Τείχος προστασίας Linux

Ένα αίτημα στη θύρα 80 από το τοπικό μηχάνημα, τότε, θα δημιουργούσε ένα αρχείο καταγραφής στο DMESG που μοιάζει με αυτό (η ενιαία γραμμή χωρίζεται σε 3 για να ταιριάζει σε αυτό το έγγραφο):

Ασφάλεια – τείχος προστασίας

Ο πυρήνας του Linux περιλαμβάνει το Νευρώνα υποσύστημα, το οποίο χρησιμοποιείται για να χειριστεί ή να αποφασίσει τη μοίρα της κυκλοφορίας δικτύου που κατευθύνεται μέσα ή μέσω του διακομιστή σας. Όλες οι σύγχρονες λύσεις Firewall Linux χρησιμοποιούν αυτό το σύστημα για φιλτράρισμα πακέτων.

Το σύστημα φιλτραρίσματος πακέτων του πυρήνα θα ήταν ελάχιστο χρήσιμο στους διαχειριστές χωρίς διεπαφή χρήστη για να το διαχειριστεί. Αυτός είναι ο σκοπός των iPtables: Όταν ένα πακέτο φτάσει στο διακομιστή σας, θα παραδοθεί στο υποσύστημα Netfilter για αποδοχή, χειραγώγηση ή απόρριψη βάσει των κανόνων που του παρέχονται από το χώρο χρήστη μέσω του IPTables. Έτσι, το iPtables είναι το μόνο που χρειάζεστε για να διαχειριστείτε το τείχος προστασίας σας εάν είστε εξοικειωμένοι με αυτό, αλλά πολλά μπροστά είναι διαθέσιμα για να απλοποιήσετε την εργασία.

ufw – Απλό τείχος προστασίας

Το προεπιλεγμένο εργαλείο διαμόρφωσης τείχους προστασίας για το Ubuntu είναι UFW. Αναπτύχθηκε για να διευκολύνει τη διαμόρφωση του Firewall IPTables, το UFW παρέχει έναν φιλικό προς το χρήστη τρόπο για τη δημιουργία ενός τείχους προστασίας IPv4 ή IPv6 Host.

Το UFW από προεπιλογή είναι αρχικά απενεργοποιημένο. Από τη σελίδα UFW Man:

“Το UFW δεν προορίζεται να παρέχει πλήρη λειτουργικότητα τείχους προστασίας μέσω της διεπαφής εντολών, αλλά παρέχει έναν εύκολο τρόπο προσθήκης ή κατάργησης απλών κανόνων. Αυτή τη στιγμή χρησιμοποιείται κυρίως για τείχη προστασίας με βάση τον κεντρικό υπολογιστή.«

Τα παρακάτω είναι μερικά παραδείγματα για το πώς να χρησιμοποιήσετε το UFW:

• Πρώτον, πρέπει να ενεργοποιηθεί το UFW. Από μια προτροπή τερματικού εισάγετε:

Ενεργοποίηση Sudo UFW

Το Sudo UFW επιτρέπει 22

Sudo UFW Εισαγωγή 1 Αφήστε το 80

Το Sudo UFW αρνείται 22

sudo ufw delete αρνείται 22

Το Sudo UFW επιτρέπει την Proto TCP από το 192.168.0.2 σε οποιαδήποτε θύρα 22

sudo ufw--dry-run επιτρέπουν http

*Φίλτρο: UFW-User-Input-[0: 0]: UFW-User-Output-[0: 0]: UFW-User-Forward-[0: 0].0.0.0/0 οποιοδήποτε 0.0.0.0/0 -A UFW -USER -Input -P TCP -DPORT 80 -J Αποδοχή ### ΚΑΝΟΝΕΣ ΚΑΝΟΝΙΣΜΟΣ ### -A UFW -USER -Input -j RETURN -J -LOG -PREFIX - imit -j απόρριψη -a ufw -user -limit -paccept -j αποδέχεστε τους κανόνες δέσμευσης ενημερωμένοι

Απενεργοποίηση Sudo UFW

Κατάσταση Sudo UFW

sudo ufw κατάσταση verbose

Αριθμός κατάστασης Sudo UFW

Σημείωση
Εάν η θύρα που θέλετε να ανοίξετε ή να κλείσετε ορίζεται στο /etc /υπηρεσίες, μπορείτε να χρησιμοποιήσετε το όνομα θύρας αντί του αριθμού. Στα παραπάνω παραδείγματα, αντικαταστήστε 22 με SSH.

