Firewall Linux

Una richiesta sulla porta 80 dalla macchina locale, quindi, genererebbe un registro in dmesg che assomiglia a questo (riga singola divisa in 3 per adattarsi a questo documento):

Sicurezza – firewall

Il kernel Linux include il Netfilter sottosistema, che viene utilizzato per manipolare o decidere il destino del traffico di rete in testa o tramite il server. Tutte le moderne soluzioni di firewall Linux utilizzano questo sistema per il filtro dei pacchetti.

Il sistema di filtraggio dei pacchetti del kernel sarebbe di scarsa utilità per gli amministratori senza un’interfaccia di spazio utenti per gestirlo. Questo è lo scopo degli iptables: quando un pacchetto raggiunge il tuo server, verrà consegnato al sottosistema Netfilter per accettazione, manipolazione o rifiuto in base alle regole fornite da utenti dello spazio degli utenti. Pertanto, iptables è tutto ciò di cui hai bisogno per gestire il tuo firewall se ne hai familiarità, ma sono disponibili molti frontend per semplificare l’attività.

UFW – Firewall semplice

Lo strumento di configurazione del firewall predefinito per Ubuntu è UFW. Sviluppato per facilitare la configurazione del firewall iptables, UFW fornisce un modo intuitivo per creare un firewall basato su host IPv4 o IPv6.

UFW per impostazione predefinita è inizialmente disabilitato. Dalla pagina UFW Man:

“UFW non intende fornire funzionalità completa del firewall tramite la sua interfaccia di comando, ma fornisce invece un modo semplice per aggiungere o rimuovere le regole semplici. È attualmente utilizzato principalmente per i firewall basati su host.”

Di seguito sono riportati alcuni esempi di come usare UFW:

• Innanzitutto, UFW deve essere abilitato. Da un prompt del terminale Immettere:

sudo ufw abilita

sudo ufw consenti 22

SUDO UFW Insert 1 Consenti 80

sudo ufw nega 22

SUDO UFW Elimina Deny 22

sudo UFW consenti a Proto TCP da 192.168.0.2 a qualsiasi porta 22

sudo ufw--dry-run Consenti http

*Filtro: Ufw-User-Input-[0: 0]: UFW-USER-OUTPUT-[0: 0]: UFW-USER-FORWARD-[0: 0]: UFW-USER-Limit-[0: 0]: UFW-USER-Limit-Accept-[0: 0] ### Regola.0.0.0/0 qualsiasi 0.0.0.0/0 -a ufw -user -input -p tcp - -dport 80 -j accetta ### regole di fine ### -a ufw -uker -uker -j return -a ufw -user -output -j return -a ufw -ukw -forward -j return -a ufw -user -limit -m limit - -limit 3/minuto -j log -log -prefis "[ufw -ufw] -j rifiuto -a ufw -uker -limit -accect -j accetta le regole di commit aggiornate

SUDO UFW Disabilita

sudo ufw status

sudo ufw status verbose

sudo ufw stato numerato

Nota
Se la porta che si desidera aprire o chiudere è definita in /etc /servizi, è possibile utilizzare il nome della porta anziché il numero. Negli esempi sopra, sostituire 22 con SSH.

Questa è una rapida introduzione all’utilizzo di UFW. Per ulteriori informazioni, consultare la pagina UFW Man per ulteriori informazioni.

Integrazione dell’applicazione UFW

Le applicazioni che aprono le porte possono includere un profilo UFW, che descrive in dettaglio le porte necessarie per l’applicazione per funzionare correttamente. I profili sono mantenuti in/etc/ufw/applicazioni.d e può essere modificato se le porte predefinite sono state modificate.

• Per visualizzare quali applicazioni hanno installato un profilo, immettere quanto segue in un terminale:

Elenco delle app sudo UFW

sudo ufw consenti a samba

UFW consente da 192.168.0.0/24 a qualsiasi app samba

Sostituisci Samba e 192.168.0.0/24 con il profilo dell’applicazione che si sta utilizzando e l’intervallo IP per la tua rete.

Nota Non è necessario specificare il protocollo per l’applicazione perché tali informazioni sono dettagliate nel profilo. Inoltre, si noti che il nome dell’app sostituisce il numero di porta.

Sudo UFW App Info Samba

Non tutte le applicazioni che richiedono l’apertura di una porta di rete sono dotate di profili UFW, ma se hai profilato un’applicazione e desideri che il file sia incluso nel pacchetto, si prega di archiviare un bug contro il pacchetto in LaunchPad.

