Gerador de Regras iptables

O iptables Rule Generator cria regras de firewall Linux a partir de input CSV estruturado. Digite suas regras como linhas com colunas chain source destination protocol port e action e obtenha comandos iptables corretamente formatados com ordenação apropriada de flag -- sem necessidade de memorizar a sintaxe verbosa e propensa a erros de iptables.

Entendendo iptables

Se você administra servidores Linux iptables é provavelmente a primeira ferramenta de firewall que você encontra. Tem sido a interface padrão de filtragem de pacote Linux desde o kernel 2.4 (lançado em 2001) e apesar de ser sucedido por nftables em distribuições mais recentes iptables permanece o firewall Linux mais amplamente implementado em produção. A maioria da documentação tutoriais e ferramentas de automação ainda visam sintaxe iptables e a camada de compatibilidade iptables-nft garante que comandos iptables funcionem até em sistemas que usam o backend nftables.

O desafio com iptables é sua sintaxe de linha de comando. Toda regra é um único comando com flags que devem aparecer em uma ordem específica e errar um flag pode silenciosamente criar uma regra que não corresponde ao que você pretendia. Um -p tcp faltante antes de --dport 443 produz um erro. Um -j ACCEPT quando você quis dizer -j DROP cria uma falha de segurança. E quando você está construindo uma configuração de firewall completa com 30 ou 40 regras escrever cada comando à mão é tedioso e propenso a erros.

Este gerador resolve o problema aceitando suas regras em um formato CSV simples e produzindo comandos iptables corretos. Você pode projetar seu firewall em uma planilha colar o CSV e obter um script completo que você pode revisar versionnar e implantar. O gerador lida com ordenação de flag sintaxe multiport rastreamento de conexão especificação de interface e detecção automática de IPv4/IPv6 -- todos os detalhes que pegam até administradores experientes ao escrever regras à mão.

Como Gerar Regras iptables a partir de CSV

1. Prepare seus dados de regra em formato CSV com colunas: chain source destination protocol port(s) e action.
2. Cole ou envie o CSV no gerador.
3. O gerador analisa cada linha e produz um comando iptables completo com flags corretos.
4. Revise os comandos de saída -- regras IPv4 usam iptables e regras IPv6 usam ip6tables automaticamente.
5. Copie os comandos para execução direta ou exporte como um script shell.

Formato de Input CSV e Comandos Gerados

Input CSV

chain,source,destination,protocol,port,action
INPUT,203.0.113.0/24,,tcp,22,DROP
INPUT,10.0.0.0/8,,tcp,443,ACCEPT
OUTPUT,,198.51.100.10,tcp,3306,ACCEPT
INPUT,,,tcp,80,ACCEPT
FORWARD,192.168.1.0/24,10.0.0.0/8,tcp,8080,ACCEPT
INPUT,,,icmp,,DROP

Saída Gerada

iptables -A INPUT -s 203.0.113.0/24 -p tcp --dport 22 -j DROP
iptables -A INPUT -s 10.0.0.0/8 -p tcp --dport 443 -j ACCEPT
iptables -A OUTPUT -d 198.51.100.10 -p tcp --dport 3306 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -s 192.168.1.0/24 -d 10.0.0.0/8 -p tcp --dport 8080 -j ACCEPT
iptables -A INPUT -p icmp -j DROP

Recursos Avançados

Quando Usar o iptables Rule Generator

• Hardening de servidor -- Construa um ruleset completo de firewall de uma planilha de requisitos de segurança durante configuração inicial de servidor.
• Resposta a incidente -- Gere rapidamente regras de bloqueio para IPs de atacante coletados durante um incidente ativo.
• Migração de plataforma -- Converta regras de firewall de Windows Firewall AWS security groups ou outras plataformas para sintaxe iptables.
• Scripts de automação -- Gere scripts de configuração de firewall para fluxos de trabalho Ansible Puppet ou baseados em shell.
• Aprendendo iptables -- Estude a relação entre especificações CSV e comandos gerados para entender sintaxe iptables.