Αυτή είναι μια γρήγορη εισαγωγή στη χρήση του UFW. Ανατρέξτε στη σελίδα UFW Man για περισσότερες πληροφορίες.

Ενσωμάτωση εφαρμογών UFW

Οι εφαρμογές που ανοίγουν θύρες μπορούν να περιλαμβάνουν ένα προφίλ UFW, το οποίο λεπτομερώς τις θύρες που απαιτούνται για τη σωστή λειτουργία της εφαρμογής. Τα προφίλ διατηρούνται σε/etc/ufw/εφαρμογές.d και μπορεί να επεξεργαστεί εάν οι προεπιλεγμένες θύρες έχουν αλλάξει.

• Για να δείτε ποιες εφαρμογές έχουν εγκαταστήσει ένα προφίλ, εισαγάγετε τα παρακάτω σε ένα τερματικό:

Λίστα εφαρμογών Sudo UFW

Το Sudo UFW επιτρέπει τη Samba

Το UFW επιτρέπει από 192.168.0.0/24 σε οποιαδήποτε εφαρμογή Samba

Αντικαταστήστε το Samba και το 192.168.0.0/24 με το προφίλ εφαρμογής που χρησιμοποιείτε και το εύρος IP για το δίκτυό σας.

Σημείωση Δεν χρειάζεται να καθορίσετε το πρωτόκολλο για την εφαρμογή, επειδή οι πληροφορίες αυτές είναι λεπτομερείς στο προφίλ. Επίσης, σημειώστε ότι το όνομα της εφαρμογής αντικαθιστά τον αριθμό θύρας.

Sudo UFW Πληροφορίες εφαρμογής Samba

Όχι όλες οι εφαρμογές που απαιτούν το άνοιγμα μιας θύρας δικτύου έρχονται με προφίλ UFW, αλλά αν έχετε παρουσιάσει μια εφαρμογή και θέλετε να συμπεριληφθεί το αρχείο στο πακέτο, παρακαλούμε να καταθέσετε ένα σφάλμα ενάντια στο πακέτο στο LaunchPad.

Όνομα ubuntu-bug

Μεταμφίεση

Ο σκοπός της μεταμφίεσης IP είναι να επιτρέπεται μηχανές με ιδιωτικές, μη δρομολογημένες διευθύνσεις IP στο δίκτυό σας για πρόσβαση στο Διαδίκτυο μέσω του μηχανήματος που κάνει τη μεταμφίεση. Η επισκεψιμότητα από το ιδιωτικό σας δίκτυο που προορίζεται για το Διαδίκτυο πρέπει να χειριστεί για τις απαντήσεις να μπορούν να επιστρέψουν στο μηχάνημα που έκανε το αίτημα. Για να γίνει αυτό, ο πυρήνας πρέπει να τροποποιήσει τη διεύθυνση IP προέλευσης κάθε πακέτου, έτσι ώστε οι απαντήσεις να δρομολογηθούν πίσω σε αυτό, και όχι στην ιδιωτική διεύθυνση IP που έκανε το αίτημα, το οποίο είναι αδύνατο μέσω του Διαδικτύου. Το Linux χρησιμοποιεί την παρακολούθηση σύνδεσης (Conntrack) για να παρακολουθεί ποιες συνδέσεις ανήκουν σε ποιες μηχανές και επαναπροσδιορίστε κάθε πακέτο επιστροφής ανάλογα. Η κυκλοφορία που αφήνει το ιδιωτικό σας δίκτυο “μεταμφιέζεται” ότι έχει προέρχεται από το μηχάνημα πύλης Ubuntu. Αυτή η διαδικασία αναφέρεται στην τεκμηρίωση της Microsoft ως κοινή χρήση σύνδεσης στο Διαδίκτυο.