Ubuntu-bug nameofpackage

Maschera IP

Lo scopo della mascheratura IP è quello di consentire a macchine con indirizzi IP privati ​​e non routizzabili sulla rete di accedere a Internet attraverso la macchina facendo il mascheraggio. Il traffico dalla tua rete privata destinata a Internet deve essere manipolato per le risposte per essere instradabili alla macchina che ha fatto la richiesta. Per fare ciò, il kernel deve modificare l’indirizzo IP di origine di ciascun pacchetto in modo che le risposte vengano instradate ad esso, piuttosto che all’indirizzo IP privato che ha reso la richiesta, che è impossibile su Internet. Linux utilizza il monitoraggio della connessione (Conntrack) per tenere traccia di quali connessioni appartengono a quali macchine e reinserisci ciascuna pacchetto di ritorno di conseguenza. Il traffico che lascia la tua rete privata è quindi “mascherato” come originato dalla tua macchina gateway di Ubuntu. Questo processo è indicato nella documentazione di Microsoft come condivisione delle connessioni Internet.

Mascherare UFW

La mascherazione IP può essere raggiunta utilizzando regole UFW personalizzate. Ciò è possibile perché l’attuale back-end per UFW è iptable-restatore con i file delle regole situati in/etc/ufw/*.regole. Questi file sono un ottimo posto per aggiungere regole iptables legacy utilizzate senza UFW e regole più relative al gateway di rete o al bridge.

Le regole sono divise in due file diversi, regole che dovrebbero essere eseguite prima delle regole della riga di comando UFW e le regole che vengono eseguite

Firewall Linux

Una richiesta sulla porta 80 dalla macchina locale, quindi, genererebbe un registro in dmesg che assomiglia a questo (riga singola divisa in 3 per adattarsi a questo documento):

Sicurezza – firewall

Il kernel Linux include il Netfilter sottosistema, che viene utilizzato per manipolare o decidere il destino del traffico di rete in testa o tramite il server. Tutte le moderne soluzioni di firewall Linux utilizzano questo sistema per il filtro dei pacchetti.

Il nocciolo’Il sistema di filtraggio dei pacchetti S sarebbe di scarsa utilità per gli amministratori senza un’interfaccia di spazio utenti per gestirlo. Questo è lo scopo degli iptables: quando un pacchetto raggiunge il tuo server, verrà consegnato al sottosistema Netfilter per accettazione, manipolazione o rifiuto in base alle regole fornite da utenti dello spazio degli utenti. Quindi, iptables è tutto ciò di cui hai bisogno per gestire il tuo firewall, se tu’familiarizzare con esso, ma sono disponibili molti frontend per semplificare l’attività.

UFW – Firewall semplice

Lo strumento di configurazione del firewall predefinito per Ubuntu è UFW. Sviluppato per facilitare la configurazione del firewall iptables, UFW fornisce un modo intuitivo per creare un firewall basato su host IPv4 o IPv6.

UFW per impostazione predefinita è inizialmente disabilitato. Dalla pagina UFW Man:

“UFW non ha lo scopo di fornire funzionalità completa del firewall tramite la sua interfaccia di comando, ma fornisce invece un modo semplice per aggiungere o rimuovere le regole semplici. È attualmente utilizzato principalmente per i firewall basati su host.”

Di seguito sono riportati alcuni esempi di come usare UFW:

Innanzitutto, UFW deve essere abilitato. Da un prompt del terminale Immettere:

sudo ufw abilita 

sudo ufw consenti 22 

SUDO UFW Insert 1 Consenti 80 

sudo ufw nega 22 

SUDO UFW Elimina Deny 22 

sudo UFW consenti a Proto TCP da 192.168.0.2 a qualsiasi porta 22 

 sudo ufw--dry-run Consenti http 

*Filtro: Ufw-User-Input-[0: 0]: UFW-USER-OUTPUT-[0: 0]: UFW-USER-FORWARD-[0: 0]: UFW-USER-Limit-[0: 0]: UFW-USER-Limit-Accept-[0: 0] ### Regola.0.0.0/0 qualsiasi 0.0.0.0/0 -a ufw -user -input -p tcp - -dport 80 -j accetta ### regole di fine ### -a ufw -uker -uker -j return -a ufw -user -output -j return -a ufw -ukw -forward -j return -a ufw -user -limit -m limit - -limit 3/minuto -j log -log -prefis "[ufw -ufw] -j rifiuto -a ufw -uker -limit -accect -j accetta le regole di commit aggiornate 

SUDO UFW Disabilita 

sudo ufw status 

sudo ufw status verbose 

sudo ufw stato numerato 

Nota

Se la porta che si desidera aprire o chiudere è definita in /etc /servizi, è possibile utilizzare il nome della porta anziché il numero. Negli esempi sopra, sostituire 22 con ssh.

