวจสอบได้ว่าจะอนุญาตให้ผ่านหรือไม่ ในขณะที่ fragment packet ที่สองและหลังจากนั้นที่ตามมานั้น จะไม่สามารถ match กับ rule ใดๆ เลย เช่น -p TCP --sport www หรือแม้แต่ -p TCP --sport ! www
  
  อย่างไรก็ตาม สามารถเขียน rule ให้ตรวจสอบทั้ง fragment packet ตัวที่สองและหลังจากนั้นที่ตามมาได้ด้วยการใช้ -f หรือ --fragment ทั้งนี้อาจจะเขียนในทางตรงข้ามคือไม่ต้องตรวจสอบ fragment packet ที่สองและหลังจากนั้นโดยใช้ ! -f ก็ได้
  
  ทั้งนี้โดยปกติแล้วมักจะปล่อยให้ fragment packet ผ่านไป เนื่องจากถ้าสามารถ DROP ตัว fragment packet ตัวแรกได้แล้ว มันก็ไม่สามารถถูกประกอบที่เครื่องปลายทางได้ แต่ทั้งนี้ fragment packet ที่ถูกปล่อยไปดังกล่าวอาจจะทำให้เครื่องที่ได้รับ hang หรือ crash ได้ หรืออาจจะเกิดการโจมตีแบบ Denial of Service โดยใช้ fragment packet ได้
  
  
• TCP extension
  ถ้ามีการเรียกใช้ -p tcp ตัว TCP extension ก็จะถูกโหลดมาใช้งานโดยอัตโนมัติ โดยมีออปชันให้เลือกใช้งานดังนี้
  • --tcp-flags mask flags : mask นั้นหมายถึง flag ที่ต้องการตรวจสอบ และ flag เป็นตัวที่บ่งชี้ว่า flag ใดต้องถูก set บ้าง
    เช่น # iptables -A INPUT -p tcp --tcp-flags ALL SYN,ACK -j DROP
    โดย ALL นั้นหมายถึงทุกๆ flag (SYN,ACK,FIN,RST,URG,PSH) และถ้า flag SYN,ACK ถูก set พร้อมกันก็ให้ drop packet นั้นทิ้งไป นอกจากนี้ยังสามารถใช้ NONE ซึ่งหมายถึงไม่มี flag ใดถูก set ได้
    
  • --syn เป็นสัญลักษณ์ย่อของ --tcp-flags SYN,RST,ACK SYN
    
  • --source-port หรือ --sport สามารถใช้ได้ทั้งตัวเลขและตัวอักษร (อ้างอิงจากไฟล์ /etc/services) และระบุเป็น port เดี่ยว หรือช่วงของ port ได้
    เช่น --sport 21:25 หมายถึง port 21 - 25 , --sport 25: หมายถึง port ที่มากกว่าหรือเท่ากับ 25 , --sport :25 หมายถึง port ที่น้อยกว่าหรือเท่ากับ 25
  • --destination-port หรือ --dport มีรูปแบบการใช้งานเช่นเดียวกันกับ --sport
  • --tcp-option ใช้ตรวจสอบ TCP option ว่าตรงกับเลขที่ระบุไว้หรือไม่
    
• อธิบาย flag ของ TCP เพิ่มเติม
  การเชื่อมต่อโดยใช้ TCP นั้น ผู้ที่เริ่มสร้าง connection จะเป็นผู้ส่ง SYN packet มายังเครื่องปลายทาง ดังนั้นหากไม่ต้องการให้ให้เครื่องใดเป็นผู้เริ่มสร้างการติดต่อก็สามารถ block ไอพีดังกล่าวได้ โดยใช้ --syn เช่น -p TCP -s x.x.x.x --syn หากยังไม่เข้าใจรูปแบบการเชื่อมต่อแบบ TCP นี้แล้ว ก็เป็นการยากที่จะสร้าง rule สำหรับ iptables ดังนั้นจึงขอแนะนำให้ไปศึกษาหลักการทำงานเบื้องต้นของทั้ง TCP, UDP, ICMP มาก่อน
  
  
• UDP extension
  คล้ายกันกับ TCP ตัว UDP extension มีออปชันให้เลือกใช้เพียงแค่ 2 อย่างเท่านั้นคือ --source-port (--sport) และ --destination-port (--dport) โดยต้องระบุ -p udp ด้วย
  
  
• ICMP extension
  โดยการระบุ -p icmp ก็สามารถใช้งาน ICMP extension ได้ โดยมีออปชันให้เลือกคือ --icmp-type เช่น --icmp-type host-unreachable (หรือใช้เลข 3 แทนได้) นอกจากนี้ยังสามารถระบุ type/code ได้ เช่น 3/3 ซึ่งหมายถึง port unreachable
  

ตาราง แสดงรายละเอียดของ ICMP message


TYPE	CODE	Description	Query	Error
0	0	Echo Reply	x
3	0	Network Unreachable		x
3	1	Host Unreachable
3	2	Protocol Unreachable
3	3	Port Unreachable
3	4	Fragmentation needed but no frag. bit set
3	5	Source routing failed
3	6	Destination network unknown
3	7	Destination host unknown
3	8	Source host isolated (obsolete)
3	9	Destination network administratively prohibited
3	10	Destination host administratively prohibited
3	11	Network unreachable for TOS
3	12	Host unreachable for TOS
3	13	Communication administratively prohibited by filtering
3	14	Host precedence violation
3	15	Precedence cutoff in effect
4	0	Source quelch
5	0	Redirect for network
5	1	Redirect for host
5	2	Redirect for TOS and network
5	3	Redirect for TOS and host
8	0	Echo request	x
9	0	Router advertisement
10	0	Route sollicitation
11	0	TTL equals 0 during transit		x
11	1	TTL equals 0 during reassembly
12	0	IP header bad (catchall error)
12	1	Required options missing
13	0	Timestamp request (obsolete)
14	0	Timestamp reply (obsolete)
15	0	Information request (obsolete)
16	0	Information reply (obsolete)
17	0	Address mask request
18	0	Address mask reply

• Match Extension
  เป็น netfilter package ที่อยู่ในช่วงทดลองใช้ รูปแบบการใช้งานให้ใช้ -m แล้วตามด้วย match ที่ต้องการ เช่น -m mac ทั้งนี้มีออปชันให้เลือกใช้งานดังต่อไปนี้
  • mac
    รูปแบบการใช้งาน: -m mac หรือ --match mac
    ใช้ตรวจสอบ source MAC address ว่าตรงกับค่าที่ระบุไว้หรือไม่ มีประโยชน์สำหรับ PREROUTING, INPUT chain โดยมีออปชันให้ใช้งานคือ
    • --mac-source เช่น --mac-source 00:55:81:CC:42:FF
      