ufw μεταμφίεση

Η μεταμφίεση IP μπορεί να επιτευχθεί χρησιμοποιώντας προσαρμοσμένους κανόνες UFW. Αυτό είναι δυνατό επειδή το τρέχον back-end για το UFW είναι το iPtables-restore με τα αρχεία κανόνων που βρίσκονται στο/etc/ufw/*.κανόνας. Αυτά τα αρχεία είναι ένα εξαιρετικό μέρος για να προσθέσετε κανόνες IPTables Legacy Iptables που χρησιμοποιούνται χωρίς UFW και κανόνες που είναι περισσότερο πύλη δικτύου ή γέφυρα σχετίζονται.

Οι κανόνες χωρίζονται σε δύο διαφορετικά αρχεία, κανόνες που πρέπει να εκτελεστούν πριν από τους κανόνες της γραμμής εντολών UFW και τους κανόνες που εκτελούνται

Τείχος προστασίας Linux

Ένα αίτημα στη θύρα 80 από το τοπικό μηχάνημα, τότε, θα δημιουργούσε ένα αρχείο καταγραφής στο DMESG που μοιάζει με αυτό (η ενιαία γραμμή χωρίζεται σε 3 για να ταιριάζει σε αυτό το έγγραφο):

Ασφάλεια – τείχος προστασίας

Ο πυρήνας του Linux περιλαμβάνει το Νευρώνα υποσύστημα, το οποίο χρησιμοποιείται για να χειριστεί ή να αποφασίσει τη μοίρα της κυκλοφορίας δικτύου που κατευθύνεται μέσα ή μέσω του διακομιστή σας. Όλες οι σύγχρονες λύσεις Firewall Linux χρησιμοποιούν αυτό το σύστημα για φιλτράρισμα πακέτων.

Ο πυρήνας’Το σύστημα φιλτραρίσματος πακέτων S θα ήταν ελάχιστο χρήσιμο στους διαχειριστές χωρίς διεπαφή χρήστη για να το διαχειριστεί. Αυτός είναι ο σκοπός των iPtables: Όταν ένα πακέτο φτάσει στο διακομιστή σας, θα παραδοθεί στο υποσύστημα Netfilter για αποδοχή, χειραγώγηση ή απόρριψη βάσει των κανόνων που του παρέχονται από το χώρο χρήστη μέσω του IPTables. Έτσι, το iPtables είναι το μόνο που χρειάζεστε για να διαχειριστείτε το τείχος προστασίας σας, αν εσείς’Εξοικονομήστε με αυτό, αλλά πολλά μπροστινά στοιχεία είναι διαθέσιμα για να απλοποιήσετε την εργασία.

ufw – Απλό τείχος προστασίας

Το προεπιλεγμένο εργαλείο διαμόρφωσης τείχους προστασίας για το Ubuntu είναι UFW. Αναπτύχθηκε για να διευκολύνει τη διαμόρφωση του Firewall IPTables, το UFW παρέχει έναν φιλικό προς το χρήστη τρόπο για τη δημιουργία ενός τείχους προστασίας IPv4 ή IPv6 Host.

Το UFW από προεπιλογή είναι αρχικά απενεργοποιημένο. Από τη σελίδα UFW Man:

“Το UFW δεν προορίζεται να παρέχει πλήρη λειτουργικότητα τείχους προστασίας μέσω της διεπαφής εντολών, αλλά παρέχει έναν εύκολο τρόπο προσθήκης ή κατάργησης απλών κανόνων. Αυτή τη στιγμή χρησιμοποιείται κυρίως για τείχη προστασίας με βάση τον κεντρικό υπολογιστή.”

