Adicionando uma regra

"-A" ou "--append" → Esta ação insere uma nova regra no controle do firewall na sequência da cadeia.

Vamos ver um exemplo do uso da ação "-A". Na regra abaixo, vamos efetuar a liberação do acesso à porta 22 SSH, as regras sempre vão seguir o padrão informado abaixo:

# iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT

Explicando: Aqui adicionamos uma regra na tabela de filtragem "filter" na chain "INPUT", que é a chain que controla o tráfego de entrada. No protocolo TCP, na porta 22, que é a porta padrão de SSH e com a opção "-j" nós informamos ao IPtables o que deve ser feito, ou seja, DROP bloqueia o acesso.

Obs.: Na regra acima utilizamos a tabela filter, que é para a filtragem de pacotes, especificamos ela para o IPtables com a opção "-t filter", porém, se não informarmos a tabela com a opção "-t filter", o IPtables assume por padrão que a tabela a ser utilizada vai ser a filter, no caso de que seja necessário a utilização de outra tabela, temos que especificar para o IPtables a tabela com a opção "-t nome_tabela".

Agora vamos listar a nossa regra do IPtables:

# iptables -L INPUT -n --line-numbers

Chain INPUT (policy ACCEPT)
num  target     prot opt source        destination
1    ACCEPT     tcp  --  0.0.0.0/0     0.0.0.0/0           tcp dpt:22

Como pode ser notado, a nossa regra tem o número 1, agora vamos criar mais uma regra para bloquear o acesso SSH:

# iptables -t filter -A INPUT -p tcp --dport 22 -j DROP

Agora, vamos listar novamente as nossas regras:

# iptables -L INPUT-n --line-numbers

Chain INPUT (policy ACCEPT)
um  target     prot opt source       destination
1    ACCEPT    tcp  --  0.0.0.0/0    0.0.0.0/0     tcp dpt:22
2    DROP      tcp  --  0.0.0.0/0    0.0.0.0/0     tcp dpt:22

Como pode ser notado, a regra de bloqueio recebeu o número 2. Com isso, o acesso vai ser liberado, pois o IPtables sempre vai ler a cadeia por ordem numérica.

Agora vamos fazer um teste de acesso SSH:

ssh localhost

The authenticity of host '10.0.0.31 (::1)' can't be established.

RSA key fingerprint is a0:71:05:10:1c:b9:f1:5c:ff:50:c1:30:09:0d:2e:4c.

Are you sure you want to continue connecting (yes/no)? 

Como pode ser notado, a segunda regra não adiantou. Vamos refazer o nosso teste, mas antes vamos limpar as regras que já criamos:

# iptables -F

Agora vamos criar primeiro a regra de bloqueio e depois a regra de liberação:

# iptables -t filter -A INPUT -p tcp --dport 22 -j DROP
# iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT

Vamos listar as nossas regras novamente:

# iptables -L INPUT -n --line-numbers

Chain INPUT (policy ACCEPT)
num  target   prot opt source       destination
1    DROP     tcp  --  0.0.0.0/0    0.0.0.0/0           tcp dpt:22
2    ACCEPT   tcp  --  0.0.0.0/0    0.0.0.0/0           tcp dpt:22

Então, agora é para o firewall bloquear o acesso à porta 22 de SSH e a segunda regra vai ser ignorada, pois ele sempre vai ler as regras em ordem numérica. Vamos fazer um teste de acesso SSH:

ssh 10.0.0.31

ssh: connect to host 10.0.0.31 port 22: Connection timed out

A conexão vai dar timeout, pois o IPtables vai bloquear o acesso.

Obs.: A conexão vai ser aceita se você acessar "ssh localhost", que é o endereço de loopback da máquina, caso seja a mesma máquina que você está implementando as regras e efetuando o acesso dela para ela mesma.

Inserindo uma regra

"-I" ou "--insert" → Insere uma regra no começo de nossa lista de regras ou na linha que for especificada.

Limpe as regras do IPtables novamente com:

# iptables -F

Agora vamos efetuar alguns testes com a opção "-I". No primeiro teste, a regra será inserida na primeira linha da cadeia INPUT:

# iptables -t filter -I INPUT -p tcp --dport 22 -j ACCEPT

Vamos listar agora as nossas regras:

# iptables -L INPUT -n --line-numbers

Chain INPUT (policy ACCEPT)
num  target   prot opt source        destination
1    ACCEPT   tcp  --  0.0.0.0/0   0.0.0.0/0      tcp dpt:22

Como pode ser notado na listagem do IPtables, nossa regra teve o número 1, agora vamos inserir mais uma regra de bloqueio de SSH:

# iptables -t filter -I INPUT -p tcp --dport 22 -j DROP

Vamos listar as regras novamente:

# iptables -L INPUT -n --line-numbers

Chain INPUT (policy ACCEPT)
num  target   prot opt source         destination
1    DROP     tcp  --  0.0.0.0/0    0.0.0.0/0           tcp dpt:22
2    ACCEPT   tcp  --  0.0.0.0/0    0.0.0.0/0           tcp dpt:22

Note onde foi parar a nossa regra de DROP, ela está com o número 1, então, quando utilizarmos a ação "-I", a regra sempre vai ser colocada no início da cadeia.

Agora vamos inserir uma regra para bloquear a porta 80 na segunda posição da nossa chain:

# iptables -t filter -I INPUT 2 -p tcp --dport 80 -j DROP

Vamos listar agora as regras novamente:

# iptables -L INPUT -n --line-numbers

Chain INPUT (policy ACCEPT)
num  target   prot opt source         destination
1    DROP     tcp  --  0.0.0.0/0    0.0.0.0/0     tcp dpt:22
2    DROP     tcp  --  0.0.0.0/0    0.0.0.0/0     tcp dpt:80
3    ACCEPT   tcp  --  0.0.0.0/0    0.0.0.0/0     tcp dpt:22

Como pode ser notado, nós especificamos a posição da nossa regra na cadeia INPUT.