iptables

1. ‫حق‬ ‫بسمه‬
iptables
‫دخت‬ ‫اسمعیل‬ ‫یاشار‬ ‫مهندس‬ ‫نویسنده‬:
‫نسخه‬:۰ ۱.
Iptables(1) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

2. iptables‫یک‬‫فایروال‬‫برای‬‫گنو‬/‫لینوکس‬‫است‬.‫است‬ ‫نصب‬ ‫فرض‬‫پیش‬ ‫بصورت‬ ‫لینوکس‬ ‫های‬‫توزیع‬ ‫بیشتر‬ ‫بروی‬ ‫که‬.‫نام‬ ‫تیبلز‬‫پی‬‫آی‬
‫و‬ ‫شهرت‬ ‫اما‬ ‫است‬ ‫شبکه‬ ‫بالتر‬ ‫و‬ ‫تر‬‫پایین‬ ‫های‬‫لیه‬ ‫حدودی‬ ‫تا‬ ‫و‬ ‫ترانسفر‬ ‫لیه‬ ‫سطح‬ ‫در‬ ‫سیاستی‬ ‫هر‬ ‫اجرای‬ ‫به‬ ‫قادر‬ ‫که‬ ‫است‬ ‫ابزاری‬
‫روتینگ‬ ‫از‬ ‫حرف‬ ‫که‬ ‫آنجا‬ ‫شود‬‫می‬ ‫مربوط‬ ‫ترانسفر‬ ‫لیه‬ ‫در‬ ‫آن‬ ‫حصر‬ ‫و‬ ‫حد‬ ‫بی‬ ‫انعطاف‬ ‫به‬ ،‫هسته‬ ‫سطح‬ ‫ر‬‫ر‬ ‫افزا‬‫نرم‬ ‫این‬ ‫اصلی‬ ‫محبوبیت‬
‫ها‬‫بسته‬)Packets(‫است‬ ‫آنها‬ ‫وضعیت‬ ‫و‬.
Iptables‫تیم‬ ‫توسط‬netfilter‫شد‬ ‫طراحی‬.‫نام‬ ‫به‬ ،‫آن‬ ‫طراحی‬ ‫ای‬‫زنجیره‬ ‫ساختار‬ ‫علت‬ ‫به‬ ‫ابتدا‬ ‫در‬ipchain‫نام‬ ‫بعدها‬ ‫اما‬ ‫یافت‬ ‫شهرت‬
iptables‫شد‬ ‫گذاشته‬ ‫آن‬ ‫بر‬.‫این‬‫آتش‬ ‫دیوار‬)Firewall(‫های‬‫بسته‬ ‫روی‬ ‫فقط‬ ‫محدودی‬ ‫بسیار‬ ‫های‬‫سیاست‬ ‫توانست‬‫می‬ ‫تنها‬ ‫ابتدا‬ ‫در‬
‫شد‬ ‫اضافه‬ ‫آن‬ ‫به‬ ‫مانندی‬ ‫ماژول‬ ‫های‬‫قسمت‬ ‫زمان‬ ‫مرور‬ ‫به‬ ‫اما‬ ‫کند‬ ‫اعمال‬ ‫ورودی‬.
Iptables(2) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

3. ‫محلی‬ ‫ی‬‫شبکه‬ ‫یک‬ ‫در‬‫از‬ ‫بسیاری‬ ‫رفع‬ ‫و‬ ‫ترافیک‬ ‫کنترل‬ ،‫امنیت‬ ‫برقراری‬ ،‫شبکه‬ ‫آدرس‬ ‫ی‬‫ترجمه‬ ،‫بهتر‬ ‫مدیریت‬ ،‫حفاظت‬ ‫برای‬
،‫لینوکس‬ ‫عامل‬‫سیستم‬ ‫آتش‬ ‫دیواره‬ ‫شود‬‫می‬ ‫استفاده‬ ‫آتش‬ ‫دیواره‬ ‫از‬ ‫نیازها‬.IPTables‫معرفی‬ ‫به‬ ‫ابتدا‬ ،‫مقاله‬ ‫این‬ ‫در‬ ‫است‬.
‫ساختار‬IPTables‫است‬ ‫شده‬ ‫تشکیل‬ ‫ها‬‫انطباق‬ ‫و‬ ‫ها‬‫قانون‬ ،‫ها‬‫زنجیره‬ ،‫ها‬‫جدول‬ ‫از‬ ‫ساختار‬ ‫این‬ ‫پردازیم‬‫می‬. .IPTables
‫تعدادی‬ ‫از‬ ‫قانون‬ ‫هر‬ ‫و‬ ‫قانون‬ ‫تعدادی‬ ‫از‬ ‫زنجیره‬ ‫هر‬ ،‫زنجیره‬ ‫تعدادی‬ ‫از‬ ‫جدول‬ ‫هر‬ ‫است‬ ‫فرض‬‫پیش‬ ‫جدول‬ ‫چهار‬ ‫دارای‬.
‫داشته‬ ‫انطباق‬ ‫قانون‬ ‫یک‬ ‫با‬ ‫کامل‬ ‫طور‬ ‫به‬ ‫ای‬‫بسته‬ ‫اگر‬ ‫است‬ ‫هدف‬ ‫مجموعه‬ ‫یک‬ ‫دارای‬ ‫قانون‬ ‫هر‬ ‫است‬ ‫شده‬ ‫تشکیل‬ ‫انطباق‬. .
‫طور‬ ‫به‬ ‫را‬ ‫آتش‬ ‫دیواره‬ ‫از‬ ‫عبورکننده‬ ‫های‬‫بسته‬ ‫سرنوشت‬ ‫ادامه‬ ‫در‬ ‫شد‬ ‫خواهد‬ ‫اجرا‬ ‫بسته‬ ‫مورد‬ ‫در‬ ‫قانون‬ ‫آن‬ ‫هدف‬ ،‫باشد‬.
‫دهیم‬‫می‬ ‫توضیح‬ ‫کامل‬.
‫شبکه‬ ‫آن‬ ‫به‬ ‫ناخواسته‬ ‫های‬‫دسترسی‬ ‫مسدودکردن‬ ‫منظور‬ ‫به‬ ‫که‬ ‫است‬ ‫کامپیوتری‬ ‫ی‬‫شبکه‬ ‫یک‬ ‫از‬ ‫بخشی‬ ‫آتش‬ ‫دیواره‬ ‫یک‬
‫و‬ ‫رمزنگاری‬ ،‫ردکردن‬ ،‫دادن‬‫اجازه‬ ‫منظور‬ ‫به‬ ‫که‬ ‫است‬ ‫ابزارها‬ ‫از‬ ‫ای‬‫مجموعه‬ ‫یا‬ ‫ابزار‬ ‫یک‬ ،‫همچنین‬ ‫است‬ ‫شده‬ ‫طراحی‬.
‫و‬ ‫قوانین‬ ‫از‬ ‫ای‬‫مجموعه‬ ‫اساس‬ ‫بر‬ ‫مختلف‬ ‫امنیتی‬ ‫های‬‫دامنه‬ ‫بین‬ ‫کامپیوتری‬ ‫ترافیک‬ ‫کل‬ ‫نمودن‬ ‫پراکسی‬ ‫یا‬ ‫رمزگشایی‬
‫شود‬ ‫سازی‬‫پیاده‬ ‫دو‬ ‫این‬ ‫از‬ ‫ترکیبی‬ ‫یا‬ ‫و‬ ‫افزار‬‫نرم‬ ،‫افزار‬‫سخت‬ ‫روی‬ ‫تواند‬‫می‬ ‫آتش‬ ‫دیواره‬ ‫شود‬‫می‬ ‫استفاده‬ ‫معیارها‬. .
‫اینترنت‬ ‫به‬ ‫متصل‬ ‫داخلی‬ ‫ی‬‫شبکه‬ ‫به‬ ‫اینترنت‬ ‫ناخواسته‬ ‫کاربران‬ ‫دسترسی‬ ‫از‬ ‫جلوگیری‬ ‫برای‬ ‫ل‬‫ل‬ ‫معمو‬ ‫آتش‬ ‫های‬‫دیواره‬
‫را‬ ‫ها‬‫پیام‬ ‫ی‬‫همه‬ ‫آتش‬ ‫دیواره‬ ‫کنند‬‫می‬ ‫عبور‬ ‫آتش‬ ‫دیواره‬ ‫از‬ ‫اینترنت‬ ‫از‬ ‫دریافتی‬ ‫و‬ ‫ارسالی‬ ‫های‬‫پیام‬ ‫کلیه‬ ‫شوند‬‫می‬ ‫استفاده‬. .
‫دیواره‬ ‫تنظیم‬ ‫برای‬ ‫کند‬‫می‬ ‫مسدود‬ ،‫کنند‬‫نمی‬ ‫برآورده‬ ‫را‬ ‫شده‬ ‫مشخص‬ ‫امنیتی‬ ‫معیارهای‬ ‫که‬ ‫هایی‬‫آن‬ ‫و‬ ‫کند‬‫می‬ ‫بررسی‬.
‫نام‬ ‫به‬ ‫ابزاری‬ ‫از‬ ‫لینوکس‬ ‫عامل‬‫سیستم‬ ‫آتش‬IPTables‫شود‬‫می‬ ‫استفاده‬.Netfilter‫و‬IPTables‫افزاری‬‫نرم‬ ‫ساختارهای‬
‫ی‬‫هسته‬ ‫درون‬2.4.x‫ی‬‫هسته‬ ‫و‬2.6.x‫و‬ ‫شبکه‬ ‫آدرس‬ ‫ی‬‫ترجمه‬ ، ‫ها‬‫بسته‬ ‫فیلترکردن‬ ‫توان‬‫می‬ ‫ها‬‫آن‬ ‫کمک‬ ‫به‬ ‫که‬ ‫باشند‬‫می‬
‫داد‬ ‫انجام‬ ‫را‬ ‫ها‬‫بسته‬ ‫اصلح‬.
‫آتش‬ ‫دیواره‬
‫است‬ ‫زیر‬ ‫موارد‬ ‫شامل‬ ‫که‬ ‫دهد‬‫می‬ ‫ارائه‬ ‫سرویس‬ ‫چندین‬ ‫آتش‬ ‫دیواره‬:
•‫آدرس‬ ‫از‬ ‫حفاظت‬IP‫های‬‫شبکه‬ ‫کنند‬‫می‬ ‫عمل‬ ‫مسیریاب‬ ‫یک‬ ‫مانند‬ ‫آتش‬ ‫های‬‫دیواره‬ ‫از‬ ‫بسیاری‬ ‫ترافیک‬ ‫کنترل‬ ‫و‬. :
‫های‬‫شبکه‬ ‫مثال‬ ‫عنوان‬ ‫به‬ ‫مختلف‬)192.168.1.1/24‫و‬10.100.100.0/24‫برقرار‬ ‫ارتباط‬ ‫یکدیگر‬ ‫با‬ ‫توانند‬‫می‬ (
‫این‬ ‫کنند‬‫می‬ ‫استفاده‬ ‫اضافی‬ ‫های‬‫زیرشبکه‬ ‫ایجاد‬ ‫به‬ ‫کمک‬ ‫برای‬ ‫ابزار‬ ‫این‬ ‫از‬ ‫فقط‬ ‫شبکه‬ ‫مدیران‬ ‫از‬ ‫بسیاری‬ ‫کنند‬. .
‫از‬ ‫استفاده‬ ‫با‬ ‫و‬ ‫است‬ ‫آتش‬ ‫دیواره‬ ‫اجزای‬ ‫از‬ ‫یکی‬ ‫خصوصیت‬IPTables‫و‬IPChains‫با‬ ‫بنابراین‬ ‫است‬ ‫شده‬ ‫کامل‬.
‫آدرس‬ ‫یک‬IP‫ی‬‫ترجمه‬ ‫لزوما‬ ‫آتش‬ ‫دیواره‬ ‫چه‬‫اگر‬ ‫آوریم‬ ‫وجود‬‫به‬ ‫گسترده‬ ‫ی‬‫شبکه‬ ‫یا‬ ‫محلی‬ ‫ی‬‫شبکه‬ ‫یک‬ ‫توانیم‬‫می‬.
‫مانند‬ ‫آتش‬ ‫های‬‫دیواره‬ ‫اکثر‬ ‫اما‬ ،‫دهد‬‫نمی‬ ‫انجام‬ ‫را‬ ‫شبکه‬ ‫آدرس‬IPTables‫کنند‬‫می‬ ‫فراهم‬ ‫را‬ ‫امکان‬ ‫این‬.
•‫شبکه‬ ‫تفکیک‬‫در‬ ‫و‬ ‫است‬ ‫ها‬‫شبکه‬ ‫دیگر‬ ‫و‬ ‫شبکه‬ ‫یک‬ ‫بین‬ ‫مرز‬ ‫یک‬ ‫ایجاد‬ ‫برای‬ ‫ابتدایی‬ ‫ابزار‬ ‫یک‬ ‫آتش‬ ‫دیواره‬ :
‫کند‬‫می‬ ‫کمک‬ ‫ترافیک‬ ‫مدیریت‬.
•‫سمع‬ ‫استراق‬ ‫و‬ ‫پویشی‬ ، ‫دهی‬‫سرویس‬ ‫از‬ ‫جلوگیری‬ ‫های‬‫حمله‬ ‫برابر‬ ‫در‬ ‫محافظت‬‫نقطه‬ ‫یک‬ ‫عنوان‬ ‫به‬ ‫آتش‬ ‫دیواره‬ :
‫کند‬‫می‬ ‫کنترل‬ ‫را‬ ‫شبکه‬ ‫از‬ ‫خروجی‬ ‫و‬ ‫ورودی‬ ‫ترافیک‬ ‫که‬ ‫کند‬‫می‬ ‫عمل‬ ‫منفرد‬.
•‫کردن‬ ‫فیلتر‬IP‫فیلتر‬ ‫دارد‬ ‫پورت‬ ‫و‬ ‫آدرس‬ ‫مبنای‬ ‫بر‬ ‫را‬ ‫اتصال‬ ‫کردن‬‫رد‬ ‫یا‬ ‫پذیرفتن‬ ‫توانایی‬ ‫آتش‬ ‫دیواره‬ ‫پورت‬ ‫و‬. :
Iptables(3) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

