I alla operativsystem baserade på Linux-kärnan finns det en inbyggd brandvägg, som utför kontroll och filtrering av inkommande och utgående trafik, baserat på de angivna reglerna eller plattformen. I CENTOS 7-distributionen utför IPTAbles-verktyget en sådan funktion, interagerar med den inbyggda Netfilter-brandväggen. Ibland måste systemadministratören eller nätverkshanteraren konfigurera driften av denna komponent, förskriva de relevanta reglerna. Som en del av dagens artikel vill vi prata om grunderna i IPTABLE-konfigurationen i ovannämnda OS.
Konfigurera iptables i centos 7
Verktyget är tillgängligt för att arbeta omedelbart efter att installationen av Centos 7 är klar, men ytterligare måste du installera vissa tjänster, som vi kommer att prata om. På den aktuella plattformen finns ett annat inbyggt verktyg som utför brandväggsfunktionen som heter Firewalld. För att undvika konflikter, med ytterligare arbete, rekommenderar vi inaktiverade den här komponenten. Utökade instruktioner om detta ämne Läs i ett annat material på följande länk.Läs mer: Inaktivera Firewalld i centos 7
Som du vet kan IPv4- och IPv6-protokollen appliceras i systemet. Idag kommer vi att fokusera på IPv4-exemplet, men om du vill konfigurera för ett annat protokoll behöver du istället för ett lag. Iptebles. I konsolanvändning Ip6tables.
Installera iptables
Det bör prioriteras för systemets ytterligare komponenter i det aktuella nyttjandeperioden idag. De kommer att hjälpa till med att fastställa reglerna och andra parametrar. Laddning utförs från det officiella förvaret, så det tar inte mycket tid.
- Alla ytterligare åtgärder kommer att göras i den klassiska konsolen, så kör den med någon lämplig metod.
- Kommandot sudo yum installera iptebles-services är ansvarigt för att installera tjänsterna. Ange det och tryck på ENTER-tangenten.
- Bekräfta Superuser-kontot genom att ange lösenordet från det. Observera att när frågor sudo, visas de inmatade tecknen i raden.
- Det kommer att föreslås att lägga till ett paket till systemet, bekräfta den här åtgärden genom att välja Y-versionen.
- Efter avslutad installation, kontrollera den aktuella versionen av verktyget: sudo iptebles - version.
- Resultatet kommer att visas i den nya strängen.
Nu är OS helt klart för den ytterligare konfigurationen av brandväggen genom IPTAILS-verktyget. Vi föreslår att du bekantar med konfigurationen på objekt, som börjar med att hantera tjänster.
Stoppar och lanserar IPTABLE-tjänster
IPTABLES Lägehantering krävs i de fall där du behöver kontrollera åtgärden av vissa regler eller helt enkelt starta om komponenten. Detta görs med hjälp av inbäddade kommandon.
- Ange Sudo Service IPTABLES STOPP och klicka på ENTER-tangenten för att stoppa tjänsterna.
- För att bekräfta det här proceduren, ange Superuser-lösenordet.
- Om processen är framgångsrik visas en ny sträng, vilket indikerar ändringar i konfigurationsfilen.
- Lanseringen av tjänsterna utförs nästan på samma sätt, bara linjen förvärvar sudo-tjänsten IPTABLES startvy.
En liknande omstart, startar eller stoppar verktyget är tillgängligt när som helst, glöm inte bara att returnera det omvända värdet när det kommer att vara efterfrågan.
Visa och ta bort regler
Som tidigare nämnts utförs styrningen av brandväggen genom manuell eller automatiskt lägger till regler. Till exempel kan vissa ytterligare applikationer komma åt verktyget, ändra vissa policyer. Men de flesta sådana åtgärder görs fortfarande manuellt. Visa en lista med alla aktuella regler är tillgänglig via kommandot sudo iptebles -l.
I det visade resultatet kommer det att finnas information om tre kedjor: "inmatning", "utgång" och "framåt" - inkommande, utgående och vidarebefordran av trafik.
Du kan definiera status för alla kedjor genom att ange sudo iptables -s.
Om reglerna ses är inte nöjda med dig, är de helt enkelt bara raderade. Hela listan rensas så här: sudo iptebles -f. Efter aktivering raderas regeln absolut för alla tre kedjorna.
När du bara behöver påverka policyerna från en viss enda kedja, läggs ett ytterligare argument till linjen:
Sudo iptebles -f ingång
Sudo iptebles -f utgång
Sudo iptables -f framåt
Frånvaron av alla regler innebär att inga trafikfiltreringsinställningar inte används i någon del. Därefter anger systemadministratören självständigt nya parametrar med samma konsol, kommandot och olika argument.