Como Sintaxe de Regra iptables Funciona

Estrutura de Comando

Todo comando iptables segue esse padrão:

iptables -A <CHAIN> [-s source] [-d dest] -p <protocol> [--dport port] -j <ACTION>

• -A anexa a regra à chain especificada
• -s e -d especificam endereços de origem e destino em notação CIDR
• -p define o protocolo (tcp, udp, icmp)
• --dport define a porta de destino (requer -p tcp ou -p udp)
• -j define a ação de alvo

Tipos de Chain

IPv4 vs IPv6

Quando o gerador detecta um endereço IPv6 (ex: 2001:db8::/32) ele produz comandos ip6tables em vez de iptables:

ip6tables -A INPUT -s 2001:db8::/32 -p tcp --dport 443 -j ACCEPT

Conselho Prático para Configuração iptables

A coisa mais crítica para entender sobre iptables é ordenação de regra. Regras em uma chain são avaliadas de cima para baixo e a primeira regra correspondente vence. Se você coloca uma regra ACCEPT ampla antes de uma regra DROP específica o DROP nunca é acionado. Isso é especialmente importante para a chain INPUT: sempre coloque suas regras de permissão específicas primeiro depois suas regras de negação específicas e termine com uma negação padrão (iptables -A INPUT -j DROP). O gerador preserva a ordem de suas linhas CSV então organize sua planilha adequadamente.

O segundo erro mais comum é não salvar regras para persistência. Por padrão regras iptables vivem na memória do kernel e desaparecem na reinicialização. Em Debian/Ubuntu use iptables-save > /etc/iptables/rules.v4 e instale o pacote iptables-persistent. Em RHEL/CentOS use service iptables save. Se você pula esse passo seu servidor volta de uma reinicialização sem firewall -- uma janela de vulnerabilidade crítica que causou incidentes de segurança reais.

Ao construir uma configuração de firewall completa sempre inclua regras stateful no topo de suas chains INPUT e OUTPUT. Uma regra como iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT permite tráfego de retorno para conexões que seu servidor iniciou sem o qual conexões outbound (atualizações de pacote queries DNS chamadas de API) quebrariam. Sem essa regra você precisaria de regras explícitas para cada caminho de retorno que é impraticável. Coloque essa regra primeiro na chain INPUT para melhor performance já que a maioria dos pacotes em um servidor ativo são parte de conexões estabelecidas.

Perguntas Frequentes

Qual é a diferença entre DROP e REJECT?

DROP silenciosamente descarta o pacote sem resposta -- o envio da conexão expira. REJECT envia de volta um ICMP "port unreachable" ou TCP RST deixando o envio saber imediatamente. DROP é mais comum para regras voltadas para fora; REJECT é mais útil em redes internas onde falha rápida é preferida.

Como aplico os comandos gerados?

Copie os comandos e rode-os diretamente em um shell root ou salve como script e execute-o. Regras entram em efeito imediatamente mas são perdidas na reinicialização. Use iptables-save > /etc/iptables/rules.v4 para persistir regras entre reinicializações em Debian/Ubuntu ou service iptables save em RHEL/CentOS.

O gerador pode criar regras para chains customizadas?

Sim. Digite um nome de chain customizada na coluna chain (ex: LOGGING ou SSH-RULES). O gerador produz o comando -A CUSTOMCHAIN mas você deve separadamente criar a chain com iptables -N CUSTOMCHAIN antes de aplicar as regras.

Devo usar iptables ou nftables para novos deployments?

Para novos deployments em distribuições modernas (Debian 10+ RHEL 8+ Ubuntu 20.04+) nftables é a escolha recomendada. Oferece sintaxe mais limpa melhor performance e carregamento de ruleset atômico. Use o nftables Rule Generator para esses sistemas. Para sistemas existentes que já rodam iptables ou para compatibilidade com automação legada iptables permanece uma escolha sólida.

Como faço flush de todas as regras existentes antes de aplicar novas?

Use iptables -F para fazer flush de todas as regras em todas as chains e iptables -X para deletar chains customizadas. Cuidado: se você fizer flush de regras em um servidor remoto sem antes definir a política padrão como ACCEPT você se trancar. Sempre rode iptables -P INPUT ACCEPT antes de fazer flush.

Posso gerar regras com comentários?

Sim. iptables suporta a sintaxe -m comment --comment "description" para adicionar comentários legíveis por humanos a regras. Se seu CSV inclui uma coluna description o gerador pode embutir como um comentário em cada regra.

Ferramentas Relacionadas

• nftables Rule Generator - Gere regras nftables a partir de CSV para distribuições Linux modernas
• Allowlist Builder - Construa allowlist CIDR mínimo de lista de IP
• Blocklist Builder - Construa blocklist CIDR mínimo de lista de IP
• AWS Security Group Rule Generator - Gere regras AWS Security Group a partir de CSV
• Rule Conflict Finder - Encontre regras de firewall duplicatas sombreadas ou sobrepostas