4. ‫است‬ ‫همراه‬ ‫ها‬‫بسته‬ ‫کردن‬ ‫فیلتر‬ ‫با‬ ‫کردن‬ ‫فیلتر‬ ‫از‬ ‫نوع‬ ‫این‬ ‫است‬ ‫آتش‬ ‫دیواره‬ ‫یک‬ ‫کاربرد‬ ‫ترین‬‫شده‬‫شناخته‬ ‫کردن‬.
‫باشد‬ ‫نیز‬ ‫بسته‬ ‫مبدا‬ ‫اساس‬ ‫بر‬ ‫بلکه‬ ‫ها‬‫بسته‬ ‫مقصد‬ ‫مبنای‬ ‫بر‬ ‫تنها‬ ‫نه‬ ‫و‬ ‫بوده‬ ‫پیچیده‬ ‫بسیار‬ ‫تواند‬‫می‬ ‫و‬.
•‫بررسی‬ ‫با‬ ‫را‬ ‫ترافیک‬ ‫که‬ ‫است‬ ‫آتش‬ ‫دیواره‬ ‫نوع‬ ‫یک‬ ‫پراکسی‬ ‫ی‬‫دهنده‬‫سرویس‬ ‫کلی‬ ‫طور‬ ‫به‬ ‫محتوا‬ ‫کردن‬ ‫فیلتر‬:
URL‫تواند‬‫می‬ ،‫شود‬ ‫تنظیم‬ ‫درستی‬ ‫به‬ ،‫پراکسی‬ ‫بر‬ ‫مبتنی‬ ‫آتش‬ ‫دیواره‬ ‫اگر‬ ‫کند‬‫می‬ ‫مدیریت‬ ،‫صفحه‬ ‫محتوای‬ ‫و‬.
‫کند‬ ‫مسدود‬ ‫و‬ ‫شناسایی‬ ،‫است‬ ‫مدنظر‬ ‫که‬ ‫محتوایی‬.
•‫بسته‬ ‫مسیر‬ ‫تعویض‬‫بفرستد‬ ‫دیگر‬ ‫میزبان‬ ‫یک‬ ‫یا‬ ‫دیگر‬ ‫پورت‬ ‫یک‬ ‫به‬ ‫را‬ ‫ترافیک‬ ‫باید‬ ‫آتش‬ ‫دیواره‬ ‫اوقات‬ ‫بعضی‬. :
‫ی‬‫دهنده‬‫سرویس‬ ‫اگر‬ ‫مثل‬Squid‫تمام‬ ‫آتش‬ ‫دیواره‬ ‫کار‬ ‫این‬ ‫با‬ ،‫است‬ ‫شده‬ ‫نصب‬ ‫آتش‬ ‫دیواره‬ ‫از‬ ‫غیر‬ ‫میزبانی‬ ‫روی‬
‫پورت‬ ‫به‬ ‫شده‬ ‫فرستاده‬ ‫ترافیک‬80‫و‬444‫های‬‫اتصال‬ ‫در‬ ‫استاندارد‬ ‫های‬‫پورت‬)HTTP‫و‬HTTPS‫پردازش‬ ‫برای‬ ‫را‬ (
‫فرستد‬‫می‬ ‫پراکسی‬ ‫ی‬‫دهنده‬‫سرویس‬ ‫به‬ ‫بیشتر‬.
‫از‬ ‫عبارتند‬ ‫آتش‬ ‫دیواره‬ ‫انواع‬:
•‫شده‬ ‫تعریف‬ ‫قوانین‬ ‫اساس‬ ‫بر‬ ‫و‬ ‫کند‬‫می‬ ‫نگاه‬ ‫شبکه‬ ‫از‬ ‫شده‬ ‫خارج‬ ‫یا‬ ‫شده‬ ‫وارد‬ ‫بسته‬ ‫هر‬ ‫به‬ ‫بسته‬ ‫فیلترکننده‬:
،‫کاربران‬ ‫برای‬ ‫و‬ ‫کند‬‫می‬ ‫عمل‬ ‫موثر‬ ‫طور‬ ‫به‬ ‫بسته‬ ‫فیلترکننده‬ ‫افزار‬‫نرم‬ ‫کند‬‫می‬ ‫رد‬ ‫یا‬ ‫قبول‬ ‫را‬ ‫آن‬ ‫کاربر‬ ‫توسط‬.
‫جعل‬ ‫برای‬ ‫و‬ ‫بوده‬ ‫مشکل‬ ‫آن‬ ‫پیکربندی‬ ‫اما‬ ‫است‬ ‫شفاف‬IP‫است‬ ‫مستعد‬.
•‫کاربرد‬ ‫ی‬‫دروازه‬‫های‬‫دهنده‬‫سرویس‬ ‫مانند‬ ‫خاص‬ ‫های‬‫کاربرد‬ ‫در‬ :FTP‫و‬Telnet‫اعمال‬ ‫را‬ ‫امنیتی‬ ‫های‬‫مکانیزم‬
‫شود‬ ‫کارآیی‬ ‫کاهش‬ ‫باعث‬ ‫است‬ ‫ممکن‬ ‫اما‬ ،‫است‬ ‫مفید‬ ‫بسیار‬ ‫افزار‬‫نرم‬ ‫این‬ ‫کند‬‫می‬. .
•‫مدار‬ ‫سطح‬ ‫دروازه‬‫اتصال‬ ‫یک‬ ‫که‬‫هنگامی‬ :TCP‫یا‬UDP‫از‬ ‫کند‬‫می‬ ‫اعمال‬ ‫را‬ ‫امنیتی‬ ‫های‬‫مکانیزم‬ ،‫شود‬‫می‬ ‫برقرار‬.
‫شوند‬ ‫مبادله‬ ‫بیشتر‬ ‫کنترل‬ ‫بدون‬ ‫ها‬‫میزبان‬ ‫بین‬ ‫توانند‬‫می‬ ‫ها‬‫بسته‬ ،‫شود‬‫می‬ ‫برقرار‬ ‫اتصال‬ ‫که‬ ‫ای‬‫لحظه‬.
•‫موثری‬ ‫طور‬ ‫به‬ ‫و‬ ‫کند‬‫می‬ ‫مسدود‬ ‫را‬ ‫شبکه‬ ‫از‬ ‫خروجی‬ ‫و‬ ‫ورودی‬ ‫های‬‫پیام‬ ‫ی‬‫کلیه‬ ‫پراکسی‬ ‫ی‬‫دهنده‬‫سرویس‬:
‫کند‬‫می‬ ‫پنهان‬ ‫را‬ ‫شبکه‬ ‫واقعی‬ ‫های‬‫آدرس‬.
‫پایه‬ ‫مفاهیم‬
‫به‬ ‫مربوط‬ ‫متون‬ ‫در‬IPTables‫این‬ ،‫موارد‬ ‫از‬ ‫بسیاری‬ ‫در‬ ‫اند‬‫شده‬ ‫داده‬ ‫توضیح‬ ‫ادامه‬ ‫در‬ ‫که‬ ‫دارد‬ ‫وجود‬ ‫مفاهیمی‬.
‫شود‬ ‫مطالب‬ ‫بدفهمی‬ ‫باعث‬ ‫است‬ ‫ممکن‬ ‫که‬ ‫روند‬‫می‬ ‫کار‬‫به‬ ‫یکدیگر‬ ‫جای‬ ‫به‬ ‫اصطلحات‬.
Netfilter
‫دستکاری‬ ‫و‬ ‫مسدودکردن‬ ‫منظور‬ ‫به‬ ‫و‬ ‫دارد‬ ‫قرار‬ ‫لینوکس‬ ‫ی‬‫هسته‬ ‫در‬ ‫که‬ ‫است‬ ‫ها‬‫قلب‬ ‫از‬ ‫ای‬‫مجموعه‬ ‫حاوی‬ ‫چارچوبی‬
‫از‬ ‫که‬ ‫ابزاری‬ ‫ترین‬‫شده‬‫شناخته‬ ‫رود‬‫می‬ ‫کار‬ ‫به‬ ‫ها‬‫بسته‬.Netfilter‫فیلتر‬ ‫را‬ ‫ها‬‫بسته‬ ‫که‬ ‫است‬ ‫آتش‬ ‫دیواره‬ ،‫کند‬‫می‬ ‫استفاده‬
‫مانند‬ ‫نیز‬ ‫دیگری‬ ‫ابزارهای‬ ‫کند‬‫می‬.NAT‫ای‬‫پروژه‬ ‫نام‬ ‫همچنین‬ ‫کنند‬‫می‬ ‫استفاده‬ ‫آن‬ ‫از‬ ‫بسته‬ ‫بندی‬‫صف‬ ‫و‬ ‫دار‬‫حالت‬ ‫پیگیری‬ ،.
،‫کرد‬ ‫فراهم‬ ‫لینوکس‬ ‫برای‬ ‫را‬ ‫آتش‬ ‫دیواره‬ ‫ابزارهای‬ ‫از‬ ‫ای‬‫مجموعه‬ ‫که‬Netfilter‫پروژه‬ ‫این‬ ‫در‬ ‫که‬ ‫اجزایی‬ ‫اکثر‬ ‫است‬ ‫بوده‬.
‫تهیه‬ ‫نیز‬ ‫هایی‬‫کتابخانه‬ ‫و‬ ‫کاربر‬ ‫فضای‬ ‫ابزارهای‬ ‫از‬ ‫ای‬‫مجموعه‬ ‫اما‬ ‫هستند‬ ‫هسته‬ ‫در‬ ‫بارگذاری‬ ‫قابل‬ ‫های‬‫ماژول‬ ‫شدند‬ ‫تهیه‬
‫شدند‬.
IPFilter
‫ها‬‫بسته‬ ‫محدودکردن‬ ‫معیار‬ ‫دهد‬‫می‬ ‫انجام‬ ‫را‬ ‫کاربری‬ ‫رابط‬ ‫یک‬ ‫از‬ ‫عبور‬ ‫حین‬ ‫در‬ ‫ها‬‫بسته‬ ‫انتخابی‬ ‫عبوردادن‬ ‫یا‬ ‫مسدودکردن‬.
‫ی‬‫لیه‬ ‫های‬ ‫سرآیند‬ ‫اساس‬ ‫بر‬3)IPv4، IPv6‫ی‬‫لیه‬ ‫و‬ (4)TCP، UDP، ICMP4،‫دارد‬ ‫کاربرد‬ ‫همه‬ ‫از‬ ‫بیش‬ ‫که‬ ‫معیاری‬ ‫است‬. (
Iptables(4) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

5. ‫است‬ ‫مقصد‬ ‫و‬ ‫مبدا‬ ‫پروتکل‬ ‫و‬ ‫پورت‬ ،‫مقصد‬ ‫و‬ ‫مبدا‬ ‫آدرس‬.IPFilter‫برای‬ ‫ابتدا‬ ‫که‬ ‫است‬ ‫آتش‬ ‫های‬‫دیواره‬ ‫انواع‬ ‫از‬ ‫یکی‬
OpenBSD‫مزایای‬ ‫از‬ ‫برخی‬ ‫ذکر‬ ‫به‬ ‫ادامه‬ ‫در‬ ‫دارد‬ ‫وجود‬ ‫نیز‬ ‫دیگر‬ ‫عامل‬ ‫های‬‫سیستم‬ ‫در‬ ‫اکنون‬ ‫اما‬ ،‫یافت‬ ‫توسعه‬.IPFilter
‫پردازیم‬‫می‬.
•‫متصل‬ ‫اینترنت‬ ‫مانند‬ ‫خارجی‬ ‫ی‬‫شبکه‬ ‫یک‬ ‫به‬ ‫داخلی‬ ‫های‬‫شبکه‬ ‫و‬ ‫است‬ ‫لینوکس‬ ،‫عامل‬ ‫سیستم‬ ‫که‬‫هنگامی‬ ‫کنترل‬:
،‫مثال‬ ‫برای‬ ‫نمود‬ ‫مسدود‬ ‫را‬ ‫آن‬ ‫از‬ ‫خاصی‬ ‫انواع‬ ‫و‬ ‫داد‬ ‫عبور‬ ‫ی‬‫اجازه‬ ‫ترافیک‬ ‫از‬ ‫خاصی‬ ‫انواع‬ ‫به‬ ‫توان‬‫می‬ ،‫است‬.
‫خارجی‬ ‫ی‬‫شبکه‬ ‫از‬ ‫خاصی‬ ‫بخش‬ ‫به‬ ‫ها‬‫بسته‬ ‫رفتن‬ ‫از‬ ‫توان‬‫می‬ ‫بنابراین‬ ،‫است‬ ‫مقصد‬ ‫آدرس‬ ‫حاوی‬ ‫ها‬‫بسته‬ ‫سرآیند‬
‫از‬ ‫هایی‬‫آگهی‬ ‫و‬ ‫تبلیغات‬ ،‫وب‬ ‫های‬‫صفحه‬ ‫در‬ ‫دیگر‬ ‫مثالی‬ ‫عنوان‬ ‫به‬ ‫نمود‬ ‫جلوگیری‬.doubleclick.net‫دارند‬ ‫وجود‬
‫به‬ ‫توان‬‫می‬ ،‫کند‬‫می‬ ‫ها‬‫آن‬ ‫بارگذاری‬ ‫صرف‬ ‫را‬ ‫زیادی‬ ‫زمان‬ ‫مرورگر‬ ‫و‬IPFilter‫از‬ ‫ای‬‫بسته‬ ‫هیچ‬ ‫گفت‬
doubleclick.net‫نکند‬ ‫دریافت‬.
•‫ترافیک‬ ‫روی‬ ‫بر‬ ‫باید‬ ‫بنابراین‬ ‫است‬ ‫داخلی‬ ‫منظم‬ ‫ی‬‫شبکه‬ ‫و‬ ‫اینترنت‬ ‫آشفته‬ ‫دنیای‬ ‫بین‬ ‫رابط‬ ‫تنها‬ ‫لینوکس‬ ‫امنیت‬. :
‫اما‬ ‫شود‬ ‫خارج‬ ‫شبکه‬ ‫از‬ ‫چیزی‬ ‫چه‬ ‫که‬ ‫نباشد‬ ‫مهم‬ ‫است‬ ‫ممکن‬ ‫کرد‬ ‫اعمال‬ ‫هایی‬‫محدودیت‬ ‫داخلی‬ ‫ی‬‫شبکه‬ ‫به‬ ‫وارده‬.
‫طریق‬ ‫از‬ ‫کسی‬ ‫که‬ ‫نخواهید‬ ‫است‬ ‫ممکن‬ ‫مثال‬ ‫عنوان‬ ‫به‬ ‫بود‬ ‫نگران‬ ‫باید‬ ‫وارده‬ ‫های‬‫بسته‬ ‫مورد‬ ‫در‬.Telnet‫با‬
‫دهنده‬‫سرویس‬ ‫یک‬ ‫و‬ ‫کنید‬ ‫استفاده‬ ‫اینترنت‬ ‫از‬ ‫تنها‬ ‫بخواهید‬ ‫است‬ ‫ممکن‬ ‫کند‬ ‫برقرار‬ ‫ارتباط‬ ‫دهنده‬‫سرویس‬.
‫داشتن‬ ‫با‬ ‫کارها‬ ‫این‬ ‫تمامی‬ ‫گیرد‬‫می‬ ‫را‬ ‫اتصالی‬ ‫هرگونه‬ ‫جلوی‬ ‫بنابراین‬ ‫نباشید‬. .IPFilter‫است‬ ‫پذیر‬‫امکان‬.
•‫مراقبت‬‫بسته‬ ‫زیادی‬ ‫تعداد‬ ،‫است‬ ‫شده‬ ‫پیکربندی‬ ‫نامناسبی‬ ‫طور‬ ‫به‬ ‫که‬ ‫محلی‬ ‫ی‬‫شبکه‬ ‫در‬ ‫سیستمی‬ ‫اوقات‬ ‫گاهی‬ :
‫است‬ ‫مناسب‬ ‫جا‬‫این‬ ‫در‬ ‫کند‬‫می‬ ‫ارسال‬ ‫شبکه‬ ‫از‬ ‫خارج‬ ‫به‬ ‫را‬.IPFilter‫رویداد‬ ‫هر‬ ‫وقوع‬ ‫که‬ ‫کرد‬ ‫تنظیم‬ ‫طوری‬ ‫را‬
‫دهد‬ ‫گزارش‬ ‫را‬ ‫غیرطبیعی‬.
‫شبکه‬ ‫آدرس‬ ‫ی‬‫ترجمه‬)NAT(
‫آدرس‬ ‫یک‬ ‫به‬ ‫نیاز‬ ‫وب‬ ‫دهندگان‬‫سرویس‬ ‫و‬ ‫دیگرکامپیوترها‬ ‫با‬ ‫ارتباط‬ ‫در‬ ‫کامپیوتری‬ ‫هر‬IP‫رشد‬ ‫و‬ ‫اینترنت‬ ‫گسترش‬ ‫با‬ ‫دارد‬.
‫های‬‫آدرس‬ ‫تعداد‬ ‫رسد‬‫می‬ ‫نظر‬ ‫به‬ ‫کاری‬ ‫های‬‫شبکه‬ ‫و‬ ‫خانگی‬ ‫استفاده‬IP‫طراحی‬ ،‫ساده‬ ‫حل‬ ‫راه‬ ‫یک‬ ‫نباشد‬ ‫کافی‬ ‫موجود‬.
‫آدرس‬ ‫قالب‬ ‫مجدد‬IP‫این‬ ‫تا‬ ‫کشد‬‫می‬ ‫طول‬ ‫سال‬ ‫چندین‬ ‫اما‬ ،‫دهد‬‫می‬ ‫را‬ ‫بیشتری‬ ‫های‬‫آدرس‬ ‫تعداد‬ ‫داشتن‬ ‫امکان‬ ‫که‬ ‫است‬
‫جا‬‫این‬ ‫در‬ ‫است‬ ‫اینترنت‬ ‫زیرساخت‬ ‫کل‬ ‫اصلح‬ ‫نیازمند‬ ‫و‬ ‫شود‬ ‫سازی‬‫پیاده‬ ‫حل‬ ‫راه‬.NAT‫کند‬‫می‬ ‫حل‬ ‫را‬ ‫مشکل‬.NAT‫یک‬ ‫به‬
‫عمل‬ ‫مشخص‬ ‫محلی‬ ‫ی‬‫شبکه‬ ‫یک‬ ‫و‬ ‫اینترنت‬ ‫بین‬ ‫رابط‬ ‫عنوان‬ ‫به‬ ‫که‬ ‫دهد‬‫می‬ ‫را‬ ‫امکان‬ ‫این‬ ‫مسیریاب‬ ‫یک‬ ‫مثل‬ ‫منفرد‬ ‫دستگاه‬
‫یک‬ ‫صورت‬ ‫این‬ ‫در‬ ‫کند‬.IP‫های‬‫آدرس‬ ‫تعداد‬ ‫کمبود‬ ‫شود‬ ‫استفاده‬ ‫کامپیوتر‬ ‫ی‬‫مجموعه‬ ‫یک‬ ‫برای‬ ‫تواند‬‫می‬ ‫منفرد‬.IP‫تنها‬
‫از‬ ‫استفاده‬ ‫دلیل‬NAT‫از‬ ‫استفاده‬ ‫مزایای‬ ‫از‬ ‫نیز‬ ‫بهتر‬ ‫مدیریت‬ ‫و‬ ‫امنیت‬ ‫برقراری‬ ‫چون‬ ‫دیگری‬ ‫فواید‬ ‫نیست‬.NAT‫است‬.
‫مفهوم‬NAT‫به‬ ‫ورود‬ ‫ی‬‫دروازه‬ ‫عنوان‬ ‫به‬ ‫مسيرياب‬ ‫يا‬ ‫كامپيوتر‬ ‫مثل‬ ‫دستگاه‬ ‫يك‬ ‫كه‬ ‫است‬ ‫معنا‬ ‫اين‬ ‫به‬ ‫و‬ ‫ساده‬ ‫بسيار‬( )
‫كه‬ ‫دستگاهي‬ ‫آدرس‬ ‫به‬ ‫را‬ ‫كاري‬ ‫هاي‬‫ايستگاه‬ ‫هاي‬‫آدرس‬ ‫كار‬ ‫اين‬ ‫با‬ ‫و‬ ‫كند‬‫مي‬ ‫عمل‬ ‫اينترنت‬NAT‫ترجمه‬ ‫است‬ ‫فعال‬ ‫آن‬ ‫روي‬
‫ديگر‬ ‫بيان‬ ‫به‬ ،‫كند‬‫مي‬NAT‫كلي‬ ‫طور‬ ‫به‬ ‫و‬ ‫كاري‬ ‫هاي‬‫ايستگاه‬ ‫و‬ ‫شود‬‫می‬ ‫فعال‬ ‫است‬ ‫متصل‬ ‫اينترنت‬ ‫به‬ ‫كه‬ ‫دستگاهي‬ ‫روي‬
‫اينترنت‬ ‫به‬ ‫كه‬ ‫بيند‬‫مي‬ ‫ساده‬ ‫دستگاه‬ ‫يك‬ ‫صورت‬‫به‬ ‫را‬ ‫شبكه‬ ‫اينترنت‬ ‫ديگر‬ ‫سوي‬ ‫از‬ ‫کند‬‫مي‬ ‫پنهان‬ ‫اينترنت‬ ‫ديد‬ ‫از‬ ‫را‬ ‫شبكه‬.
‫باشد‬‫مي‬ ‫متصل‬.NAT‫فقط‬ ‫نيست‬ ‫كاري‬ ‫هاي‬‫ايستگاه‬ ‫روي‬ ‫دوباره‬ ‫تنظيمات‬ ‫به‬ ‫نيازي‬ ‫و‬ ‫كند‬‫نمي‬ ‫ايجاد‬ ‫تغيير‬ ‫شبكه‬ ‫روي‬.
‫كه‬ ‫است‬ ‫دستگاهي‬ ‫آدرس‬ ‫همان‬ ‫كه‬ ‫را‬ ‫شبكه‬ ‫از‬ ‫خروجي‬ ‫ی‬‫دروازه‬ ‫آدرس‬ ‫بايست‬‫مي‬ ‫كاري‬ ‫هاي‬‫ايستگاه‬NAT‫فعال‬ ‫آن‬ ‫روي‬
‫بدانند‬ ‫را‬ ‫است‬ ‫شده‬.
Iptables(5) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