Τα παρακάτω είναι μερικά παραδείγματα για το πώς να χρησιμοποιήσετε το UFW:

Πρώτον, πρέπει να ενεργοποιηθεί το UFW. Από μια προτροπή τερματικού εισάγετε:

Ενεργοποίηση Sudo UFW 

Το Sudo UFW επιτρέπει 22 

Sudo UFW Εισαγωγή 1 Αφήστε το 80 

Το Sudo UFW αρνείται 22 

sudo ufw delete αρνείται 22 

Το Sudo UFW επιτρέπει την Proto TCP από το 192.168.0.2 σε οποιαδήποτε θύρα 22 

 sudo ufw--dry-run επιτρέπουν http 

*Φίλτρο: UFW-User-Input-[0: 0]: UFW-User-Output-[0: 0]: UFW-User-Forward-[0: 0].0.0.0/0 οποιοδήποτε 0.0.0.0/0 -A UFW -USER -Input -P TCP -DPORT 80 -J Αποδοχή ### ΚΑΝΟΝΕΣ ΚΑΝΟΝΙΣΜΟΣ ### -A UFW -USER -Input -j RETURN -J -LOG -PREFIX - imit -j απόρριψη -a ufw -user -limit -paccept -j αποδέχεστε τους κανόνες δέσμευσης ενημερωμένοι 

Απενεργοποίηση Sudo UFW 

Κατάσταση Sudo UFW 

sudo ufw κατάσταση verbose 

Αριθμός κατάστασης Sudo UFW 

Σημείωση

Εάν η θύρα που θέλετε να ανοίξετε ή να κλείσετε ορίζεται στο /etc /υπηρεσίες, μπορείτε να χρησιμοποιήσετε το όνομα θύρας αντί του αριθμού. Στα παραπάνω παραδείγματα, αντικαταστήστε 22 με σσε.

Αυτή είναι μια γρήγορη εισαγωγή στη χρήση του UFW. Ανατρέξτε στη σελίδα UFW Man για περισσότερες πληροφορίες.

Ενσωμάτωση εφαρμογών UFW

Οι εφαρμογές που ανοίγουν θύρες μπορούν να περιλαμβάνουν ένα προφίλ UFW, το οποίο λεπτομερώς τις θύρες που απαιτούνται για τη σωστή λειτουργία της εφαρμογής. Τα προφίλ διατηρούνται σε/etc/ufw/εφαρμογές.d, και μπορεί να επεξεργαστεί εάν οι προεπιλεγμένες θύρες έχουν αλλάξει.

Για να δείτε ποιες εφαρμογές έχουν εγκαταστήσει ένα προφίλ, εισαγάγετε τα παρακάτω σε ένα τερματικό:

Λίστα εφαρμογών Sudo UFW 

Το Sudo UFW επιτρέπει τη Samba 

Το UFW επιτρέπει από 192.168.0.0/24 σε οποιαδήποτε εφαρμογή Samba 

Αντικαθιστώ Σάμπα και 192.168.0.0/24 με το προφίλ εφαρμογής που χρησιμοποιείτε και το εύρος IP για το δίκτυό σας.

Σημείωση Δεν χρειάζεται να καθορίσετε το πρωτόκολλο Για την εφαρμογή, επειδή οι πληροφορίες αυτές αναλύονται λεπτομερώς στο προφίλ. Επίσης, σημειώστε ότι το εφαρμογή Το όνομα αντικαθιστά το Λιμάνι αριθμός.

Sudo UFW Πληροφορίες εφαρμογής Samba 

Όχι όλες οι εφαρμογές που απαιτούν το άνοιγμα μιας θύρας δικτύου έρχονται με προφίλ UFW, αλλά αν έχετε παρουσιάσει μια εφαρμογή και θέλετε να συμπεριληφθεί το αρχείο στο πακέτο, παρακαλούμε να καταθέσετε ένα σφάλμα ενάντια στο πακέτο στο LaunchPad.

