방화벽 패킷 필터링

iptables — 기본 거부와 상태 기반 규칙

# 확립된 연결과 관련 연결, 로컬 통신은 통과 (상태 기반)
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -A INPUT -i lo -j ACCEPT

# 필요한 것만 명시적으로 허용
sudo iptables -A INPUT -p tcp -s 10.0.0.0/8 --dport 22 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# 허용 규칙을 모두 넣은 뒤 마지막에 기본 정책을 차단으로 바꾼다
sudo iptables -P INPUT DROP

# 규칙을 순서대로 보기
sudo iptables -L INPUT -n -v --line-numbers

iptables -P INPUT DROP은 INPUT 사슬의 기본 정책을 차단으로 정해, 어느 규칙에도 일치하지 않는 패킷이 모두 버려지게 합니다. 규칙은 -A로 사슬의 끝에 차례로 추가되며 위에서부터 비교해 처음 일치한 규칙의 ACCEPT나 DROP 같은 종결 동작이 적용됩니다(LOG처럼 다음 규칙으로 넘어가는 동작도 있습니다). conntrack의 ESTABLISHED는 양방향 패킷이 확인된 연결의 패킷(서버가 시작한 연결의 응답 포함)을, RELATED는 FTP 데이터 연결이나 ICMP 오류처럼 기존 연결과 연관된 새 패킷을 통과시켜 상태 기반 방화벽이 되게 하는 핵심 규칙입니다. 이 규칙이 없으면 서버가 시작한 연결의 응답도 기본 정책에 막힙니다. 원격으로 접속 중인 서버에서는 SSH 허용 규칙을 먼저 넣고 기본 정책을 DROP으로 바꾸는 일을 마지막에 해야 접속이 끊기지 않으며(위 코드의 순서), 이 명령은 재부팅하면 사라집니다.

nftables — 같은 정책을 규칙 집합으로

table inet filter {
    chain input {
        type filter hook input priority 0; policy drop;

        ct state established,related accept
        iif lo accept
        ip saddr 10.0.0.0/8 tcp dport 22 accept
        tcp dport 443 accept
    }
}

nftables는 iptables를 잇는 리눅스의 패킷 필터링 프레임워크로, 규칙을 table 안의 chain에 계층 구조로 적습니다. policy drop은 기본 거부를, ct state established,related accept는 연결 추적 상태가 확립됨 또는 관련됨인 패킷의 허용을 뜻합니다. 나머지 두 줄은 앞의 iptables 예와 같은 허용 규칙(내부망의 SSH, 모든 곳의 HTTPS)입니다. 다만 iptables 예는 IPv4만 다루고, inet 테이블은 IPv4와 IPv6에 모두 적용되며 ip saddr 규칙은 IPv4 패킷만 일치시킵니다. 규칙은 위에서부터 평가되어 처음 일치한 것이 적용됩니다. 위 코드는 구조를 보이는 최소 예시이며, 실제 적용은 배포판의 nftables 설정 방법을 따라야 합니다.

Python — 규칙 평가기 흉내 내기

import ipaddress

RULES = [
    ("allow", "tcp", "10.0.0.0/8", 22),
    ("allow", "tcp", "0.0.0.0/0", 443),
    ("deny",  "tcp", "0.0.0.0/0", 23),
]

def decide(proto, src_ip, dst_port):
    for action, r_proto, r_src, r_port in RULES:
        if (proto == r_proto and dst_port == r_port
                and ipaddress.ip_address(src_ip) in ipaddress.ip_network(r_src)):
            return action             # 처음 일치한 규칙을 적용
    return "deny"                   # 일치하는 규칙이 없으면 기본 거부

print(decide("tcp", "10.0.0.7", 22))        # allow
print(decide("tcp", "198.51.100.9", 22))   # deny
print(decide("tcp", "198.51.100.9", 443))  # allow
print(decide("udp", "198.51.100.9", 53))   # deny (기본 거부)

이 함수는 시각화의 규칙 매칭 탭과 같은 판단을 합니다. 규칙 목록을 위에서부터 돌며 프로토콜, 출발지 주소 범위, 목적지 포트가 모두 일치하는 첫 규칙의 동작을 돌려주고, 어디에도 일치하지 않으면 기본 거부인 deny를 돌려줍니다. ipaddress.ip_network로 출발지 주소 범위를 표현하고 in 연산자로 어느 범위에 속하는지 확인하는 것은 서브네팅 토픽에서 본 접두사 비교와 같습니다. 실제 방화벽은 연결 상태, 방향, 인터페이스, 로그 같은 조건과 동작을 더 지원하므로 이 코드는 원리만 보이는 최소 예시입니다.