6. IPTables
‫سری‬ ‫از‬ ‫لینوکس‬ ‫ی‬‫هسته‬1.1‫داری‬IPFilter‫نام‬ ‫به‬ ‫ابزاری‬ ‫از‬ ‫ها‬‫بسته‬ ‫فیلترکردن‬ ‫قوانین‬ ‫تنظیم‬ ‫برای‬ ‫است‬ ‫بوده‬.ipfwadm
‫لینوکس‬ ‫در‬ ‫شد‬‫می‬ ‫استفاده‬.2.2‫نام‬ ‫به‬ ‫ابزاری‬IPChains‫لینوکس‬ ‫برای‬ ‫سرانجام‬ ‫و‬ ‫شد‬ ‫معرفی‬2.4‫ابزار‬IPTables‫معرفی‬
‫حقیقت‬ ‫در‬ ‫شد‬.IPTables‫علوه‬ ‫کند‬ ‫فیلتر‬ ‫را‬ ‫هایی‬‫بسته‬ ‫چه‬ ‫که‬ ‫گوید‬‫می‬ ‫آن‬ ‫به‬ ‫و‬ ‫گوید‬‫می‬ ‫سخن‬ ‫هسته‬ ‫با‬ ‫که‬ ‫است‬ ‫ابزاری‬.
‫های‬‫ماژول‬ ‫قوانین‬ ‫دستکاری‬ ‫و‬ ‫ایجاد‬ ‫برای‬ ،‫ها‬‫بسته‬ ‫کردن‬ ‫فیلتر‬ ‫بر‬NAT‫زیرا‬ ،‫شود‬‫می‬ ‫استفاده‬ ‫نیز‬NAT‫طریق‬ ‫از‬ ‫نیز‬
‫قوانین‬ ‫مجموعه‬IPFilter‫نام‬ ‫اغلب‬ ‫شود‬‫می‬ ‫پیکربندی‬.IPTables‫شامل‬ ‫که‬ ‫آتش‬ ‫دیواره‬ ‫زیرساخت‬ ‫کل‬ ‫برای‬Netfilter،
‫و‬ ‫اتصال‬ ‫پیگیری‬NAT‫اصلی‬ ‫های‬‫ویژگی‬ ‫شود‬‫می‬ ‫استفاده‬ ،‫است‬.IPTables‫از‬ ‫عبارتند‬:
•‫بسته‬ ‫فیلتر‬ ‫قوانین‬ ‫ی‬‫مجموعه‬ ‫ی‬‫کلیه‬ ‫کردن‬‫فهرست‬
•‫بسته‬ ‫فیلتر‬ ‫قوانین‬ ‫ی‬‫مجموعه‬ ‫در‬ ‫قوانین‬ ‫اصلح‬ ‫کردن‬ ‫کم‬ ‫افزودن‬/ /
•‫بسته‬ ‫فیلتر‬ ‫قوانین‬ ‫ی‬‫مجموعه‬ ‫در‬ ‫قانون‬ ‫هر‬ ‫های‬‫شمارنده‬ ‫کردن‬ ‫صفر‬ ‫فهرست‬/
‫که‬ ‫این‬ ‫دلیل‬ ‫به‬IPTables‫کاربر‬ ‫توسط‬ ‫حتما‬ ‫باید‬ ،‫دارد‬ ‫نیاز‬ ‫اجرا‬ ‫برای‬ ‫خاصی‬ ‫امتیازات‬ ‫به‬root‫اکثر‬ ‫در‬ ‫شود‬ ‫اجرا‬.
‫لینوکس‬ ‫های‬‫سیستم‬IPTables‫ی‬‫شاخه‬ ‫در‬usr/sbin/iptables‫دستور‬ ‫اجرای‬ ‫با‬ ‫و‬ ‫شود‬‫می‬ ‫نصب‬man iptables‫توان‬‫می‬
‫ی‬‫پروژه‬ ‫کرد‬ ‫پیدا‬ ‫دسترسی‬ ‫آن‬ ‫به‬ ‫مربوط‬ ‫مستندات‬ ‫به‬.netfilter/IPTables‫سال‬ ‫در‬1998‫توسط‬ ‫میلدی‬Rusty Russell
‫ی‬‫دهنده‬‫توسعه‬ ‫که‬IPChains‫تیم‬ ،‫پروژه‬ ‫پیشرفت‬ ‫با‬ ‫شد‬ ‫شروع‬ ‫بود‬ ‫نیز‬.Netfilter‫شده‬ ‫داده‬ ‫توسعه‬ ‫افزار‬‫نرم‬ ‫گرفت‬ ‫شکل‬.
‫لیسانس‬ ‫تحت‬ ‫ها‬‫آن‬ ‫توسط‬GNU/GPL‫چارچوب‬ ‫است‬.Xtables‫که‬ ‫دهد‬‫می‬ ‫را‬ ‫هایی‬‫جدول‬ ‫تعریف‬ ‫امکان‬ ‫سیستم‬ ‫مدیر‬ ‫به‬
‫نوع‬ ‫با‬ ‫جدول‬ ‫هر‬ ‫شود‬ ‫برخورد‬ ‫چگونه‬ ‫بسته‬ ‫با‬ ‫که‬ ‫کند‬‫می‬ ‫مشخص‬ ‫قانون‬ ‫هر‬ ‫هستند‬ ‫قوانین‬ ‫از‬ ‫هایی‬‫زنجیره‬ ‫شامل‬. .
‫زنجیره‬ ‫یک‬ ‫در‬ ‫قانون‬ ‫یک‬ ‫شوند‬‫می‬ ‫پردازش‬ ‫ها‬‫زنجیره‬ ‫پیمایش‬ ‫با‬ ‫ها‬‫بسته‬ ‫دارد‬ ‫سروکار‬ ،‫بسته‬ ‫پردازش‬ ‫از‬ ‫خاصی‬. .
‫یا‬ ‫ورودی‬ ‫بسته‬ ‫هر‬ ‫باشد‬ ‫داشته‬ ‫ادامه‬ ‫تواند‬‫می‬ ‫جایی‬ ‫هر‬ ‫تا‬ ‫روند‬ ‫این‬ ‫و‬ ‫بفرستد‬ ‫دیگری‬ ‫زنجیره‬ ‫به‬ ‫را‬ ‫بسته‬ ‫یک‬ ‫تواند‬‫می‬.
‫بپیماید‬ ‫را‬ ‫ای‬‫زنجیره‬ ‫چه‬ ‫ابتدا‬ ‫در‬ ‫که‬ ‫کند‬‫می‬ ‫مشخص‬ ‫بسته‬ ‫منبع‬ ‫پیماید‬‫می‬ ‫را‬ ‫زنجیره‬ ‫یک‬ ‫حداقل‬ ‫شبکه‬ ‫از‬ ‫خروجی‬. .
‫تواند‬‫می‬ ‫سیستم‬ ‫مدیر‬ ‫شود‬‫می‬ ‫حذف‬ ،‫برسد‬ ‫زنجیره‬ ‫انتهای‬ ‫به‬ ‫که‬ ‫ای‬‫بسته‬ ‫مثال‬ ‫برای‬ ‫دارند‬ ‫هایی‬‫سیاست‬ ‫توکار‬ ‫جداول‬. .
‫گونه‬‫این‬ ‫انتهای‬ ‫به‬ ‫ای‬‫بسته‬ ‫اگر‬ ‫و‬ ‫است‬ ‫نشده‬ ‫تعریف‬ ‫سیاست‬ ‫ها‬‫زنجیره‬ ‫این‬ ‫برای‬ ‫کند‬ ‫ایجاد‬ ‫زنجیره‬ ‫دلخواه‬ ‫تعداد‬ ‫به‬.
‫انواع‬ ‫با‬ ‫زنجیره‬ ‫یک‬ ‫در‬ ‫قانون‬ ‫هر‬ ‫گردد‬‫می‬ ‫باز‬ ،‫است‬ ‫کرده‬ ‫فراخوانی‬ ‫را‬ ‫آن‬ ‫که‬ ‫ای‬‫زنجیره‬ ‫به‬ ‫دوباره‬ ،‫برسد‬ ‫ها‬‫زنجیره‬.
‫را‬ ‫زنجیره‬ ‫یک‬ ‫ای‬‫بسته‬ ‫وقتی‬ ‫باشد‬ ‫داشته‬ ‫هدف‬ ‫یک‬ ‫است‬ ‫ممکن‬ ‫قانون‬ ‫همچنین‬ ‫یابد‬‫می‬ ‫انطباق‬ ‫خاصی‬ ‫های‬‫بسته‬. .
‫و‬ ‫شود‬‫می‬ ‫فرستاده‬ ‫بعدی‬ ‫قانون‬ ‫به‬ ‫بسته‬ ،‫نکند‬ ‫پیدا‬ ‫انطباق‬ ‫بسته‬ ‫با‬ ‫قانون‬ ‫اگر‬ ‫کند‬‫می‬ ‫بررسی‬ ‫را‬ ‫آن‬ ،‫قانون‬ ‫هر‬ ،‫پیماید‬‫می‬.
‫در‬ ‫پیوسته‬ ‫پیمایش‬ ‫به‬ ‫بسته‬ ‫شود‬‫می‬ ‫برخورد‬ ‫بسته‬ ‫با‬ ‫شده‬ ‫مشخص‬ ‫هدف‬ ‫در‬ ‫چه‬‫آن‬ ‫طبق‬ ،‫یابد‬ ‫انطباق‬ ‫بسته‬ ‫با‬ ‫قانون‬ ‫اگر‬.
‫تا‬ ‫دهد‬‫می‬ ‫ادامه‬ ‫زنجیره‬)1‫تصمیم‬ ‫بسته‬ ‫نهایی‬ ‫سرنوشت‬ ‫مورد‬ ‫در‬ ‫صورت‬ ‫این‬ ‫در‬ ‫که‬ ‫یابد‬ ‫انطباق‬ ‫بسته‬ ‫آن‬ ‫با‬ ‫قانون‬ ‫یک‬ (
‫یا‬ ‫شود‬‫می‬ ‫حذف‬ ‫یا‬ ‫قبول‬ ‫بسته‬ ‫مثل‬ ‫شود‬‫می‬ ‫گرفته‬) ( )2‫ی‬‫زنجیره‬ ‫به‬ ‫بسته‬ ‫و‬ ‫کند‬ ‫فراخوانی‬ ‫را‬ ‫بازگشت‬ ‫هدف‬ ،‫قانون‬ ‫یک‬ (
‫یا‬ ‫بازگردد‬ ‫فراخواننده‬)3‫برسد‬ ‫زنجیره‬ ‫انتهای‬ ‫به‬ ‫بسته‬. (
‫اصطلاحات‬ ‫و‬ ‫عبارات‬IPTables
،‫هستند‬ ‫لزم‬ ‫بعدی‬ ‫مطالب‬ ‫درک‬ ‫برای‬ ‫و‬ ‫دارند‬ ‫را‬ ‫کاربرد‬ ‫بیشترین‬ ‫که‬ ‫اصطلحاتی‬ ‫و‬ ‫عبارات‬ ‫از‬ ‫تعدادی‬ ،‫بخش‬ ‫این‬ ‫ادامه‬ ‫در‬
‫شوند‬‫می‬ ‫داده‬ ‫شرح‬.
‫انطباق‬:
‫باید‬ ‫سرآیند‬ ‫یک‬ ‫که‬ ‫گوید‬‫می‬ ‫قانون‬ ‫یک‬ ‫به‬ ‫که‬ ‫منفرد‬ ‫انطباق‬ ‫یک‬ ‫اول‬ ‫معنی‬ ‫رود‬‫می‬ ‫کار‬‫به‬ ‫مختلف‬ ‫معنی‬ ‫دو‬ ‫با‬ ‫کلمه‬ ‫این‬: .
Iptables(6) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

