Dans tous les systèmes d'exploitation basés sur le noyau Linux, il existe un pare-feu intégré, un contrôle et un filtrage du trafic entrant et sortant, sur la base des règles spécifiées ou de la plate-forme. Dans la distribution Centos 7, l'utilitaire IPTABLE effectue une telle fonction, interagissant avec le pare-feu NetFilter intégré. Parfois, l'administrateur système ou le gestionnaire de réseau doit configurer le fonctionnement de ce composant, prescrivant les règles pertinentes. Dans le cadre de l'article d'aujourd'hui, nous aimerions parler des bases de la configuration IPTABLES dans le système d'exploitation mentionné ci-dessus.
Configurer les IPTABLES EN CENTOS 7
L'outil lui-même est accessible au travail immédiatement après la fin de l'installation de Centos 7, mais devra en outre installer certains services que nous allons parler. Dans la plate-forme considérée, il existe un autre outil intégré qui effectue la fonction de pare-feu appelé Firewalld. Pour éviter les conflits, avec de nouveaux travaux, nous vous recommandons de désactiver cette composante. Instructions étendues sur cette rubrique Lisez dans un autre matériau sur le lien suivant.En savoir plus: Désactiver le pare-feu dans Centos 7
Comme vous le savez, les protocoles IPv4 et IPv6 peuvent être appliqués dans le système. Aujourd'hui, nous allons nous concentrer sur l'exemple IPv4, mais si vous souhaitez configurer un autre protocole, vous aurez besoin au lieu d'une équipe. Iptables. Utilisation de la console IP6Tables.
Installation d'iptables
Il devrait être prioritaire au système des composantes supplémentaires de l'utilité considéré aujourd'hui. Ils aideront à définir les règles et autres paramètres. Le chargement est effectué à partir du référentiel officiel, il ne faut donc pas beaucoup de temps.
- Toutes les actions supplémentaires seront effectuées dans la console classique, alors exécutez-la par n'importe quelle méthode commode.
- La commande Sudo Yum Installer Iptables-Services est responsable de l'installation des services. Entrez-le et appuyez sur la touche Entrée.
- Confirmez le compte superutilisateur en spécifiant le mot de passe de celui-ci. Veuillez noter que lorsque les requêtes SUDO, les caractères entrés de la ligne ne sont jamais affichés.
- Il sera proposé d'ajouter un package au système, confirmant cette action en sélectionnant la version y.
- À la fin de l'installation, vérifiez la version actuelle de l'outil: sudo iptables --Version.
- Le résultat apparaîtra dans la nouvelle chaîne.
Maintenant, le système d'exploitation est entièrement prêt pour la configuration supplémentaire du pare-feu via l'utilitaire IPTABLE. Nous vous suggérons de vous familiariser avec la configuration sur les articles, à commencer par la gestion des services.
Arrêter et lancer des services IPTABLES
La gestion du mode IPTABLES est requise dans les cas où vous devez vérifier l'action de certaines règles ou simplement redémarrer le composant. Ceci est fait avec des commandes intégrées.
- Entrez le Sudo Service IPTABLE Stop et cliquez sur la touche Entrée pour arrêter les services.
- Pour confirmer cette procédure, spécifiez le mot de passe superutilisateur.
- Si le processus est réussi, une nouvelle chaîne sera affichée, indiquant les modifications du fichier de configuration.
- Le lancement des services est effectué presque de la même manière, seule la ligne acquiert la vue Sudo Service Iptables Start.
Un redémarrage similaire, démarrage ou arrêt de l'utilitaire est disponible à tout moment, n'oubliez pas que de renvoyer la valeur inverse quand elle sera à la demande.
Afficher et supprimer des règles
Comme mentionné précédemment, le contrôle du pare-feu est effectué par manuel ou ajoutant automatiquement des règles. Par exemple, certaines applications supplémentaires peuvent accéder à l'outil, changer certaines stratégies. Cependant, la plupart des actions de ce type sont encore effectuées manuellement. Affichage d'une liste de toutes les règles actuelles est disponible via la commande sudo iptables -l.
Dans le résultat affiché, il y aura des informations sur trois chaînes: "Entrée", "Sortie" et "Transférer" - le trafic entrant, sortant et de transfert, respectivement.
Vous pouvez définir le statut de toutes les chaînes en entrant Sudo Iptables.
Si les règles observées ne sont pas satisfaites de vous, elles sont simplement supprimées. La liste complète est effacée comme ceci: sudo iptables -f. Après activation, la règle sera effacée absolument pour les trois chaînes.
Lorsque vous devez affecter uniquement les stratégies d'une chaîne unique, un argument supplémentaire est ajouté à la ligne:
SUDO IPTABLE -F INPUT
SUDO IPTABLE -F SORTIE
Sudo iptables -f en avant
L'absence de toutes règles signifie qu'aucun paramètre de filtrage de la circulation n'est utilisé dans aucune partie. Ensuite, l'administrateur système spécifiera indépendamment de nouveaux paramètres à l'aide de la même console, de la commande et de divers arguments.