      
  • limit
    รูปแบบการใช้งาน: -m limit หรือ --match limit
    ใช้เพื่อจำกัดจำนวนของการ match ที่อาจจะมากเกินไป เป็นประโยชน์สำหรับ rule ที่วางไว้ตอนท้ายสุดของ chain (ใช้ร่วมกันกับ DROP policy) ซึ่งส่วนใหญ่เป็น rule ที่ใช้เก็บข้อมูลลงล็อกไฟล์ ซึ่งถ้าผู้บุกรุกส่ง packet ที่ไม่เข้าข่าย rule ใดๆ ใน chain จนกระทั่งมาถึง rule ที่ทำหน้าที่เก็บล็อกนี้ ถ้า packet ที่เข้ามามีจำนวนมากก็อาจจะทำให้ฮาร์ดดิสก์เต็มได้ ดังนั้นจึงต้องใช้จำกัดจำนวนในการเก็บข้อมูลลงล็อก ซึ่งมีออปชันให้ใช้งานดังนี้คือ
    • --limit ตามด้วยตัวเลข ซึ่งบอกถึงจำนวนครั้งสูงสุดของการ match กับ rule ที่ยินยอมต่อ 1 วินาที เช่น --limit 5/s ทั้งนี้ยังสามารถใช้หน่วยเวลาอื่นได้ เช่น /second /minute /hour /day เช่น -m limit --limit 3/minute
    • --limit-burst ตามด้วยตัวเลข แสดงถึงจำนวนมากที่สุดของ packet ที่ match กับ rule นี้ ค่า default ของมันคือ 5

    
    ตัวอย่างการใช้ --limit และ --limit-burst ร่วมกัน เช่น
    # iptables -A INPUT -m limit --limit 3/minute --limit-burst 3 -j LOG
    โดยส่วนใหญ่นิยมวาง rule นี้ไว้เป็น rule สุดท้ายใน chain โดยเฉพาะ chain ที่มี default policy เป็น DROP เพื่อเป็นตัวเก็บหลักฐานว่ามี packet ใดที่ถูกส่งมาและไม่ผ่านการตรวจสอบจาก rule และกำลังจะถูก DROP โดย default policy โดย rule ด้านบนนี้กำหนดจำนวน match สูงสุดไว้ 3 ครั้งต่อนาที ซึ่งแสดงว่าใน 1 นาทีจะมีการบันทึกล็อกได้สูงสุด 3 ครั้งเท่านั้น และมีค่า burst เท่ากับ 3 ซึ่งอธิบายได้ว่า ถ้าสมมุติมี packet ที่ match กับ rule นี้ 3 ครั้งภายใน 2 วินาที และถึงแม้ว่าจะมี packet ที่ match ส่งมาอีกก็จะไม่มีการบันทึกลงล็อกแต่อย่างใด และจะต้องรอไปอีก 1 นาทีจึงจะมีการเริ่มการบันทึกล็อกใหม่อีกครั้ง ซึ่งมีประโยชน์ในกรณีที่มีคนต้องการส่ง packet เพื่อ flood log หรือทำให้ล็อกในเครื่องเต็ม ทั้งนี้นิยมใช้ร่วมกับ --log-level (อ้างอิงค่าจาก level ใน syslogd เพื่อกำหนดค่า level สำหรับ syslog) และ --log-prefix เพื่อใช้อธิบายเพิ่มเติม เช่น
    # iptables -A INPUT -m limit --limit 3/minute --limit-burst 3 -j LOG --log-level DEBUG --log-prefix "Packet died: "
    
    
    นอกจากนี้ยังใช้ป้องกันการโจมตีแบบ Denial of Service เช่น SYN flood ได้ด้วย เช่น
    # iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT
    
    ใช้ป้องกันการโจมตีแบบ Ping of Death
    #iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
    โดยปกติมักใช้วิธี drop icmp packet ทิ้งทั้งหมด เพราะถือว่า ICMP packet เป็นข้อมูลที่มีอันตรายยิ่งและสามารถปลอมแปลงได้ง่าย
    
    หรือใช้ป้องกันการถูก scan
    # iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
    โดยปกติไม่นิยมใช้วิธีนี้นัก เพราะมีทางเลือกที่ดีกว่า คือการตรวจสอบสอบจาก state match ว่าเป็นการเชื่อมต่อใหม่หรือไม่ (state = new) ถ้าใช่และ SYN bit ไม่ถูก set ตัว packet นั้นก็จะถูก DROP ทิ้งไป

  • owner
    รูปแบบการใช้งาน: -m owner หรือ --match owner
    ใช้ตรวจสอบลักษณะของ packet ว่าใครเป็นผู้สร้าง ซึ่งสามารถใช้ได้กับ OUTPUT chain เท่านั้น และใช้ได้กับบาง packet ที่มีเจ้าของ เช่น ICMP packet นั้นใช้ไม่ได้เพราะไม่มีเจ้าของ มีออปชันให้ใช้งานดังนี้คือ
    • --uid-owner userid
      ใช้ตรวจสอบว่า packet ถูกสร้างโดย user id ที่ระบุไว้หรือไม่ (ใช้ตัวเลขแทน userid เท่านั้น)
    • --gid-owner groupid
      ใช้ตรวจสอบว่า packet ถูกสร้างโดย user ที่อยู่ใน group id ที่ระบุไว้หรือไม่ (ใช้ตัวเลขแทน groupid เท่านั้น)
    • --pid-owner processid
      ใช้ตรวจสอบว่า packet ถูกสร้างขึ้นจาก process ที่มี process id ตรงกับที่ระบุไว้หรือไม่
    • --sid-owner sessionid
      ใช้ตรวจสอบว่า packet ถูกสร้างโดย process ที่อยู่ใน session group ที่กำหนดไว้หรือไม่
      
      
  • unclean
    รูปแบบการใช้งาน: -m unclean หรือ --match unclean
    เป็นโมดูลที่อยู่ในระหว่างการทดลองใช้งาน นอกจากนี้ยังไม่มีออปชันสำหรับใช้งาน และโปรดระมัดระวังหากจะนำไปใช้กับเครื่องที่ต้องการความปลอดภัย เนื่องจากอาจจะยังมีข้อบกพร่องของโปรแกรมอยู่
    
    โดย packet ที่เข้าข่าย unclean คือ
    • packet ที่มี header ของ ICMP/TCP/UDP สั้นหรือไม่สมบูรณ์
    • TCP, UDP packet ที่มี source หรือ destination ip address เป็นศูนย์
    • TCP packet ที่ใช้ flag ผสมกันแบบผิดปกติ
    • packet ที่ใช้ TCP option, IP option เกินความยาวที่กำหนดไว้ หรือมีความยาวของออปชันเป็นศูนย์
    • fragment packet ที่ไม่สมบูรณ์ ทั้งด้านความยาวและค่า offset ที่เหลื่อมซ้อนกัน เช่น Ping of Death
      