Questa è una rapida introduzione all’utilizzo di UFW. Per ulteriori informazioni, consultare la pagina UFW Man per ulteriori informazioni.

Integrazione dell’applicazione UFW

Le applicazioni che aprono le porte possono includere un profilo UFW, che descrive in dettaglio le porte necessarie per l’applicazione per funzionare correttamente. I profili sono mantenuti in/etc/ufw/applicazioni.d e può essere modificato se le porte predefinite sono state modificate.

Per visualizzare quali applicazioni hanno installato un profilo, immettere quanto segue in un terminale:

Elenco delle app sudo UFW 

sudo ufw consenti a samba 

UFW consente da 192.168.0.0/24 a qualsiasi app samba 

Sostituire Samba E 192.168.0.0/24 con il profilo dell’applicazione che stai utilizzando e l’intervallo IP per la tua rete.

Nota Non è necessario specificare il protocollo per l’applicazione, poiché tali informazioni sono dettagliate nel profilo. Inoltre, nota che il app il nome sostituisce il porta numero.

Sudo UFW App Info Samba 

Non tutte le applicazioni che richiedono l’apertura di una porta di rete sono dotate di profili UFW, ma se hai profilato un’applicazione e desideri che il file sia incluso nel pacchetto, si prega di archiviare un bug contro il pacchetto in LaunchPad.

Ubuntu-bug nameofpackage 

Maschera IP

Lo scopo della mascheratura IP è quello di consentire a macchine con indirizzi IP privati ​​e non routizzabili sulla rete di accedere a Internet attraverso la macchina facendo il mascheraggio. Il traffico dalla tua rete privata destinata a Internet deve essere manipolato per le risposte per essere instradabili alla macchina che ha fatto la richiesta. Per fare ciò, il kernel deve modificare il fonte Indirizzo IP di ciascun pacchetto in modo che le risposte vengano inserite ad esso, piuttosto che all’indirizzo IP privato che ha reso la richiesta, che è impossibile su Internet. Linux usa Monitoraggio della connessione (Conntrack) per tenere traccia di quali collegamenti appartengono a quali macchine e reindirizzano ciascuna pacchetto di ritorno di conseguenza. Il traffico che lascia la tua rete privata è così “mascherato” come avevano avuto origine dalla tua macchina gateway Ubuntu. Questo processo è indicato nella documentazione di Microsoft come condivisione delle connessioni Internet.

Mascherare UFW

La mascherazione IP può essere raggiunta utilizzando regole UFW personalizzate. Ciò è possibile perché l’attuale back-end per UFW è iptable-restatore con i file delle regole situati in/etc/ufw/*.regole . Questi file sono un ottimo posto per aggiungere regole iptables legacy utilizzate senza UFW e regole più relative al gateway di rete o al bridge.

Le regole sono divise in due file diversi, regole che dovrebbero essere eseguite prima delle regole della riga di comando UFW e le regole che vengono eseguite dopo le regole della riga di comando UFW.

Innanzitutto, l’inoltro dei pacchetti deve essere abilitato in UFW. Dovranno essere regolati due file di configurazione, in/etc/predefinito/ufw Default_forward_policy A “ACCETTARE”:

Default_forward_policy = "accetta" 

Quindi modifica/etc/ufw/sysctl.conf e rompere:

net/ipv4/ip_forward = 1 

Allo stesso modo, per l’IPv6 inoltrando il rompere:

net/ipv6/conf/default/forwarding = 1 

# Regole della tabella NAT *NAT: POSTROUT ACCET [0: 0] # Traffico in avanti da Eth1 a ETH0. -A Postrouting -S 192.168.0.0/24 -O ETH0 -J Masquerade # Non eliminare la linea "commit" o queste regole della tabella NAT non verranno elaborate commit 

I commenti non sono strettamente necessari, ma è considerato una buona pratica documentare la configurazione. Inoltre, quando si modifica uno qualsiasi dei regole file in /etc /ufw, assicurati che queste righe siano l’ultima riga per ogni tabella modificata:

# non eliminare la linea "commit" o queste regole non verranno elaborate commit 

Per ciascuno Tavolo un corrispondente COMMETTERE è richiesta una dichiarazione. In questi esempi solo il nat E filtro vengono mostrate le tabelle, ma puoi anche aggiungere regole per crudo E mangano tavoli.

