Yn alle bestjoeringssystemen basearre op 'e Linux Kernel, is d'r in ynboude Firewall, kontrôle optreden en filterjen fan ynkommende en útgeande ferkear, basearre op' e oantsjutte regels. Yn 'e Centos treatureart it iptabels utility sa'n funksje út, ynteraksje mei de ynboude netfilter firewall. Soms moat de systeembehearder of netwurkbehearder as netwurkbehearder de wurking fan dit komponint ynstelle, de relevante regels foarskriuwe. As diel fan it artikel fan hjoed, wolle wy graach prate oer de basis fan 'e konfiguraasje fan' e IPTables yn 'e hjirboppe neamde OS.
Iptables yn Centos 7 ynstelle
It ark sels is tagonklik om direkt te wurkjen nei de ynstallaasje fan Centos 7 is foltôge, mar fierder sil wat tsjinsten moatte ynstallearje, dat wy sille prate oer. Yn it platfoarm ûnder beskôging is d'r in oar ynboude ark dy't de firewall-funksje útfiert mei de namme FireWalld. Om konflikten te foarkommen, mei fierdere wurk, advisearje wy dizze komponint útskeakele. Utwreide ynstruksjes oer dit ûnderwerp lêzen yn in oar materiaal op 'e folgjende link.Lês mear: Firewalld útskeakelje yn CentoS 7
Wylst jo witte, kinne de IPV4 en IPV6-protokollen yn it systeem tapast wurde. Hjoed sille wy rjochtsje op it IPV4-foarbyld, mar as jo wolle konfigurearje foar in oar protokol, sille jo hawwe yn plak fan in team. Iptables. yn konsole brûke Ip6tables.
Iptables ynstallearje
It soe foarrang wêze moatte oan it systeem ekstra komponinten fan 'e nuttichheden foar konsideraasje. Se sille helpe by it ynstellen fan de regels en oare parameters. Laden wurdt útfierd út it offisjele repository, dus it nimt net folle tiid.
- Alle fierdere aksjes sille wurde makke yn 'e klassike konsole, dus rinne it troch elke maklike metoade.
- It sudo Yum ynstallearje op 'e kommando fan Iptables-tsjinsten is ferantwurdelik foar it ynstallearjen fan de tsjinsten. Fier it yn en druk op de ENTER-toets.
- Befêstigje it superuser-akkount troch it opjaan fan it wachtwurd derfan. Tink derom dat as jo sudo sudo binne, binne de ynfierde tekens yn 'e rige noait werjûn.
- It sil wurde foarsteld om ien pakket oan it systeem ta te foegjen, befêstigje dizze aksje troch de Y-ferzje te selektearjen.
- Kontrolearje nei it foltôgjen fan 'e ynstallaasje, kontrolearje de hjoeddeistige ferzje fan it ark: Sudo iptables --verzje.
- It resultaat sil ferskine yn 'e nije tekenrige.
No is it OS folslein klear foar de fierdere konfiguraasje fan 'e Firewall troch de iptables utility. Wy stelle josels te fertrouwen om josels te fertrouwen by de konfiguraasje op items, begjinnend mei it behearjen fan tsjinsten.
Services stopjen en lansearje
Modusbehear fan Iptables is ferplicht yn gefallen wêr't jo de aksje fan bepaalde regels moatte kontrolearje of de komponint gewoan opnij starte. Dit wurdt dien mei ynbêde kommando's.
- Fier de Sudo-tsjinst yn, stopje en klikje op de Enter-toets om de tsjinsten te stopjen.
- Om dizze proseduere te befêstigjen, spesifisearje it Superuser-wachtwurd.
- As it proses suksesfol is, sil in nije tekenrige wurde werjûn, oanjout feroaringen yn it konfiguraasjetriem.
- De lansearring fan 'e tsjinsten wurdt hast op deselde manier útfierd, allinich de line krijt de line dy't de Sudo Service Iptables begjint werjefte.
In ferlykber opnij starte, dy't begjint of stopje fan it nut is op elk momint te krijen, ferjit net allinich om de omkearde wearde werom te jaan as it yn 'e fraach sil wêze.
Besjoch en wiskje regels
Lykas earder neamd, wurdt de kontrôle fan 'e firewall útfierd troch hantlieding of automatysk regels tafoegje. Guon ekstra applikaasjes kinne tagong krije ta it ark, feroarjende bepaalde belied. De measte sokke aksjes binne lykwols noch hânmjittich dien. In list besjen fan alle hjoeddeistige regels is beskikber fia it Sudo Iptables -L-kommando.
Yn it werjûn resultaat sille d'r ynformaasje wêze op trije keatlingen: "Ynfier", "Utfier" en "foarút" - ynkommende, útgeande en trochstjoerd ferkear.
Jo kinne de status fan alle keatlingen definiearje troch sudo-iptables -s yn te gean.
As de regels te sjen binne net tefreden binne mei jo, wurde se gewoan wiske. De heule list wurdt wiske lykas dizze: Sudo Iptables -F. Nei aktivearring sil de regel wurde wiske absolút foar alle trije keatlingen.
As jo allinich moatte beynfloedzje, allinich it belied fan guon ienige ketting, wurdt in ekstra argumint tafoege oan 'e line:
Sudo ipptables -F ynfier
Sudo ipptables -f output
Sudo iptables -f foarút
De ôfwêzigens fan alle regels betsjuttet dat gjin ferkearspiltenynstellingen yn ien diel net brûkt wurde. Folgjende sil de systeembehearder ûnôfhinklik spesifisearje nije parameters mei deselde konsole, it kommando en ferskate arguminten.