      
  • multiport ใช้ร่วมกับ --sport หรือ --dport ในกรณีที่ต้องการระบุ port จำนวนมากกว่าหนึ่ง เช่น
    -m multiport -p tcp --sport 25,80,53
    
    
• The State Match
  รูปแบบการใช้งาน: -m state หรือ --match state
  เป็นโมดูลที่ใช้ประโยชน์ได้เป็นอย่างดี มีออปชันให้ใช้งานดังนี้
  • NEW
    รูปแบบการใช้งาน: -m state --state new หรือ --match state --state new
    หมายถึง packet ที่เป็นตัวสร้าง connection ใหม่
  • ESTABLISHED
    รูปแบบการใช้งาน: -m state --state established หรือ --match state --state established
    หมายถึง packet ที่เกี่ยวข้องกันกับ connection ที่สร้างไว้แล้ว เช่น echo-reply packet หรือ packet ที่ส่งข้อมูลออกไปจาก web server เมื่อมี request web service เข้ามา
  • RELATED
    รูปแบบการใช้งาน: -m state --state related หรือ --match state --state related
    เป็น packet ที่เกี่ยวข้องกับ connection ที่สร้างไว้แล้ว แต่ไม่ใช่ส่วนหนึ่งส่วนใดของ connection นั้น เช่น FTP data packet (port 20) ที่เกิดขึ้นจากการใช้คำสั่งใน FTP command (port 21)
  • INVALID
    รูปแบบการใช้งาน: -m state --state invalid หรือ --match state --state invalid
    เป็น packet ที่ไม่เกี่ยวข้องกับส่วนอื่นเลย เช่น icmp echo-reply ที่เกิดขึ้น โดยที่ไม่มีเครื่องได้ในระบบส่ง echo-request ออกไปเลย (กรณีเช่นนี้เกิดขึ้นได้เนื่องจากอาจจะโดนโจมตีแบบ Smurf attack)
    

การระบุ target
เมื่อมี packet ที่ match กับ rule แล้ว ต้องกำหนด target สำหรับ packet ไว้ด้วย โดยปกติจะใช้กัน 2 target คือ DROP และ ACCEPT นอกจากนี้ยังมี target แบบอื่นได้คือ

• user-defined chain
  เนื่องจาก iptables อนุญาตให้ผู้ใช้สามารถสร้าง chain ขึ้นมาได้ใหม่นอกเหนือจาก built-in chain ทั้งสามตัว (INPUT, OUTPUT, FORWARD) ทั้งนี้จะต้องใช้ตัวอักษรตัวเล็กทั้งหมดสำหรับ chain ที่ผู้ใช้สร้างขึ้นเอง
  
  เมื่อ packet match กับ rule ที่เป็น user-defined chain ตัว packet จะถูกนำไปตรวจสอบใหม่โดย user-defined chain นั้นๆ และถ้าใน chain นั้นๆ ไม่มีการตัดสินใจใดๆ ตัว packet ก็สามารถย้อนกลับมายัง rule ถัดไปใน chain ที่เริ่มต้นเดินทางได้ (ศึกษารายละเอียดได้จากตัวอย่างด้านล่าง)
  
  
  
  เช่น ถ้า TCP packet เดินทางจาก 192.168.1.1 ไปยัง 1.2.3.4 ดังนั้น packet จะเข้าสู่ INPUT chain และไม่ match กับ rule1 แต่ match กับ rule2 ซึ่งมี target เป็น test ดังนั้น packet จะเข้าสู่ test chain และ match กับ rule1 แต่เนื่องจาก rule1 ของ test ไม่ได้ระบุ target ดังนั้น packet จึงผ่านไปยัง rule2 ซึ่งไม่ match จากนั้น packet จึงจะเดินทางกลับไปยัง rule3 ของ INPUT chain อีกครั้ง ซึ่งก็ไม่ match เช่นกัน ในกรณีที่ผ่าน rule ทั้งหมดแล้วแต่ไม่ match หรือ match แต่ไม่มี target นั้น packet จะถูก DROP หรือ ACCEPT ก็ขึ้นอยู่กับ default policy ของ chain นั้นๆ ซึ่งสามารถตั้งค่าได้ง่ายๆ
  เช่น # iptables -P INPUT DROP หรือ # iptables -P FORWARD ACCEPT
  
  
• new target
  เป็น target ที่สร้างเพิ่มเติมขึ้นมาคือ
  
  
  • LOG
    เป็นโมดูลที่มีความสามารถในการเก็บข้อมูลลงล็อก (มี syslog facility เป็น kernel) สำหรับ packet ที่ match กับ rule ที่ระบุ target เป็น LOG มีออปชันให้เลือกใช้งานดังนี้คือ
    • --log-level
      เป็นการระบุ priority level ของ log ซึ่งกำหนดได้ตั้งแต่ debug, info ,notice, warning, crit, alert, emerg รายละเอียดเกี่ยวกับ syslog สามารถอ่านได้ที่ http://thaicert.nectec.or.th/paper/unix_linux/linux_syslog.php
    • --log-prefix
      ตามด้วยชุดของตัวอักษรยาวไม่เกิน 29 ตัว ซึ่งชุดของตัวอักษรดังกล่าวจะปรากฏอยู่บนล็อกไฟล์
      
      
  • REJECT
    คล้ายกับ DROP เพียงแต่จะส่ง ICMP port unreachable กลับไปยังผู้ที่ส่ง packet มา (ข้อยกเว้นคือ ICMP error message ไม่ response กับ ICMP error message ด้วยกันเอง เพราะอาจจะทำให้เกิดลูปที่ไม่รู้จบ) ทั้งนี้สามารถใช้ร่วมกับ --reject-with ตามด้วย argument ที่ต้องการได้ รายละเอียดโปรดศึกษาจากคู่มือการใช้งาน iptables ที่มาพร้อมตัวโปรแกรม (#man iptables)
    
    
• special built-in target
  • RETURN
    กรณีที่ packet match กับ rule ที่มี target เป็น RETURN นั้นเสมือนกับเป็นคำสั่งให้ออกไปจาก chain ปัจจุบัน เช่น หาก match กับ rule ที่อยู่ใน built-in chain (INPUT, FORWARD, OUTPUT) packet ดังกล่าวจะถูกโยนไปยัง default policy ของ chain นั้นๆ และหาก packet match กับ rule ที่เป็น user-defined chain ตัว packet จะถูกโยนออกมา chain ก่อนหน้านั้น
    
