1. Persiapan

Sebelum mulai, diharapkan pembaca sudah memiliki pengetahuan dasar
mengenai TCP/IP karena hal ini merupakan dasar dari penggunaan IPTables. Ada
(sangat) banyak resource yang mendokumentasikan konsep dasar tentang TCP/IP,
baik itu secara online maupun cetak. Silahkan googling untuk mendapatkannya.

Hal berikutnya yang harus anda persiapkan adalah sebuah komputer yang terinstall
Linux. Akan lebih baik jika komputer anda memiliki 2 buah network interface
card, sebab bisa menjalankan fungsi packet forwarding. Disarankan
anda menggunakan linux dengan kernel 2.4 ke atas, karena (setahu saya) linux
dengan kernel 2.4 ke atas sudah memiliki dukungan IPTables secara default, sehingga
anda tidak perlu mengkompilasi ulang kernel anda. Bagi anda yang menggunakan
kernel 2.2 atau sebelumnya, anda harus melakukan kompilasi kernel untuk memasukkan
dukungan IPTables. Silahkan lihat tutorial Kompilasi
kernel 2.4.x di Linux oleh mas Asfik.

2. Pendahuluan

IPTables memiliki tiga macam daftar aturan bawaan dalam tabel penyaringan,
daftar tersebut dinamakan rantai firewall (firewall chain) atau sering
disebut chain saja. Ketiga chain tersebut adalah INPUT, OUTPUT dan
FORWARD.

Pada diagram tersebut, lingkaran menggambarkan ketiga rantai atau chain. Pada
saat sebuah paket sampai pada sebuah lingkaran, maka disitulah terjadi proses
penyaringan. Rantai akan memutuskan nasib paket tersebut. Apabila keputusannnya
adalah DROP, maka paket tersebut akan di-drop. Tetapi jika rantai memutuskan
untuk ACCEPT, maka paket akan dilewatkan melalui diagram tersebut.

Sebuah rantai adalah aturan-aturan yang telah ditentukan. Setiap aturan menyatakan
“jika paket memiliki informasi awal (header) seperti ini, maka inilah
yang harus dilakukan terhadap paket”. Jika aturan tersebut tidak sesuai
dengan paket, maka aturan berikutnya akan memproses paket tersebut. Apabila
sampai aturan terakhir yang ada, paket tersebut belum memenuhi salah satu aturan,
maka kernel akan melihat kebijakan bawaan (default) untuk memutuskan apa yang
harus dilakukan kepada paket tersebut. Ada dua kebijakan bawaan yaitu default
DROP dan default ACCEPT.

Jalannya sebuah paket melalui diagram tersebut bisa dicontohkan sebagai berikut:

Perjalanan paket yang diforward ke host yang lain

1. Paket berada pada jaringan fisik, contoh internet.


2. Paket masuk ke interface jaringan, contoh eth0.

3. Paket masuk ke chain PREROUTING pada table Mangle. Chain ini berfungsi untuk
me-mangle (menghaluskan) paket, seperti merubah TOS, TTL dan lain-lain.

4. Paket masuk ke chain PREROUTING pada tabel nat. Chain ini berfungsi utamanya
untuk melakukan DNAT (Destination Network Address Translation).

5. Paket mengalami keputusan routing, apakah akan diproses oleh host lokal atau
diteruskan ke host lain.

6. Paket masuk ke chain FORWARD pada tabel filter. Disinlah proses pemfilteran
yang utama terjadi.

7. Paket masuk ke chain POSTROUTING pada tabel nat. Chain ini berfungsi utamanya
untuk melakukan SNAT (Source Network Address Translation).


