We wszystkich systemach operacyjnych opartych na jądrze Linuksa znajduje się wbudowana zaporę, sterowanie i filtrowanie ruchu przychodzącego i wychodzącego, w oparciu o podane reguły lub platformę. W dystrybucji CentOS 7, narzędzie IPTIDS narzędzie wykonuje taką funkcję, interakcji z wbudowaną zaporą Netfiltera. Czasami administrator systemu lub menedżer sieci musi skonfigurować działanie tego komponentu, przepisując odpowiednie reguły. W ramach dzisiejszego artykułu chcielibyśmy porozmawiać o podstawach konfiguracji iptables w wyżej wspomnianym systemie operacyjnym.
Skonfiguruj iptables w centos 7
Sam narzędzie jest dostępny do pracy natychmiast po zakończeniu instalacji Centos 7, ale dodatkowo będzie musiał zainstalować niektóre usługi, o których porozmawiamy. W rozważanym platformie znajduje się kolejne wbudowane narzędzie, które wykonuje funkcję zapory o nazwie Firewalld. Aby uniknąć konfliktów, z dalszą pracą zalecamy wyłączony ten komponent. Rozszerzone instrukcje dotyczące tego tematu odczytane w innym materiale na poniższym ogniu.Czytaj więcej: Wyłącz Firewalld w Centos 7
Jak wiesz, protokoły IPv4 i IPv6 mogą być stosowane w systemie. Dziś skupimy się na przykładzie IPv4, ale jeśli chcesz skonfigurować dla innego protokołu, będziesz potrzebować zamiast zespołu. Iptables. W użyciu konsoli IP6Tables..
Instalowanie iptables.
Powinien być priorytetem w systemie dodatkowe komponenty zgodnie z normami rozważanymi. Pomogą w ustanowieniu zasad i innych parametrów. Ładowanie odbywa się z oficjalnego repozytorium, więc nie zajmuje dużo czasu.
- Wszystkie dalsze działania zostaną wykonane w konsoli klasycznej, więc uruchom go przez dowolną wygodną metodę.
- Komenda Sudo Yum install Iptables-Services jest odpowiedzialna za instalację usług. Wprowadź go i naciśnij klawisz Enter.
- Potwierdź konto Superusera, określając hasło z niego. Należy pamiętać, że po zapytaniach Sudo wprowadzone znaki w wierszu nigdy nie są wyświetlane.
- Proponuje się dodanie jednego pakietu do systemu, potwierdź tę czynność, wybierając wersję Y.
- Po zakończeniu instalacji sprawdź aktualną wersję narzędzia: sudo iptables --version.
- Wynik pojawi się w nowym ciągu.
Teraz system operacyjny jest w pełni gotowy do dalszej konfiguracji zaporę za pomocą narzędzia IpTables. Sugerujemy zapoznanie się z konfiguracją na przedmiotach, począwszy od usług zarządzających.
Zatrzymywanie i uruchamianie usług iptables
Zarządzanie trybami Iptables jest wymagane w przypadkach, w których musisz sprawdzić działanie określonych reguł lub po prostu uruchomić komponent. Odbywa się to za pomocą wbudowanych poleceń.
- Wprowadź Sudo Service Iptables Stop i kliknij klawisz Enter, aby zatrzymać usługi.
- Aby potwierdzić tę procedurę, określ hasło Superuser.
- Jeśli proces się powiedzie, zostanie wyświetlony nowy ciąg, wskazując zmiany w pliku konfiguracyjnym.
- Uruchomienie usług jest wykonywane prawie w ten sam sposób, tylko linia nabywa widok Sudo Service Iptables Start Widok.
Podobny ponowne uruchomienie, rozpoczęcie lub zatrzymanie narzędzia jest dostępne w dowolnym momencie, nie zapomnij tylko zwrócić odwrotną wartość, gdy będzie na żądanie.
Wyświetl i usuń reguły
Jak wspomniano wcześniej, kontrola zapory jest wykonywana przez ręczne lub automatycznie dodawanie reguł. Na przykład niektóre dodatkowe aplikacje mogą uzyskać dostęp do narzędzia, zmieniając niektóre zasady. Jednak większość takich działań nadal jest wykonana ręcznie. Wyświetlanie listy wszystkich aktualnych reguł jest dostępny za pośrednictwem polecenia sudo iptables -l.
W wyświetlanym wyniku będą informacje na temat trzech łańcuchów: "Wejście", "wyjście" i "do przodu" - odpowiednio przychodzące, wychodzące i spedycyjne ruchu.
Możesz zdefiniować status wszystkich łańcuchów, wprowadzając sudo iptables -s.
Jeśli zasady widoczne nie są z tobą zadowoleni, po prostu są tylko usunięte. Cała lista jest wyczyszczona taka: sudo iptables -f. Po aktywacji reguła zostanie całkowicie usunięta dla wszystkich trzech łańcuchów.
Kiedy trzeba wpływać tylko na zasady z jednego łańcucha, dodatkowy argument jest dodawany do linii:
Sudo iptables -f wejście
Sudo Iptables -F Wyjście
Sudo iptables -f do przodu
Nieobecność wszystkich zasad oznacza, że żadne ustawienia filtrowania ruchu nie są używane w żadnej części. Następnie administrator systemu niezależnie określi nowe parametry przy użyciu tej samej konsoli, polecenia i różnych argumentów.