    
  • QUEUE
    เป็น chain พิเศษ ใช้สำหรับส่งต่อ packet ไปยัง application ที่เขียนขึ้นมารองรับโดยเฉพาะ โดยจะต้องมี queue handler และ application เป็นส่วนประกอบที่จะทำงานร่วมกัน

Packet เดินทางในระบบอย่างไร
เมื่อ packet เข้ามาถึงไฟร์วอลล์ มันจะผ่านฮาร์ดแวร์เข้ามายัง device ที่เหมาะสมในเคอร์เนล จากนั้น packet จะเดินทางไปเป็นทอดๆ ก่อนที่จะถูกส่งไปยังปลายทางที่แท้จริง เช่น แอพลิเคชันในเครื่องไฟร์วอลล์ หรือ forward ต่อไปยังเครื่องอื่น ซึ่งจะยกตัวอย่างเพื่อให้เห็นภาพอย่างชัดเจนดังนี้

จากสามตัวอย่างด้านบน คงพอจะมองเห็นภาพออกแล้วว่า packet เดินทางเข้าออกในระบบอย่างไร อย่างไรก็ตาม จะสรุปความสำคัญของแต่ละตาราง (table) อีกครั้ง ดังนี้

I. Filter Table
เป็นตารางที่ใช้งานมากที่สุด เป็นจุดที่ใช้ในการตรวจสอบและควบคุมการผ่านเข้าออกของ packet ถ้าหากจะพิจารณาการไหลเวียนของ packet เฉพาะในส่วนของ filter table โดยไม่สนใจ table อื่นๆ นั้น ก็พอจะแสดงให้เห็นได้ดังภาพที่ 1 โดยเมื่อ packet เข้ามาในระบบ มันจะเข้าไปยัง routing decision เพื่อตัดสินใจว่า packet จะถูกส่งไปที่ใด

• ในกรณีที่ packet ถูกส่งผ่านไปยังเครื่องอื่น packet นั้นจะต้องถูกตรวจสอบโดย rule ใน FORWARD chain
• ถ้า packet นั้น มีเป้าหมายเป็นเครื่องปัจจุบัน (เครื่องที่รัน iptables อยู่นี้ เรียกอีกอย่างว่า linux box) ตัว packet จะถูกตรวจสอบโดย rule ใน INPUT chain
• และในกรณีที่ packet ถูกสร้างจากเครื่องปัจจุบัน (linux box) ตัว packet จะถูกตรวจสอบจาก rule ใน OUTPUT chain ก่อนที่จะถูกส่งออกไป

รูปที่ 1 แสดงให้เห็นว่า packet มีเส้นทางการเดินทางอย่างไรเมื่อเข้ามาในระบบ (filter table)

ดังภาพ iptables ประกอบไปด้วย built-in chain จำนวน 3 chain ซึ่งไม่สามารถลบได้คือ INPUT, OUTPUT, FORWARD เมื่อเครื่องคอมพิวเตอร์เริ่มทำงานในครั้งแรก ทั้งสาม chain จะมี default policy เป็น ACCEPT ซึ่งหมายความว่าอนุญาตให้ทุกอย่างผ่านเข้าออกได้หมด และสำหรับ FORWARD chain นั้น ถึงแม้จะได้กำหนดให้ policy เป็น ACCEPT แล้ว packet ก็จะยังไม่สามารถถูก forward ไปยังจุดหมายที่ต้องการได้ ตราบใดที่ยังไม่ได้เซ็ตให้ enable IP forwarding ทั้งนี้โดย default แล้ว forward=0 สามารถกำหนดให้ enable IP forwarding (forward=1) ได้ โดย

ใช้คำสั่ง echo "1" > /proc/sys/net/ip_forward เพื่อกำหนดให้ IP forwarding เป็น enable เพื่อให้ Linux box สามารถ forward ip packet ได้ ในบางครั้งนั้นการใช้คำสั่งดังกล่าวทุกครั้งอาจจะไม่สะดวก สามารถแก้ไขไฟล์ configuration ที่ /etc/sysctl.conf แล้ว set ให้ net.ipv4.ip_forward=1 เพื่อเป็นการแก้ไขแบบถาวร

ในกรณีที่ต้องการให้สนับสนุนการทำงานกับ dynamic IP ด้วย เช่น PPP, SLIP, DHCP ก็สามารถทำได้โดยใช้คำสั่ง echo "1" > /proc/sys/net/ipv4/ip_dynaddr ได้เช่นเดียวกัน

II. Mangle Table
เป็นตารางที่ใช้สำหรับแก้ไขข้อมูล TOS, TTL, MARK ของ packet ซึ่งโดยปกติแล้วแทบจะไม่ได้ใช้งาน และไม่ควรทำ packet filtering หรือกรอง packet ที่ตารางนี้ รวมทั้งไม่ควรทำ DNAT, SNAT หรือ Masquerading ที่ตารางนี้อย่างเด็ดขาดด้วย

III. Nat Table
เป็นตารางที่ใช้สำหรับทำ network address translation เช่น เปลี่ยนค่า source ip address, destination ip address จุดสำคัญอีกอย่างหนึ่งที่ต้องรู้ก็คือ มีเพียง packet แรกเท่านั้นที่เข้ามาที่ chain นี้ ส่วน packet ถัดไปนั้นจะถูกกระทำเหมือนที่ packet แรกได้รับ ดังนั้นจึงไม่ควรทำ packet filtering ที่ chain เหล่านี้

การใช้งาน Nat table นั้นก็เพียงแต่ใช้ออปชัน -t nat เท่านั้น และ target ที่สามารถใช้งานได้คือ SNAT, DNAT, Masquerade, Redirect ซึ่งมีรายละเอียดดังนี้

• SNAT
  การทำ source NAT จะทำที่ POSTROUTING chain โดย หลักๆ คือทำการเปลี่ยน source address ก่อนที่จะส่ง packet นั้นออกไป ซึ่งสามารถใช้ออปชัน -o (outgoing interface) ร่วมด้วยได้ นอกจากนี้ยังใช้ -j SNAT และ --to--source หรือ --to เพื่อเปลี่ยนไอพีแอดเดรสหรือ port ไปตามต้องการได้ เช่น
  
  ##เปลี่ยน source ip address เป็น 1.2.3.4
  # iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 1.2.3.4
  
  ##เปลี่ยน source address เป็น 1.2.3.4, 1.2.3.5 หรือ 1.2.3.6
  # iptables -t nat -A POSTROUING -o eth0 -j SNAT --to 1.2.3.4-1.2.3.6
  
  ##เปลี่ยน source address เป็น 1.2.3.4 port 1-1023
  # iptables -t nat -A POSTROUTING -p tcp -o eth0 -j SNAT --to 1.2.3.4:1-1023
  
