netfilter/iptables/nftables
Thema W6 Wenger
Thema W6 Wenger
Was machen die drei Frameworks netfilter, iptables und nftables?
- packet filtering (integriertes linux framework)
- nat/pat
- weitere packet manipulationen
Was machen die einzelnen hooks?
- Sie rufen grundsätzlich funktionen im network stack auf
- diese funktion wird aufgerufen, sobald das packet durch den hook hindurchgeht
Was unterstützen die Frameworks netfilter/iptables?
- stateless und stateful packet filtering
- NAT
- QoS (quality of service) policy routing
- manipulate ToS/DSCP/ECN of ip header
Was machen die folgenden 4 tables?
- filter: filtert traffic basierend auf ip/port
- nat: editiert source oder dst ip addresse
- mangle- manipulation von packets
- raw: spezielles behandeln von packeten
Welche packete behandeln die vordefinierten Chains?
input: packets for local processes
output: packets from local processes
forward: forwarded packets (routing only)
prerouting: einkommende packete (bevor routing)
postrouting: ausgehende packete (nach routing)
Wie heissen die vordefinierten Chains in iptables?
input, output, forward, prerouting, postrouting
Zeichne doch man die Architektur der vordefinierten Chains (easy)
Auf welchen Chains wird meist gefilterd?
- Input, Forward, Output
Auf welchen Chains wird meist genatted?
- pre-routing und post-routing, manchmal auch output
Auf welchen Chains kann ein Packet gemangeld/editiert werden?
- Auf allen Chains
Wo wird die spezielle Tabelle raw angewendet?
- output und prerouting
Welche predefined actions/targets können auf ein Packet angewendet werden?
- accept
- drop
- queue
- return
- oder eine weitere user-defined chain (geschachtelte chains)
Welche der predefined/userdefined chains hat eine default policy?
- alle predefined chains haben eine default policy
- keine der userdefined chains hat eine default policy
Was kann mit dem iptables utility von linux gemacht werden?
- es können chains und deren rules erstellt, gelöscht, modifiziert und aufgesetzt werden
Was wird mit folgendem Befehl gemacht "iptables -t nat -L"?
- Es werden die Rules, Chains der NAT Table angezeigt.
Was macht folgender iptables Befehl iptables -P INPUT DROP?
- er erstellt eine default policy, welche alles dropped - vorsicht!
Wie ist die Struktur einer Rule in einer Chain?
- rule number
- match (ip address , port etc.)
- target (accept, drop etc)
Nenne einige iptables match extensions.
- comment: einen kommentar für die rule setzen
- udp: matched auf udp packets, tcp auf tcp packets
- log: logged die jeweiligen packets
Welchen Zweck hat das connection tracking subsystem?
Und wo werden diese eingetragen?
- ermöglicht das auslesen des status einer verbindung und dadurch wird stateful packet filtering ermöglicht
- es werden tcp, udp in die nf_conntrack table eingetragen
Welche States einer Verbindung / Connection können getracked werden?
- NEW
- ESTABLISHED
- RELATED (neue Verbinung als Resultat einer bereits offenen - z.B. FTP)
- INVALID
Wie können Packete markiert werden? (bearbeitet werden)
- in allen Chains mittels des --set-mark Befehls
Was sind IP sets und was ist deren Vorteil?
- dies sind sets von ip addresses, networks, ports, interface numbers etc.
- einfaches und performantes matching auf den gegebenen chains
Was ist der vorteil von nftables?
- cleaner syntax
- tables, chains fully configurable
- kein unterschied zwischen machtes und targets
- mehrere actions auf einer rule (z.B. log drop)
Was ist der Nachteil von iptables/nftables/netfilter?
- da die rules sequentiell abgearbeitet werden kann dies die performance verschlechtern
Was ist besser und schneller als iptables/nftables?
bpfilter (bis zu 40gb/s) wenn hardware offloaded gegenüber ca. 10 gbs
-
- 1 / 25
-
Flashcards
Was machen die drei Frameworks netfilter, iptables und nftables?