Nota Nell’esempio sopra sostituire Eth0, Eth1, E 192.168.0.0/24 con le interfacce appropriate e l’intervallo IP per la tua rete.

sudo ufw disabilita e sudo ufw abilita 

Il mascheraggio IP dovrebbe ora essere abilitato. Puoi anche aggiungere ulteriori regole in avanti a/etc/ufw/prima.regole . Si consiglia di aggiungere queste regole aggiuntive al ufw-before-forward catena.

Iptables mascheranti

iptables possono anche essere usati per abilitare il mascheraggio.

Simile a UFW, il primo passo è abilitare l’inoltro dei pacchetti IPv4 mediante modifica /ETC /SYSCTL.conf e rompere la seguente riga:

netto.IPv4.ip_forward = 1 

Se desideri abilitare l’inoltro IPv6 anche un rimprovero:

netto.IPv6.conf.predefinito.inoltro = 1 

sudo syscctl -p 

sudo iptables -t nat -a postrouting -s 192.168.0.0/16 -o ppp0 -j mascherade 

• -t nat – La regola è andare nel tavolo nat
• -Un postrouting: la regola deve essere aggiunta (-a) alla catena di postrouting
• -S 192.168.0.0/16 – La regola si applica al traffico proveniente dallo spazio degli indirizzi specificato
• -o PPP0 – La regola si applica al traffico programmato per essere instradato tramite il dispositivo di rete specificato
• -J Masquerade – Il traffico che corrisponde a questa regola è a “salto” (-j) al bersaglio mascherato da manipolare come descritto sopra

sudo iptables -a forward -s 192.168.0.0/16 -o ppp0 -j accetta sudo iptables -a forward -d 192.168.0.0/16 -M State \ --state stabilito, correlato -i ppp0 -j accetta 

iptables -t nat -a postrouting -s 192.168.0.0/16 -o ppp0 -j mascherade 

Tronchi

I registri del firewall sono essenziali per riconoscere gli attacchi, risolvere i problemi delle regole del firewall e notare attività insolite sulla tua rete. È necessario includere le regole di registrazione nel tuo firewall per essere generate, tuttavia, e le regole di registrazione devono venire prima di qualsiasi regola di terminazione applicabile (una regola con un obiettivo che decide il destino del pacchetto, come accetta, rilasciare o rifiutare).

Se si utilizza UFW, puoi attivare la registrazione inserendo quanto segue in un terminale:

SUDO UFW Accesso 

Per spegnere l’occhiata in UFW, è sufficiente sostituire SU con spento Nel comando sopra.

Se si utilizza iptables anziché UFW, inserisci:

sudo iptables -a input -m stato --state new -p tcp -dport 80 \ -j log -log -prefix "new_http_conn:" 

Una richiesta sulla porta 80 dalla macchina locale, quindi, genererebbe un registro in dmesg che assomiglia a questo (riga singola divisa in 3 per adattarsi a questo documento):

[4304885.870000] new_http_conn: in = lo out = mac = 00: 00: 00: 00: 00: 00: 00: 00: 00: 00: 00: 00: 08: 00 SRC = 127.0.0.1 dst = 127.0.0.1 len = 60 tos = 0x00 prec = 0x00 

Il registro sopra verrà visualizzato anche in/var/log/messaggi,/var/log/syslog e/var/log/kern.tronco d’albero . Questo comportamento può essere modificato mediante modifica /etc /syslog.Conf adeguatamente o installando e configurando ULOGD e utilizzando il target ULOG anziché il registro. Il daemon ULOGD è un server utenti che ascolta le istruzioni di registrazione dal kernel specificamente per i firewall e può accedere a qualsiasi file che ti piace, o anche a un database PostgreSQL o MySQL. Dare un senso ai registri del firewall può essere semplificato utilizzando uno strumento di analisi del registro come Logwatch, Fwanalog, FWLogWatch o Lire.

