Как сохранить правила iptables после перезагрузки Ubuntu?

Question

[Игорь]

После перезагрузки Ubuntu 12.10 правила iptables «слетают». Знаю, что можно победить прописыванием правил в rc.local. Как альтернативу посоветовали юзать ferm. Что думает на эту тему опытный хабровчанин? Какой вариант предпочтительнее и где могут быть «подводные камни»?

Comments

[luk9118]

Честно говоря дикий идеотизм - Смысл в том что нужно придумывать пути как восстановить правила при перезагрузке. И плять простой iptables-save не срабатывает. надо городить огород с востановлением правил либо через крон, либо на уровне загрузки.

Answer 1

[Роман Данилов]

Вот решение, работающее на данный момент для Debian 6.0 и Debian 7.0, должно работать и в Ubuntu.
Под суперпользователем:

1. Делаем скрипт, выполняемый при поднятии интерфейса
   

   nano -w /etc/network/if-up.d/00-iptables
   

   #!/bin/sh
   iptables-restore < /etc/firewall.conf
   ip6tables-restore < /etc/firewall6.conf
   

2. Даём право запуска этого скрипта
   

   chmod +x nano -w /etc/network/if-up.d/00-iptables
   

3. Сохраняем в конфиг правила для IPv4
   

   iptables-save >/etc/firewall.conf
   

4. Сохраняем в конфиг правила для IPv6
   

   ip6tables-save >/etc/firewall6.conf
   

Извиняюсь, что не могу найти ссылку на первоисточник, но решение до того классическое, что вы его найдёте в гугле по слову 00-iptables со множеством примеров и модификаций. Насколько помню, вот так загружаю конфигурацию netfilter еще со времён Debian 5.0.

Comments

[Роман Данилов]

ошибка в п.2, должно быть

chmod +x /etc/network/if-up.d/00-iptables

[Игорь]

Спасибо. То, что нужно!

Answer 2

[EKrava]

в debian и ubuntu добавили пакет iptables-persistent
который использует iptables-save/iptables-restore

#service iptables-persistent
Usage: /etc/init.d/iptables-persistent {start|restart|reload|force-reload|save|flush}

после настройки правил как нужно, сделать service iptables-persistent save и при следующей загрузке они будут применены

Comments

[kissbohda]

Лутшый ответ! Спасибо.

[Владимир Великий]

Огромное спасибо! :)

[Александр Карпов]

The service command supports only basic LSB actions (start, stop, restart, try-r estart, reload, force-reload, status). For other actions, please try to use syst emctl.

[EKrava]

Александр Карпов: OS ?
в ubuntu 16.04, пакет заменили на netfilter-persistent и iptables-persistent это просто плагин к netfilter.
ну и собственно правила хранятся в файлах
/etc/iptables/rules.v4 и /etc/iptables/rules.v6 и при загрузке применяются.

#service netfilter-persistent
Usage: /etc/init.d/netfilter-persistent {start|restart|reload|force-reload|save|flush}

Answer 3

[Алексей Журбицкий]

iptables-save/iptables-restore

Answer 4

[Марк]

Можно установить iptables-persistent.

Answer 5

[beho1der]

Если у вас не используется нетворк менеджер для поднятия сети, то можно прописать в конец /etc/network/interfaces
post-up iptables-restore < /etc/iptables.rules
Предварительно применив правила и сохранив их в этот самый файл iptables.rules коммандой $ iptables-save > /etc/iptables.rules

Answer 6

[vsespb]

Имхо гораздо лучше иметь bash/sh файл, создающий правила в автозагрузке, чем пользоваться iptables-save и iptables-restore.
Ведь в bash файле не можно заменить одни и те же адреса/порты/интерфейсы/протоколы/диапазоны в разных строчках на переменные, можно будет при желании селать какой-нибудь цикл или включить роутинг в /proc/sys/net/ipv4/ip_forward (его логиченее объединить с правилами, ведь они без него могут не иметь смысла)

Comments

[Busla]

Скрипт с переменными и комментариями мне тоже кажется более наглядным.

[Giorgio Al]

Вы правы - best practice!

Answer 7

[Евгений Яблоков]

Так же, как в Debian. Имеется ввиду, что они одинаковы по умолчанию в этом плане.
Победить — путём создания файла с правилами и добавления его для исполнения в rc.local, или лучше — в автозагрузку, положив файл в init.d.

Answer 8

[Sergey]

iptables-save?

Comments

[beho1der]

iptables-save не восстанавливает правила после загрузи, а только дампает их в файл!

[Sergey]

Собственно: help.ubuntu.com/community/IptablesHowTo

Answer 9

[Ilya Evseev]

Однократно в командной строке:
iptables-save > /etc/network/iptables.save

В /etc/rc.local:

F="/etc/network/iptables.save"
test -f "$F" && /sbin/iptables-restore < $F

Неэлегантно, но работоспособно.

Answer 10

[lubezniy]

В Alt и ASP используется запись в /etc/sysconfig/iptables; восстановление по дефолту прописано при подъёме службы network.

Answer 11

[tgz]

Лучше всего управление правилами iptables доверить какого-нибудь firewall builder'у. Он сам все и восстановит.

Answer 12

[3vi1_0n3]

Или вот еще вариант - скрипт для автозагрузки iptables в debian'е - mnorin.com/nastrojka-avtozagruzki-pravil-iptables-...