  Masquerading
  การทำ masquerade นั้นเป็นหนึ่งในรูปแบบของการทำ source NAT แบบพิเศษ ซึ่งใช้สำหรับ กรณีที่ได้รับไอพีแบบไม่ซ้ำ(dynamically-assigned IP address) เช่น ผู้ที่ใช้โมเด็มล็อกอินเข้าไปยัง isp (สำหรับผู้ที่ใช้ static IP address ให้ใช้ SNAT ดังตัวอย่างด้านบน) ซึ่งข้อดีของการทำ masquerading คือไม่จำเป็นต้องระบุค่าของไอพีแอดเดรสที่จะใช้ในการเปลี่ยน เช่น
  
  ##ทำ masquerade สำหรับทุก packet ที่วิ่งผ่าน ppp0
  # iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
  
  
• DNAT
  การทำ Destination NAT จะทำภายใต้ PREROUTING chain หลักๆ คือการเปลี่ยนค่า destination address หรือ port ก่อนที่จะส่ง packet ไปยัง routing decision
  
  โดยปกติการใช้งานจะระบุ -j DNAT และใช้ --to-destination หรือ --to และยังสามารถใช้ -i (incoming interface) ร่วมด้วยได้ เช่น
  ##เปลี่ยน destination address เป็น 192.168.1.20
  # iptables -t nat -A PREROUTING -i eth0 -j DNAT --to 192.168.1.20
  
  ##เปลี่ยน destination address เป็น 192.168.1.20, 192.168.1.21 หรือ 192.168.1.22
  # iptables -t nat -A PREROUTING -i eth0 -j DNAT --to 192.168.1.20-192.168.1.22
  
  ##เปลี่ยน destination address ของ web traffic เป็น 192.168.1.50 port 8080
  # iptables -t nat -A PREROUING -p tcp --dport 80 -ieth0 -j DNAT --to 192.168.1.50:80
  
  Redirection
  การทำ redirect นั้นเป็นหนึ่งในรูปแบบของการทำ Destination NAT แบบพิเศษ เช่น
  ##เปลี่ยน web traffic ธรรมดาให้ผ่านไปยัง squid proxy (transparent)
  # ip tables -t nat -A PREROUTING -p tcp -i eth0 --dport 80 -j REDIRECT --to-port 3128
  ##หมายเหตุ จำเป็นต้องมีการ set ที่ squid เพิ่มเติมด้วย

นอกจากนี้ยังสามารถสร้าง rule ที่ใช้ค่า address ร่วมกันได้ เช่น เปลี่ยน source address ของเครื่อง 192.168.1.1 และ 192.168.1.2 ไปเป็น 1.2.3.4 ร่วมกันได้ เพราะ NAT ฉลาดเพียงพอที่จะแยกแยะและป้องกันการชนกัน และมีตัวอย่างการใช้งานแบบอื่นอีกเช่น

# iptables -t nat -A POSTROUTING -s 192.168.0/24 -o eth1 -j SNAT --to 1.2.3.0/24
# iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth1 -j SNAT --to 1.2.3.0-1.2.3.4 --to 1.2.3.6-1.2.3.254

และสำหรับการทำ source NAT ต้องมั่นใจว่า เมื่อ packet เดินทางไปถึงเป้าหมายแล้ว packet นั้นๆ สามารถเดินทางกลับมาหาเครื่องที่เป็นเจ้าของ packet นั้นได้จริงๆ เช่น หากทำ SNAT จาก private IP เป็น 1.2.3.4 เมื่อ packet ถูกส่งไปถึงปลายทาง และปลายทางต้องการส่งกลับมา packet นั้นจะต้องเดินทางมาถึง linux box ที่รัน iptables นี้เท่านั้น การสื่อสารจึงจะสมบูรณ์ ซึ่งสามารถทำได้ด้วยวิธีต่างๆ ดังนี้คือ

1. กรณีที่ทำ SNAT โดยใช้ไอพีแอดเดรสของเครื่อง linux box นั้นเอง และเป็นเครื่องที่ทำ routing เรียบร้อยแล้ว และทุกอย่างสามารถสื่อสารกันได้ ก็ไม่ต้องทำอะไร
2. ถ้าทำ SNAT โดยใช้ไอพีแอดเดรสที่ไม่ใช่ไอพีของ linux box นั้นๆ แต่เป็นไอพีแอดเดรสที่อยู่ใน network เดียวกันและไม่มีเครื่องใดใช้ เครื่อง linux box นั้นจะต้องสามารถทำ ARP reply ตอบกลับ ARP request ที่ถูกส่งออกมาเพื่อค้นหา MAC address สำหรับไอพีแอดเดรสที่ทำ SNAT นั้นได้ ซึ่งสามารถแก้ไขได้โดยการสร้าง IP alia ดังคำสั่งด้านล่าง

#ip address add 1.2.3.99 dev eth0
หรืออาจจะเพิ่ม arp record ที่เครื่องที่ทำหน้าที่เป็น gateway ของ linux box

3. หรือถ้าทำ SNAT โดยใช้ไอพีแอดเดรสที่แตกต่างกันออกไปจาก Linux box โดยสิ้นเชิง (เช่น ไอพีแอดเดรสคนละ network) ก็จำเป็นต้องมีการแก้ไข routing table ที่เครื่องที่ทำหน้าที่เป็น gateway ของ Linux box ที่รัน iptables อยู่

มีเอกสารอธิบายเกี่ยวกับความปลอดภัยในการใช้ NAT ที่ http://thaicert.nectec.or.th/paper/firewall/nat.php ซึ่งหลังจากอ่านแล้วจะช่วยให้มองเห็นภาพได้ชัดเจนว่า ต้องทำ NAT หรือไม่อย่างไร

ตัวอย่างที่ 1 การใช้งาน iptables แบบง่าย
ในการใช้งาน iptables ในระบบที่ใช้งานจริงนั้น โดยส่วนใหญ่จะเขียนเป็น script ขึ้นมา ซึ่งมีความซับซ้อนพอสมควร ซึ่งก่อนจะไปถึงขั้นนั้นมีวิธีทดลองใช้คำสั่งง่ายๆ เพื่อทำความเข้าใจหลักการทำงานเบื้องต้นของ iptables

เช่น ต้องการ drop packet ที่เป็น ICMP ทั้งหมด ที่ออกจากเครื่องนี้ ซึ่งในกรณีนี้ไม่จำเป็นต้องระบุ source ip address เพราะทุก packet ที่ออกจากเครื่องนี้จะต้องผ่านการตรวจสอบจาก OUTPUT chain

เริ่มการทดสอบโดยทดลอง ping ไปยัง www.nectec.or.th ซึ่งจะได้ผลลัพธ์คล้ายด้านล่างนี้

