Setup Iptables i Centos 7

I alle operativsystemer baseret på Linux-kernen er der en indbygget firewall, der udfører kontrol og filtrering af indgående og udgående trafik, baseret på de angivne regler eller platformen. I Centos 7-distributionen udfører Iptables Utility en sådan funktion, der interagerer med den indbyggede NetFilter Firewall. Sommetider skal systemadministratoren eller netværksadministratoren konfigurere driften af ​​denne komponent, der ordinerer de relevante regler. Som en del af dagens artikel vil vi gerne tale om det grundlæggende i Iptables-konfigurationen i ovennævnte OS.

Konfigurer Iptables i Centos 7

Værktøjet selv er tilgængeligt til arbejde umiddelbart efter installationen af ​​Centos 7 er afsluttet, men yderligere skal installere nogle tjenester, som vi vil tale om. I den pågældende platform er der et andet indbygget værktøj, der udfører firewall-funktionen kaldet firewalld. For at undgå konflikter, med yderligere arbejde anbefaler vi de handicappede denne komponent. Udvidede instruktioner om dette emne Læs i et andet materiale på følgende link.

Læs mere: Deaktiver Firewalld i Centos 7

Som du ved, kan IPv4- og IPv6-protokollerne anvendes i systemet. I dag vil vi fokusere på IPv4-eksemplet, men hvis du vil konfigurere til en anden protokol, skal du i stedet for et hold. Iptables. i konsolbrug IP6Tables..

Installation af Iptables.

Det bør prioriteres systemet yderligere komponenter i det pågældende nytteværdi i dag. De vil hjælpe med at fastsætte reglerne og andre parametre. Indlæsning udføres fra det officielle depot, så det tager ikke meget tid.

1. Alle yderligere handlinger vil blive lavet i den klassiske konsol, så kør det ved en hvilken som helst bekvem metode.



2. Sudo Yum Install Iptables-Services-kommandoen er ansvarlig for at installere tjenesterne. Indtast det, og tryk på Enter-tasten.



3. Bekræft superuserkontoen ved at angive adgangskoden fra den. Bemærk venligst, at når forespørgsler sudo, vises de indtastede tegn i rækken aldrig.



4. Det vil blive foreslået at tilføje en pakke til systemet, bekræfte denne handling ved at vælge Y-versionen.



5. Efter afslutningen af ​​installationen skal du kontrollere den aktuelle version af værktøjet: Sudo Iptables - Version.



6. Resultatet vises i den nye streng.

Nu er OS helt klar til den yderligere konfiguration af firewallen gennem Iptables-værktøjet. Vi foreslår at fortælle dig selv med konfigurationen på varer, der starter med administrerende tjenester.

Stop og lancering af Iptables-tjenester

Iptables Mode Management er påkrævet i tilfælde, hvor du skal kontrollere handlingen af ​​visse regler eller bare genstarte komponenten. Dette gøres ved hjælp af indlejrede kommandoer.

1. Indtast Sudo Service Iptables Stop og klik på Enter-tasten for at stoppe tjenesterne.



2. For at bekræfte denne procedure skal du angive Superuser-adgangskoden.



3. Hvis processen lykkes, vises en ny streng, hvilket angiver ændringer i konfigurationsfilen.



4. Lanceringen af ​​Tjenesterne udføres næsten på samme måde, kun linjen erhverver Sudo Service Iptables Start View.

En lignende genstart, der starter eller stopper værktøjet, er til enhver tid tilgængelig, må du ikke kun glemme at returnere den omvendte værdi, når den vil være i efterspørgsel.

Se og slet regler

Som tidligere nævnt udføres kontrollen med firewallen ved manuelle eller automatisk tilføjelsesregler. For eksempel kan nogle yderligere applikationer få adgang til værktøjet, ændre visse politikker. Men de fleste sådanne handlinger udføres stadig manuelt. Visning af en liste over alle gældende regler er tilgængelig via Ego Iptables -L-kommandoen.

I det viste resultat vil der være information om tre kæder: "input", "output" og "fremad" - indgående, udgående og videresendelsestrafik.

Du kan definere status for alle kæder ved at indtaste sudo iptables -s.

Hvis reglerne set ikke er tilfredse med dig, er de simpelthen bare slettet. Hele listen er ryddet som denne: sudo iptables -f. Efter aktivering vil reglen blive slettet helt til alle tre kæder.

Når du kun skal påvirke politikkerne fra en enkelt kæde, tilføjes et yderligere argument til linjen:

Sudo iptables -f input

Sudo iptables -f output

Sudo iptables -f fremad

Fraværet af alle regler betyder, at ingen trafikfiltreringsindstillinger ikke anvendes i nogen del. Derefter vil systemadministratoren uafhængigt angive nye parametre ved hjælp af den samme konsol, kommandoen og forskellige argumenter.

