Cara Membuat Daftar dan Menghapus Aturan Firewall Iptables

Pengantar

Iptables adalah suatu firewall yang memainkan peran penting dalam keamanan jaringan untuk banyak sistem Linux. Walaupun banyak tutorial iptables yang akan mengajarkan Anda cara menciptakan aturan firewall untuk mengamankan server, tutorial berikut ini akan berfokus pada aspek yang berbeda dari manajemen firewall: membuat daftar dan menghapus aturan.

Dalam tutorial ini, kita akan membahas cara melakukan tugas iptables berikut:

• Membuat daftar aturan
• Membersihkan Penghitung Bita dan Paket
• Menghapus aturan
• Melakukan flush rantai (menghapus semua aturan dalam suatu rantai)
• Melakukan flush semua rantai dan tabel, menghapus semua rantai, dan menerima semua lalu lintas

Prasyarat

Tutorial ini mengasumsikan Anda menggunakan server Linux dengan perintah iptables yang sudah terinstal, dan bahwa pengguna Anda memiliki privilese sudo.

Jika Anda memerlukan bantuan dengan penyiapan awal ini, silakan merujuk ke panduan Penyiapan Server Awal dengan Ubuntu 20.04 dari kami. Juga tersedia untuk Debian dan CentOS

Mari kita lihat cara membuat daftar aturan terlebih dahulu. Ada dua cara berbeda untuk melihat aturan iptables Anda yang sedang aktif: di dalam tabel atau sebagai daftar dari spesifikasi aturan. Kedua metode ini memberikan informasi yang kurang-lebih sama dalam format berbeda.

Membuat Daftar Aturan menurut Spesifikasi

Untuk membuat daftar dari semua aturan iptables yang aktif menurut spesifikasi, jalankan perintah iptables dengan opsi -S:

sudo iptables -S

Output
-P INPUT DROP
-P FORWARD DROP
-P OUTPUT ACCEPT
-N ICMP
-N TCP
-N UDP
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate INVALID -j DROP
-A INPUT -p udp -m conntrack --ctstate NEW -j UDP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j TCP
-A INPUT -p icmp -m conntrack --ctstate NEW -j ICMP
-A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
-A INPUT -p tcp -j REJECT --reject-with tcp-reset
-A INPUT -j REJECT --reject-with icmp-proto-unreachable
-A TCP -p tcp -m tcp --dport 22 -j ACCEPT

Seperti yang Anda lihat, keluarannya terlihat seperti perintah yang digunakan untuk menciptakannya, tanpa perintah iptables yang mendahuluinya. Ini juga akan terlihat mirip dengan berkas konfigurasi aturan iptables, jika Anda pernah menggunakan iptables-persistent atau iptables save.

Membuat Daftar Rantai Spesifik

Jika Anda ingin membatasi keluaran menurut suatu rantai spesifik (INPUT, OUTPUT, TCP, dll.), Anda dapat menentukan nama rantai secara langsung setelah opsi -S. Misalnya, untuk menunjukkan semua spesifikasi aturan dalam rantai TCP, Anda akan menjalankan perintah ini:

sudo iptables -S TCP

Output
-N TCP
-A TCP -p tcp -m tcp --dport 22 -j ACCEPT

Sekarang mari kita lihat cara alternatif untuk melihat aturan iptables yang aktif, sebagai tabel aturan.

Membuat Daftar Aturan sebagai Tabel

Membuat daftar aturan iptables dalam bentuk tabel dapat berguna untuk membandingkan aturan-aturan yang berbeda terhadap satu sama lain,

Untuk mendapatkan keluaran dari semua aturan iptables aktif dalam suatu tabel, jalankan perintah iptables dengan opsi -L:

sudo iptables -L

Ini akan memberikan keluaran dari semua aturan saat ini yang diurutkan berdasarkan rantai.

Jika Anda ingin membatasi keluaran menurut suatu rantai tertentu (INPUT, OUTPUT, TCP, dll.), Anda dapat menentukan nama rantai secara langsung setelah opsi -L.

Mari kita lihat contoh dari rantai INPUT:

sudo iptables -L INPUT

Output
Chain INPUT (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
ACCEPT     all  --  anywhere             anywhere
DROP       all  --  anywhere             anywhere             ctstate INVALID
UDP        udp  --  anywhere             anywhere             ctstate NEW
TCP        tcp  --  anywhere             anywhere             tcp flags:FIN,SYN,RST,ACK/SYN ctstate NEW
ICMP       icmp --  anywhere             anywhere             ctstate NEW
REJECT     udp  --  anywhere             anywhere             reject-with icmp-port-unreachable
REJECT     tcp  --  anywhere             anywhere             reject-with tcp-reset
REJECT     all  --  anywhere             anywhere             reject-with icmp-proto-unreachable