Recevoir et déposer du trafic dans des chaînes
Chaque chaîne est configurée séparément pour recevoir ou bloquer le trafic. En définissant une certaine signification, il peut être atteint que, par exemple, tout le trafic entrant sera bloqué. Pour ce faire, la commande doit être SUDO IPTABLE --Poly Entrée Drop, où l'entrée est le nom de la chaîne et la chute est une valeur de décharge.
Les mêmes paramètres sont exactement définis pour d'autres circuits, par exemple, Sudo Iptables --Policy Sortie Drop. Si vous devez définir une valeur pour recevoir du trafic, les changements de chute d'acceptation et il s'avère SUDO IPTABLES - POLICY INPUT Accepter.
Résolution du port et verrouillage
Comme vous le savez, toutes les applications et processus de réseau fonctionnent à travers un certain port. En bloquant ou en résolvant certaines adresses, vous pouvez surveiller l'accès de toutes les fins du réseau. Analysons le port vers l'avant par exemple 80. Dans le terminal, il suffira de saisir la commande Sudo IPTables-SPASE -P -P TCP -DPORT 80 -J Accepter, où - Ajout d'une nouvelle règle, entrée - suggestion de La chaîne, -P - Définition du protocole dans ce cas, TCP, A --Dport est un port de destination.
La même commande s'applique également au port 22, qui est utilisée par le service SSH: SUDO IPTABLE -A INPUT -P TCP -DPORT 22 -J accepte.
Pour bloquer le port spécifié, la chaîne est utilisée exactement le même type, à la fin de l'acceptation des modifications à gouttes. En conséquence, il s'avère, par exemple, SUDO IPTABLE -A INPUT -P -P TCP --Dport 2450 -J Drop.
Toutes ces règles sont entrées dans le fichier de configuration et vous pouvez les afficher à tout moment. Nous vous le rappelons, cela se fait via sudo iptables -l. Si vous devez autoriser une adresse IP réseau avec le port avec le port, la chaîne est légèrement modifiée - après ajoute TPC et l'adresse elle-même. SUDO IPTABLE -A INPUT -P -P TCP -S 12.12.12.12/32 --Dport 22 -J est accepter, où le 12.12.12.12/32 est l'adresse IP nécessaire.
Le blocage se produit sur le même principe en modifiant à la fin de la valeur d'accepter sur la goutte. Ensuite, il s'avère, par exemple, SUDO IPTABLE -A INPUT -P -P TCP -S -S 12.12.12.0/224 --Dport 22 -J.
Blocage ICMP
ICMP (protocole de messages de contrôle Internet) - Un protocole inclus dans TCP / IP et participe à la transmission de messages d'erreur et de situations d'urgence lors de la circulation avec le trafic. Par exemple, lorsque le serveur demandé n'est pas disponible, cet outil effectue des fonctions de service. L'utilitaire IPTABLE vous permet de le bloquer via le pare-feu et vous pouvez l'utiliser à l'aide de la commande SUDO IPTABLES-SORTIE -P -P ICMP --ICMP-TYPE 8 -J DROP. Il bloquera les demandes de votre serveur et de votre serveur.
Les demandes entrantes sont bloquées un peu différentes. Ensuite, vous devez entrer dans le Sudo IPTables -I entrée -P ICMP --ICMP-Type 8 -J Drop. Après avoir activé ces règles, le serveur ne répondra pas aux demandes de ping.
Empêcher les actions non autorisées sur le serveur
Parfois, des serveurs sont soumis à des attaques DDO ou d'autres actions non autorisées d'intrus. Le réglage correct du pare-feu vous permettra de vous protéger de ce type de piratage. Pour commencer, nous vous recommandons de définir de telles règles:
- Nous écrivons dans l'entrée IPTABLE -UPT -P TCP -DPORT 80 -M LIMIT -LIMIT 20 / MINUTES --LIMIT-BURST 100 -J Accepter, où --Limit 20 / minute est une limite sur la fréquence des résultats positifs . Vous pouvez spécifier une unité de mesure vous-même, par exemple, / seconde, / minute, / heure, / jour. -Limit-burst numéro - Limite du nombre de packages manquants. Toutes les valeurs sont exposées individuellement selon les préférences de l'administrateur.
- Ensuite, vous pouvez interdire la numérisation des ports ouverts pour supprimer l'une des causes possibles du piratage. Entrez la première commande Sudo Iptables -n Block-Scan.
- Spécifiez ensuite le SUDO IPTABLES -A BLOCK-SCAN -P TCP -TCP-Drapeaux SYN, ACK, FIN, RST -M LIMIT LIMIT -LIMIT 1 / S -J.
- La dernière troisième commande est la suivante: sudo iptables -a block-scan -j goutte. Expression de balayage de bloc dans ces cas - le nom du circuit utilisé.
Les paramètres indiqués aujourd'hui ne sont que la base du travail de l'instrument de contrôle du pare-feu. Dans la documentation officielle de l'utilité, vous trouverez une description de tous les arguments et options disponibles et vous pouvez configurer le pare-feu spécifiquement sous vos demandes. Au-dessus des règles de sécurité standard, qui sont le plus souvent appliquées et dans la plupart des cas sont nécessaires.