Ta emot och släppa trafik i kedjor
Varje kedja är konfigurerad separat för att ta emot eller blockera trafik. Genom att ställa in en viss betydelse kan den uppnås att till exempel all inkommande trafik blockeras. För att göra detta måste kommandot vara sudo IPTABLES --POLICY INPUT-droppe, där ingången är namnet på kedjan och droppen är ett utloppsvärde.
Exakt samma parametrar är inställda för andra kretsar, till exempel sudo IPTABLES - Policy Output Drop. Om du behöver ange ett värde för att ta emot trafik, ändras droppen på Acceptera och det visar sig sudo IPTABLE - Policy-ingång acceptera.
Portupplösning och lås
Som ni vet arbetar alla nätverksapplikationer och processer genom en viss hamn. Genom att blockera eller lösa vissa adresser kan du övervaka tillgången till alla nätverksändamål. Låt oss analysera porten framåt till exempel 80. I terminalen kommer det att räcka för att komma in i sudo IPTABLES -A-ingång -P-TCP -DPORT 80 -J acceptera kommandot, där -a - lägga till en ny regel, inmatning - förslag på Kedjan, -P - protokolldefinition I det här fallet är TCP, A -DPORT en destinationsport.
Exakt samma kommando gäller även för port 22, som används av SSH-servicen: sudo IPTABLES -A-ingång -P TCP -Dport 22 -J acceptera.
För att blockera den angivna porten används strängen exakt samma typ, endast i slutet av Accept-ändringarna att släppa. Som ett resultat visar det till exempel sudo IPTAbles -A-ingång -P TCP -Dport 2450 -J-droppe.
Alla dessa regler anges i konfigurationsfilen och du kan se dem när som helst. Vi påminner dig, det är gjort genom sudo iptebles -l. Om du behöver tillåta en nätverks-IP-adress med porten tillsammans med porten, är strängen något modifierad - efter att TPC tillsätts - och själva adressen. Sudo IPTAbles -A-ingång -P TCP -S 12.12.12.12/32 --DPORT 22 -J Acceptera, där 12.12.12.12/32 är den nödvändiga IP-adressen.
Blockering sker i samma princip genom att ändra i slutet värdet av att acceptera på droppen. Då visar sig exempelvis sudo IPTABLE -A-ingång -P-TCP -S 12.12.12.0/224 --DPORT 22 -J DROP.
ICMP-blockering
ICMP (Internet Control Message Protocol) - Ett protokoll som ingår i TCP / IP och är inblandat i överföring av felmeddelanden och nödsituationer när du arbetar med trafik. Till exempel, när den begärda servern inte är tillgänglig, utför det här verktyget servicefunktioner. Med IPTAILS-verktyget kan du blockera det via brandväggen, och du kan göra det med hjälp av sudo IPTABLES -A-utgång -P-drop-kommandot. Det kommer att blockera förfrågningar från din och till din server.
Inkommande förfrågningar är blockerade lite annorlunda. Då måste du ange Sudo IPTABLES-IN-ingången -P-ICMP --ICMP-typ 8 -J-droppen. Efter att ha aktiverat dessa regler svarar servern inte på ping-förfrågningar.
Förhindra obehöriga åtgärder på servern
Ibland utsätts servrar för DDOS-attacker eller andra obehöriga åtgärder från inkräktare. Den korrekta justeringen av brandväggen gör att du kan skydda dig från den här typen av hacking. Till att börja med rekommenderar vi att du ställer in sådana regler:
- Vi skriver i IPTABLES -A-ingången -P-TCP -DPORT 80-MRIKE --LIMIT 20 / MINDON --LIMIT-Burst 100 -J Acceptera, där --limit 20 / minut är en gräns för frekvensen av positiva resultat . Du kan ange en måttenhet, till exempel / andra, / minut, / timme, / dag. - Limit-Burst-nummer - Begränsa på antalet saknade paket. Alla värden uppvisas individuellt beroende på administratörsinställningarna.
- Därefter kan du förbjuda skanning av öppna portar för att ta bort en av de möjliga orsakerna till hacking. Ange det första sudo iptebles -N block-scan-kommandot.
- Ange sedan sudo IPTABLES -A-block-scan -P TCP -TCP-flaggor syn, ACK, FIN, RST-MRIGHT-LIME -LIMIT 1 / S -J-retur.
- Det sista tredje kommandot är: sudo iptebles -a block-scan -j droppe. Block-scan-uttryck i dessa fall - namnet på den använda kretsen.
De inställningar som visas idag är endast grunden för arbetet i brandväggen. I den officiella dokumentationen av verktyget hittar du en beskrivning av alla tillgängliga argument och alternativ och du kan konfigurera brandväggen specifikt under dina önskemål. Ovanför de normala säkerhetsreglerna, som oftast tillämpas krävs och i de flesta fall.