- packet filtering (integriertes linux framework)
- nat/pat
- weitere packet manipulationen
Was machen die einzelnen hooks?
- Sie rufen grundsätzlich funktionen im network stack auf
- diese funktion wird aufgerufen, sobald das packet durch den hook hindurchgeht
Was unterstützen die Frameworks netfilter/iptables?
- stateless und stateful packet filtering
- NAT
- QoS (quality of service) policy routing
- manipulate ToS/DSCP/ECN of ip header
Was machen die folgenden 4 tables?
- filter: filtert traffic basierend auf ip/port
- nat: editiert source oder dst ip addresse
- mangle- manipulation von packets
- raw: spezielles behandeln von packeten
Welche packete behandeln die vordefinierten Chains?
input: packets for local processes
output: packets from local processes
forward: forwarded packets (routing only)
prerouting: einkommende packete (bevor routing)
postrouting: ausgehende packete (nach routing)
Wie heissen die vordefinierten Chains in iptables?
input, output, forward, prerouting, postrouting
Zeichne doch man die Architektur der vordefinierten Chains (easy)
Auf welchen Chains wird meist gefilterd?
- Input, Forward, Output
Auf welchen Chains wird meist genatted?
- pre-routing und post-routing, manchmal auch output
Auf welchen Chains kann ein Packet gemangeld/editiert werden?
- Auf allen Chains
Wo wird die spezielle Tabelle raw angewendet?
- output und prerouting
Welche predefined actions/targets können auf ein Packet angewendet werden?
- accept
- drop
- queue
- return
- oder eine weitere user-defined chain (geschachtelte chains)
Welche der predefined/userdefined chains hat eine default policy?
- alle predefined chains haben eine default policy
- keine der userdefined chains hat eine default policy
Was kann mit dem iptables utility von linux gemacht werden?
- es können chains und deren rules erstellt, gelöscht, modifiziert und aufgesetzt werden
Was wird mit folgendem Befehl gemacht "iptables -t nat -L"?
- Es werden die Rules, Chains der NAT Table angezeigt.
Was macht folgender iptables Befehl iptables -P INPUT DROP?
- er erstellt eine default policy, welche alles dropped - vorsicht!
Wie ist die Struktur einer Rule in einer Chain?
- rule number
- match (ip address , port etc.)
- target (accept, drop etc)
Nenne einige iptables match extensions.
- comment: einen kommentar für die rule setzen
- udp: matched auf udp packets, tcp auf tcp packets
- log: logged die jeweiligen packets
Welchen Zweck hat das connection tracking subsystem?
Und wo werden diese eingetragen?
- ermöglicht das auslesen des status einer verbindung und dadurch wird stateful packet filtering ermöglicht
- es werden tcp, udp in die nf_conntrack table eingetragen
Welche States einer Verbindung / Connection können getracked werden?
- NEW
- ESTABLISHED
- RELATED (neue Verbinung als Resultat einer bereits offenen - z.B. FTP)
- INVALID
Wie können Packete markiert werden? (bearbeitet werden)
- in allen Chains mittels des --set-mark Befehls
Was sind IP sets und was ist deren Vorteil?
- dies sind sets von ip addresses, networks, ports, interface numbers etc.
- einfaches und performantes matching auf den gegebenen chains
Was ist der vorteil von nftables?
- cleaner syntax
- tables, chains fully configurable
- kein unterschied zwischen machtes und targets
- mehrere actions auf einer rule (z.B. log drop)
Was ist der Nachteil von iptables/nftables/netfilter?
- da die rules sequentiell abgearbeitet werden kann dies die performance verschlechtern
Was ist besser und schneller als iptables/nftables?
bpfilter (bis zu 40gb/s) wenn hardware offloaded gegenüber ca. 10 gbs