7. ‫انطباق‬ ‫مثل‬ ‫باشد‬ ‫اطلعاتی‬ ‫چه‬ ‫محتوی‬-- .source‫محدوده‬ ‫یا‬ ‫خاص‬ ‫میزبان‬ ‫یک‬ ‫باید‬ ‫منبع‬ ‫آدرس‬ ‫که‬ ‫گوید‬‫می‬ ‫ما‬ ‫به‬
‫یک‬ ‫مورد‬ ‫در‬ ‫قانون‬ ‫یک‬ ‫کل‬ ‫اگر‬ ‫دوم‬ ‫معنی‬ ‫است‬ ‫شده‬ ‫تشکیل‬ ‫انطباق‬ ‫چندین‬ ‫یا‬ ‫یک‬ ‫از‬ ‫قانون‬ ‫هر‬ ‫باشد‬ ‫شبکه‬ ‫از‬ ‫خاصی‬: . .
‫آورده‬ ‫ادامه‬ ‫در‬ ‫ها‬‫انطباق‬ ‫پرکاربردترین‬ ‫از‬ ‫نمونه‬ ‫چند‬ ‫است‬ ‫یافته‬ ‫انطباق‬ ‫قانون‬ ‫با‬ ‫بسته‬ ‫گوییم‬‫می‬ ‫کند‬ ‫صدق‬ ‫بسته‬.
‫اند‬‫شده‬:
•--)source (-s‫آدرس‬ ‫یک‬ :IP‫دهد‬‫می‬ ‫انطباق‬ ‫را‬ ‫شبکه‬ ‫یا‬ ‫مبدا‬.
•--)destination (-d‫آدرس‬ ‫یک‬ :IP‫دهد‬‫می‬ ‫انطباق‬ ‫را‬ ‫شبکه‬ ‫یا‬ ‫مقصد‬.
•--)protocol (-p‫یک‬ ‫روی‬ :IP‫دهد‬‫می‬ ‫انجام‬ ‫انطباق‬.
•--)in-interface (-i‫کند‬‫می‬ ‫ایجاد‬ ‫ورودی‬ ‫رابط‬ ‫یک‬. :
•interface‫کند‬‫می‬ ‫ایجاد‬ ‫خروجی‬ ‫رابط‬ ‫یک‬. :
•--state‫دهد‬‫می‬ ‫انطباق‬ ‫اتصال‬ ‫حالت‬ ‫از‬ ‫ای‬‫مجموعه‬ ‫روی‬. :
•--string‫دهد‬‫می‬ ‫انجام‬ ‫انطباق‬ ،‫کاربردی‬ ‫ی‬‫لیه‬ ‫داده‬ ‫های‬‫بایت‬ ‫از‬ ‫ای‬‫رشته‬ ‫روی‬. :
‫قانون‬:
‫های‬‫سازی‬‫پیاده‬ ‫اکثر‬ ‫در‬ ‫که‬ ‫است‬ ‫هدف‬ ‫یک‬ ‫همراه‬ ‫به‬ ‫انطباق‬ ‫چندین‬ ‫یا‬ ‫یک‬ ‫از‬ ‫ای‬‫مجموعه‬IPTables‫ای‬‫مجموعه‬ ‫قانون‬ ‫یک‬ ،
‫باشیم‬ ‫داشته‬ ‫قانون‬ ‫هر‬ ‫برای‬ ‫هدف‬ ‫چندین‬ ‫توانیم‬‫می‬ ‫ها‬‫سازی‬‫پیاده‬ ‫از‬ ‫بعضی‬ ‫در‬ ‫است‬ ‫انطباق‬ ‫چندین‬ ‫از‬. .
‫قوانین‬ ‫ی‬‫مجموعه‬:
‫سازی‬‫پیاده‬ ‫در‬ ‫قوانین‬ ‫از‬ ‫ای‬‫مجموعه‬IPTables‫شوند‬‫می‬ ‫نوشته‬ ‫پیکربندی‬ ‫فایل‬ ‫یک‬ ‫در‬ ‫قوانین‬ ‫ی‬‫مجموعه‬ ‫باشد‬‫می‬. .
‫پرش‬:jump
‫دستورالعمل‬JUMP‫نام‬ ،‫هدف‬ ‫نام‬ ‫نوشتن‬ ‫جای‬ ‫به‬ ‫که‬ ‫تفاوت‬ ‫این‬ ‫با‬ ‫شود‬‫می‬ ‫نوشته‬ ‫آن‬ ‫مانند‬ ‫دقیقا‬ ‫و‬ ‫است‬ ‫هدف‬ ‫یک‬ ‫مانند‬.
‫پردازش‬ ‫آن‬ ‫در‬ ‫و‬ ‫شود‬‫می‬ ‫فرستاده‬ ‫بعدی‬ ‫ی‬‫زنجیره‬ ‫به‬ ‫بسته‬ ،‫داشت‬ ‫انطباق‬ ‫قانون‬ ‫اگر‬ ‫شود‬‫می‬ ‫نوشته‬ ‫دیگر‬ ‫ی‬‫زنجیره‬ ‫یک‬.
‫شود‬‫می‬.
‫هدف‬:target
‫پیدا‬ ‫انطباق‬ ‫کامل‬ ‫طور‬ ‫به‬ ‫قانون‬ ‫کل‬ ‫اگر‬ ‫دارد‬ ‫هدف‬ ‫ی‬‫مجموعه‬ ‫یک‬ ‫قوانین‬ ‫ی‬‫مجموعه‬ ‫در‬ ‫موجود‬ ‫قانون‬ ‫هر‬ ‫کلی‬ ‫طور‬ ‫به‬.
‫آدرس‬ ‫یا‬ ‫و‬ ‫حذف‬ ،‫قبول‬ ‫را‬ ‫آن‬ ‫باید‬ ‫که‬ ‫گوید‬‫می‬ ‫مثل‬ ‫کرد‬ ‫چه‬ ‫بسته‬ ‫با‬ ‫باید‬ ‫که‬ ‫کند‬‫می‬ ‫مشخص‬ ‫هدف‬ ‫تعریف‬ ،‫کند‬.IP‫را‬ ‫آن‬
‫شده‬ ‫آورده‬ ‫پرکاربرد‬ ‫هدف‬ ‫چند‬ ‫ادامه‬ ‫در‬ ‫باشد‬ ‫نداشته‬ ‫یا‬ ‫باشد‬ ‫داشته‬ ‫هدف‬ ‫یا‬ ‫پرش‬ ‫است‬ ‫ممکن‬ ‫قانون‬ ‫یک‬ ‫کرد‬ ‫ترجمه‬. .
‫است‬:
•ACCEPT‫دهد‬ ‫ادامه‬ ‫خود‬ ‫راه‬ ‫به‬ ‫که‬ ‫دهد‬‫می‬ ‫اجازه‬ ‫بسته‬ ‫یک‬ ‫به‬. :
•DROP‫شود‬‫نمی‬ ‫انجام‬ ‫آن‬ ‫روی‬ ‫دیگری‬ ‫پردازش‬ ‫هیچ‬ ‫و‬ ‫کند‬‫می‬ ‫حذف‬ ‫را‬ ‫بسته‬ ‫یک‬. :
•LOG‫در‬ ‫را‬ ‫بسته‬ ‫یک‬ :syslog‫کند‬‫می‬ ‫ثبت‬.
•REJECT‫کند‬‫می‬ ‫ارسال‬ ،‫مناسب‬ ‫پاسخ‬ ‫یک‬ ‫همزمان‬ ‫و‬ ‫کند‬‫می‬ ‫حذف‬ ‫را‬ ‫بسته‬ ‫یک‬. :
•RETURN‫شود‬‫می‬ ‫فراخواننده‬ ‫ی‬‫زنجیره‬ ‫در‬ ‫بسته‬ ‫یک‬ ‫پردازش‬ ‫ادامه‬ ‫باعث‬. :
‫جدول‬:table
‫در‬ ‫و‬ ‫دارد‬ ‫خاصی‬ ‫هدف‬ ‫جدول‬ ‫هر‬IPTables‫جداول‬ ‫دارد‬ ‫وجود‬ ‫جدول‬ ‫چهار‬ ،:Filter، Nat، Raw‫و‬Mangle‫عنوان‬ ‫به‬ .
Iptables(7) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

8. ‫جدول‬ ،‫مثال‬Filter‫جدول‬ ‫و‬ ‫است‬ ‫شده‬ ‫طراحی‬ ‫ها‬‫بسته‬ ‫کردن‬ ‫فیلتر‬ ‫منظور‬ ‫به‬Nat‫آدرس‬ ‫ی‬‫ترجمه‬ ‫برای‬ ‫فقط‬IP‫ها‬‫بسته‬
‫شود‬‫می‬ ‫استفاده‬.
‫اتصال‬ ‫پیگیری‬:
‫های‬‫ویژگی‬ ‫ترین‬‫مهم‬ ‫از‬ ‫یکی‬Netfilter‫کلیه‬ ‫که‬ ‫دهد‬‫می‬ ‫هسته‬ ‫به‬ ‫را‬ ‫امکان‬ ‫این‬ ‫اتصال‬ ‫پیگیری‬ ‫است‬ ‫اتصال‬ ‫پیگیری‬.
‫هم‬ ‫به‬ ،‫دهند‬‫می‬ ‫تشکیل‬ ‫را‬ ‫اتصال‬ ‫یک‬ ‫هم‬ ‫با‬ ‫که‬ ‫هایی‬‫بسته‬ ‫کلیه‬ ‫وسیله‬‫بدین‬ ‫و‬ ‫کند‬ ‫پیگیری‬ ‫را‬ ‫ها‬‫جلسه‬ ‫یا‬ ‫شبکه‬ ‫های‬‫اتصال‬
‫کند‬ ‫مرتبط‬.NAT‫و‬ ‫دارد‬ ‫نیاز‬ ‫هم‬ ‫به‬ ‫مرتبط‬ ‫های‬‫بسته‬ ‫ی‬‫ترجمه‬ ‫برای‬ ‫اطلعات‬ ‫این‬ ‫به‬IPTables‫اطلعات‬ ‫این‬ ‫از‬ ‫تواند‬‫می‬
‫زیر‬ ‫شرح‬ ‫به‬ ‫مختلف‬ ‫های‬‫حالت‬ ‫به‬ ‫را‬ ‫بسته‬ ‫هر‬ ،‫اتصال‬ ‫پیگیری‬ ‫کند‬ ‫عمل‬ ‫دار‬‫حالت‬ ‫آتش‬ ‫دیواره‬ ‫یک‬ ‫مانند‬ ‫و‬ ‫کند‬ ‫استفاده‬.
‫کند‬‫می‬ ‫بندی‬‫طبقه‬:
•‫جدید‬‫جدید‬ ‫اتصال‬ ‫یک‬ ‫ی‬‫بسته‬ ‫اولین‬. :
•‫شده‬‫برقرار‬‫دارد‬ ‫وجود‬ ‫که‬ ‫است‬ ‫اتصالی‬ ‫از‬ ‫قسمتی‬ ‫که‬ ‫ای‬‫بسته‬. :
•‫وابسته‬‫است‬ ‫مرتبط‬ ‫موجود‬ ‫اتصال‬ ‫یک‬ ‫به‬ ‫اتصال‬ ‫این‬ ‫و‬ ‫است‬ ‫کرده‬ ‫شروع‬ ‫را‬ ‫جدید‬ ‫اتصال‬ ‫یک‬ ‫که‬ ‫ای‬‫بسته‬. :
•‫نامعتبر‬‫نیست‬ ‫ای‬‫شده‬‫شناخته‬ ‫اتصال‬ ‫هیچ‬ ‫از‬ ‫قسمتی‬. :
•‫ردیابی‬ ‫عدم‬‫یک‬ ‫برای‬ ‫را‬ ‫اتصال‬ ‫پیگیری‬ ‫تا‬ ‫شود‬‫می‬ ‫داده‬ ‫نسبت‬ ‫بسته‬ ‫یک‬ ‫به‬ ‫مدیر‬ ‫توسط‬ ‫که‬ ‫است‬ ‫خاصی‬ ‫حالت‬ :
‫ندهد‬ ‫انجام‬ ‫خاص‬ ‫بسته‬.
‫زنجیره‬:chain
‫یک‬ ‫زنجیره‬ ‫هر‬ ‫شود‬‫می‬ ‫اعمال‬ ،‫پیمایند‬‫می‬ ‫را‬ ‫زنجیره‬ ‫که‬ ‫هایی‬‫بسته‬ ‫روی‬ ‫بر‬ ‫که‬ ‫است‬ ‫قانون‬ ‫ی‬‫مجموعه‬ ‫یک‬ ‫زنجیره‬ ‫یک‬.
‫کند‬ ‫تعریف‬ ‫را‬ ‫هایی‬‫زنجیره‬ ‫تواند‬‫می‬ ‫نیز‬ ‫کاربر‬ ‫اما‬ ‫دارد‬ ‫توکار‬ ‫زنجیره‬ ‫ی‬‫مجموعه‬ ‫یک‬ ‫جدول‬ ‫هر‬ ‫دارد‬ ‫خاص‬ ‫هدف‬. .
‫از‬ ‫عبارتند‬ ‫توکار‬ ‫های‬‫زنجیره‬ ‫ترین‬‫مهم‬INPUT، OUTPUT‫و‬FORWARD
•INPUT‫که‬‫این‬ ‫از‬ ‫بعد‬ ‫البته‬ ‫شوند‬‫می‬ ‫وارد‬ ‫محلی‬ ‫ی‬‫شبکه‬ ‫به‬ ‫که‬ ‫شود‬‫می‬ ‫پیمایش‬ ‫هایی‬‫بسته‬ ‫توسط‬ ‫زنجیره‬ ‫این‬. :
‫شود‬ ‫انجام‬ ‫ها‬‫آن‬ ‫مسیریابی‬ ‫عمل‬ ‫هسته‬ ‫در‬.
•OUTPUT‫شوند‬‫می‬ ‫تولید‬ ‫لینوکس‬ ‫سیستم‬ ‫در‬ ‫که‬ ‫است‬ ‫هایی‬‫بسته‬ ‫برای‬. :
•FORWARD‫در‬ ‫باید‬ ‫ها‬‫بسته‬ ،‫شود‬‫می‬ ‫استفاده‬ ‫دیگر‬ ‫ی‬‫شبکه‬ ‫به‬ ‫شبکه‬ ‫یک‬ ‫کردن‬‫متصل‬ ‫برای‬ ‫آتش‬ ‫دیواره‬ ‫وقتی‬ :
‫رود‬‫می‬ ‫کار‬‫به‬ ‫زنجیره‬ ‫این‬ ‫مورد‬ ‫این‬ ‫در‬ ‫که‬ ‫شوند‬ ‫مسیریابی‬ ‫آتش‬ ‫دیواره‬.
‫از‬ ‫عبارتند‬ ‫دیگر‬ ‫ی‬‫زنجیره‬ ‫دو‬PREROUTING‫و‬POSTROUTING‫عمل‬ ‫از‬ ‫بعد‬ ‫و‬ ‫قبل‬ ‫را‬ ‫ها‬‫بسته‬ ‫سرآیند‬ ‫اصلح‬ ‫که‬
‫دهند‬‫می‬ ‫انجام‬ ،‫هسته‬ ‫توسط‬ ‫مسیریابی‬.
Iptables(8) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

9. ‫گیرد‬ ‫می‬ ‫انجام‬ ‫زیر‬ ‫فرمان‬ ‫با‬ ‫که‬ ‫باشد‬ ‫می‬ ‫مرتبط‬ ‫سرویس‬ ‫نمودن‬ ‫فعال‬ ‫دستور‬ ‫این‬ ‫با‬ ‫کار‬ ‫برای‬ ‫اول‬ ‫قدم‬:
service iptables start
‫نکته‬:‫سرویس‬ ‫اینکه‬ ‫از‬ ‫قبل‬iptables‫سرویس‬ ‫بایستی‬ ‫شود‬ ‫اجرا‬ip6tables‫کنیم‬ ‫غیرفعال‬ ‫را‬.‫دستورات‬ ‫کار‬ ‫این‬ ‫برای‬
‫کنیم‬ ‫می‬ ‫وارد‬ ‫فرمان‬ ‫خط‬ ‫در‬ ‫را‬ ‫زیر‬:
service ip6tables stop
chkconfig ip6tables off
‫وضعیت‬ ‫شود‬ ‫فعال‬ ‫فرض‬ ‫پیش‬ ‫صورت‬ ‫به‬ ‫سرویس‬ ‫این‬ ‫سیستم‬ ‫شدن‬ ‫بوت‬ ‫موقع‬ ‫اینکه‬ ‫برای‬runlevel‫در‬ ‫بایستی‬
‫حالت‬ON‫شود‬ ‫می‬ ‫داده‬ ‫قرار‬:
chkconfig --level 345 iptables on
‫ها‬ ‫پورت‬ ‫کردن‬ ‫بسته‬ ‫و‬ ‫باز‬:
‫پورت‬ ‫کردن‬ ‫باز‬ ‫برای‬80‫کنیم‬ ‫می‬ ‫استفاده‬ ‫زیر‬ ‫فرمان‬ ‫از‬ ‫فایروال‬ ‫در‬:
iptables -A INPUT -p tcp -m tcp --sport 80 -j ACCEPT
iptables -A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT
-p‫معادل‬protocol‫و‬sport‫معادل‬‫و‬ ‫مبدا‬ ‫پورت‬dport‫باشد‬ ‫می‬ ‫مقصد‬ ‫پورت‬ ‫معادل‬.
‫به‬ ‫نیاز‬ ‫صورت‬ ‫در‬ ‫همچنین‬‫از‬ ‫استفاده‬https‫پورت‬ ‫بایستی‬443‫باشد‬ ‫باز‬ ‫نیز‬:
iptables -A INPUT -p tcp -m tcp --sport 443 -j ACCEPT
iptables -A OUTPUT -p tcp -m tcp --dport 443 -j ACCEPT
‫شود‬ ‫می‬ ‫استفاده‬ ‫مشابه‬ ‫دستورات‬ ‫از‬ ‫نیز‬ ‫ها‬ ‫پورت‬ ‫سایر‬ ‫برای‬.
‫دستور‬ ‫ساختار‬iptables:
‫شود‬ ‫می‬ ‫تقسیم‬ ‫بخش‬ ‫دو‬ ‫به‬ ‫دستور‬ ‫این‬ ‫گرامر‬:chain,target
iptables -A chain -j target
chain‫پارامتر‬ ‫و‬ ‫است‬ ‫اصلی‬ ‫قسمت‬–A (append )‫یک‬rule‫نماید‬ ‫می‬ ‫اضافه‬ ‫را‬.chain‫معادل‬ ‫تواند‬ ‫می‬
input,ouput,forward‫باشند‬ ‫می‬ ‫دائمی‬ ‫پارامترهای‬ ‫که‬ ‫باشد‬.
‫پارامتر‬–j (jump )‫قوانین‬ ‫مجموعه‬ ‫در‬ ‫محلی‬iptables‫گیرد‬ ‫می‬ ‫انجام‬ ‫آنجا‬ ‫به‬ ‫پرش‬ ‫که‬ ‫کند‬ ‫می‬ ‫مشخص‬ ‫را‬.‫به‬ ‫آن‬ ‫مقادیر‬
‫شامل‬ ‫ترتیب‬accept,drop,reject‫باشند‬ ‫می‬.‫پارامتر‬ ‫توسط‬–n‫توانید‬ ‫می‬ ‫نیز‬chain‫اضافه‬ ‫سفارشی‬ ‫و‬ ‫جدید‬ ‫های‬
‫کنید‬.
Iptables(9) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

10. ‫با‬ ‫کار‬policy‫های‬firewall:
Iptbles‫پارامتر‬ ‫از‬–p‫ایجاد‬ ‫برای‬rule‫کند‬ ‫می‬ ‫استفاده‬ ‫فرض‬ ‫پیش‬ ‫های‬.‫زیر‬ ‫دستورات‬ ‫مثل‬‫و‬ ‫ارسالی‬ ‫های‬ ‫پکت‬ ‫کلیه‬
‫کند‬ ‫می‬ ‫بلک‬ ‫را‬ ‫شبکه‬ ‫درگاه‬ ‫در‬ ‫دریافتی‬:
iptables -P INPUT DROP
iptables -P OUTPUT DROP
‫های‬ ‫پکت‬ ‫که‬ ‫شود‬ ‫می‬ ‫توصیه‬ ‫همچنین‬forward‫نیز‬ ‫شده‬denied‫در‬ ‫ناخواسته‬ ‫طور‬ ‫به‬ ‫داخلی‬ ‫شبکه‬ ‫کاربران‬ ‫تا‬ ‫شوند‬
‫نشوند‬ ‫نمایان‬ ‫اینترنت‬.rule‫رود‬ ‫می‬ ‫کار‬ ‫به‬ ‫کار‬ ‫این‬ ‫انجام‬ ‫برای‬ ‫زیر‬:
iptables -P FORWARD DROP
‫تنظیم‬ ‫از‬ ‫بعد‬policy chain‫توانید‬ ‫می‬rule‫را‬ ‫نظر‬ ‫مورد‬ ‫های‬‫کنید‬ ‫تعریف‬:
‫قوانین‬ ‫بازیابی‬ ‫و‬ ‫ذخیره‬ ‫ی‬ ‫نحوه‬iptables:
Rule‫های‬firewall‫کامپیوتر‬ ‫زمانیکه‬ ‫تا‬on‫صورت‬ ‫به‬ ‫سیستم‬ ‫مجدد‬ ‫اندازی‬ ‫راه‬ ‫با‬ ‫و‬ ‫باشند‬ ‫می‬ ‫معتبر‬ ‫باشد‬
‫اتوماتیک‬reset‫شوند‬ ‫می‬.‫دستور‬ ‫از‬ ‫شوند‬ ‫اجرا‬ ‫اتوماتیک‬ ‫صورت‬ ‫به‬ ،‫مجدد‬ ‫اندازی‬ ‫راه‬ ‫از‬ ‫بعد‬ ‫قوانین‬ ‫این‬ ‫اینکه‬ ‫برای‬
‫کنید‬ ‫زیراستفاده‬:
/sbin/service iptables save
‫نکته‬:‫سایر‬Rule‫مسیر‬ ‫در‬ ‫ها‬/etc/sysconfig/iptables‫شوند‬ ‫می‬ ‫ذخیره‬.
Iptables(10) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