8. Paket keluar menuju interface jaringan, contoh eth1.

9. Paket kembali berada pada jaringan fisik, contoh LAN.

Perjalanan paket yang ditujukan bagi host lokal

1. Paket berada dalam jaringan fisik, contoh internet.

2. Paket masuk ke interface jaringan, contoh eth0.

3. Paket masuk ke chain PREROUTING pada tabel mangle.

4. Paket masuk ke chain PREROUTING pada tabel nat.


5. Paket mengalami keputusan routing.

6. Paket masuk ke chain INPUT pada tabel filter untuk mengalami proses penyaringan.

7. Paket akan diterima oleh aplikasi lokal.

Perjalanan paket yang berasal dari host lokal

1. Aplikasi lokal menghasilkan paket data yang akan dikirimkan melalui jaringan.

2. Paket memasuki chain OUTPUT pada tabel mangle.

3. Paket memasuki chain OUTPUT pada tabel nat.


4. Paket memasuki chain OUTPUT pada tabel filter.

5. Paket mengalami keputusan routing, seperti ke mana paket harus pergi dan
melalui interface mana.

6. Paket masuk ke chain POSTROUTING pada tabel NAT.

7. Paket masuk ke interface jaringan, contoh eth0.

8. Paket berada pada jaringan fisik, contoh internet.

3. Sintaks IPTables

iptables [-t table] command [match] [target/jump]

1. Table

IPTables memiliki 3 buah tabel, yaitu NAT, MANGLE dan FILTER. Penggunannya
disesuaikan dengan sifat dan karakteristik masing-masing. Fungsi dari masing-masing
tabel tersebut sebagai berikut :

1. NAT : Secara umum digunakan untuk melakukan Network Address Translation.
   NAT adalah penggantian field alamat asal atau alamat tujuan dari sebuah paket.


2. MANGLE : Digunakan untuk melakukan penghalusan (mangle) paket, seperti TTL,
   TOS dan MARK.


3. FILTER : Secara umum, inilah pemfilteran paket yang sesungguhnya.. Di sini
   bisa dintukan apakah paket akan di-DROP, LOG, ACCEPT atau REJECT

2. Command

Command pada baris perintah IPTables akan memberitahu apa yang harus dilakukan
terhadap lanjutan sintaks perintah. Umumnya dilakukan penambahan atau penghapusan
sesuatu dari tabel atau yang lain.

Command

-A
--append

-D      
--delete

-R      
--replace

-I      
--insert

-L      
--list

-F      
--flush

-N      
--new-chain

-X      
--delete-chain

-P      
--policy

-E      
--rename-chain

3. Option

Option digunakan dikombinasikan dengan command tertentu yang akan menghasilkan
suatu variasi perintah.

Option

Command          Pemakai

-v      
--verbose

--list      
--append
--insert
--delete
--replace

-x      
--exact

--list

-n      
--numeric

--list

--line-number

--list

--modprobe

All

4. Generic Matches

Generic Matches artinya pendefinisian kriteria yang berlaku secara umum. Dengan
kata lain, sintaks generic matches akan sama untuk semua protokol. Setelah protokol
didefinisikan, maka baru didefinisikan aturan yang lebih spesifik yang dimiliki
oleh protokol tersebut. Hal ini dilakukan karena tiap-tiap protokol memiliki
karakteristik yang berbeda, sehingga memerlukan perlakuan khusus.

Match

-p      
--protocol

-s      
--src
--source

-d      
--dst
--destination

-i      
--in-interface

-o      
--out-interface

5. Implicit Matches

Implicit Matches adalah match yang spesifik untuk tipe protokol tertentu. Implicit
Match merupakan sekumpulan rule yang akan diload setelah tipe protokol disebutkan.
Ada 3 Implicit Match berlaku untuk tiga jenis protokol, yaitu TCP matches, UDP
matches dan ICMP matches.

a. TCP matches

Match

--sport      
--source-port

--dport          

--destination-port

--tcp-flags

--syn

b. UDP Matches

Karena bahwa protokol UDP bersifat connectionless, maka tidak ada flags yang
mendeskripsikan status paket untuk untuk membuka atau menutup koneksi. Paket
UDP juga tidak memerlukan acknowledgement. Sehingga Implicit Match untuk protokol
UDP lebih sedikit daripada TCP.