# ping -c 1 www.nectec.or.th
PING www.nectec.or.th (202.44.204.33) from 203.154.207.22 : 56(84) bytes of data.
64 bytes from www.nectec.or.th (202.44.204.33): icmp_seq=0 ttl=61 time=3.710 msec

--- www.nectec.or.th ping statistics ---
1 packets transmitted, 1 packets received, 0% packet loss
round-trip min/avg/max/mdev = 3.710/3.710/3.710/0.000 ms

ซึ่ง option -c 1 ระบุให้ส่ง packet ออกไปแค่ packet เดียว จากนั้นให้ใช้คำสั่งดังด้านล่างนี้ เพื่อ block ICMP packet ที่จะออกจากเครื่องนี้

# iptables -A OUTPUT -p icmp -j DROP

จากนั้นทดลอง ping อีกครั้ง เพื่อตรวจสอบผลลัพธ์ที่ได้

# ping -c 1 www.nectec.or.th
PING www.nectec.or.th (202.44.204.33) from 203.154.207.22 : 56(84) bytes of data.
ping: sendto: Operation not permitted

--- www.nectec.or.th ping statistics ---
1 packets transmitted, 0 packets received, 100% packet loss

ซึ่งผลลัพธ์แสดงให้เห็นว่า ICMP echo-request packet ดังกล่าวไม่ได้รับอนุญาตให้ผ่าน OUTPUT chain ไปได้ และถ้าหากต้องการลบ rule ดังกล่าวก็สามารถทำได้หลายวิธีคือ

# iptables -F OUTPUT (ซึ่งจะลบทุก rule ใน chain OUTPUT นี้)
# iptables -D OUTPUT 1 (เนื่องจากรู้ว่ามี rule เดียวจึงสามารถสั่งลบ rule ลำดับที่ 1 ได้เลย) หรือ
# iptables -D OUTPUT -p icmp -j DROP (ลบ rule โดยการระบุออปชันของ rule ที่ต้องการได้โดยตรง)

ตัวอย่างที่ 2 การทำ Masquerading
ตัวอย่างการใช้งาน masquerading ที่เห็นได้ชัดเจนในประเทศไทยก็คือ ร้านอินเทอร์เน็ตคาเฟ่(แบบประหยัด) ซึ่งนิยมใช้โมเด็ม 1 ตัว connect ไปยัง ISP แล้วใช้ NAT เพื่อให้เครื่องลูกที่มีอยู่หลายๆ เครื่องนั้น สามารถใช้งานอินเทอร์เน็ตผ่านโมเด็มตัวนั้นได้ โดยเครื่องลูกจะต้องใช้ private ip ซึ่งมีให้เลือกหลาย class เช่น 10.x.x.x 192.168.x.x เป็นต้น จากนั้นก็ตั้ง gateway ให้ชี้ไปยัง linux box ที่ทำหน้าที่หมุนโมเด็มและรัน iptables ซึ่งสามารถใช้คำสั่งง่ายๆ ดังด้านล่างก็ทำให้เครื่องลูกสามารถใช้งานอินเทอร์เน็ตได้แล้ว คือ

# iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
# echo "1" > /proc/sys/net/ip_forward

ตัวอย่างที่ 3 การเขียน rule จากเครือข่ายตัวอย่าง rc.firewall (ตัวอย่างเครือข่ายและ script นี้คัดลอกมาจากเว็บไซต์ www.boingworld.com)

จากภาพแสดงเครือข่ายที่มีการเชื่อมต่อกับอินเทอร์เน็ตแบบถาวร โดยไม่ได้ใช้ DHCP, PPP, SLIP ซึ่งสามารถใช้ script จากไฟล์ rc.firewall.txt

ตัวอย่างที่ 4 การเขียน rule จากเครือข่ายตัวอย่าง rc.DMZ.firewall (ตัวอย่างเครือข่ายและ script นี้คัดลอกมาจากเว็บไซต์ www.boingworld.com)

สำหรับ script ของเครือข่ายด้านบนนี้ ดูได้ที่ rc.DMZ.firewall.txt ซึ่งเขียนขึ้นสำหรับผู้ที่มีการใช้งานเครือข่ายดังรูปด้านบน ซึ่งประกอบไปด้วย trusted internal network หรือเครือข่ายภายในที่ไว้ใจได้ และ DMZ (De-Militarized Zone) และมีการเชื่อมต่ออินเทอร์เน็ต ในกรณีนี้ไอพีปลอมที่ใช้ภายใน DMZ จะถูกทำ NAT แบบ 1 ต่อ 1 ซึ่งจำเป็นต้องทำ IP alias ที่ eth0 ของเครื่องไฟร์วอลล์ เพื่อให้ packet สามารถเดินทางกลับมาถึงเครื่องไฟร์วอลล์ได้

ส่วนของ trusted internal network นั้น จะใช้ไอพี 192.168.0.0/24 และส่วนของ DMZ นั้นใช้ 192.168.1.0/24 ซึ่งจะถูกทำ NAT แบบ 1ต่อ 1 กับไอพีที่ได้รับจัดสรรมาจาก ISP ตัวอย่าง ถ้ามี packet จากอินเทอร์เน็ตส่งมายัง DNS_IP ก็จะถูกทำ DNAT (destination network address translation) ที่เครื่องไฟร์วอลล์ ซึ่งจะส่ง packet ไปยัง DNS ใน DMZ โดยใช้ไอพีภายใน (คือ 192.168.1.3) มีโค้ดตัวอย่างการทำ DNAT คือ

$IPTABLES -t nat -A PREROUTING -p TCP -i $INET_IFACE -d $DNS_IP --dport 53 -j DNAT --to-destination $DMZ_DNS_IP

ตัวอย่างที่ 5 การเขียน rule จากเครือข่ายตัวอย่าง rc.DHCP.firewall (ตัวอย่างเครือข่ายและ script นี้คัดลอกมาจากเว็บไซต์ www.boingworld.com)

script สำหรับเครือข่ายนี้ดูได้ที่ rc.DHCP.firewall.txt ซึ่งเหมาะสำหรับเครือข่ายที่ได้รับไอพีมาแบบไม่คงที่ โดยใช้งานได้ทั้งกับ DHCP, PPP และ SLIP ซึ่ง script นี้มีความปลอดภัยน้อยกว่า rc.firewall.txt เพราะมีการเปิดกว้างมากกว่า

ตัวอย่างที่ 6 การเขียน rule จากเครือข่ายตัวอย่าง rc.UTIN.firewal (ตัวอย่างเครือข่ายและ script นี้คัดลอกมาจากเว็บไซต์ www.boingworld.com)

script สำหรับเครือข่ายนี้ดูได้ที่ rc.UTIN.firewall.txt ซึ่งเหมาะสำหรับเครือข่ายที่ที่ต้องการความปลอดภัยสูง เพราะเป็นเครือข่ายที่ไม่ไว้ใจแม้กระทั่งเครือข่ายภายใน