It ûntfangen en smyt ferkear yn keatlingen
Elke ketting is apart konfigureare foar it ûntfangen fan ferkear of blokkearjen. Troch in bepaalde betsjutting te ynstellen, kin it wurde berikt dat, bygelyks sil alle ynkommende ferkear wurde blokkearre. Om dit te dwaan, moat it kommando iptables wêze --policy ynfier drop, wêr't ynfier de namme is fan 'e ketting, en drop is in ûntslachwearde.
Presys deselde parameters binne ynsteld foar oare sirkels, bygelyks, sudo-ipatables --policy útfier drop. As jo in wearde moatte ynstelle om ferkear te ûntfangen, dan feroaret de drop feroarings op Accept en it wurdt sudo-iptables útdraaie --polify-ynfier akseptearje.
Havenresolúsje en beskoattelje
Wylst jo wite, wurkje alle netwurk applikaasjes en prosessen troch in bepaalde haven. Troch bepaalde adressen te blokkearjen of te oplossen kinne jo tagong kontrolearje op tagong fan alle netwurkdoelen. Litte wy de haven nei foaren analysearje, yn 'e terminal, sil it genôch wêze om it sudo-iptable-ynput te gean - ynpakt 80 -j-kommando, wêryn in nije regel tafoegje, ynfiering fan De ketting, -p - -P - Protocol-definysje yn dit gefal, TCP, A --DPort is in bestimmingshaven.
Presys itselde kommando jildt ek op poarte 22, dy't wurdt brûkt troch de SSH-tsjinst: Sudo Iptables -a-ynfier -p TCP --DPort 22 -J akseptearje.
Om de oantsjutte haven te blokkearjen, wurdt de tekenrige krekt itselde type brûkt, allinich oan it ein fan 'e akseptaasjes om te sakjen. As resultaat docht bliken, bygelyks, bygelyks, sudo Iptables -a ynput -p TCP --DPPRY 2450 -j drop.
Al dizze regels wurde ynfierd yn it konfiguraasjetriem en jo kinne se op elk momint besjen. Wy herinnerje jo, it wurdt dien fia Sudo Iptables -L -L. As jo in netwurk IP-adres moatte tastean mei de poarte tegearre mei de haven, is de tekenrige wat wizige - nei TPC wurdt tafoege -s en it adres sels. Sudo Iptables -A-ynfier -p TCP -S 12.12.12.12/32 --DPort 22 -J akseptearje, wêr 12.12.12.12.12/32 is it nedige IP-adres is.
Blokkearje bart op itselde prinsipe troch te feroarjen oan it ein de wearde fan akseptearje op 'e drip. Dan docht bliken, bygelyks, bygelyks Sudo Iptables -a-ynfier -p TCP -S 12.12.12.0/224 --DPort 22 -J Drop.
ICMP-blokkearjen
ICMP (PROTOCOL MEICKOP (In protokol is opnommen yn TCP / IP opnommen yn TCP / IP en is belutsen by it ferstjoeren fan foutberjochten en emergency-situaasjes as it wurk binne. Bygelyks, doe't de frege server net beskikber is, docht dizze ark foar dit ark yn tsjinst. De iptabels nutt kinne jo troch it firewall blokkearje, en jo kinne it meitsje mei it ferstjoeren fan it sudo-iptables -A-ucmp-p icmp-type 8 -j-type 8 -J drop kommando. It sil oanfragen blokkearje fan jo en nei jo server.
Ynkommende oanfragen binne in bytsje oars blokkearre. Dan moatte jo it Sudo Iptables-yn ynfier ynfiere -p -p ICMP - MY -MP-Type 8 -J drop. Nei it aktivearjen fan dizze regels sil de server net reagearje op Ping-oanfragen.
Foarkomme unautoriseare aksjes op 'e server
Soms wurde servers ûnderwurpen oan DDOS-oanfallen as oare net autoriseare aksjes út ynbrekkers. De juste oanpassing fan 'e Firewall sil jo tastean om josels te beskermjen tsjin dit soarte hacking. Om mei te begjinnen, advisearje wy sokke regels yn te stellen:
- Wy skriuwe yn 'e ISPTABLES -A-ynfier -p TCP --DPort 80 -M-limyt - DISTE BURST 100 -J AKSJE, WÊR - Limit 20 / MINUTE IS EIN FERGESE OP DE FREKSEN . Jo kinne josels in mjitting fan mjitting opjaan, bygelyks / sekonde, / minút, / oere, / dei. - Limytnûmer - limyt op it oantal ûntbrekkende pakketten. Alle wearden wurde yndividueel tentoansteld neffens de foarkar fan 'e behearder.
- Folgjende kinne jo de skennen fan iepen haven ferbiede om ien fan 'e mooglike oarsaken fan hacking te ferwiderjen. Fier it earste-sudo-iptables -n-kommando yn.
- Spesifisearje dan de sudo-iptables-yn blok-scan -p TCP -TCP-flaggen syn, ack, fin, rst -M-limyt - / s -j rendemint.
- It lêste tredde kommando is: Sudo Iptables -a blok-scan -j drop. Blokkearje útdrukking fan blokje yn dizze gefallen - de namme fan it wurdt brûkt.
De ynstellingen toand hjoed binne allinich de basis foar it wurk yn it kontrôleynstrumint fan 'e firewall. Yn 'e offisjele dokumintaasje fan it nut sille jo in beskriuwing fine fan alle beskikbere arguminten en opsjes en jo kinne it firewall spesifyk ynstelle ûnder jo oanfragen. Boppe de standert befeiligingsregels, dy't it meast tapast wurde tapast en yn 'e measte gefallen binne fereaske.