Konfiguracja firewalla w systemie Linux z systemem iptables

Wprowadzenie

Twój serwer VPS jest wyposażony w zaporę sieciową. Firewall tworzą barierę między zaufaną siecią a niewiarygodną siecią. Firewall działa poprzez określenie zasad regulujących dozwolony ruch i zablokowany ruch. Firewall użytkowy opracowany dla systemów Linux jest nie do przyjęcia.

Dowiedz się, jak zabezpieczyć serwer korzystając z iptables.

Wymagania początkowe

• Posiadanie serwera VPS na koncie OVHcloud
• Dostęp administratora (root/sudo) do serwera przez SSH

W praktyce

Etap 1: aktualizacja systemu

Producenci dystrybucji i systemów operacyjnych sugerują częste aktualizacje pakietów oprogramowania ze względów bezpieczeństwa. Aktualizacja dystrybucji lub systemu operacyjnego jest kluczowa dla bezpieczeństwa Twojego serwera.

Więcej informacji znajdziesz w przewodniku dotyczącym bezpieczeństwa serwera VPS.

Etap 2: zainstalować firewall iptables pod Ubuntu

iptables jest domyślnie zainstalowany na większości systemów Linux. Aby potwierdzić, że usługa iptables jest zainstalowana, wpisz następujące polecenie:

sudo apt install iptables

Przykład wydania w Ubuntu potwierdza, że najnowsza wersja iptables jest już dostępna:

Zwykle polecenie iptables jest następujące:

sudo iptables [option] CHAIN_rule [-j target]

Poniżej znajduje się lista kilku opcji Do wyboru:

• -A --append: Dodaj regułę do łańcucha (na końcu).
• -C --check: Wyszukiwanie reguły, która odpowiada wymaganiom łańcucha.
• -D --delete: Usuwa określone reguły łańcucha.
• -F --flush: Usuń wszystkie reguły.
• -I --insert: Dodaje regułę do danego łańcucha.
• -L --list: Wyświetl wszystkie reguły łańcucha.
• -N --new-chain: Stwórz nowy kanał.
• -v --verbose: Wyświetla więcej informacji podczas korzystania z opcji listy.
• -X --delete-chain: Usuń ciąg.

Etap 3: sprawdź obecny stan iptables

Aby wyświetlić wszystkie aktualne reguły na Twoim serwerze, wprowadź następujące polecenie w oknie terminala:

sudo iptables -L

System wyświetla status twoich kanałów.
Wyjście będzie zawierać trzy kanały:

Etap 4: zezwalaj na ruch na localhost

Aby zezwolić na ruch z własnego systemu (localhost), dodaj ciąg wejściowy, wprowadzając następujące elementy:

sudo iptables -A INPUT -i lo -j ACCEPT

Komenda ta konfiguruje firewall, aby zaakceptować ruch dla interfejsu localhost (lo) (-i). Wszystko, co pochodzi z twojego systemu, będzie przechodzić przez twoją zaporę sieciową. Aby umożliwić komunikację z interfejsem localhost, należy zdefiniować tę regułę.

Etap 5: zezwalaj na ruch w określonych portach

Reguły te zezwalają na ruch w różnych portach, które określiłeś za pomocą poleceń wymienionych poniżej. Port jest określonym punktem zakończenia komunikacji dla określonego typu danych.

Aby zezwolić na ruch sieciowy HTTP, wprowadź następujące polecenie:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Aby zezwolić tylko na ruch przychodzący przez SSH (Secure Shell), wprowadź (zauważ, że używamy portu 22, który jest domyślnym numerem portu SSH. Jeśli Twój numer portu jest inny, pamiętaj, aby odpowiednio dostosować poniższe polecenia):

sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

Aby zezwolić na ruch internetowy HTTPS, wprowadź następujące polecenie:

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Opcje działają następująco:

• -p : Sprawdź określony protokół (tcp).
• --dport: Określa port docelowy.
• -j jump: Wykonaj czynność

Etap 6: kontrola ruchu na adres IP

Aby zaakceptować ruch z określonego adresu IP, użyj następującego polecenia.

sudo iptables -A INPUT -s adres_IP_do_autoryzacji -j ACCEPT

Zastąp adres IP w zamówieniu adresem IP, który chcesz autoryzować.

Możesz również zablokować ruch z adresu IP

sudo iptables -A INPUT -s adres_IP_do_blokowania -j DROP

Zastąp adres IP w zamówieniu adresem IP, który chcesz zablokować.

Możesz odrzucić ruch z zakresu adresów IP, używając następującego polecenia:

sudo iptables -A INPUT -m iprange --src-range adres_IP_początku_adresu_IP_fin -j REJECT

Opcje iptables, których używaliśmy w przykładach działają następująco:

• -m: Odpowiada określonej opcji.
• -iprange: Wskazuje, że system będzie czekać na określony zakres adresów IP zamiast na jeden.
• --src-range: Określa zakres adresów IP.

Etap 7: usuń niepożądany ruch

Jeśli określisz reguły firewalla iptables, musisz zapobiec nieautoryzowanemu dostępowi poprzez usunięcie wszelkiego ruchu z innych portów:

sudo iptables -A INPUT -j DROP

Opcja -A dodaje nową regułę do łańcucha. Jeśli połączenie przechodzi przez porty inne niż te, które zdefiniowałeś, zostanie ono przerwane.

Etap 8: usuń regułę

Bardziej precyzyjna metoda polega na usunięciu numeru linii z reguły.

sudo iptables -P INPUT DROP 

Po pierwsze, wprowadź wszystkie reguły:

sudo iptables -L --line-numbers

Wyszukaj wiersz reguły firewalla, którą chcesz usunąć i wprowadź następującą komendę:

sudo iptables -D INPUT <Number>

Zastąp Number numerem linii reguły, którą chcesz usunąć.

Etap 9: zapisz zmiany

Podczas restartu systemu, iptables nie zachowuje reguł, które utworzyłeś. Za każdym razem, gdy skonfigurujesz iptables w Linuxie, wszystkie wprowadzone przez Ciebie zmiany dotyczą tylko do kolejnego restartu.

W systemach opartych na Ubuntu pakiet iptables-persistent odpowiada za przywracanie reguł przy uruchamianiu systemu. Zainstaluj go za pomocą następującego polecenia:

sudo apt install iptables-persistent

Następnie możesz zapisać reguły w dowolnym momencie za pomocą następującego polecenia:

sudo netfilter-persistent save

Reguły IPv4 są zapisywane w pliku /etc/iptables/rules.v4 (a reguły IPv6 w pliku /etc/iptables/rules.v6).

Po kolejnym uruchomieniu systemu iptables automatycznie przeładuje reguły firewalla.

Możesz teraz skonfigurować podstawowe reguły firewalla iptables dla Twojego serwera Linux. Nie wahaj się doświadczyć, ponieważ zawsze możesz usunąć reguły, których nie potrzebujesz, lub usunąć wszystkie reguły i zacząć od nowa.

Sprawdź również

Dołącz do grona naszych użytkowników.