Konfiguracja firewalla w systemie Linux z systemem iptables

Wprowadzenie

Twój serwer dedykowany jest wyposażony w zaporę sieciową. Firewall tworzą barierę między zaufaną siecią a niewiarygodną siecią. Firewall działa poprzez określenie zasad regulujących dozwolony ruch i zablokowany ruch. Narzędziem zapory sieciowej opracowanym dla systemów Linux jest iptables.

Dowiedz się, jak zabezpieczyć serwer dedykowany korzystając z iptables.

Wymagania początkowe

• Posiadanie serwera dedykowanego na koncie OVHcloud
• Dostęp administratora (root/sudo) do serwera przez SSH

W praktyce

Etap 1: aktualizacja systemu

Producenci dystrybucji i systemów operacyjnych sugerują częste aktualizacje pakietów oprogramowania ze względów bezpieczeństwa. Aktualizacja dystrybucji lub systemu operacyjnego jest kluczowa dla bezpieczeństwa Twojego serwera.

Więcej informacji znajdziesz w przewodniku dotyczącym bezpieczeństwa serwera dedykowanego.

Etap 2: zainstalować firewall iptables pod Ubuntu

iptables jest domyślnie zainstalowany na większości systemów Linux. Aby potwierdzić, że usługa iptables jest zainstalowana, wpisz następujące polecenie:

sudo apt-get install iptables

Aby zapewnić trwałość reguł iptables po ponownym uruchomieniu komputera, należy zainstalować pakiet iptables persistent przy użyciu następującego polecenia:

sudo apt-get install iptables-persistent

Po zainstalowaniu tego pakietu folder iptables będzie zawierał dwa pliki dla reguł IPV4 i IPV6:

• /etc/iptables/rules.v4
• /etc/iptables/rules.v6

Zwykle polecenie iptables jest następujące:

sudo iptables [option] CHAIN_rule [-j target]

Poniżej znajduje się lista kilku opcji Do wyboru:

• -A -—append: Dodaj regułę do łańcucha (na końcu).
• -C —-check: Wyszukiwanie reguły, która odpowiada wymaganiom łańcucha.
• -D —-delete: Usuwa określone reguły łańcucha.
• -F —-flush: Usuń wszystkie reguły.
• -I —-insert: Dodaje regułę do danego łańcucha.
• -L —-list: Wyświetl wszystkie reguły łańcucha.
• -N -new-chain: Stwórz nowy kanał.
• -v —-verbose: Wyświetla więcej informacji podczas korzystania z opcji listy.
• -X —-delete-chain: Usuń ciąg.

Etap 3: sprawdź obecny stan iptables

Aby wyświetlić wszystkie aktualne reguły na Twoim serwerze, wprowadź następujące polecenie w oknie terminala:

sudo iptables -L

System wyświetla status twoich kanałów.
Wyjście będzie zawierać trzy kanały:

Etap 4: zezwalaj na ruch na localhost

Aby zezwolić na ruch z własnego systemu (localhost), dodaj ciąg wejściowy, wprowadzając następujące elementy:

sudo iptables -A INPUT -i lo -j ACCEPT

Komenda ta konfiguruje firewall, aby zaakceptować ruch dla interfejsu localhost (lo) (-i). Wszystko, co pochodzi z twojego systemu, będzie przechodzić przez twoją zaporę sieciową. Aby umożliwić komunikację z interfejsem localhost, należy zdefiniować tę regułę.

Etap 5: zezwalaj na ruch w określonych portach

Reguły te zezwalają na ruch w różnych portach, które określiłeś za pomocą poleceń wymienionych poniżej. Port jest określonym punktem zakończenia komunikacji dla określonego typu danych.

Aby zezwolić na ruch sieciowy HTTP, wprowadź następujące polecenie:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Aby zezwolić tylko na ruch przychodzący przez SSH (Secure Shell), wprowadź (zauważ, że używamy portu 22, który jest domyślnym numerem portu SSH. Jeśli Twój numer portu jest inny, pamiętaj, aby odpowiednio dostosować poniższe polecenia):

sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

Aby zezwolić na ruch internetowy HTTPS, wprowadź następujące polecenie:

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Opcje działają następująco:

• -p : Sprawdź określony protokół (tcp).
• —-dport: Określa port docelowy.
• -j jump: Wykonaj czynność

Etap 6: kontrola ruchu na adres IP

Aby zaakceptować ruch z określonego adresu IP, użyj następującego polecenia.

sudo iptables -A INPUT -s adres_IP_do_autoryzacji -j ACCEPT

Zastąp adres IP w zamówieniu adresem IP, który chcesz autoryzować.

Możesz również zablokować ruch z adresu IP

sudo iptables -A INPUT -s adres_IP_do_blokowania -j DROP

Zastąp adres IP w zamówieniu adresem IP, który chcesz zablokować.

Możesz odrzucić ruch z zakresu adresów IP, używając następującego polecenia:

sudo iptables -A INPUT -m iprange --src-range adres_IP_początku_adresu_IP_fin -j REJECT

Opcje iptables, których używaliśmy w przykładach działają następująco:

• -m : Odpowiada określonej opcji.
• -iprange: Wskazuje, że system będzie czekać na określony zakres adresów IP zamiast na jeden.
• —-src-range: Określa zakres adresów IP.

Etap 7: usuń niepożądany ruch

Jeśli określisz reguły firewalla iptables, musisz zapobiec nieautoryzowanemu dostępowi poprzez usunięcie wszelkiego ruchu z innych portów:

sudo iptables -A INPUT -j DROP

Opcja -A dodaje nową regułę do łańcucha. Jeśli połączenie przechodzi przez porty inne niż te, które zdefiniowałeś, zostanie ono przerwane.

Etap 8: usuń regułę

Bardziej precyzyjna metoda polega na usunięciu numeru linii z reguły.

sudo iptables -P INPUT DROP 

Po pierwsze, wprowadź wszystkie reguły:

sudo iptables -L --line-numbers

Wyszukaj wiersz reguły firewalla, którą chcesz usunąć i wprowadź następującą komendę:

sudo iptables -D INPUT <Number>

Zastąp Number numerem linii reguły, którą chcesz usunąć.

Etap 9: zapisz zmiany

Podczas restartu systemu, iptables nie zachowuje reguł, które utworzyłeś. Za każdym razem, gdy skonfigurujesz iptables w Linuxie, wszystkie wprowadzone przez Ciebie zmiany dotyczą tylko do kolejnego restartu.

Aby zapisać reguły w systemach opartych na Ubuntu, należy najpierw zalogować się jako root za pomocą polecenia sudo su :

ubuntu@server:~$ sudo su
root@server:/home/ubuntu#

Następnie uruchom następujące polecenie:

iptables-save > /etc/iptables/rules.v4

Ta operacja zapisuje reguły bezpośrednio w folderze IPV4.

Po kolejnym uruchomieniu systemu iptables automatycznie przeładuje reguły firewalla.

Możesz teraz skonfigurować podstawowe reguły firewalla iptables dla Twojego serwera Linux. Nie wahaj się doświadczyć, ponieważ zawsze możesz usunąć reguły, których nie potrzebujesz, lub usunąć wszystkie reguły i zacząć od nowa.

Sprawdź również

Dołącz do społeczności naszych użytkowników na stronie https://community.ovh.com/en/.