Altri strumenti

Ci sono molti strumenti disponibili per aiutarti a costruire un firewall completo senza una conoscenza intima degli iptables. Uno strumento di riga di comando con file di configurazione in chiaro:

• Shorewall è una soluzione molto potente per aiutarti a configurare un firewall avanzato per qualsiasi rete.

Riferimenti

• La pagina wiki di Ubuntu Firewall contiene informazioni sullo sviluppo di UFW.
• Inoltre, la pagina manuale UFW contiene alcune informazioni molto utili: Man UFW .
• Vedi il pacchetto-filtro-howto per ulteriori informazioni sull’uso di iptables.
• Il Nat-Howto contiene ulteriori dettagli su Masquerading.
• Gli iptables howto nella wiki di Ubuntu sono una grande risorsa.

Firewall Linux

È spesso frainteso che il firewall non è necessario per Linux. Naturalmente, il sistema Linux è meticolosamente creato per dargli la massima sicurezza. Ad esempio, ha più livelli di autorizzazione che impediscono l’installazione di malware e codici dannosi. Per impostazione predefinita, il sistema Linux non ha porte aperte, il che significa che nessun dispositivo o programmi esterni può avere accesso al tuo dispositivo senza aprire le porte, a differenza di Windows. Inoltre, virus e malware realizzati per Linux sono estremamente rari a causa del fatto che il sistema operativo Linux è il sistema operativo meno popolare. Questo praticamente rende non redditizio per gli aggressori informatici attaccarlo.

Ciò nonostante, esistono ancora importanti scappatoie che possono esporre il tuo sistema Linux. Inoltre, poiché la maggior parte degli utenti di Linux si sente sicuro di non aver bisogno di una protezione extra, sono più vulnerabili in caso di lancio di un attacco. A tal fine, ha senso assicurarti di ottenere un firewall Linux rispettabile che ti darà la protezione necessaria. Ecco quattro motivi per cui dovresti prendere in considerazione l’installazione di un firewall per il tuo dispositivo Linux.

Perché hai bisogno di firewall per il tuo sistema Linux?

io. Strato extra di protezione

Come affermato, Linux è reso tale che sia estremamente difficile per Malwares e altri problemi di sicurezza che si verificano. Per impostazione predefinita, ha il suo firewall interno sebbene disattivato. Prima di tutto, prima di installare un nuovo firewall Linux, è necessario assicurarsi che il suo firewall nativo sia già attivato. Poiché la maggior parte degli utenti di Linux è esperto di tecnologia, possono facilmente essere in grado di manipolare i loro sistemi di firewall per soddisfare le loro esigenze di sicurezza. L’aggiunta di un ulteriore livello di protezione installando un firewall di terze parti significa che il tuo dispositivo Linux avrà più livelli di sicurezza che lo rendono ancora più difficile per hacker e malwares.

ii. Prevenzione del malware

I malwares per Linux sono estremamente rari. Ma quando attaccano, il danno è di estrema magnitudini. Meglio essere al sicuro che scusa. Un buon firewall Linux è meticolosamente realizzato per combattere il malware Linux e i virus dall’entrare nel sistema. Utilizzando una serie di regole, identificherà i codici dannosi trasmessi sulla rete privata. Ora, concesso, il tuo sistema Linux non ha porte aperte per impostazione predefinita e ha diversi livelli di autorizzazione. Tuttavia, un piccolo errore come avere una porta aperta e concedere l’autorizzazione del sistema a un codice dannoso ti lascerà vulnerabile. Firewall impedisce a tale malware di ottenere l’accesso al dispositivo in primo luogo. In questo modo, indipendentemente dalle porte aperte o dall’autorizzazione, non esiste un malware che entri nel sistema.

iii. Protezione dagli attacchi informatici

Criminali informatici’ L’agenda principale sta guadagnando informazioni importanti da un sistema o estorcendo denaro dalle loro vittime. Gli utenti di Linux sono di solito persone esperte di tecnologia o organizzazioni di grandi dimensioni. Ha senso per i criminali informatici investire pesantemente nei loro attacchi poiché i profitti saranno ugualmente grandi se avessero successo. Pertanto, significa che gli attacchi condotti sui sistemi Linux causano perdite estreme quando hanno successo.