Baris pertama keluaran mengindikasikan nama rantai (INPUT, dalam kasus ini), yang diikuti oleh kebijakan asali (DROP). Baris selanjutnya terdiri atas tajuk dari setiap kolom di dalam tabel, dan diikuti oleh aturan rantai. Mari kita membahas yang diindikasikan setiap tajuk:

• target: Jika paket sesuai aturan, maka target menetapkan tindakan yang harus dilakukan dengannya. Sebagai contoh, paket dapat diterima, didrop, dicatat, atau dikirim ke rantai lain untuk dibandingkan terhadap aturan lebih lanjut
• prot: Protokol, seperti tcp, udp, icmp, atau all
• opt: Jarang digunakan, kolom ini mengindikasikan opsi IP
• source: Alamat IP sumber atau subnet lalu lintas, atau anywhere
• destination: Alamat IP tujuan atau subnet lalu lintas, atau anywhere

Kolom terakhir, yang tidak diberi label, mengindikasikan opsi dari suatu aturan. Yang berarti, bagian apa pun dari aturan yang tidak diindikasikan oleh kolom sebelumnya. Ini dapat berupa apa pun, mulai dari porta sumber dan tujuan hingga kondisi koneksi dari paket.

Menampilkan Hitungan Paket dan Ukuran Agregat

Ketika membuat daftar aturan iptables, dimungkinkan untuk menampilkan jumlah paket, dan ukuran agregat dari paket dalam bita, yang sesuai dengan setiap aturan tertentu. Ini seringkali berguna saat sedang mencoba mendapatkan ide kasar tentang aturan yang sesuai dengan paket. Untuk melakukannya, gunakan opsi -L dan -v secara bersamaan.

Misalnya, mari kita lihat rantai INPUT lagi, dengan opsi -v:

sudo iptables -L INPUT -v

Output
Chain INPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
 284K   42M ACCEPT     all  --  any    any     anywhere             anywhere             ctstate RELATED,ESTABLISHED
    0     0 ACCEPT     all  --  lo     any     anywhere             anywhere
    0     0 DROP       all  --  any    any     anywhere             anywhere             ctstate INVALID
  396 63275 UDP        udp  --  any    any     anywhere             anywhere             ctstate NEW
17067 1005K TCP        tcp  --  any    any     anywhere             anywhere             tcp flags:FIN,SYN,RST,ACK/SYN ctstate NEW
 2410  154K ICMP       icmp --  any    any     anywhere             anywhere             ctstate NEW
  396 63275 REJECT     udp  --  any    any     anywhere             anywhere             reject-with icmp-port-unreachable
 2916  179K REJECT     all  --  any    any     anywhere             anywhere             reject-with icmp-proto-unreachable
    0     0 ACCEPT     tcp  --  any    any     anywhere             anywhere             tcp dpt:ssh ctstate NEW,ESTABLISHED

Perhatikan bahwa daftar itu sekarang memiliki dua kolom tambahan, pkts dan bytes.

Kini karena Anda telah mengetahui cara membuat daftar aturan firewall aktif dengan berbagai cara, mari kita lihat cara Anda dapat melakukan reset penghitung bita dan paket.

Melakukan Reset Hitungan Paket dan Ukuran Agregat

Jika Anda ingin membersihkan, atau menjadikan nol, penghitung bita dan paket untuk aturan Anda, gunakan opsi -Z. Opsi ini juga melakukan reset jika boot ulang terjadi. Ini berguna jika Anda ingin melihat apakah server Anda menerima lalu lintas baru yang sesuai dengan aturan yang ada.

Untuk membersihkan penghitung semua rantai dan aturan, gunakan opsi -Z itu sendiri:

sudo iptables -Z

Untuk membersihkan penghitung semua aturan dalam rantai tertentu, gunakan opsi -Z dan tentukan rantainya. Misalnya, untuk membersihkan penghitung rantai INPUT, jalankan perintah ini:

sudo iptables -Z INPUT

Jika Anda ingin membersihkan penghitung untuk suatu aturan tertentu, tentukan nama rantai dan nomor aturan. Misalnya, untuk menjadikan penghitung kembali ke nol pada aturan pertama dalam rantai INPUT, jalankan ini:

sudo iptables -Z INPUT 1

Karena kini Anda telah mengetahui cara melakukan reset penghitung bita dan paket iptables, mari kita lihat dua metode yang dapat digunakan untuk menghapusnya.

Menghapus Aturan menurut Spesifikasi

Salah satu cara untuk menghapus aturan iptables adalah dengan spesifikasi aturan. Untuk melakukannya, Anda dapat menjalankan perintah iptables dengan opsi -D yang diikuti oleh spesifikasi aturan. Jika Anda ingin menghapus aturan menggunakan metode ini, Anda dapat menggunakan keluaran dari daftar aturan iptables -S untuk bantuan.