Odbieranie i upuszczanie ruchu w łańcuchach
Każdy łańcuch jest skonfigurowany oddzielnie do odbierania lub blokowania ruchu. Ustawiając pewne znaczenie, można go osiągnąć, na przykład, każdy ruch przychodzący zostanie zablokowany. Aby to zrobić, polecenie musi być sudo iptables --policy wejściowy spadek, gdzie wejście jest nazwą łańcucha, a kropla jest wartością wyładowania.
Dokładnie te same parametry są ustawione dla innych obwodów, na przykład, sudo iptables --policy sprostowanie wyjściowe. Jeśli chcesz ustawić wartość do odbierania ruchu, a następnie zmiany spadek na akceptowaniu i okazuje się sudo iptables --policy wejście zaakceptować.
Rozdzielczość portu i blokada
Jak wiesz, wszystkie aplikacje sieciowe i procesy działają przez określony port. Przez blokowanie lub rozwiązywanie niektórych adresów można monitorować dostęp do wszystkich celów sieciowych. Przeanalizujmy port do przodu na przykład 80. W terminalu wystarczy, aby wejść do sudo iptables -a wejściowo -p TCP --dport 80 -j akceptują polecenie, gdzie -a - dodanie nowej reguły, wejście - sugestia Definicja łańcucha, -P - protokół w tym przypadku, TCP, A --dport jest portem docelowym.
Dokładnie te same polecenie ma również zastosowanie do portu 22, który jest używany przez SSH Service: sudo iptables -a wejście -P TCP --dport 22 -j akceptuje.
Aby zablokować określony port, ciąg jest używany dokładnie tego samego typu, tylko na końcu akceptacji zmienia się na spadek. W rezultacie okazuje się, na przykład, sudo iptables -a wejście -p TCP --dport 2450 -j -j Drop.
Wszystkie te reguły są wprowadzane do pliku konfiguracyjnego i można je zobaczyć w dowolnym momencie. Przypominamy, odbywamy się przez sudo iptables -l. Jeśli chcesz zezwolić na adres IP sieci z portem wraz z portem, ciąg jest nieco zmodyfikowany - po dodaniu TPC i sam adres. Sudo Iptables -a Input -P TCP -S 12.12.12.12.12/32 - Korzystaj 22 -j Akceptuj, gdzie 12.12.12.12/32 jest niezbędnym adresem IP.
Blokowanie występuje na tej samej zasadzie, zmieniając na końcu wartość akceptacji na spadku. Okazuje się, na przykład, sudo iptables -a wejście -P TCP -S 12.12.12.0/224 - Dropport 22 -j -j Drop.
Blokowanie ICMP.
ICMP (protokół komunikatu internetowego) - protokół, który jest zawarty w TCP / IP i jest zaangażowany w przesyłanie komunikatów o błędach i sytuacje awaryjne podczas pracy z ruchem. Na przykład, gdy żądany serwer nie jest dostępny, to narzędzie wykonuje funkcje serwisowe. Narzędzie iPtables Utility pozwala zablokować go za pośrednictwem zaporę, a można zrobić go za pomocą Sudo Iptables -a Ported -P ICMP -ICMP typu 8 -J Drop polecenia. Blokuje żądania z serwera i do serwera.
Wnioski przychodzące są zablokowane trochę inaczej. Wtedy musisz wejść do Sudo Iptables -I Input -P ICMP -ICMP-typ 8 -J Drop. Po aktywacji tych zasad serwer nie odpowie na żądania ping.
Zapobiegaj nieautoryzowanym działaniom na serwerze
Czasami serwery są poddawane atakom DDO lub innym nieautoryzowanym działaniom intruzów. Prawidłowa regulacja zapory pozwoli Ci ochrona przed tym rodzajem hakowania. Aby rozpocząć, zalecamy ustawienie takich zasad:
- Piszemy w Iptables -a Input -P TCP --dport 80 -m Limit --limit 20 / minutę --limit-sur 100 -j akceptuje, gdzie --lit 20 / minutę jest limitem częstotliwości pozytywnych wyników . Możesz określić jednostkę pomiaru samodzielnie, na przykład, / sekundę, minutę, godzinę / godzinę. - Limit-Burst Number - Limit liczby brakujących pakietów. Wszystkie wartości są eksponowane indywidualnie zgodnie z preferencjami administratora.
- Następnie możesz zabronić skanowania otwartych portów, aby usunąć jedną z możliwych przyczyn hakowania. Wprowadź pierwsze polecenie Sudo Iptables -N block-skanowanie.
- Następnie określ Block-Scan-Iptables -a Block-Scan -P TCP -TCP-Flags SYN, ACK, FIN, RST-M Limit -limit 1 / S -J Return.
- Ostatnim trzecim poleceniem jest: sudo iptables -a block-scan -j Drop. Wyrażenie skanowania bloku w tych przypadkach - nazwa używanego obwodu.
Pokazane ustawienia są dziś tylko podstawą pracy w instrumencie sterującym zaporę. W oficjalnej dokumentacji narzędzia znajdziesz opis wszystkich dostępnych argumentów i opcji, a można skonfigurować zaporę specjalnie pod żądaniami. Powyżej standardowe zasady bezpieczeństwa, które są najczęściej stosowane, a w większości przypadków są wymagane.