Όνομα ubuntu-bug 

Μεταμφίεση

Ο σκοπός της μεταμφίεσης IP είναι να επιτρέπεται μηχανές με ιδιωτικές, μη δρομολογημένες διευθύνσεις IP στο δίκτυό σας για πρόσβαση στο Διαδίκτυο μέσω του μηχανήματος που κάνει τη μεταμφίεση. Η επισκεψιμότητα από το ιδιωτικό σας δίκτυο που προορίζεται για το Διαδίκτυο πρέπει να χειριστεί για τις απαντήσεις να μπορούν να επιστρέψουν στο μηχάνημα που έκανε το αίτημα. Για να γίνει αυτό, ο πυρήνας πρέπει να τροποποιήσει το πηγή Διεύθυνση IP κάθε πακέτου έτσι ώστε οι απαντήσεις να δρομολογηθούν πίσω σε αυτήν, και όχι στην ιδιωτική διεύθυνση IP που έκανε το αίτημα, το οποίο είναι αδύνατο μέσω του Διαδικτύου. Χρησιμοποιεί το Linux Παρακολούθηση σύνδεσης (Conntrack) για να παρακολουθείτε ποιες συνδέσεις ανήκουν σε ποιες μηχανές και επαναπροσδιορίστε κάθε πακέτο επιστροφής ανάλογα. Η κυκλοφορία που αφήνει το ιδιωτικό σας δίκτυο “μεταμφιεσμένος” που προέρχεται από το μηχάνημα πύλης του Ubuntu. Αυτή η διαδικασία αναφέρεται στην τεκμηρίωση της Microsoft ως κοινή χρήση σύνδεσης στο Διαδίκτυο.

ufw μεταμφίεση

Η μεταμφίεση IP μπορεί να επιτευχθεί χρησιμοποιώντας προσαρμοσμένους κανόνες UFW. Αυτό είναι δυνατό επειδή το τρέχον back-end για το UFW είναι το iPtables-restore με τα αρχεία κανόνων που βρίσκονται στο/etc/ufw/*.κανόνας . Αυτά τα αρχεία είναι ένα εξαιρετικό μέρος για να προσθέσετε κανόνες IPTables Legacy Iptables που χρησιμοποιούνται χωρίς UFW και κανόνες που είναι περισσότερο πύλη δικτύου ή γέφυρα σχετίζονται.

Οι κανόνες χωρίζονται σε δύο διαφορετικά αρχεία, κανόνες που πρέπει να εκτελεστούν πριν από τους κανόνες της γραμμής εντολών UFW και τους κανόνες που εκτελούνται μετά από κανόνες γραμμής εντολών UFW.

Πρώτον, η προώθηση πακέτων πρέπει να ενεργοποιηθεί στο UFW. Δύο αρχεία διαμόρφωσης θα πρέπει να προσαρμοστούν, σε/etc/default/ufw αλλαγή του Default_forward_policy προς την “ΑΠΟΔΕΧΟΜΑΙ”:

Default_forward_policy = "Αποδοχή" 

Στη συνέχεια, επεξεργασία/etc/ufw/sysctl.Conf και Uncomment:

net/ipv4/ip_forward = 1 

Ομοίως, για την αποστολή της IPv6:

net/ipv6/conf/προεπιλογή/προώθηση = 1 

# Κανόνες πίνακα NAT *NAT: Postrouting Αποδοχή [0: 0] # Προώθηση της κυκλοφορίας από ETH1 έως ETH0. -Μια μετατόπιση -S 192.168.0.0/24 -O ETH0 -J Masquerade # Μην διαγράψετε τη γραμμή "Commit" ή αυτοί οι κανόνες του πίνακα NAT δεν θα υποβληθούν σε επεξεργασία δέσμευσης 

Τα σχόλια δεν είναι αυστηρά απαραίτητα, αλλά θεωρείται καλή πρακτική για την τεκμηρίωση της διαμόρφωσής σας. Επίσης, όταν τροποποιείτε οποιοδήποτε από τα κανόνας Αρχεία σε /etc /ufw, βεβαιωθείτε ότι αυτές οι γραμμές είναι η τελευταία γραμμή για κάθε τραπέζι τροποποιημένο:

# Μην διαγράψετε τη γραμμή "Commit" ή αυτοί οι κανόνες δεν θα επεξεργαστούν τη δέσμευση 

Για κάθε Τραπέζι ένα αντίστοιχο ΔΙΑΠΡΑΤΤΩ Απαιτείται δήλωση. Σε αυτά τα παραδείγματα μόνο το νάτις και φίλτρο εμφανίζονται πίνακες, αλλά μπορείτε επίσης να προσθέσετε κανόνες για το ακατέργαστος και μάγγανο τραπέζια.