Un buon software di firewall Linux dovrebbe essere abbastanza forte da essere in grado di impedire che tali attacchi avvengano. Scruta ogni pacchetto di dati che accedono al sistema e aliena i dati dannosi e gli impediscono di essere trasmessi. Ciò è particolarmente vero quando un utente malintenzionato ha ottenuto l’accesso al sistema e cerca di trasmettere dati importanti.

iv. Privacy

Tutti apprezzano la privacy. Gli utenti di Linux hanno il vantaggio di avere un sistema operativo sicuro che è meno attaccato da malware e criminali informatici. Ma ciò non significa che non possano entrare, soprattutto se stai usando una rete pubblica. Mentre tali attacchi si basano fortemente sulle porte aperte sul tuo sistema Linux, quando si verificano, potresti finire per essere esposti e alcuni dei tuoi file personali possono entrare nel pubblico dominio. Ancora peggio, le tue attività online possono essere monitorate e puoi essere spiato. Inutile dire che avere un firewall Linux superiore dovrebbe essere la tua priorità numero uno se apprezzi la tua privacy. E non dovresti’t.

Software Comodo Firewall per Linux

Comodo è una delle principali società di sicurezza della rete esistenti da diversi decenni. Questa vasta esperienza, unita al nostro team di esperti IT di grande esperienza, ci ha permesso di elaborare uno dei principali software di firewall di Linux che offre elevate funzionalità e usabilità anche per le persone meno esperte di tecnologia. Con i migliori premi dall’AV-Test 2019 e ad una tariffa economica di $ 29.99, sei garantita la massima protezione 24/7 con verdetto al 100% il 100% delle volte.

Linux ha bisogno di un firewall e come configurare il firewall Linux con firewall-cmd

Linux è più sicuro di altri sistemi operativi. Ma questo non è l’unico motivo per cui potresti non aver bisogno di un antivirus o un firewall mentre usi Linux.

Linux non è invulnerabile. In effetti, questo è uno dei miti della sicurezza informatica più comuni che mette in difficoltà gli utenti di Linux. Questa convinzione rende facile mettere giù la guardia e quando la tua guardia è giù, è più probabile che venga preso a pugni. Ma solo perché Linux ha buchi di sicurezza non significa che hai bisogno di software antivirus o firewall. La tua scelta di impostazioni di sicurezza sarà stata discussa in dettaglio durante l’installazione del sistema Linux, ma ormai potresti non ricordarle. In questo articolo, parleremo della configurazione del firewall con il comando firewall-cmd.

Cos’è un firewall?

I firewall sono un aspetto chiave della sicurezza della rete, quindi un sistema dovrebbe capire come funzionano. Se capisci i firewall, puoi mantenere la tua rete al sicuro prendendo decisioni informate su quale traffico entrare e uscire. Un firewall è semplicemente un filtro che determina quali pacchetti di rete possono entrare nel tuo computer da Internet e quali possono lasciare il computer su Internet. Viene utilizzato principalmente per consentire e/o non consentire le connessioni in arrivo. Le connessioni in uscita sono raramente filtrate. In parole semplici, è una sorta di muro tra il tuo computer e il mondo esterno.

Linux ha bisogno di un firewall?

Questa è quasi sempre una domanda. Il 99% degli utenti di Linux ritiene che Linux sia sicuro per impostazione predefinita. Per impostazione predefinita, quasi tutte le distribuzioni Linux non hanno un firewall. Per essere più precisi, hanno un firewall dormiente. Poiché il kernel Linux include un firewall integrato e teoricamente tutte le distribuzioni Linux ne includono uno, ma non è configurato o attivo. Ma non preoccuparti, anche senza un firewall attivo, il tuo Linux è ancora sicuro. La maggior parte delle distribuzioni, tra cui Ubuntu e Linux Mint, non hanno porte aperte per impostazione predefinita, garantendo che gli estranei non possano accedere alla macchina. Tuttavia, esorto a consentire un firewall. È preferibile essere al sicuro che scusa. Discuteremo ulteriormente come configurare il firewall Linux usando il firewall-CMD.

Cosa sono iptables?

Iptables è uno strumento firewall a riga di comando che consente o blocca il traffico utilizzando le catene di politiche. Quando una connessione tenta di stabilirsi sul tuo sistema, iptables cerca l’elenco delle regole per una corrispondenza. Se non può scoprirne uno, ricade nell’azione predefinita. iptables è quasi di solito incluso con ogni distribuzione Linux. Iptables tende a utilizzare 3 catene diverse: input, avanti e output. Con questo, puoi creare diversi regole per macchine diverse sulla rete, tuttavia, perché non renderlo più semplice utilizzando Firewall-CMD!