ตัวอย่างที่ 7 rc.flush-iptables.txt (script นี้คัดลอกมาจากเว็บไซต์ www.boingworld.com)

script สำหรับตัวอย่างนี้ดูได้ที่ rc.flushiptables.txt ซึ่ง script นี้มีไว้เพื่อ reset และลบ rule ทั้งหมดในทุก table และทุก chain ทิ้งไป

คำอธิบายเพิ่มเติม
เนื่องจากในตัวอย่างที่ 3 - 6 นั้น มีการสร้าง rule ที่ค่อนข้างซับซ้อน จึงจะยกมาขยายความเพิ่มเติมคือ

• $IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
  เป็นคำสั่งที่ทำให้ iptables สามารถทำงานได้ในรูปแบบของ stateful inspection ที่แท้จริง โดย rule นี้จะตรวจสอบ packet ว่ามีเป็นส่วนหนึ่งของ connection ที่สร้างไว้แล้วหรือไม่(ESTABLISHED) ถ้าใช่ก็จะปล่อยให้ผ่านไป (ACCEPT) และในกรณีที่เครื่องภายในเครือข่ายเรียกใช้ ftp ไปยังเครื่องอื่นในอินเทอร์เน็ตนั้น คำสั่งที่ส่งไปจะใช้ destination port เป็น 21 แต่ data port ที่ใช้สำหรับรับส่งข้อมูลใน ftp นั้นเป็น port 20 ซึ่ง port ที่เกิดขึ้นนี้ถือว่ามีความสัมพันธ์(related)กับ port 21 ดังนั้นจึงสามารถรับส่งไฟล์ผ่าน port 20 ได้โดยไม่จำเป็นต้องสร้าง rule เพิ่มเติมแต่อย่างใด
  
  อีกตัวอย่างที่จะช่วยให้เห็นภาพได้ชัดขึ้นก็คือ ในกรณีที่เรียกใช้งานโพรโตคอลใดก็ตามที่ iptables อนุญาตให้ใช้งานได้ออกไปในอินเทอร์เน็ต แล้วเครื่องปลายทางนั้นไม่มีอยู่จริงหรือไม่ได้เปิดให้บริการในขณะนั้น โดยปกติ router หรือ gateway จะเป็นตัวสร้าง ICMP error message กลับมาบอกว่าเครื่องปลายทางนั้นไม่สามารถเข้าใช้งานได้ ซึ่ง ICMP error message นี้ก็จะถือว่ามี state เป็น RELATED ซึ่งก็จะถูก ACCEPT ให้ผ่านไปได้เช่นเดียวกัน
  
  
• $IPTABLES -A INPUT -p tcp ! --syn -m state --state NEW -j LOG --log-prefix "New not syn:"
  $IPTABLES -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
  เป็น rule ที่มีความสำคัญอย่างยิ่ง เพราะสามารถป้องการการ scan port แบบต่างๆ เช่น FIN scan, Xmas scan, Null scan ได้ โดย rule แรกทำหน้าที่เก็บข้อมูลลงล็อกและหลังจากนั้นก็ DROP packet ทิ้งไป แต่ทั้งนี้ขอแนะนำให้ติดตั้ง Network Intrusion Detection (NIDS) เช่น Snort เพื่อดักจับเหตุการณ์ที่เกิดขึ้นในเครือข่ายที่ต้องการซึ่งจะมีความสมบูรณ์มากกว่า
  

คำแนะนำเพิ่มเติม

• ควรมีการป้องกันการปลอมไอพี(IP spoof) สำหรับเครื่องไฟร์วอลล์ ซึ่งสามารถรัน script ด้านล่างนี้เพื่อป้องกันปัญหาดังกล่าวได้

for x in lo eth0 eth1
do
          echo 1 > /proc/sys/net/ipv4/conf/${x}/rp_filter
done

แต่ script ดังกล่าวนี้ไม่ได้ป้องกันการปลอมไอพีสำหรับทั้งเครือข่าย ดังนั้นจึงต้องสร้าง rule ไว้ที่ PREROUTING chain เพื่อป้องกันปัญหานี้อีกครั้ง เช่น

$IPTABLES -t nat -A PREROUTING -i $INET_IFACE -s 10.0.0.0/8 -j DROP
$IPTABLES -t nat -A PREROUTING -i $INET_IFACE -s 127.0.0.0/8 -j DROP
$IPTABLES -t nat -A PREROUTING -i $INET_IFACE -s 172.16.0.0/12 -j DROP
$IPTABLES -t nat -A PREROUTING -i $INET_IFACE -s 192.168.1.0/16 -j DROP

การป้องกันการปลอมไอพีดัง rule ด้านบนนี้ สามารถลดปัญหาที่จะเกิดขึ้นจากการโจมตีแบบ Denial of Service เช่น Land attack ได้เป็นอย่างดี

• ควรปิดการทำงานของโพรโตคอล ICMP เพราะถือได้ว่าเป็นโพรโตคอลที่ไม่มีความปลอดภัย การโจมตีที่เกิดขึ้นแบบ Denial of Service ในช่วงที่ผ่านมาก็ใช้ ICMP เป็นหลัก เช่น Smurf attack, Ping flood(Ping of Death) แต่การยกเลิกการใช้งาน ICMP อาจจะก่อให้เกิดความไม่สะดวกในการใช้งาน ซึ่งก็ขึ้นอยู่กับวิจารณญาณของผู้ที่ดูแลระบบเครือข่ายด้วย
  
  
• เนื่องจากการสร้าง policy ของแต่ละ chain นั้นสามารถเลือกได้ 2 แบบ คือ DROP และ ACCEPT ซึ่งรูปแบบการเขียน rule สำหรับแต่ละ policy นั้นก็แตกต่างกันเล็กน้อย แต่ระดับของความปลอดภัยที่ได้ถือได้ว่ามีความแตกต่างกันพอสมควรคือ
  • ถ้าหากใช้ policy เป็น DROP แล้ว ก็เสมือนเป็นระบบปิด การสร้าง rule ก็เพียงแต่ ACCEPT สำหรับ port หรือ service ที่ต้องการให้เปิดใช้เท่านั้น
  • ในขณะที่หากใช้ policy เป็น ACCEPT แล้ว ก็เสมือนเป็นระบบเปิด จะต้องสร้าง rule สำหรับปิด service หรือ port บางส่วน ซึ่งมีโอกาสที่จะเกิดความผิดพลาดได้ง่ายกว่า
    