11. 1.‫فایروال‬ ‫وضعیت‬ ‫نمایش‬:
‫در‬ ‫حاضر‬ ‫حال‬ ‫در‬ ‫که‬ ‫هایی‬ ‫رول‬ ‫شدن‬ ‫مشخص‬ ‫برای‬iptables‫زیر‬ ‫دستور‬ ‫از‬ ‫توانید‬ ‫می‬ ،‫دارند‬ ‫وجود‬
‫فرمائید‬ ‫استفاده‬:
iptables -L -n -v
‫باشد‬ ‫زیر‬ ‫شکل‬ ‫به‬ ‫تواند‬ ‫می‬ ‫دستور‬ ‫خروجی‬:
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
‫بود‬ ‫خواهد‬ ‫زیر‬ ‫شکل‬ ‫به‬ ‫وضعیت‬ ‫احتمال‬ ،‫اید‬ ‫کرده‬ ‫اضافه‬ ‫هایی‬ ‫رول‬ ‫قبل‬ ‫از‬ ‫خود‬ ‫فایروال‬ ‫در‬ ‫اگر‬:
Chain INPUT (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 state INVALID
394 43586 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state
RELATED,ESTABLISHED
93 17292 ACCEPT all -- br0 * 0.0.0.0/0 0.0.0.0/0
1 142 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
Chain FORWARD (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- br0 br0 0.0.0.0/0 0.0.0.0/0
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 state INVALID
0 0 TCPMSS tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x06/0x02
TCPMSS clamp to PMTU
0 0 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
0 0 wanin all -- vlan2 * 0.0.0.0/0 0.0.0.0/0
0 0 wanout all -- * vlan2 0.0.0.0/0 0.0.0.0/0
Iptables(11) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

12. 0 0 ACCEPT all -- br0 * 0.0.0.0/0 0.0.0.0/0
Chain OUTPUT (policy ACCEPT 425 packets, 113K bytes)
pkts bytes target prot opt in out source destination
Chain wanin (1 references)
pkts bytes target prot opt in out source destination
Chain wanout (1 references)
pkts bytes target prot opt in out source destination
‫فرمائید‬ ‫استفاده‬ ‫زیر‬ ‫دستور‬ ‫از‬ ‫رول‬ ‫هر‬ ‫خط‬ ‫شماره‬ ‫همراه‬ ‫به‬ ‫ها‬ ‫رول‬ ‫نمایش‬ ‫برای‬:
iptables -n -L -v --line-numbers
‫بود‬ ‫خواهد‬ ‫زیر‬ ‫مشابه‬ ،‫دستور‬ ‫خروجی‬ ‫احتمال‬:
Chain INPUT (policy DROP)
num target prot opt source destination
1 DROP all -- 0.0.0.0/0 0.0.0.0/0 state INVALID
2 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
3 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
4 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
Chain FORWARD (policy DROP)
num target prot opt source destination
1 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
2 DROP all -- 0.0.0.0/0 0.0.0.0/0 state INVALID
3 TCPMSS tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:0x06/0x02 TCPMSS clamp to
PMTU
4 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
5 wanin all -- 0.0.0.0/0 0.0.0.0/0
6 wanout all -- 0.0.0.0/0 0.0.0.0/0
7 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
Chain OUTPUT (policy ACCEPT)
num target prot opt source destination
Chain wanin (1 references)
Iptables(12) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

13. num target prot opt source destination
Chain wanout (1 references)
num target prot opt source destination
‫دستور‬ ‫توضیح‬:
L: -‫ها‬ ‫رول‬ ‫لیست‬
v: -‫جزئیات‬ ‫نمایش‬
n: -‫نمایش‬ip‫عددی‬ ‫بصورت‬ ‫پورت‬ ‫و‬
2.‫فایروال‬ ‫وضعیت‬ ‫تغییر‬:
‫کرد‬ ‫استفاده‬ ‫توان‬ ‫می‬ ‫فایروال‬ ‫ریست‬ ‫و‬ ‫خاموش‬ ، ‫روشن‬ ‫برای‬ ‫زیر‬ ‫دستورات‬ ‫از‬:
service iptables stop
service iptables start
service iptables restart
، ‫بمانید‬ ‫باقی‬ ‫منوال‬ ‫همین‬ ‫به‬ ‫وضعیت‬ ‫نیز‬ ‫سرور‬ ‫ریستارت‬ ‫از‬ ‫پس‬ ‫و‬ ‫خاموش‬ ‫را‬ ‫فایروال‬ ‫خواهید‬ ‫می‬ ‫اگر‬
‫نمائید‬ ‫وارد‬ ‫را‬ ‫زیر‬ ‫دستور‬:
service iptables stop
chkconfig iptables off
3.‫فایروال‬ ‫های‬ ‫رول‬ ‫و‬ ‫قوانین‬ ‫حذف‬:
‫آورید‬ ‫بدست‬ ‫را‬ ‫رول‬ ‫خط‬ ‫شماره‬ ‫زیر‬ ‫دستورات‬ ‫کمک‬ ‫به‬ ‫ابتدا‬:
iptables -L INPUT -n --line-numbers
iptables -L OUTPUT -n --line-numbers
iptables -L OUTPUT -n --line-numbers | less
iptables -L OUTPUT -n --line-numbers | grep 202.54.1.1
‫شماره‬ ‫خط‬ ‫در‬ ‫موجود‬ ‫رول‬ ‫حذف‬ ‫برای‬ ‫مثال‬ ‫عنوان‬ ‫به‬ ‫حال‬4‫فرمائید‬ ‫استفاده‬ ‫زیر‬ ‫دستور‬ ‫از‬ ‫توانید‬ ‫می‬:
iptables -D INPUT 4
Iptables(13) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

14. ‫فرمایید‬ ‫استفاده‬ ‫خود‬ ‫نظر‬ ‫مورد‬ ‫پی‬ ‫ای‬ ‫به‬ ‫مروبطه‬ ‫قوانین‬ ‫حذف‬ ‫برای‬ ‫زیر‬ ‫دستور‬ ‫از‬ ‫یا‬ ‫و‬:
iptables -D INPUT -s 202.54.1.1 -j DROP
‫توضیح‬:
D: -‫شده‬ ‫انتخاب‬ ‫زنجیره‬ ‫از‬ ‫رول‬ ‫چند‬ ‫یا‬ ‫یک‬ ‫حذف‬
3.1‫فایروال‬ ‫از‬ ‫ها‬ ‫رول‬ ‫کلیه‬ ‫حذف‬)Flush iptables:(
‫فرمائید‬ ‫استفاده‬ ‫زیر‬ ‫دستور‬ ‫از‬ ‫توانید‬ ‫می‬ ‫ها‬ ‫رول‬ ‫کلیه‬ ‫حذف‬ ‫برای‬:
iptables -F
‫تیبل‬ ‫در‬ ‫اگر‬ ‫و‬nat‫و‬mangle‫نمائید‬ ‫وارد‬ ‫است‬ ‫لزم‬ ‫نیز‬ ‫را‬ ‫زیر‬ ‫دستور‬ ‫دو‬ ، ‫کردید‬ ‫اضافه‬ ‫رولی‬ ‫نیز‬:
iptables -t nat -F
iptables -t mangle -F
‫فرمائید‬ ‫استفاده‬ ‫زیر‬ ‫دستور‬ ‫از‬ ‫مجدد‬ ‫ها‬ ‫رول‬ ‫وضعیت‬ ‫مشاهده‬ ‫برای‬:
iptables -L -v -n
Iptables(14) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

15. 4.‫فایروال‬ ‫در‬ ‫فوروارد‬ ‫یا‬ ‫و‬ ‫خروجی‬ ، ‫ورودی‬ ‫ترافیک‬ ‫کردن‬ ‫مسدود‬ ‫نحوه‬:
‫فرمائید‬ ‫استفاده‬ ‫زیر‬ ‫دستورات‬ ‫از‬ ‫توانید‬ ‫می‬ ‫ترافیک‬ ‫کل‬ ‫کردن‬ ‫مسدود‬ ‫برای‬)‫دستورات‬ ‫این‬ ‫که‬ ‫نمائید‬ ‫دقت‬
‫گردد‬ ‫سرور‬ ‫به‬ ‫شما‬ ‫دسترسی‬ ‫از‬ ‫مانع‬ ‫تواند‬ ‫می‬: (.
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
‫فرمائید‬ ‫استفاده‬ ‫زیر‬ ‫دستور‬ ‫از‬ ‫توانید‬ ‫می‬ ‫فایروال‬ ‫در‬ ‫شده‬ ‫اضافه‬ ‫تغییرات‬ ‫نمودن‬ ‫ذخیره‬ ‫برای‬:
service iptables save
iptables-save > iptable.rule
‫را‬ ‫آن‬ ‫میتوانیم‬ ‫زیر‬ ‫دستور‬ ‫با‬ ‫سپس‬ ‫کنیم‬ ‫ذخیره‬ ‫نظر‬ ‫مد‬ ‫مسیر‬ ‫در‬ ‫میتوانید‬ ‫را‬ ‫ها‬ ‫رول‬ ‫ما‬ ‫اینجا‬ ‫در‬.
‫کنیم‬ ‫ریستور‬:
iptables-restore < iptables.rule
‫برای‬ ‫نکته‬:save‫فایل‬ ‫در‬ ‫را‬ ‫کردن‬ ‫ریستور‬ ‫به‬ ‫مربوط‬ ‫دستور‬ ‫توانید‬‫می‬ ‫دایمی‬ ‫بصورت‬ ‫کردن‬
interfaces‫نمونه‬ ‫برای‬ ‫دهید‬ ‫قرار‬ ‫شبکه‬ ‫کارت‬ ‫تنظیمات‬: ( )
Iptables(15) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

16. pre-up iptables-restore < iptables.rule
5.‫یک‬ ‫نمودن‬ ‫مسدود‬ ‫نحوه‬IP‫سرور‬ ‫روی‬ ‫بر‬:
‫پی‬ ‫ای‬ ‫سوی‬ ‫از‬ ‫ورودی‬ ‫ترافیک‬ ‫توانید‬ ‫می‬ ‫شما‬ ‫اول‬ ‫دستورات‬ ‫کمک‬ ‫به‬1.2.3.4‫دوم‬ ‫دستور‬ ‫کردن‬ ‫وارد‬ ‫به‬ ‫و‬
‫گردد‬ ‫می‬ ‫مسدود‬ ‫مثال‬ ‫مورد‬ ‫پی‬ ‫ای‬ ‫رنج‬ ‫برای‬ ‫ورودی‬ ‫ترافیک‬ ‫کل‬.
iptables -A INPUT -s 1.2.3.4 -j DROP
iptables -A INPUT -s 192.168.0.0/24 -j DROP
6.‫خاص‬ ‫پورت‬ ‫یک‬ ‫روی‬ ‫بر‬ ‫ورودی‬ ‫ترافیک‬ ‫کردن‬ ‫مسدود‬ ‫نحوه‬:
‫پورت‬ ‫روی‬ ‫بر‬ ‫را‬ ‫ورودی‬ ‫ترافیک‬ ‫توان‬ ‫می‬ ‫زیر‬ ‫دستورات‬ ‫کمک‬ ‫به‬80‫نمائید‬ ‫مسدود‬.‫است‬ ‫توضیح‬ ‫به‬ ‫لزم‬
‫پورت‬ ‫از‬ ‫سرور‬ ‫وب‬ ‫معمول‬ ‫که‬80‫کند‬ ‫می‬ ‫استفاده‬ ‫سایت‬ ‫وب‬ ‫نمایش‬ ‫برای‬.
iptables -A INPUT -p tcp --dport 80 -j DROP
iptables -A INPUT -i eth1 -p tcp --dport 80 -j DROP
‫پورت‬ ‫روی‬ ‫بر‬ ‫ورودی‬ ‫ترافیک‬ ‫کردن‬ ‫مسدود‬ ‫برای‬80‫یک‬ ‫برای‬ ‫تنها‬IP‫رنج‬ ‫یک‬ ‫یا‬ ‫و‬IP‫از‬ ‫توانید‬ ‫می‬
‫فرمائید‬ ‫استفاده‬ ‫زیر‬ ‫دستورات‬:
Iptables(16) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

17. iptables -A INPUT -p tcp -s 1.2.3.4 --dport 80 -j DROP
iptables -A INPUT -i eth1 -p tcp -s 192.168.1.0/24 --dport 80 -j DROP
7.‫خروجی‬ ‫ترافیک‬ ‫نمودن‬ ‫مسدود‬ ‫نحوه‬:
‫یک‬ ‫برای‬ ‫خروجی‬ ‫ترافیک‬ ‫نمودن‬ ‫مسدود‬ ‫برای‬IP‫رنج‬ ‫یک‬ ‫یا‬ ‫و‬ ‫خاص‬IP‫زیر‬ ‫دستورات‬ ‫از‬ ‫توانید‬ ‫می‬
‫فرمائید‬ ‫استفاده‬:
iptables -A OUTPUT -d 1.2.3.4 -j DROP
iptables -A OUTPUT -d 192.168.1.0/24 -j DROP
iptables -A OUTPUT -o eth1 -d 192.168.1.0/24 -j DROP
8.‫ها‬ ‫فعالیت‬ ‫کردن‬ ‫ل گ‬:
‫شوید‬ ‫مطلع‬ ‫است‬ ‫وقوع‬ ‫حال‬ ‫در‬ ‫سرور‬ ‫شبکه‬ ‫روی‬ ‫بر‬ ‫که‬ ‫هایی‬ ‫فعالیت‬ ‫ریز‬ ‫از‬ ‫تا‬ ‫استفا‬ ‫نیاز‬ ‫مواقع‬ ‫از‬ ‫خیلی‬
‫از‬ ‫جلوگیری‬ ‫برای‬ ‫مثال‬ ‫برای‬IP spoofing‫اینترفیس‬ ‫روی‬ ‫بر‬eth1‫استفاده‬ ‫زیر‬ ‫دستور‬ ‫از‬ ‫توانید‬ ‫می‬
‫فرمائید‬.‫حالیکه‬ ‫در‬ ‫دستور‬ ‫این‬ ‫در‬‫با‬ ‫نیز‬ ‫گرفته‬ ‫صورت‬ ‫های‬ ‫تلش‬ ، ‫گردد‬ ‫می‬ ‫مسدود‬ ‫مربوطه‬ ‫ترافیک‬
‫پیشوند‬IP_SPOOF A‫شود‬ ‫می‬ ‫ذخیره‬ ‫ل گ‬ ‫در‬:
Iptables(17) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

18. iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j LOG --log-prefix "IP_SPOOF A: "
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP
‫مسیر‬ ‫در‬ ‫ها‬ ‫ل گ‬ ‫معمول‬/var/log/messages‫مورد‬ ‫لینوکس‬ ‫ویرایش‬ ‫به‬ ‫توجه‬ ‫با‬ ‫البته‬ ‫که‬ ‫دارند‬ ‫قرار‬
‫باشد‬ ‫متفاوت‬ ‫تواند‬ ‫می‬ ‫استفاده‬.‫استفاده‬ ‫زیر‬ ‫دستورات‬ ‫از‬ ‫توانید‬ ‫می‬ ‫مربوطه‬ ‫های‬ ‫ل گ‬ ‫مشاهده‬ ‫برای‬
‫فرمائید‬:
tail -f /var/log/messages
grep --color 'IP SPOOF' /var/log/messages
‫سوکت‬ ‫قابلیت‬ ‫از‬ ‫توان‬ ‫می‬ ‫فایل‬ ‫ل گ‬ ‫شدن‬ ‫حجیم‬ ‫از‬ ‫جلوگیری‬ ‫برای‬-m‫کمک‬ ‫به‬ ‫که‬ ‫کرد‬ ‫استفاده‬ ‫دستور‬ ‫در‬
‫هر‬ ‫در‬ ‫مثال‬ ‫برای‬ ‫که‬ ‫نمود‬ ‫تنظیم‬ ‫توان‬ ‫می‬ ‫آن‬5‫از‬ ‫بیش‬ ‫دقیقه‬7‫در‬ ‫را‬ ‫مورد‬‫ننماید‬ ‫ذخیره‬ ‫ل گ‬:
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -m limit --limit 5/m --limit-burst 7 -j LOG --log-prefix
"IP_SPOOF A: "
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP
9.‫شویم؟‬ ‫آگاه‬ ‫شبکه‬ ‫روی‬ ‫بر‬ ‫فایروال‬ ‫توسط‬ ‫پورت‬ ‫یک‬ ‫بودن‬ ‫بسته‬ ‫یا‬ ‫باز‬ ‫از‬ ‫چگونه‬
‫فرمایئد‬ ‫استفاده‬ ‫زیر‬ ‫دستور‬ ‫از‬ ‫توانید‬ ‫می‬ ‫پورت‬ ‫نبودن‬ ‫و‬ ‫بودن‬ ‫باز‬ ‫از‬ ‫آگاهی‬ ‫برای‬:
Iptables(18) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