Σημείωση Στο παραπάνω παράδειγμα αντικαταστήστε ETH0, ETH1, και 192.168.0.0/24 με τις κατάλληλες διεπαφές και το εύρος IP για το δίκτυό σας.

Sudo UFW Απενεργοποιήστε && sudo ufw Ενεργοποίηση 

Η μεταμφίεση IP πρέπει τώρα να είναι ενεργοποιημένη. Μπορείτε επίσης να προσθέσετε πρόσθετους κανόνες προώθησης στο/etc/ufw/πριν.κανόνας . Συνιστάται να προστεθούν αυτοί οι πρόσθετοι κανόνες στο ufw-πριν από την πρόοδο αλυσίδα.

Iptables μεταμφιέζονται

Τα iptables μπορούν επίσης να χρησιμοποιηθούν για να επιτρέψουν τη μεταμφίεση.

Παρόμοια με το UFW, το πρώτο βήμα είναι να ενεργοποιήσετε την προώθηση πακέτων IPv4 με επεξεργασία /etc /sysctl.Conf και Uncomment την ακόλουθη γραμμή:

καθαρά.IPv4.ip_forward = 1 

Εάν επιθυμείτε να ενεργοποιήσετε την προώθηση του IPv6 και την UNCOMMENT:

καθαρά.IPv6.τολμηρός.Προκαθορισμένο.Προώθηση = 1 

sudo sysctl -p 

Sudo iptables -t nat -a postrouting -s 192.168.0.0/16 -O PPP0 -J Masquerade 

• -T NAT – Ο κανόνας είναι να μεταβείτε στον πίνακα NAT
• -Μια μετατόπιση-ο κανόνας πρέπει να προσαρτηθεί (-α) στην αλυσίδα μετατόπισης
• -192.168.0.0/16 – Ο κανόνας ισχύει για την κυκλοφορία που προέρχεται από τον καθορισμένο χώρο διευθύνσεων
• -O PPP0 – Ο κανόνας ισχύει για την κυκλοφορία που έχει προγραμματιστεί να δρομολογηθεί μέσω της συγκεκριμένης συσκευής δικτύου
• -J Masquerade – Η κυκλοφορία που ταιριάζει με αυτόν τον κανόνα είναι να “άλμα” (-J) στον στόχο μεταμφίεσης που πρέπει να χειριστεί όπως περιγράφεται παραπάνω

sudo iptables -a forward -s 192.168.0.0/16 -O PPP0 -J Αποδοχή sudo iptables -a forward -d 192.168.0.0/16 -M State \ -Εγκατασταθείσα, Σχετική -I PPP0 -J Αποδοχή 

iptables -t nat -a postrouting -s 192.168.0.0/16 -O PPP0 -J Masquerade 

Κούτσουρα

Τα αρχεία καταγραφής τείχους προστασίας είναι απαραίτητα για την αναγνώριση των επιθέσεων, την αντιμετώπιση των κανόνων του τείχους προστασίας σας και την παρατήρηση ασυνήθισης δραστηριότητας στο δίκτυό σας. Ωστόσο, πρέπει να συμπεριλάβετε κανόνες καταγραφής στο τείχος προστασίας σας για να δημιουργηθούν, και οι κανόνες καταγραφής πρέπει να προκύψουν πριν από οποιονδήποτε ισχύον κανόνα τερματισμού (ένας κανόνας με στόχο που αποφασίζει τη μοίρα του πακέτου, όπως αποδοχή, πτώση ή απόρριψη).