    
• ควรมีการทำ hardening OS สำหรับเครื่องที่จะนำมาใช้เป็นไฟร์วอลล์ รวมทั้งจำกัดการเข้าถึงเครื่องนี้จากภายนอก ติดตั้ง service เฉพาะที่จำเป็นเท่านั้น และติดตั้งเครื่องมือช่วยสำหรับผู้ดูแลระบบเพื่อตรวจตราความผิดปกติที่อาจจะเกิดขึ้นในระดับ host based เพราะถ้าผู้บุกรุกสามารถเจาะเข้ามายังเครื่องไฟร์วอลล์ได้แล้วก็เสมือนกับสามารถควบคุมเครือข่ายได้ทั้งหมด
  
  
• ติดตั้ง NIDS เช่น Snort ในเครือข่ายทั้งหน้าและหลังไฟร์วอลล์ ซึ่งเครื่องที่จะติดตั้ง NIDS ก็ควรจะมีความแข็งแกร่งเช่นเดียวกับเครื่องที่ติดตั้งไฟร์วอลล์
  
  
• ภายหลังที่สร้าง rule เสร็จแล้ว ควรใช้ port scanner ทำการ scan เครื่องทั้งหมดจากภายนอก โดยให้ scan ทุกโพรโตคอลคือ TCP, UDP และ ICMP scan เพื่อเป็นการตรวจสอบเบื้องต้นว่าไฟร์วอลล์ทำงานตามที่ได้ตั้งไว้หรือไม่
  
  
• การสร้าง rule บางอย่างนั้น จะต้องมีความรู้ในเรื่องของโพรโตคอลทั้ง TCP, UDP, ICMP เป็นอย่างดี เพราะไม่เช่นนั้นแล้วก็จะเป็นการเปิดช่องโหว่ในระบบโดยไม่รู้ตัว และ rule ในไฟร์วอลล์ที่ดีนั้นจะต้องไม่มีจำนวนมากเกินไป เพื่อป้องกันไม่ให้เครื่องที่รันไฟร์วอลล์ทำงานหนักเกินไป รวมทั้งป้องกันไม่ให้เกิด human error เนื่องจากความยาวที่มากเกินไป
  
  
• ขอให้ผู้ที่นำไฟร์วอลล์ไปใช้งานระลึกไว้เสมอว่า ไฟร์วอลล์ไม่สามารถป้องกันการบุกรุกระบบได้อย่างสมบูรณ์ 100% เพราะไฟร์วอลล์เป็นเพียงอุปกรณ์ที่ใช้เพื่อลดความเสี่ยงเท่านั้น

การนำไปใช้งาน
การนำ iptables ไปใช้งานจริงนั้น จะต้องสร้าง rule ขึ้นมาให้สอดคล้องกับเครือข่ายที่มีอยู่ และระดับความปลอดภัยที่ต้องการ ทั้งนี้มีข้อแนะนำมากมายเกี่ยวกับการเขียน rule ของ iptables และเนื่องจากมีรายละเอียดและตัวอย่างค่อนข้างเยอะ รวมทั้งวิธีการ audit firewall ที่ implement ไปแล้วว่าตรงกับความต้องการหรือไม่ ดังนั้นจึงจำเป็นต้องแยกเอกสารออกเป็นอีกฉบับหนึ่ง เพื่อไม่ให้เอกสารนี้มีความยาวมากเกินไป ซึ่งจะนำเสนอในโอกาสต่อไป

Appendix A

คำสั่งที่ใช้ในการคอมไพล์เคอร์เนล

make dep
make clean
make bzImage
make modules
#รันคำสั่งนี้ในกรณีที่คอมไพล์เคอร์เนลแบบเลือก module ด้วย
make modules_install
#รันคำสั่งนี้ในกรณีที่คอมไพล์เคอร์เนลแบบเลือก module ด้วย
cp /usr/src/linux/arch/i386/boot/bzImage /boot/vmlinuz-2.4.14
#การ copy bzImage นั้น ขึ้นอยู่กับสถาปัตยกรรมของเครื่องคอมพิวเตอร์นั้นๆ ซึ่งในที่นี้ใช้ i386
cp /usr/src/linux/System.map /boot/System.map-2.4.14
ln -s /boot/System.map-2.4.14 .boot/System.map
#ถ้าได้รับ error ให้ลบไฟล์ /boot/System.map ทิ้งก่อน

จากนั้นให้แก้ไข /etc/lilo.conf เพื่อเพิ่ม configuration ใหม่ ตัวอย่างด้านล่างแสดง Red Hat Linux ที่มีเคอร์เนลเดิมเป็น 2.4.3-12 และเคอร์เนลใหม่เป็น 2.4.14

boot=/dev/hda
map=/boot/map
install=/boot/boot.b
prompt
timeout=50
message=/boot/message
default=linux-2.4.14

image=/boot/vmlinuz-2.4.14
label=linux-2.4.14
read-only
root=/dev/hda1

image=/boot/vmlinuz-2.4.3-12
label=linux-2.4.3-12
read-only
root=/dev/hda1

หลังจากนั้นรันคำสั่ง lilo -v และรีบูตใหม่ ถ้าไม่มีข้อผิดพลาดใดๆ ก็จะได้เคอร์เนลของ Linux เวอร์ชันล่าสุดที่สนับสนุนการทำงานของ iptables อย่างเต็มที่ ทั้งนี้ขอแนะนำให้ใช้เวอร์ชันล่าสุดที่สูงกว่า 2.4.3 เพราะเวอร์ชัน 2.4.3 (และต่ำกว่า) นั้นมีข้อผิดพลาด (bug) ของ ftp port รายละเอียดของข้อผิดพลาดนี้อ่านได้ที่ http://netfilter.samba.org/security-fix/index.html#desc-ftp-160401 และสำหรับผู้ที่มีปัญหากับการคอมไพล์และติดตั้งเคอร์เนลนั้น สามารถศึกษาเพิ่มเติมได้จาก The Linux Kernel HOWTO
หมายเหตุ คำสั่งทั้งหมดที่ใช้ในการอัพเกรดเคอร์เนลด้านบนนั้น ได้ผ่านการทดลองใช้บน Red Hat Linux 7.1 เท่านั้น

ข้อมูลอ้างอิง

• http://www.linux-mag.com/2000-01/bestdefense_01.html
• http://netfilter.samba.org/unreliable-guides/packet-filtering-HOWTO/index.html
• http://netfilter.samba.org/unreliable-guides/NAT-HOWTO/index.html
• http://www.sans.org/infosecFAQ/firewall/4th_gen.htm
• http://netfilter.samba.org
• http://www6.software.ibm.com/developerworks/education/l-fw/
• http://www.enteract.com/~lspitz/rules.html
• http://www.enteract.com/~lspitz/audit.html
• http://www.boingworld.com/workshops/linux/iptables-tutorial/iptables-tutorial/iptables-tutorial.html