Ada dua macam match untuk UDP:

--sport atau --source-port
--dport atau --destination-port

c. ICMP Matches

Paket ICMP digunakan untuk mengirimkan
pesan-pesan kesalahan dan kondisi-kondisi jaringan yang lain. Hanya ada
satu implicit match untuk tipe protokol ICMP, yaitu :

--icmp-type

6. Explicit Matches

a. MAC Address

Match jenis ini berguna untuk melakukan pencocokan paket berdasarkan MAC source
address. Perlu diingat bahwa MAC hanya berfungsi untuk jaringan yang menggunakan
teknologi ethernet.

iptables –A INPUT –m mac –mac-source 00:00:00:00:00:01

b. Multiport Matches

Ekstensi Multiport Matches digunakan untuk mendefinisikan port atau port range
lebih dari satu, yang berfungsi jika ingin didefinisikan aturan yang sama untuk
beberapa port. Tapi hal yang perlu diingat bahwa kita tidak bisa menggunakan
port matching standard dan multiport matching dalam waktu yang bersamaan.

iptables –A INPUT –p tcp –m multiport --source-port 22,53,80,110

c. Owner Matches

Penggunaan match ini untuk mencocokkan paket berdasarkan pembuat atau pemilik/owner
paket tersebut. Match ini bekerja dalam chain OUTPUT, akan tetapi penggunaan
match ini tidak terlalu luas, sebab ada beberapa proses tidak memiliki owner
(??).

iptables –A OUTPUT –m owner --uid-owner 500

Kita juga bisa memfilter berdasarkan group ID dengan sintaks --gid-owner. Salah
satu penggunannya adalah bisa mencegah user selain yang dikehendaki untuk mengakses
internet misalnya.

d. State Matches

Match ini mendefinisikan state apa saja yang cocok. Ada 4 state yang berlaku,
yaitu NEW, ESTABLISHED, RELATED dan INVALID. NEW digunakan untuk paket yang
akan memulai koneksi baru. ESTABLISHED digunakan jika koneksi telah tersambung
dan paket-paketnya merupakan bagian dari koneki tersebut. RELATED digunakan
untuk paket-paket yang bukan bagian dari koneksi tetapi masih berhubungan dengan
koneksi tersebut, contohnya adalah FTP data transfer yang menyertai sebuah koneksi
TCP atau UDP. INVALID adalah paket yang tidak bisa diidentifikasi, bukan merupakan
bagian dari koneksi yang ada.

iptables –A INPUT –m state --state RELATED,ESTABLISHED

7. Target/Jump

Target atau jump adalah perlakuan yang diberikan terhadap paket-paket yang
memenuhi kriteria atau match. Jump memerlukan sebuah chain yang lain dalam tabel
yang sama. Chain tersebut nantinya akan dimasuki oleh paket yang memenuhi kriteria.
Analoginya ialah chain baru nanti berlaku sebagai prosedur/fungsi dari program
utama. Sebagai contoh dibuat sebuah chain yang bernama tcp_packets. Setelah
ditambahkan aturan-aturan ke dalam chain tersebut, kemudian chain tersebut akan
direferensi dari chain input.

iptables –A INPUT –p tcp –j tcp_packets

Target

-j ACCEPT
--jump ACCEPT

-j DROP
--jump DROP

-j RETURN
--jump RETURN

-j MIRROR

Beberapa target yang lain biasanya memerlukan parameter tambahan:

a. LOG Target

Ada beberapa option yang bisa digunakan bersamaan dengan target ini. Yang pertama
adalah yang digunakan untuk menentukan tingkat log. Tingkatan log yang bisa
digunakan adalah debug, info, notice, warning, err, crit, alert dan emerg.Yang
kedua adalah -j LOG --log-prefix yang digunakan untuk memberikan string yang
tertulis pada awalan log, sehingga memudahkan pembacaan log tersebut.