Misalnya, jika Anda ingin menghapus aturan yang mengedrop paket masuk yang tidak valid (-A INPUT -m conntrack --ctstate INVALID -j DROP), Anda dapat menjalankan perintah ini:

sudo iptables -D INPUT -m conntrack --ctstate INVALID -j DROP

Perhatikan bahwa opsi -A, yang digunakan untuk mengindikasikan posisi aturan pada waktu pembuatan, harus dikecualikan di sini.

Menghapus Aturan menurut Rantai dan Nomor

Cara lain untuk menghapus aturan iptables adalah melalui rantai dan nomor barisnya. Untuk menentukan nomor baris aturan, buatlah daftar aturan dalam format tabel dan tambahkan opsi --line-numbers:

sudo iptables -L --line-numbers

[secondary_output Output]
Chain INPUT (policy DROP)
num  target     prot opt source               destination
1    ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
2    ACCEPT     all  --  anywhere             anywhere
3    DROP       all  --  anywhere             anywhere             ctstate INVALID
4    UDP        udp  --  anywhere             anywhere             ctstate NEW
5    TCP        tcp  --  anywhere             anywhere             tcp flags:FIN,SYN,RST,ACK/SYN ctstate NEW
6    ICMP       icmp --  anywhere             anywhere             ctstate NEW
7    REJECT     udp  --  anywhere             anywhere             reject-with icmp-port-unreachable
8    REJECT     tcp  --  anywhere             anywhere             reject-with tcp-reset
9    REJECT     all  --  anywhere             anywhere             reject-with icmp-proto-unreachable
10   ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ssh ctstate NEW,ESTABLISHED
...

Ini menambahkan nomor baris di setiap baris aturan, yang diindikasikan oleh tajuk num.

Setelah Anda mengetahui aturan yang ingin Anda hapus, perhatikan rantai dan nomor baris dari aturannya. Kemudian, jalankan perintah iptables -D yang diikuti oleh rantai dan nomor raturan.

Misalnya, jika kita ingin menghapus aturan masukan yang mengedrop paket tidak valid, kita dapat melihat bahwa itu adalah aturan 3 dari rantai INPUT. Jadi, kita harus menjalankan perintah ini:

sudo iptables -D INPUT 3

Karena kini Anda telah mengetahui cara menghapus aturan firewall individual, mari kita membahas cara melakukan flush rantai aturan.

Melakukan Flush Rantai

Iptables menawarkan cara untuk menghapus semua aturan dalam suatu rantai, atau melakukan flush suatu rantai. Bagian ini akan mencakup berbagai cara untuk melakukannya.

Melakukan Flush Rantai Tunggal

Untuk melakukan flush rantai tertentu, yang akan menghapus semua aturan dalam rantai itu, Anda dapat menggunakan opsi -F, atau padanan kata dari --flush, dan nama dari rantai yang akan dilakukan flush.

Misalnya, untuk menghapus semua aturan dalam rantai INPUT, jalankan perintah ini:

sudo iptables -F INPUT

Melakukan Flush Semua Rantai

Untuk melakukan flush semua rantai, yang akan menghapus semua aturan firewall, Anda dapat menggunakan opsi -F, atau padanan kata dari --flush dengan sendirinya:

sudo iptables -F

Melakukan Flush Semua Aturan, Menghapus Semua Rantai, dan Menerima Semua

Bagian ini akan menunjukkan kepada Anda cara melakukan flush semua aturan firewall, tabel, dan rantai, serta mengizinkan semua lalu lintas jaringan.

Pertama-tama, tetapkan kebijakan asali untuk setiap rantai bawaan menjadi ACCEPT. Alasan utama melakukan ini adalah untuk memastikan bahwa Anda tidak akan terkunci dari server Anda melalui SSH:

sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT

Lalu lakukan flush tabel nat dan mangle, flush semua rantai (-F), dan hapus semua rantai non-asali (-X):

sudo iptables -t nat -F
sudo iptables -t mangle -F
sudo iptables -F
sudo iptables -X

Firewall Anda kini akan mengizinkan semua lalu lintas jaringan. Jika Anda membuat daftar aturan sekarang, Anda tidak akan melihat apa pun, dan hanya tiga rantai asali (INPUT, FORWARD, dan OUTPUT) yang tersisa.

Kesimpulan

Setelah mengikuti tutorial ini, Anda seharusnya memahami cara membuat daftar dan menghapus aturan firewall iptables.

Ingat bahwa setiap perubahan iptables melalui perintah iptables bersifat tidak permanen, dan perlu disimpan agar tetap ada di sepanjang boot ulang server. Ini dibahas dalam bagian Aturan Penyimpanan dari tutorial Aturan Firewall dan Perintah Umum.