Cos’è firewall-cmd e firewalld?

Firewall-CMD è un’interfaccia di comando per il demone firewalld, che comunica con il framework Netfilter del kernel Linux. È improbabile che questo stack si trovi sui modem incorporati che si trovano comunemente nelle piccole e medie imprese, ma è presente o disponibile per qualsiasi distribuzione Linux che supporta SystemD. Firewalld è un firewall controllato dinamicamente che supporta le zone di rete/firewall, che specificano il livello di fiducia per le connessioni di rete o le interfacce. Supporta le impostazioni del firewall IPv4 e IPv6, nonché ponti Ethernet e set IP. Le scelte di configurazione di runtime e permanenti sono separate. Fornisce inoltre un’interfaccia tramite quali servizi o programmi possono facilmente aggiungere regole di firewall.

Configurazione del firewall con firewall-cmd

A seconda della distribuzione di Linux, è possibile avere o meno il comando firewall-cmd già installato. Senza un firewall operativo, Firewall-CMD non ha nulla da controllare, quindi il primo passo è verificare che Firewalld sia in esecuzione:

$ sudo systemctl abilita -ora firewalld

Le zone sono usate come preset in firewall-cmd, offrendo opzioni ragionevoli da cui scegliere. Questo ti fa risparmiare dal dover progettare un firewall da zero. Le zone sono assegnate alle interfacce di rete. Esegui il comando qui sotto per controllare le zone:

Se volessi creare una nuova zona, userei il comando:

$ sudo firewall-cmd-new-zone [zonename] –permanent

Inoltre, posso utilizzare i seguenti comandi per verificare quali porte e servizi sono consentiti:

Per verificare quali zone sono attive, eseguire il comando:

$ sudo firewall-cmd –get-zones

Per aggiungere un servizio e consentire connessioni per quel servizio, si utilizza l’argomento –Add-Service come mostrato di seguito:

$ sudo firewall-cmd-sierervice http –permanent

Il comando sopra consente ai servizi HTTP di eseguire nella zona predefinita. Se si desidera specificare la zona, puoi eseguire:

$ sudo firewall-cmd –zone = public-sierervice http –permanent

Il comando sopra consente il traffico HTTP per la zona “pubblico”. Per rimuovere un servizio e bloccare la connessione, basta rimuoverlo come sotto:

$ sudo firewall-cmd–remove-service http –permanent
$ sudo firewall-cmd–ricarichi

Ogni volta che apporti un cambio al firewall usando il firewall-cmd, assicurati di ricaricare tutte le impostazioni o altrimenti la modifica non avrà effetto. Per verificare la presenza di argomenti aggiuntivi, è possibile eseguire il comando firewall-cmd –help.

Perché firewalld e firewall-cmd?

Puoi fare molto di più con Firewall-CMD, come definire i tuoi servizi, il blocco dell’ICMP e la designazione di fonti di traffico in arrivo ammissibili. Sebbene non sia eccessivamente suggerito per la sicurezza a livello aziendale, Firewall-CMD è ancora una soluzione eccellente e praticabile sia per gli utenti e le aziende quotidiani che richiedono un rapido grado di sicurezza. Se sei nuovo nella sicurezza di Linux, Firewall-CMD è un modo meraviglioso per iniziare con ipchains e iptables. Firewall-cmd ti consente di impostare rapidamente un firewall di base se conosci già ipchains. Inoltre, l’ambiente di runtime è prontamente modificabile. Non è necessario riavviare il demone o il servizio. È semplice per i servizi, i programmi e gli utenti modificare le impostazioni del firewall grazie all’interfaccia DIWALLD D-BUS. Ciò è utile per gli amministratori poiché consente test e valutazioni di runtime a causa della separazione del runtime e della configurazione permanente.

Pensieri finali

L’unica volta che hai bisogno di un firewall è se stai eseguendo una sorta di applicazione server sul tuo sistema per la maggior parte del tempo. In questo caso, un firewall limiterà le connessioni in arrivo a determinate porte, assicurandosi che possano interagire solo con l’applicazione del server corretta. Ancora una volta, non vi è alcun danno nel non avere un firewall attivato sulla macchina Linux. Tutto quello che stiamo dicendo è che dovresti pensare all’implementazione di un firewall usando il firewall-cmd per una maggiore sicurezza!