iptables –A FORWARD –p tcp –j LOG --log-level debug
iptables –A INPUT –p tcp –j LOG --log-prefix “INPUT Packets”

b. REJECT Target

Secara umum, REJECT bekerja seperti DROP, yaitu memblok paket dan menolak untuk
memproses lebih lanjut paket tersebut. Tetapi, REJECT akan mengirimkan error
message ke host pengirim paket tersebut. REJECT bekerja pada chain INPUT, OUTPUT
dan FORWARD atau pada chain tambahan yang dipanggil dari ketiga chain tersebut.

iptables –A FORWARD –p tcp –dport 22 –j REJECT --reject-with icmp-host-unreachable

Ada beberapa tipe pesan yang bisa dikirimkan yaitu icmp-net-unreachable, icmp-host-unreachable,
icmp-port-unreachable, icmp-proto-unrachable, icmp-net-prohibited dan icmp-host-prohibited.



c. SNAT Target

Target ini berguna untuk melakukan perubahan alamat asal dari paket (Source
Network Address Translation). Target ini berlaku untuk tabel nat pada chain
POSTROUTING, dan hanya di sinilah SNAT bisa dilakukan. Jika paket pertama dari
sebuah koneksi mengalami SNAT, maka paket-paket berikutnya dalam koneksi tersebut
juga akan mengalami hal yang sama.

iptables –t nat –A POSTROUTING –o eth0 –j SNAT --to-source 194.236.50.155-194.236.50.160:1024-32000

d. DNAT Target

Berkebalikan dengan SNAT, DNAT digunakan untuk melakukan translasi field alamat
tujuan (Destination Network Address Translation) pada header dari paket-paket
yang memenuhi kriteria match. DNAT hanya bekerja untuk tabel nat pada chain
PREROUTING dan OUTPUT atau chain buatan yang dipanggil oleh kedua chain tersebut.

iptables –t nat –A PREROUTING –p tcp –d 15.45.23.67 --dport 80 –j DNAT --to-destination 192.168.0.2

e. MASQUERADE Target

Secara umum, target MASQUERADE bekerja dengan cara yang hampir sama seperti
target SNAT, tetapi target ini tidak memerlukan option --to-source. MASQUERADE
memang didesain untuk bekerja pada komputer dengan koneksi yang tidak tetap
seperti dial-up atau DHCP yang akan memberi pada kita nomor IP yang berubah-ubah.

Seperti halnya pada SNAT, target ini hanya bekerja untuk tabel nat pada chain
POSTROUTING.

iptables –t nat –A POSTROUTING –o ppp0 –j MASQUERADE

f. REDIRECT Target

Target REDIRECT digunakan untuk mengalihkan jurusan (redirect) paket ke mesin
itu sendiri. Target ini umumnya digunakan untuk mengarahkan paket yang menuju
suatu port tertentu untuk memasuki suatu aplikasi proxy, lebih jauh lagi hal
ini sangat berguna untuk membangun sebuah sistem jaringan yang menggunakan transparent
proxy. Contohnya kita ingin mengalihkan semua koneksi yang menuju port http
untuk memasuki aplikasi http proxy misalnya squid. Target ini hanya bekerja
untuk tabel nat pada chain PREROUTING dan OUTPUT atau pada chain buatan yang
dipanggil dari kedua chain tersebut.

iptables –t nat –A PREROUTING –i eth1 –p tcp --dport 80 –j REDIRECT --to-port 3128

Tutuorial Squid bisa dilihat di Instalasi
Squid, Banner Filter, Porn Filter, Limit Bandwith, Transparan Proxy bikinan
mas Hanny.

4. Penutup

Demikian dasar-dasar dari IPTables beserta komponen-komponennya. Mungkin anda
masih agak bingung tentang implementasi dari apa yang telah dijelaskan di atas.
Insya Allah dalam tulisan yang akan datang, saya akan memberikan beberapa contoh
kasus jaringan yang menggunakan IPTables. Yea.. may I have enough power to do
it :)

5. Change Log

5 Agustus 2003

• Penulisan pertama dokumen ini

6. Referensi

1. www.netfilter.org



2. Manual page iptables


3. Beberapa sumber yang lain, tapi saya lupa :)