19. netstat -tulpn
‫پورت‬ ‫پورت‬ ‫آیا‬ ‫اینکه‬ ‫از‬ ‫اطلع‬ ‫برای‬tcp 80‫فرمایید‬ ‫استفاده‬ ‫زیر‬ ‫دستور‬ ‫از‬ ‫خیر‬ ‫یا‬ ‫است‬ ‫باز‬:
netstat -tulpn | grep :80
‫پورت‬ ‫اگر‬80‫نمائید‬ ‫وارد‬ ‫را‬ ‫زیر‬ ‫دستور‬ ‫نبود‬ ‫باز‬:
service httpd start
‫پورت‬ ‫که‬ ‫یابید‬ ‫اطمینان‬ ‫زیر‬ ‫دستور‬ ‫کمک‬ ‫به‬80‫است‬ ‫نشده‬ ‫بسته‬ ‫فایروال‬ ‫روی‬ ‫بر‬:
iptables -L INPUT -v -n | grep 80
‫فرمایئد‬ ‫استفاده‬ ‫زیر‬ ‫دستور‬ ‫از‬ ‫توانید‬ ‫می‬ ‫بود‬ ‫مسدود‬ ‫صورتیکه‬ ‫در‬:
iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT
service iptables save
10.‫فایروال‬ ‫کردن‬ ‫فعال‬ ‫غیر‬:
‫هایصلی‬ ‫سرویس‬ ‫صحیح‬ ‫کارکرد‬ ‫از‬ ‫مانع‬ ‫فایروال‬ ‫یا‬ ‫و‬ ‫هستید‬ ‫روبرو‬ ‫فایروال‬ ‫به‬ ‫دسترسی‬ ‫در‬ ‫مشکلی‬ ‫با‬ ‫اگر‬
‫نمائید‬ ‫خاموش‬ ‫را‬ ‫فایروال‬ ‫زیر‬ ‫دستورات‬ ‫کمک‬ ‫به‬ ‫توانید‬ ‫می‬ ‫است‬ ‫شده‬ ‫شما‬ ‫سرور‬.‫دستور‬ ‫از‬ ‫استفاده‬ ‫با‬
Iptables(19) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

20. ‫نمی‬ ‫فعال‬ ‫مجدد‬ ‫فایروال‬ ‫و‬ ‫ماند‬ ‫خواهد‬ ‫باقی‬ ‫منوال‬ ‫همین‬ ‫به‬ ‫وضعیت‬ ‫سرور‬ ‫ریستارت‬ ‫از‬ ‫پس‬ ‫نیز‬ ‫دوم‬
‫مانند‬ ‫جانبی‬ ‫افزار‬ ‫نرم‬ ‫از‬ ‫شما‬ ‫آنکه‬ ‫مگر‬ ،‫گردد‬csf‫فعال‬ ‫مجدد‬ ‫فایروال‬ ‫ترتیب‬ ‫بدین‬ ‫که‬ ‫باشید‬ ‫کرده‬ ‫استفاده‬
‫داشت‬ ‫نخواهد‬ ‫شدن‬ ‫غیرفعال‬ ‫قابلیت‬ ‫شکل‬ ‫بدین‬ ‫و‬ ‫گردد‬ ‫می‬:
service iptables stop
chkconfig iptables off
‫با‬ ‫بیشتر‬ ‫آشنایی‬ ‫برای‬iptables‫مطالعه‬ ‫و‬manual‫فرمائید‬ ‫استفاده‬ ‫زیر‬ ‫دستور‬ ‫از‬ ‫توانید‬ ‫می‬ ‫آن‬ ‫های‬:
man iptables
‫بود‬ ‫خواهد‬ ‫استفاده‬ ‫قابل‬ ‫زیر‬ ‫دستور‬ ‫آن‬ ‫راهنمای‬ ‫مشاهده‬ ‫برای‬:
iptables -h
‫فرمائید‬ ‫استفاده‬ ‫زیر‬ ‫سینتکس‬ ‫نیز‬ ‫هستید‬ ‫خاص‬ ‫دستور‬ ‫یک‬ ‫برای‬ ‫تنها‬ ‫فایروال‬ ‫راهنمای‬ ‫بدنبال‬ ‫اگر‬:
iptales -j DROP -h
Iptables(20) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

21. ‫دستور‬‫توضیح‬
# iptables -t filter -L‫دهد‬ ‫می‬ ‫نمایش‬ ‫را‬ ‫شدن‬ ‫فیلتر‬ ‫جدول‬ ‫زنجیرهای‬ ‫تمام‬
# iptables -t nat -L‫جدول‬ ‫های‬ ‫زنجیر‬ ‫تمام‬nat‫دهد‬ ‫می‬ ‫نمایش‬ ‫را‬
# iptables -t filter -F‫کند‬‫می‬ ‫پاک‬ ‫شدن‬ ‫فیلتر‬ ‫جدول‬ ‫از‬ ‫را‬ ‫شروط‬ ‫و‬ ‫قوانین‬ ‫تمام‬
# iptables -t nat -F‫جدول‬ ‫از‬ ‫را‬ ‫شروط‬ ‫و‬ ‫قوانین‬ ‫تمام‬nat‫کند‬‫می‬ ‫پاک‬
# iptables -t filter -X‫کند‬‫می‬ ‫پاک‬ ‫را‬ ‫باشد‬ ‫شده‬ ‫درست‬ ‫کاربر‬ ‫توسط‬ ‫که‬ ‫را‬ ‫زنجیری‬ ‫هر‬
# iptables -t filter -A INPUT -p tcp --dport telnet -j
ACCEPT
‫اتصالت‬ ‫ی‬‫اجازه‬telnet‫دهد‬‫می‬ ‫ورودی‬ ‫به‬ ‫را‬
# iptables -t filter -A OUTPUT -p tcp --dport http -j
DROP
‫اتصالت‬HTTP‫کنند‬‫می‬ ‫قطع‬ ‫را‬ ‫خروجی‬ ‫به‬
# iptables -t filter -A FORWARD -p tcp --dport pop3 -j
ACCEPT
‫اتصالت‬ ‫ی‬‫اجازه‬POP3‫زنجیر‬ ‫به‬ ‫را‬forward‫دهد‬‫می‬
# iptables -t filter -A INPUT -j LOG --log-prefix‫ورودی‬ ‫ی‬ ‫رشته‬ ‫بروی‬ ‫اتفاقات‬ ‫ثبت‬
# iptables -t nat -A POSTROUTING -o eth0 -j
MASQUERADE
‫پیکربندی‬PAT‫از‬ ‫خروجی‬ ‫های‬ ‫بسته‬ ‫بروی‬eth0
# iptables -t nat -A PREROUTING -d 192.168.0.1 -p tcp
-m tcp --dport 22 -j DNAT --to-destination 10.0.0.2:22
‫میزبان‬ ‫به‬ ‫میزبان‬ ‫یک‬ ‫به‬ ‫شده‬ ‫دهی‬ ‫آدرس‬ ‫های‬ ‫بسته‬ ‫مجدد‬ ‫هدایت‬
‫دیگر‬
‫ترتیب‬ ‫به‬ ‫زیر‬ ‫های‬ ‫دستور‬LOG‫فایل‬ ‫در‬ ‫را‬ ‫هایی‬var/log/message/‫خروجی‬ ‫های‬ ‫دسترسی‬ ‫برای‬)
Outgoing Access(‫ورودی‬ ‫های‬ ‫دسترسی‬ ‫و‬)Incoming Access(‫پورت‬ ‫به‬21‫پروتکل‬ ‫و‬tcp)‫پروتکل‬ftp(
‫مبدای‬ ‫هر‬ ‫از‬)‫توسط‬ ‫شده‬ ‫داده‬ ‫نشان‬s- 0/0(‫کنند‬ ‫می‬ ‫ثبت‬.log–prefix‫اینجا‬ ‫در‬ ‫که‬ ‫خاص‬ ‫رشته‬ ‫یک‬ ‫یعنی‬
:>FTP‫کند‬ ‫می‬ ‫اضافه‬ ‫پیام‬ ‫ابتدای‬ ‫به‬ ‫را‬ ‫است‬.
”:>iptables -A OUTPUT -p tcp -s 0/0 –dport 21 -j LOG –log-prefix “FTP
”:>iptables -A INPUT -p tcp -s 0/0 –dport 21 -j LOG –log-prefix “FTP
•‫کار‬ ‫همان‬ ‫زیر‬ ‫های‬ ‫دستور‬LOG‫پروتکل‬ ‫برای‬ ‫را‬ ‫بال‬icmp‫دستور‬ ‫یا‬ping‫فایل‬ ‫در‬
var/log/message/‫کنند‬ ‫می‬ ‫ثبت‬.
”:>iptables -A OUTPUT -p icmp -j LOG --log-prefix “PING
”:>iptables -A INPUT -p icmp -j LOG --log-prefix “PING
Iptables(21) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

22. ‫عنوان‬ ‫به‬ ‫لینوکسی‬ ‫ماشین‬ ‫تنظیم‬NAT
NAT‫مخفف‬Network Address Translate‫شبکه‬ ‫درون‬ ‫خصوصی‬ ‫های‬ ‫آدرس‬ ‫دسترسی‬ ‫برای‬LAN‫است‬ ‫اینترنت‬ ‫به‬.‫هر‬ ‫معمول‬ ‫طور‬ ‫به‬
‫شبکه‬ ‫کارت‬LAN‫آدرس‬ ‫یا‬ ‫عمومی‬ ‫آدرس‬ ‫یک‬ ‫دارای‬ ‫باید‬Valid‫باشد‬ ‫داشته‬ ‫دسترسی‬ ‫اینترنت‬ ‫به‬ ‫بتواند‬ ‫تا‬ ‫باشد‬.‫از‬ ‫توان‬ ‫می‬ ‫اما‬NAT‫و‬
‫کرد‬ ‫استفاده‬ ‫اینترنت‬ ‫به‬ ‫آنها‬ ‫دسترسی‬ ‫برای‬ ‫ها‬ ‫ماشین‬ ‫همه‬ ‫برای‬ ‫عمومی‬ ‫آدرس‬ ‫یک‬.‫ماشین‬ ‫یک‬ ‫حالت‬ ‫این‬ ‫در‬)‫غیره‬ ‫یا‬ ‫ویندوز‬ ،‫لینوکس‬(
‫ننوان‬‫ن‬‫ع‬ ‫ننه‬‫ب‬Router‫ننه‬‫ف‬‫وظی‬NAT‫ننرد‬‫ی‬‫گ‬ ‫ننی‬‫م‬ ‫ننده‬‫ه‬‫ع‬ ‫ننه‬‫ب‬ ‫را‬.‫ننش‬‫ق‬‫ن‬ ‫ننه‬‫ک‬ ‫ننینی‬‫ش‬‫ما‬NAT‫آدرس‬ ‫دو‬ ‫دارای‬ ‫دارد‬ ‫را‬)‫ننبکه‬‫ش‬ ‫ننارت‬‫ک‬ ‫دو‬(‫ننای‬‫ه‬ ‫آدرس‬ ‫ننا‬‫ب‬
‫اسنت‬ ‫عمنومی‬ ‫و‬ ‫خصوصنی‬.‫آدرس‬ ‫ننق‬‫ی‬‫طر‬ ‫از‬ ‫را‬ ‫ایننترنت‬ ‫بنه‬ ‫ننوط‬‫ب‬‫مر‬ ‫هنای‬ ‫درخواسنت‬ ‫محلنی‬ ‫ننبکه‬‫ش‬ ‫درون‬ ‫هنای‬ ‫ننین‬‫ش‬‫ما‬Gateway‫بنه‬ ‫ننود‬‫خ‬
‫ماشین‬NAT‫ماشین‬ ‫و‬ ‫ارسال‬NAT‫مبدا‬ ‫آدرس‬ ‫جایگزین‬ ‫را‬ ‫خود‬ ‫آدرس‬)‫محلنی‬ ‫شنبکه‬ ‫از‬ ‫ننده‬‫ن‬‫کن‬ ‫درخواست‬ ‫ماشین‬ ‫آدرس‬(‫از‬ ‫پنس‬ ‫و‬ ‫ننرده‬‫ک‬
‫دهد‬ ‫می‬ ‫مبدا‬ ‫ماشین‬ ‫تحویل‬ ‫را‬ ‫پاسخ‬ ‫و‬ ‫کرده‬ ‫خود‬ ‫آدرس‬ ‫جایگزین‬ ‫را‬ ‫محلی‬ ‫مبدا‬ ‫ماشین‬ ‫آدرس‬ ،‫اینترنت‬ ‫از‬ ‫پاسخ‬ ‫دریافت‬.
‫سنازی‬ ‫پیناده‬NAT‫توسنط‬iptables‫شنود‬ ‫ننی‬‫م‬ ‫ننام‬‫ج‬‫ان‬.‫جندول‬ ‫از‬ ‫ننن‬‫ی‬‫همچن‬nat‫ننه‬‫ب‬ ‫ننوط‬‫ب‬‫مر‬iptables‫ینا‬ ‫زنجینره‬ ‫ننراه‬‫م‬‫ه‬ ‫بنه‬chains‫آن‬ ‫هنای‬
‫کنیم‬ ‫می‬ ‫استفاده‬. .IP Masquerade‫آنرا‬ ‫که‬IPMASQ‫درون‬ ‫های‬ ‫ماشین‬ ‫به‬ ‫نامند‬ ‫می‬ ‫نیز‬LAN‫آدرس‬ ‫اختصاص‬ ‫بدون‬ ‫تا‬ ‫هد‬ ‫می‬ ‫اجازه‬
‫ماشنین‬ ‫به‬ ‫را‬ ‫خود‬ ‫های‬ ‫درخواست‬ ‫آنها‬ ‫تک‬ ‫تک‬ ‫به‬ ‫عمومی‬NAT‫نند‬‫ن‬‫کن‬ ‫ننال‬‫س‬‫ار‬.IPMASQ server‫ینک‬ ‫نقنش‬Gateway‫ننه‬‫ک‬ ‫نند‬‫ن‬‫ک‬ ‫منی‬ ‫بنازی‬ ‫را‬
‫ننت‬‫س‬‫ا‬ ‫ننی‬‫ل‬‫مح‬ ‫ننبکه‬‫ش‬ ‫ننه‬‫ب‬ ‫ننل‬‫ص‬‫مت‬ ‫ننری‬‫گ‬‫دی‬ ‫و‬ ‫ننترنت‬‫ن‬‫ای‬ ‫ننه‬‫ب‬ ‫ننل‬‫ص‬‫مت‬ ‫ننی‬‫ک‬‫ی‬ ،‫ننبکه‬‫ش‬ ‫ننارت‬‫ک‬ ‫دو‬ ‫دارای‬.‫ننرای‬‫ب‬ ‫ننی‬‫ل‬‫مح‬ ‫ننبکه‬‫ش‬ ‫درون‬ ‫ننای‬‫ه‬ ‫ننتم‬‫س‬‫سی‬ ‫ننامی‬‫م‬‫ت‬
‫پشت‬ ‫در‬ ‫اینترنت‬ ‫به‬ ‫دسترسی‬IPMASQ server‫دارند‬ ‫قرار‬.
‫تفاوت‬SNAT‫و‬IPMASQ‫تنظیم‬ ‫در‬ ‫که‬ ‫است‬ ‫این‬ ‫در‬IPMASQ‫اینترنت‬ ‫به‬ ‫که‬ ‫دیوایسی‬ ‫یا‬ ‫مودم‬ ‫آدرس‬ ‫از‬ ‫ما‬)‫عمومی‬ ‫شبکه‬(‫است‬ ‫متصل‬
‫کنیم‬ ‫می‬ ‫استفاده‬.‫در‬ ‫واقع‬ ‫در‬SNAT‫باشنیم‬ ‫داشنته‬ ‫را‬ ‫عمنومی‬ ‫آدرس‬ ‫ینک‬ ‫بایند‬)‫کنینم‬ ‫خرینداری‬(‫ماشنین‬ ‫شنبکه‬ ‫کنارت‬ ‫روی‬ ‫بنر‬ ‫آننرا‬ ‫و‬NAT
‫کنیم‬ ‫تنظیم‬.‫در‬ ‫اما‬IPMASQ‫ننا‬‫ی‬ ‫اینترنت‬ ‫به‬ ‫متصل‬ ‫دیوایس‬ ‫آدرس‬ ‫از‬outgoing device‫کنینم‬ ‫ننی‬‫م‬ ‫ننتفاده‬‫س‬‫ا‬ ‫منودم‬ ‫ماننند‬) .‫کنه‬ ‫ننی‬‫س‬‫آدر‬ ‫از‬
ISP‫کنیم‬ ‫می‬ ‫استفاده‬ ‫است‬ ‫داده‬ ‫اختصاص‬(.
‫تنظیم‬ ‫چگونگی‬ ‫پست‬ ‫این‬ ‫در‬SNAT‫و‬IPMASQ‫دستور‬ ‫نوسط‬iptables‫شد‬ ‫خواهد‬ ‫گفته‬.‫سازی‬ ‫پیاده‬ ‫برای‬NAT‫نندول‬‫ج‬ ‫از‬ ‫باید‬nat‫از‬
iptables‫کنیم‬ ‫استفاده‬)‫با‬ ‫شده‬ ‫مشخص‬t nat(-‫زنجینره‬ ‫از‬ ‫همچنین‬ ‫و‬POSTROUTING‫جندول‬ ‫از‬nat‫کنینم‬ ‫منی‬ ‫ننتفاده‬‫س‬‫ا‬.‫کنیند‬ ‫تنوجه‬
‫زنجیره‬POSTROUTING‫برای‬SNAT‫و‬IPMASQ‫شود‬ ‫می‬ ‫استفاده‬.‫واقع‬ ‫در‬Role‫به‬ ‫شده‬ ‫داده‬ ‫اختصاص‬ ‫های‬POSTROUTING‫از‬ ‫پس‬
‫شد‬ ‫خواهند‬ ‫انجام‬ ،‫شبکه‬ ‫از‬ ‫بسته‬ ‫ترک‬ ‫از‬ ‫پیش‬ ‫و‬ ‫یابی‬ ‫مسیر‬ ‫های‬ ‫تصمیم‬.
‫تنظیم‬ ‫از‬ ‫پیش‬NAT‫توسط‬iptables‫ویژگی‬ ‫که‬ ‫لزم‬ip_forward‫کنیم‬ ‫فعال‬ ‫را‬.
echo “1” > /proc/sys/net/ipv4/ip_forward
‫تنظیم‬ ‫برای‬IPMASQ‫توسط‬iptables‫کنید‬ ‫استفاده‬ ‫زیر‬ ‫دستور‬ ‫از‬
iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -o eth0 -j MASQUERADE
‫ننال‬‫ب‬ ‫ننتور‬‫س‬‫د‬ ‫در‬nat‫ننت‬‫س‬‫ا‬ ‫نندول‬‫ج‬ ‫ننام‬‫ن‬.‫ننوییچ‬‫س‬t-‫رود‬ ‫ننی‬‫م‬ ‫ننار‬‫ک‬ ‫ننه‬‫ب‬ ‫نندول‬‫ج‬ ‫ننن‬‫ی‬‫تعی‬ ‫ننرای‬‫ب‬.A POSTROUTING-‫ننک‬‫ی‬Role‫ننره‬‫ی‬‫زنج‬ ‫ننرای‬‫ب‬ ‫را‬
POSTROUTING‫کنید‬ ‫می‬ ‫اضافه‬) .Append.(‫سوییچ‬s-‫مبدا‬ ‫های‬ ‫آدرس‬ ‫کننده‬ ‫مشخص‬)‫محلنی‬ ‫شنبکه‬ ‫خصوصنی‬ ‫هنای‬ ‫آدرس‬ ‫همنان‬(‫و‬
‫سوییچ‬o-‫آن‬ ‫روی‬ ‫بنر‬ ‫عمنومی‬ ‫آدرس‬ ‫کنه‬ ‫خروجنی‬ ‫دینوایس‬ ‫کنردن‬ ‫مشنخص‬ ‫برای‬‫تنظینم‬‫اسنت‬ ‫شنده‬.‫بندون‬ ‫زینر‬ ‫دسنتور‬ ‫از‬ ‫تواینند‬ ‫منی‬ ‫ینا‬
‫کنید‬ ‫استفاده‬ ‫مبدا‬ ‫های‬ ‫آدرس‬ ‫تعیین‬
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
‫تنظیم‬ ‫برای‬ ‫همچنین‬SNAT‫کنید‬ ‫استفاده‬ ‫زیر‬ ‫دستور‬ ‫از‬.‫در‬SNAT‫دستور‬ ‫در‬ ‫دستی‬ ‫طور‬ ‫به‬ ‫عمومی‬ ‫های‬ ‫آدرس‬ ‫باید‬iptables‫مشخص‬
‫شوند‬.
iptables -t nat-A POSTROUTING-s 192.168.0.0/24-o eth0-j SNAT–to 4.4.3.27-4.4.3.45
‫تنظیم‬ ‫پس‬ ‫است‬ ‫شده‬ ‫استفاده‬ ‫عمومی‬ ‫آدرس‬ ‫دو‬ ‫بینید‬ ‫می‬ ‫که‬ ‫همانطور‬SNAT‫ننورت‬‫ص‬ ‫به‬Dynamic SNAT‫اسنت‬.‫ننک‬‫ی‬ ‫از‬ ‫توانسنتید‬ ‫ننی‬‫م‬
‫صورت‬ ‫آن‬ ‫در‬ ‫که‬ ‫کنید‬ ‫استفاده‬ ‫عمومی‬ ‫آدرس‬Static SNAT‫شد‬ ‫می‬ ‫تنظیم‬.
Iptables(22) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

