Belajar Iptables - Save & Restore Ruleset

#Pendahuluan

Di episode 4-7 kalian sudah membangun aturan-aturan nyata: policy default, target, match, dan stateful filtering. Tapi ada satu pertanyaan yang mengubah segalanya: apa yang terjadi setelah reboot? Jawaban defaultnya mengecewakan — semua aturan hilang. Aturan iptables hidup di kernel, dan kernel tidak menyimpan apa pun antar reboot.

Episode ini mengajarkan kalian menutup lubang itu: mengekspor ruleset ke file, memuatnya kembali saat boot, dan — sama pentingnya — menciptakan mekanisme rollback cepat untuk saat konfigurasi baru membuat firewall bermasalah. Persistensi bukan fitur tambahan; ini yang membedakan eksperimen lab dari konfigurasi produksi.

#iptables-save: Ekspor Ruleset

iptables-save mencetak seluruh ruleset — semua tabel — dalam format yang siap dimuat ulang:

Save ke stdout

sudo iptables-save

text

# Generated by iptables-save v1.8.9 on ...
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT
COMMIT
*nat
:PREROUTING ACCEPT [0:0]
COMMIT

Perhatikan strukturnya: setiap tabel dibuka dengan *nama-tabel, baris :CHAIN POLICY [counter] mendefinisikan chain & policy, aturan-aturan -A mengikutinya, dan COMMIT menutup setiap tabel. Format ini adalah bahasa umum ekosistem iptables — dipakai iptables-restore, iptables-restore-translate (episode 20), dan Ansible.

#Simpan ke File

Redirection standar membuat file backup:

Simpan ke file

sudo iptables-save > /etc/iptables/rules.v4
sudo ip6tables-save > /etc/iptables/rules.v6

Buat direktori dulu jika belum ada (sudo mkdir -p /etc/iptables). Kebiasaan yang disarankan: simpan versi "baik" ke file, dan buat snapshot bertanggal sebelum setiap perubahan besar:

Snapshot bertanggal

sudo iptables-save > ~/backup/iptables-$(date +%Y%m%d-%H%M).rules

#iptables-restore: Muat Ulang

iptables-restore memuat seluruh isi file dalam satu operasi atomik — jauh lebih aman daripada menjalankan baris per baris secara manual:

Restore dari file

sudo iptables-restore < /etc/iptables/rules.v4

Bandingkan dengan pola manual: kalau kalian mengetik 20 perintah -A satu per satu dan terputus di tengah, ruleset kalian setengah jadi. iptables-restore menggantikan seluruh state tabel sekaligus — tidak ada kondisi setengah.

Verifikasi setelah restore

sudo iptables-save | diff - /etc/iptables/rules.v4 && echo "OK"

#Persistensi Otomatis dengan netfilter-persistent

Menjalankan iptables-restore manual setiap boot itu melelahkan. Paket netfilter-persistent (Debian/Ubuntu) otomatis memuat rules.v4 dan rules.v6 saat boot:

Install netfilter-persistent

sudo apt install iptables-persistent
sudo systemctl enable --now netfilter-persistent

Siklus kerjanya:

Siklus save-restore otomatis

sudo netfilter-persistent save      # simpan ruleset aktif ke file
sudo netfilter-persistent flush     # kosongkan aturan (semua ACCEPT)
sudo netfilter-persistent reload    # muat ulang dari file

Di RHEL/Fedora, persistensi ditangani layanan iptables.service:

Persistensi di RHEL

sudo systemctl enable --now iptables
sudo systemctl restart iptables
sudo service iptables save

Warning

Bahaya tersembunyi netfilter-persistent: file rules.v4 yang rusak atau policy DROP yang tidak sengaja tersimpan akan dimuat setiap kali boot — membuat kalian terkunci bahkan sebelum login. Aturan pertama operasional: sebelum menyimpan, selalu uji bahwa ruleset aktif memang benar-benar yang kalian inginkan.

#Strategi Rollback Cepat

Kesalahan firewall terjadi. Yang membedakan operator berpengalaman adalah kecepatan pulihnya. Tiga lapis pertahanan:

Lapis 1 — snapshot: sebelum mengubah aturan apa pun, simpan state sekarang:

Snapshot sebelum perubahan

sudo iptables-save > /tmp/rules.before

Lapis 2 — cron auto-restore: untuk sesi kerja jarak jauh yang rawan, pasang timer pengaman yang memulihkan ruleset jika koneksi tidak kunjung dikonfirmasi:

At-restore otomatis

echo '0 * * * * root iptables-restore < /tmp/rules.before' | sudo tee /etc/cron.d/iptables-undo

Pola "auto-revert" ini adalah trik yang dipakai admin untuk pekerjaan perubahan firewall jarak jauh — meski untuk produksi, out-of-band console tetap yang paling andal.

Lapis 3 — restore manual: kapan pun ada masalah, muat kembali state terakhir yang diketahui baik:

Rollback manual

sudo iptables-restore < /tmp/rules.before

#Pitfall: urutan COMMIT dan kesalahan file

File rules.v4 yang salah baris akan ditolak seluruhnya oleh iptables-restore (karena sifat atomik) — kabar baiknya, tidak ada kerusakan parsial.
Jangan menaruh komentar atau baris kosong di posisi yang tidak diizinkan — format iptables-save itu ketat.
-A di dalam file menambah ke chain yang harus sudah dideklarasikan di baris :CHAIN ....

#Penutup

Inti yang harus dibawa pulang:

iptables-save mengekspor seluruh ruleset; iptables-restore memuatnya secara atomik.
Simpan ke /etc/iptables/rules.v4 (IPv4) dan rules.v6 (IPv6); otomasi boot dengan netfilter-persistent.
Selalu buat snapshot sebelum perubahan besar — itu rollback satu perintah.
Uji ruleset sebelum menyimpannya ke persistensi.

Di episode 9 selanjutnya kita masuk fase baru: NAT — masquerade, SNAT & DNAT — membangun internet sharing dengan MASQUERADE, SNAT untuk IP statis, DNAT untuk port forwarding 80/443 ke server LAN, dan mengaktifkan net.ipv4.ip_forward. Sampai jumpa di episode 9!