Modtagelse og tab af trafik i kæder

Hver kæde er konfigureret separat til modtagelse eller blokering af trafik. Ved at indstille en vis betydning, kan det opnås, at for eksempel alle indgående trafik vil blive blokeret. For at gøre dette skal kommandoen være sudo iptables --policy input drop, hvor input er navnet på kæden, og drop er en udladningsværdi.

Præcis de samme parametre er sat til andre kredsløb, for eksempel sudo iptables --policy output drop. Hvis du har brug for at indstille en værdi til at modtage trafik, så ændres dråberne på accept, og det viser sig sudo Iptables - Policy Input Accept.

Portopløsning og lås

Som du ved, arbejder alle netværksprogrammer og processer gennem en bestemt port. Ved at blokere eller løse visse adresser, kan du overvåge adgangen til alle netværksformål. Lad os analysere porten frem for eksempel 80. I terminalen vil det være nok til at komme ind i Sudo Iptables -A-indgangen -P TCP --DPORT 80 -JACT-kommandoen, hvor -A - tilføjer en ny regel, input - forslag til Kæde-, -P-protokoldefinitionen I dette tilfælde er TCP, A -Dport en destinationsport.

Præcis den samme kommando gælder også for Port 22, som bruges af SSH-tjenesten: sudo iptables -A-indgang -P TCP --Dport 22 -J accepterer.

For at blokere den angivne port, bruges strengen nøjagtig samme type, kun i slutningen af ​​acceptændringerne for at falde. Som følge heraf viser det sig for eksempel sudo Iptables -A-indgang -P TCP --Dport 2450 -J drop.

Alle disse regler er indtastet i konfigurationsfilen, og du kan til enhver tid se dem. Vi minder dig om, det er gjort gennem sudo iptables -l. Hvis du har brug for at tillade en netværks IP-adresse med porten sammen med porten, er strengen lidt ændret - efter at TPC er tilføjet -S og selve adressen. SUDO IPTABLES -A-INPUT -P TCP -S 12.12.12.12/32 --DPORT 22 -JE accepterer, hvor 12.12.12.12/32 er den nødvendige IP-adresse.

Blokering sker på samme princip ved at ændre i slutningen værdien af ​​accept på drop. Derefter viser det sig for eksempel sudo iptables -A-indgang -P TCP -S 12.12.12.0/224 --Dport 22-DOP drop.

ICMP blokering

ICMP (Internet Control Message Protocol) - En protokol, der er inkluderet i TCP / IP og er involveret i overførsel af fejlmeddelelser og nødsituationer, når du arbejder med trafik. For eksempel, når den ønskede server ikke er tilgængelig, udfører dette værktøj servicefunktioner. Iptables-værktøjet giver dig mulighed for at blokere det gennem firewallen, og du kan gøre det ved hjælp af Sudo Iptables -A-output -P-ICMP - MICMP-type 8 -J-dråbekommandoen. Det vil blokere anmodninger fra din og til din server.

Indkommende anmodninger er blokeret lidt anderledes. Derefter skal du indtaste Sudo Iptables -I-indgang -P ICMP - MICMP-type 8 -J-dråbe. Efter aktivering af disse regler svarer serveren ikke på Ping-anmodninger.

Forhindre uautoriserede handlinger på serveren

Nogle gange er servere udsat for DDOS-angreb eller andre uautoriserede handlinger fra indtrengere. Den korrekte justering af firewallen giver dig mulighed for at beskytte dig selv mod denne form for hacking. Til at begynde med anbefaler vi at indstille sådanne regler:

1. Vi skriver i Iptables -A-indgangen -P TCP --DPORT 80 -M-grænse --Limit 20 / minut --limit-Burst 100 -J accepterer, hvor --limit 20 / minut er en grænse for hyppigheden af ​​positive resultater . Du kan selv angive en måleenhed, for eksempel / sekund, / minut, / time, / dag. - Limit-Burst-nummer - Begræns på antallet af manglende pakker. Alle værdier udstilles individuelt i henhold til administratorens præferencer.



2. Derefter kan du forbyde scanningen af ​​åbne porte for at fjerne en af ​​de mulige årsager til hacking. Indtast den første sudo iptables -N-blok-scan-kommando.



3. Angiv derefter sudo Iptables -A-blok-scan -P-TCP -TCP-Flags SYN, ACK, FIN, RST -M-grænse -Limit 1 / S -J returnering.



4. Den sidste tredje kommando er: sudo iptables-en blok-scan -J drop. Block scan udtryk i disse tilfælde - navnet på det anvendte kredsløb.

De viste indstillinger i dag er kun grundlaget for arbejdet i firewallens kontrolinstrument. I den officielle dokumentation af hjælpeprogrammet finder du en beskrivelse af alle tilgængelige argumenter og muligheder, og du kan konfigurere firewallen specifikt under dine anmodninger. Over de standard sikkerhedsregler, som oftest anvendes, kræves og i de fleste tilfælde påkrævet.