23. ICMP)‫مخفف‬Internet Control Message Protocol(‫های‬ ‫پروتکل‬ ‫ترین‬ ‫اصلی‬ ‫از‬ ‫یکی‬TCP/IP‫هاست‬ ‫پیام‬ ‫دریافت‬ ‫و‬ ‫ارسال‬ ‫برای‬.
ICMP‫هایی‬ ‫پیام‬ ‫ارسال‬ ‫جهت‬ ‫تنها‬)‫های‬ ‫بسته‬IP(‫ماشین‬ ‫یک‬ ‫از‬)‫سیستم‬PC‫یا‬Router‫یا‬Mobile Device‫شبکه‬ ‫درون‬ ‫که‬ ‫آنچه‬ ‫هر‬ ‫و‬
LAN‫از‬ ‫و‬ ‫باشد‬ ‫اینترنت‬ ‫یا‬TCP/IP‫کند‬ ‫استفاده‬(‫کنیم‬ ‫می‬ ‫استفاده‬ ‫دیگر‬ ‫ماشین‬ ‫به‬.‫دستور‬ping‫دستور‬ ‫ترین‬ ‫اصلی‬)‫برنامه‬(‫از‬ ‫که‬ ‫ای‬
‫کند‬ ‫می‬ ‫استفاده‬ ‫پروتکل‬ ‫این‬.‫پیام‬ ‫دو‬echo request‫و‬echo reply‫دارند‬ ‫وجود‬ ‫پروتکل‬ ‫این‬ ‫در‬.ping‫های‬ ‫پیام‬ ‫توسط‬echo request
‫با‬ ‫دیگر‬ ‫سمت‬ ‫و‬ ‫فرستاده‬ ‫دیگر‬ ‫ماشین‬ ‫به‬ ‫پیامی‬echo reply‫دهد‬ ‫می‬ ‫پاسخ‬.‫دهد‬ ‫می‬ ‫نشان‬ ‫بیشتری‬ ‫اطلعات‬ ‫زیر‬ ‫شکل‬.
ICMP‫شود‬ ‫می‬ ‫استفاده‬ ‫شبکه‬ ‫درون‬ ‫مشکلت‬ ‫رفع‬ ‫منظور‬ ‫به‬ ‫و‬ ‫است‬ ‫پورت‬ ‫شماره‬ ‫فاقد‬ ‫که‬ ‫است‬ ‫پروتکلی‬ ‫تنها‬.‫زیر‬ ‫قانون‬ ‫سه‬
‫در‬iptables‫چیز‬ ‫همه‬ ‫که‬ ‫هستند‬ ‫این‬ ‫معرف‬DROP‫شوند‬.‫شود‬ ‫می‬ ‫وارد‬ ‫که‬ ‫بسته‬ ‫هر‬ ‫یعنی‬)INPUT Chain(‫می‬ ‫خارج‬ ‫که‬ ‫ای‬ ‫بسته‬ ‫هر‬ ‫و‬
‫شود‬)OUTPUT Chain(‫خواهد‬ ‫می‬ ‫که‬ ‫ای‬ ‫بسته‬ ‫هر‬ ‫و‬Forward‫شود‬)FORWARD Chain(‫باید‬DROP‫تعیین‬ ‫ما‬ ‫که‬ ‫آنهایی‬ ‫جز‬ ‫به‬ ‫شوند‬
‫کنیم‬ ‫می‬.
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
‫های‬ ‫بسته‬ ‫تنها‬ ‫خواهیم‬ ‫می‬ ‫ولی‬ ‫شود‬ ‫می‬ ‫فیلتر‬ ‫چیز‬ ‫همه‬ ‫قانون‬ ‫سه‬ ‫این‬ ‫با‬ ‫که‬ ‫است‬ ‫این‬ ‫اصلی‬ ‫مشکل‬ICMP‫کنیم‬ ‫فیلتر‬ ‫را‬.‫توجه‬ ‫باید‬
‫کردن‬ ‫دفیلتر‬ ‫که‬ ‫داشت‬ICMP‫های‬ ‫پیام‬ ‫که‬ ‫است‬ ‫صورت‬ ‫این‬ ‫به‬echo request‫و‬ ‫خروجی‬echo reply‫های‬ ‫بسته‬ ‫همچنین‬ ‫و‬ ‫ورودی‬
echo request‫و‬ ‫ورودی‬echo reply‫کنیم‬ ‫فیلتر‬ ‫باید‬ ‫را‬ ‫خروجی‬.
‫های‬ ‫پیام‬ ‫زیر‬ ‫دستور‬echo request‫های‬ ‫پیام‬ ‫و‬ ‫ورودی‬echo reply‫کند‬ ‫می‬ ‫فیلتر‬ ‫را‬ ‫خروجی‬.
iptables -A INPUT -p icmp –icmp-type 8 -s 0/0 -d 192.168.1.4 -m state –state NEW,ESTABLISHED -j
DROP
iptables -A OUTPUT -p icmp –icmp-type 0 –s 192.168.1.3 -d 0/0 -m state –state ESTABLISHED -j
DROP
‫سوئیچ‬p-‫در‬ ‫پروتکل‬ ‫تعیین‬ ‫برای‬iptables‫مقادیر‬ ‫از‬ ‫یکی‬ ‫که‬ ‫شود‬ ‫می‬ ‫استفاده‬TCP,UDP‫و‬ICMP‫بگیرد‬ ‫تواند‬ ‫می‬ ‫را‬.‫در‬ ‫همچنین‬
‫سوئیچ‬ ‫جلوی‬icmp-type–‫عدد‬ ‫دو‬ ‫از‬0‫و‬8‫معادل‬ ‫از‬ ‫عدد‬ ‫بجای‬ ‫توانید‬ ‫می‬ ‫و‬ ‫اند‬ ‫شده‬ ‫داده‬ ‫نشان‬ ‫بال‬ ‫جدول‬ ‫در‬ ‫که‬ ‫شده‬ ‫استفاده‬
‫کنید‬ ‫استفاده‬ ‫آنها‬ ‫حروفی‬.0/0‫شبکه‬ ‫درون‬ ‫آدرسی‬ ‫هر‬ ‫از‬ ‫یعنی‬.‫های‬ ‫موردپیام‬ ‫در‬ ‫زیر‬ ‫دستور‬echo request‫و‬echo reply‫عکس‬
‫باشد‬ ‫می‬ ‫بال‬ ‫دستور‬.
iptables -A OUTPUT -p icmp –icmp-type 8 -s 192.168.1.3 -d 0/0 -m state –state NEW,ESTABLISHED -j
DROP
iptables -A INPUT -p icmp –icmp-type 0 -s 0/0 -d 192.168.1.4 -m state –state ESTABLISHED -j DROP
4‫شود‬ ‫می‬ ‫اجرا‬ ‫است‬ ‫شده‬ ‫گرفته‬ ‫نظر‬ ‫در‬ ‫فایروال‬ ‫بعنوان‬ ‫که‬ ‫ماشینی‬ ‫در‬ ‫بال‬ ‫خط‬)‫هستند‬ ‫مشخص‬ ‫مقصد‬ ‫و‬ ‫مبدا‬ ‫های‬ ‫ماشین‬.(‫فرض‬
‫ماشین‬ ‫خواهید‬ ‫می‬ ‫ای‬ ‫شبکه‬ ‫در‬ ‫کنید‬192.168.1.4‫ماشین‬ ‫از‬ ‫فقط‬ ‫و‬ ‫فقط‬192.168.1.3‫دستور‬ping‫به‬ ‫ماشینی‬ ‫روی‬ ‫وقتی‬ ‫یعنی‬ ‫شود‬
‫آدرس‬192.168.1.5‫دستور‬ping 192.168.1.4‫جلوی‬ ‫کنیم‬ ‫اجرا‬ ‫را‬ping‫ماشین‬ ‫از‬ ‫ولی‬ ‫شود‬ ‫گرفته‬ ‫کردن‬192.168.1.3‫دستور‬ ‫بتوانیم‬
ping 192.168.1.4‫کنیم‬ ‫راددریافت‬ ‫پاسخ‬ ‫و‬ ‫انجام‬ ‫را‬.‫باید‬ ‫اینکار‬ ‫برای‬4‫آدرس‬ ‫با‬ ‫ماشین‬ ‫در‬ ‫را‬ ‫زیر‬ ‫خط‬192.168.1.4‫بنویسیم‬.
iptables -A INPUT -p icmp –icmp-type 8 -s 192.168.1.3 -m state –state NEW,ESTABLISHED -j ACCESS
iptables -A OUTPUT -p icmp –icmp-type 0 –s 192.168.1.3 -m state –state ESTABLISHED -j ACCESS
iptables -A OUTPUT -p icmp –icmp-type 8 -s 192.168.1.3 -m state –state NEW,ESTABLISHED
-j ACCESS
iptables -A INPUT -p icmp –icmp-type 0 -s 192.168.1.3 -m state –state ESTABLISHED -j ACCESS
Iptables(23) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

24. ‫که‬ ‫فرضی‬ ‫پیش‬ ‫فایل‬iptables‫کند‬ ‫می‬ ‫استفاده‬ ‫قوانین‬ ‫سازی‬ ‫ذخیره‬ ‫برای‬ ‫آن‬ ‫از‬etc/sysconfig/iptables‫فایروال‬ ‫است‬. /
‫دارند‬ ‫نظارت‬ ‫سیستم‬ ‫دو‬ ‫مابین‬ ‫ارسالی‬ ‫های‬ ‫بسته‬ ‫بر‬ ‫که‬ ‫هستند‬ ‫قوانین‬ ‫ای‬ ‫مجموعه‬ ‫ها‬.
‫دستور‬ ‫از‬ ‫استفاده‬ ‫مثال‬ ‫یک‬iptables‫است‬ ‫زیر‬ ‫بصورت‬.
iptables -A chain -j target
‫در‬iptables‫است‬ ‫زیر‬ ‫شده‬ ‫تعریف‬ ‫قبل‬ ‫از‬ ‫جدول‬ ‫سه‬:
•filter‫سوئیچ‬ ‫از‬ ‫استفاده‬ ‫با‬ ‫است‬ ‫فرض‬ ‫پیش‬ ‫جدول‬ ‫ارسالی‬ ‫های‬ ‫بسته‬ ‫بر‬ ‫کردن‬ ‫محدود‬ ‫و‬ ‫کنترل‬ ‫برای‬. . :t‫از‬ -
‫دستور‬iptables‫سوئیچ‬ ‫اگر‬ ‫کنیم‬ ‫می‬ ‫تعیین‬ ‫را‬ ‫جدول‬.t‫فرض‬ ‫پیش‬ ‫بصورت‬ ،‫نشود‬ ‫استفاده‬ ‫جدول‬ ‫تعیین‬ ‫برای‬ -
‫جدول‬filter‫شود‬ ‫می‬ ‫تعیین‬.
•nat‫سازی‬ ‫پیاده‬ ‫برای‬ :nat
•mangle‫یا‬ ‫گذاری‬ ‫نشانه‬ ‫برای‬ :mangling‫شبکه‬ ‫در‬ ‫بسته‬ ‫یک‬ ‫کردن‬.
iptables‫قالب‬ ‫در‬ ‫که‬ ‫قوانین‬ ‫از‬ ‫ای‬ ‫مجموعه‬chain‫نند‬‫ن‬‫چ‬ ‫ننا‬‫ی‬ ‫ننک‬‫ی‬ ‫ننامل‬‫ش‬ ‫ننر‬‫ی‬‫زنج‬ ‫هر‬ ‫شوند‬ ‫می‬ ‫سازی‬ ‫پیاده‬ ‫ها‬.Rule‫انون‬ ‫ق‬ ‫ا‬‫ی‬
‫یا‬ ‫جدول‬ ‫قالب‬ ‫در‬ ‫ها‬ ‫زنجیره‬ ‫است‬.Table‫ننه‬‫س‬ ‫ننت‬‫س‬‫ا‬ ‫ننده‬‫ش‬ ‫ننکیل‬‫ش‬‫ت‬ ‫ننره‬‫ی‬‫زنج‬ ‫نندادی‬‫ع‬‫ت‬ ‫از‬ ‫جدول‬ ‫هر‬ ‫شوند‬ ‫می‬ ‫بندی‬ ‫دسته‬ ‫ها‬. .
‫را‬ ‫ننرض‬‫ف‬ ‫ننش‬‫ی‬‫پ‬ ‫ننای‬‫ه‬ ‫زنجیره‬ ‫و‬ ‫جدول‬ ‫توان‬ ‫نمی‬ ‫که‬ ‫کنید‬ ‫توجه‬ ‫هستند‬ ‫زیر‬ ‫های‬ ‫زنجیر‬ ‫دارای‬ ‫شده‬ ‫گفته‬ ‫فرض‬ ‫پیش‬ ‫جدول‬.
‫ساختار‬ ‫کرد‬ ‫پاک‬.iptables‫است‬ ‫زیر‬ ‫بصورت‬.
iptables -> Tables -> Chains -> Rules
‫جدول‬ ‫های‬ ‫زنجیره‬filter
•INPUT‫شود‬ ‫می‬ ‫استفاده‬ ‫مقصد‬ ‫یک‬ ‫از‬ ‫سیستم‬ ‫به‬ ‫ورودی‬ ‫های‬ ‫بسته‬ ‫برای‬. :
•OUTPUT‫شود‬ ‫می‬ ‫استفاده‬ ‫مقصد‬ ‫یک‬ ‫به‬ ‫سیستم‬ ‫از‬ ‫خروجی‬ ‫های‬ ‫بسته‬ ‫برای‬. :
•FORWARD‫واسطه‬ ‫به‬ ‫ها‬ ‫بسته‬ ‫ارسال‬ ‫برای‬ :NAT‫شود‬ ‫می‬ ‫استفاده‬.
‫جدول‬ ‫های‬ ‫زنجیره‬nat
•PREROUTING‫از‬ ‫پیش‬ :Routing‫ماشین‬ ‫یک‬ ‫از‬ ‫بسته‬ ‫یک‬ ‫که‬ ‫زمانی‬ ‫دهد‬ ‫می‬ ‫تغییر‬ ‫را‬ ‫آنها‬ ‫ها‬ ‫بسته‬ ‫مسیریابی‬. ( )
‫در‬ ‫معمولن‬ ‫که‬ ‫داد‬ ‫تغییر‬ ‫را‬ ‫مقصد‬ ‫آدرس‬ ‫توان‬ ‫می‬ ‫رسد‬ ‫می‬ ‫محلی‬DNAT‫شوند‬ ‫می‬ ‫استفاده‬.
•OUTPUT‫زنجیره‬ ‫در‬ ‫قانون‬ ‫که‬ ‫ماشین‬ ‫محلی‬ ‫ماشین‬ ‫در‬ ‫شده‬ ‫تولید‬ ‫های‬ ‫بسته‬) :OUTPUT‫شده‬ ‫تعریف‬ ‫آن‬ ‫در‬(
‫دهد‬ ‫می‬ ‫تغییر‬ ‫ارسال‬ ‫از‬ ‫پیش‬.
•POSTROUTING‫از‬ ‫پس‬ :Routing‫کند‬ ‫می‬ ‫ترک‬ ‫را‬ ‫سیستم‬ ‫بسته‬ ‫که‬ ‫زمانی‬ ‫مانند‬ ‫دهد‬ ‫می‬ ‫تغییر‬ ‫آنرا‬ ،‫بسته‬. .
‫که‬ ‫سیستمی‬ ‫)منظو‬NAT‫دارد‬ ‫قرار‬ ‫آن‬ ‫روی‬.(
‫جدول‬ ‫های‬ ‫زنجیره‬mangle
•PREROUTING
•OUTPUT
•FORWARD
•INPUT
Iptables(24) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

25. •POSTROUTIN
‫سوئیج‬A‫برای‬ -Append‫از‬ ‫ننس‬‫پ‬ ‫ننود‬‫ش‬ ‫ننی‬‫م‬ ‫استفاده‬ ‫جدول‬ ‫انتهای‬ ‫به‬ ‫قانون‬ ‫کردن‬.Append‫ت‬‫لیس‬ ‫ای‬‫انته‬ ‫ه‬‫ب‬ ‫انون‬‫ق‬ ‫ردن‬‫ک‬
‫ننوئیچ‬‫س‬ ‫شنود‬ ‫منی‬ ‫ننده‬‫ن‬‫خوا‬ ‫ننایین‬‫پ‬ ‫ننه‬‫ب‬ ‫بنال‬ ‫از‬ ‫لیسنت‬ ‫اینن‬ ‫ننته‬‫س‬‫ب‬ ‫ننک‬‫ی‬ ‫ورود‬ ‫هنگنام‬ ‫ننه‬‫ب‬ ‫و‬ ‫شنده‬ ‫ننافه‬‫ض‬‫ا‬ ‫جندول‬ ‫در‬ ‫قنوانین‬.j‫رای‬‫ب‬ -
‫تعیین‬target‫برای‬Rule‫سه‬ ‫شود‬ ‫می‬ ‫استفاده‬.target‫در‬ ‫زیر‬iptables‫دارد‬ ‫وجود‬:
•ACCEPT‫کند‬ ‫می‬ ‫قبول‬ ‫آنرا‬ ‫فایروال‬ ،‫کند‬ ‫پیدا‬ ‫تطلبیق‬ ‫قانونی‬ ‫با‬ ‫بسته‬ ‫اگر‬ ‫کند‬ ‫می‬ ‫دریافت‬ ‫را‬ ‫بسته‬. . :
•DROP‫اندازد‬ ‫می‬ ‫بیرون‬ ‫را‬ ‫بسته‬ ‫آن‬ ‫مبدا‬ ‫به‬ ‫پیغامی‬ ‫هیچ‬ ‫بدون‬ ‫فایروال‬ ،‫کند‬ ‫پیدا‬ ‫تطبیق‬ ‫قانون‬ ‫با‬ ‫ای‬ ‫بسته‬ ‫اگر‬. :
•REJECT‫مانند‬ :DROP‫کند‬ ‫می‬ ‫ارسال‬ ‫بسته‬ ‫فرستنده‬ ‫به‬ ‫خطا‬ ‫پیغام‬ ‫یک‬ ‫ولی‬ ‫اندازد‬ ‫می‬ ‫بیرون‬ ‫را‬ ‫بسته‬.
‫پراستفاده‬ ‫های‬ ‫سوئیچ‬
A‫برای‬ : -Append‫سوئیچ‬ ‫با‬ ‫شده‬ ‫تعیین‬ ‫جدول‬ ‫در‬ ‫زنجیره‬ ‫انتهای‬ ‫به‬ ‫قانون‬ ‫یک‬ ‫کردن‬t-
D‫اضافه‬ ‫زنجیره‬ ‫به‬ ‫که‬ ‫قانونی‬ ‫خط‬ ‫همان‬ ‫عینن‬ ‫باید‬ ‫دارد‬ ‫وجود‬ ‫آن‬ ‫در‬ ‫قانون‬ ‫که‬ ‫ای‬ ‫زنجیره‬ ‫از‬ ‫قانون‬ ‫یک‬ ‫حذف‬ ‫برای‬. : -
‫بنویسید‬ ‫شدن‬ ‫پاک‬ ‫برای‬ ‫را‬ ‫کردید‬.
I‫برای‬ : -Insert‫شود‬ ‫می‬ ‫استفاده‬ ‫زنجیره‬ ‫به‬ ‫قانون‬ ‫کردن‬.
R‫برای‬ : -Replace‫شود‬ ‫می‬ ‫استفاده‬ ‫زنجیره‬ ‫به‬ ‫قانون‬ ‫کردن‬.
L‫شود‬ ‫می‬ ‫استفاده‬ ‫زنجیره‬ ‫تمامی‬ ‫یا‬ ‫خاص‬ ‫زنجیره‬ ‫یک‬ ‫های‬ ‫قانون‬ ‫کردن‬ ‫لیست‬ ‫برای‬. : -
iptables -L CHAIN_NAME
iptables -L CHAIN_NAME -t TABLE_NAME
‫زنجیره‬ ‫در‬ ‫شده‬ ‫تعریف‬ ‫قوانین‬ ‫تمامی‬ ‫زیر‬ ‫مثال‬INPUT‫جدول‬ ‫از‬filter‫دهد‬ ‫می‬ ‫نشان‬ ‫را‬.
iptables -L INPUT -t filter
‫خروجی‬:
‫خط‬ ‫در‬ ‫مثال‬ ‫بطور‬icmp‫از‬ ‫منظور‬ ‫است‬ ‫شده‬ ‫داده‬ ‫مقصدی‬ ‫هر‬ ‫به‬ ‫منبعی‬ ‫هر‬ ‫از‬ ‫ها‬ ‫بسته‬ ‫ارسال‬ ‫اجازه‬.anywhere‫شاید‬ ‫اینکه‬ ‫مقصد‬ ‫در‬
‫تعریف‬ ‫قوانین‬ ‫فهرست‬ ‫زیر‬ ‫های‬ ‫دستور‬ ‫از‬ ‫استفاده‬ ‫با‬ ‫باشد‬ ‫داشته‬ ‫وجود‬ ‫شده‬ ‫تنظیم‬ ‫فایروالش‬ ‫که‬ ‫ماشینی‬ ‫روی‬ ‫شبکه‬ ‫کارت‬ ‫چندین‬.
‫جداول‬ ‫های‬ ‫زنجیره‬ ‫تمامی‬ ‫در‬ ‫شده‬filter,nat‫و‬mangle‫شود‬ ‫می‬ ‫داده‬ ‫نشان‬:
iptables -t filter -L
iptables -t nat -L
Iptables(25) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

26. iptables -t mangle -L
N‫یا‬ ‫زنجیره‬ ‫یک‬ ‫تعیین‬ ‫برای‬ : -Chain‫شود‬ ‫می‬ ‫استفاده‬ ‫جدید‬.
‫دستور‬ ‫های‬ ‫سوئیچ‬ ‫از‬ ‫بیشتر‬ ‫اطلع‬ ‫برای‬iptables‫کنید‬ ‫اجرا‬ ‫فرمان‬ ‫خط‬ ‫در‬ ‫را‬ ‫زیر‬ ‫دستور‬.
iptables -h
‫سوئیچ‬ ‫با‬ ‫همچنین‬V‫نسخه‬ -iptables‫شود‬ ‫می‬ ‫داده‬ ‫نشان‬.
iptables -V
iptables v1.4.7
‫ییش‬‫ی‬‫پ‬ ‫ییای‬‫ه‬ ‫ییره‬‫ی‬‫زنج‬ ‫ییام‬‫ن‬ ‫و‬ ‫ییک‬‫چ‬‫کو‬ ‫ییروف‬‫اح‬ ‫ییا‬‫ب‬ ‫ییرض‬‫ف‬ ‫ییش‬‫ی‬‫پ‬ ‫ییدول‬‫ج‬ ‫ییه‬‫س‬ ‫ییام‬‫ن‬ ‫ییه‬‫ک‬ ‫یید‬‫ی‬‫کن‬ ‫ییت‬‫ق‬‫د‬
‫یییت‬‫س‬‫ا‬ ‫یییزرگ‬‫ب‬ ‫یییروف‬‫اح‬ ‫یییا‬‫ب‬ ‫یییرض‬‫ف‬.iptables‫یییت‬‫س‬‫ا‬ ‫یییاس‬‫س‬‫اح‬ ‫یییا‬‫ه‬ ‫یییام‬‫ن‬ ‫یییی‬‫گ‬‫بزر‬ ‫و‬ ‫یییوچکی‬‫ک‬ ‫یییه‬‫ب‬.
‫جز‬ ‫به‬ ‫ها‬ ‫سوئیچ‬ ‫تمامی‬ ‫همچنین‬j‫و‬ -t‫هستند‬ ‫بزرگ‬ ‫احروف‬ ‫با‬. -
Iptables(26) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬

27. ‫برای‬ ‫فایروال‬ ‫کاربرد‬ ‫ترین‬ ‫اصلی‬Packet Filtering‫در‬ ‫که‬ ‫است‬iptables‫جدول‬ ‫توسط‬filter‫یعنی‬ ‫آن‬ ‫زنجیره‬ ‫سه‬ ‫و‬
INPUT,OUTPUT‫و‬FORWARD‫از‬ ‫استفاده‬ ‫کلی‬ ‫شکل‬ ‫شود‬ ‫می‬ ‫انجام‬.iptables‫توجه‬ ‫است‬ ‫زیر‬ ‫های‬ ‫صورت‬ ‫از‬ ‫یکی‬ ‫به‬.
‫در‬ ‫اصلی‬ ‫جدول‬ ‫سه‬ ‫نام‬ ‫که‬ ‫کنید‬iptables‫شوند‬ ‫می‬ ‫نوشته‬ ‫بزر گ‬ ‫حروف‬ ‫با‬ ‫آن‬ ‫های‬ ‫زنجیره‬ ‫نام‬ ‫و‬ ‫کوچک‬ ‫حروف‬ ‫با‬.
iptables [-t table] {-A|-D} chain rule-specification
iptables [-t table] -I chain [rulenum] rule-specification
iptables [-t table] -R chain rulenum rule-specification
iptables [-t table] -D chain rulenum
]iptables [-t table] -S [chain] [rulenum
]iptables [-t table] {-F|-L|-Z} [chain] [rulenum] [options
iptables [-t table] -N chain
]iptables [-t table] -X [chain
iptables [-t table] -P chain target
iptables [-t table] -E old-chain-name new-chain-name
‫دارای‬ ‫زنجیره‬ ‫هر‬Policy‫را‬ ‫ا‬‫ه‬ ‫ته‬‫بس‬ ‫امی‬‫تم‬ ‫رض‬‫ف‬ ‫ش‬‫پی‬ ‫ورت‬‫بص‬ ‫ا‬‫ی‬ ‫ه‬‫ک‬ ‫است‬ ‫فرضی‬ ‫پیش‬ ‫سیاست‬ ‫یا‬ACCEPT‫و‬ ‫د‬‫کن‬ ‫ی‬‫م‬
‫ینا‬ ‫قنوانین‬ ‫طبنق‬Rule‫را‬ ‫ه‬‫بقی‬ ‫ایی‬‫ه‬DROP‫درون‬ ‫ننره‬‫ی‬‫زنج‬ ‫ننوانین‬‫ق‬ ‫از‬ ‫یکنی‬ ‫بنا‬ ‫و‬ ‫ننود‬‫ش‬ ‫وارد‬ ‫ای‬ ‫ننته‬‫س‬‫ب‬ ‫اگنر‬ ‫ننی‬‫ن‬‫یع‬ ‫ننن‬‫ی‬‫ا‬ ‫نند‬‫ن‬‫ک‬ ‫منی‬.
،‫نند‬‫ش‬‫با‬ ‫ننته‬‫ش‬‫ندا‬ ‫ننبیق‬‫ط‬‫ت‬ ‫نندول‬‫ج‬ACCEPT،‫د‬ ‫باش‬ ‫ته‬ ‫داش‬ ‫ق‬ ‫تطبب‬ ‫ره‬ ‫زنجی‬ ‫وانین‬ ‫ق‬ ‫از‬ ‫ی‬ ‫یک‬ ‫ا‬ ‫ب‬ ‫ر‬ ‫اگ‬ ‫و‬ ‫ود‬ ‫ش‬ ‫ی‬ ‫م‬DROP‫ننود‬‫ش‬ ‫ننی‬‫م‬.
‫ننرض‬‫ف‬ ‫ننش‬‫ی‬‫پ‬ ‫ننورت‬‫ص‬‫ب‬ ‫ننا‬‫ه‬ ‫ننته‬‫س‬‫ب‬ ‫ننه‬‫م‬‫ه‬ ‫ننه‬‫ک‬‫این‬ ‫ننت‬‫س‬‫سیا‬ ‫ننالت‬‫ح‬ ‫ننن‬‫ی‬‫دوم‬DROP‫ا‬ ‫ی‬ ‫وانین‬ ‫ق‬ ‫ق‬ ‫طب‬ ‫و‬ ‫وند‬ ‫ش‬ ‫ی‬ ‫م‬Rule‫ه‬ ‫بقی‬ ‫ایی‬ ‫ه‬
ACCEPT،‫نند‬‫ش‬‫با‬ ‫ننته‬‫ش‬‫ندا‬ ‫ننبیق‬‫ط‬‫ت‬ ‫نندول‬‫ج‬ ‫درون‬ ‫ننره‬‫ی‬‫زنج‬ ‫ننوانین‬‫ق‬ ‫از‬ ‫ننی‬‫ک‬‫ی‬ ‫ننا‬‫ب‬ ‫و‬ ‫ننود‬‫ش‬ ‫وارد‬ ‫ای‬ ‫ننته‬‫س‬‫ب‬ ‫ننر‬‫گ‬‫ا‬ ‫ننی‬‫ن‬‫یع‬ ‫ننن‬‫ی‬‫ا‬ ‫ننوند‬‫ش‬ ‫ننی‬‫م‬.
DROP،‫د‬‫باش‬ ‫ته‬‫داش‬ ‫بیق‬‫تط‬ ‫ره‬‫زنجی‬ ‫وانین‬‫ق‬ ‫از‬ ‫ی‬‫یک‬ ‫ا‬‫ب‬ ‫ر‬‫اگ‬ ‫و‬ ‫ود‬‫ش‬ ‫ی‬‫م‬ACCEPT‫نناهده‬‫ش‬‫م‬ ‫ننرای‬‫ب‬ ‫ننود‬‫ش‬ ‫ننی‬‫م‬.Policy‫ر‬‫ه‬ ‫ای‬‫ه‬
‫کنید‬ ‫استفاده‬ ‫زیر‬ ‫فرمت‬ ‫از‬ ‫جدول‬ ‫زنجیره‬.
iptables -L -t TABLE_NAME
‫جدول‬ ‫زنجیره‬ ‫هر‬ ‫فرض‬ ‫پیش‬ ‫های‬ ‫ساسیت‬ ‫توانید‬ ‫می‬ ‫زیر‬ ‫دستور‬ ‫خروجی‬ ‫در‬ ‫مثال‬ ‫بطور‬filter‫ببنید‬ ‫را‬.
iptables -L -t filter
Iptables(27) -yashar esmaildokht‫دخت‬ ‫اسمعیل‬ ‫-یاشار‬