Εάν χρησιμοποιείτε το UFW, μπορείτε να ενεργοποιήσετε την καταγραφή εισάγοντας τα παρακάτω σε ένα τερματικό:

Sudo UFW Ενεργοποίηση 

Για να απενεργοποιήσετε το UFW, απλά αντικαταστήστε επί με μακριά από Στην παραπάνω εντολή.

Εάν χρησιμοποιείτε iPtables αντί για UFW, εισάγετε:

Sudo Iptables -A Input -m State -STATE NEW -P TCP -DPORT 80 \ -J LOG -LOG -PREFIX "NEW_HTTP_CONN:" 

Ένα αίτημα στη θύρα 80 από το τοπικό μηχάνημα, τότε, θα δημιουργούσε ένα αρχείο καταγραφής στο DMESG που μοιάζει με αυτό (η ενιαία γραμμή χωρίζεται σε 3 για να ταιριάζει σε αυτό το έγγραφο):

[4304885.870000] new_http_conn: in = lo out = mac = 00: 00: 00: 00: 00: 00: 00: 00: 00: 00: 00: 00: 08: 00 src = 127.0.0.1 DST = 127.0.0.1 LEN = 60 TOS = 0x00 PREC = 0x00 TTL = 64 DF Proto = TCP SPT = 53981 DPT = 80 Παράθυρο = 32767 Res = 0x00 Syn UrgP = 0 

Το παραπάνω αρχείο καταγραφής θα εμφανιστεί επίσης στο/var/log/μηνύματα,/var/log/syslog, και/var/log/kern.κούτσουρο . Αυτή η συμπεριφορά μπορεί να τροποποιηθεί με επεξεργασία /etc /syslog.Conf κατάλληλα ή με την εγκατάσταση και τη διαμόρφωση του ULOGD και τη χρήση του στόχου ULOG αντί του αρχείου. Ο δαίμονας Ulogd είναι ένας διακομιστής χρήστη που ακούει τις οδηγίες καταγραφής από τον πυρήνα ειδικά για τείχη προστασίας και μπορεί να συνδεθεί σε οποιοδήποτε αρχείο που σας αρέσει ή ακόμα και σε μια βάση δεδομένων PostgreSQL ή MySQL. Η κατανόηση των αρχείων καταγραφής τείχους προστασίας μπορεί να απλουστευθεί χρησιμοποιώντας ένα εργαλείο ανάλυσης καταγραφής, όπως logwatch, fwanalog, fwlogwatch ή lire.

Άλλα εργαλεία

Υπάρχουν πολλά διαθέσιμα εργαλεία για να σας βοηθήσουν να κατασκευάσετε ένα πλήρες τείχος προστασίας χωρίς να γνωρίζετε τα iptables. Ένα εργαλείο γραμμής εντολών με αρχεία διαμόρφωσης απλού κειμένου:

• Το Shorewall είναι μια πολύ ισχυρή λύση για να σας βοηθήσει να διαμορφώσετε ένα προηγμένο τείχος προστασίας για οποιοδήποτε δίκτυο.

βιβλιογραφικές αναφορές

• Η σελίδα Wiki Firewall Ubuntu περιέχει πληροφορίες σχετικά με την ανάπτυξη του UFW.
• Επίσης, η σελίδα Manual UFW περιέχει μερικές πολύ χρήσιμες πληροφορίες: Man UFW .
• Ανατρέξτε στο πακέτο-φιλτράρασμα-Howto για περισσότερες πληροφορίες σχετικά με τη χρήση iptables.
• Το Nat-Howto περιέχει περισσότερες λεπτομέρειες σχετικά με τη μεταμφίεση.
• Το Iptables Howto στο ubuntu wiki είναι ένας μεγάλος πόρος.

Τείχος προστασίας Linux

Συχνά παραμορφώνεται ότι το τείχος προστασίας δεν είναι απαραίτητο για το Linux. Φυσικά, το σύστημα Linux δημιουργείται σχολαστικά για να του δώσει μέγιστη ασφάλεια. Για παράδειγμα, έχει πολλαπλά επίπεδα εξουσιοδότησης που εμποδίζει την εγκατάσταση κακόβουλου λογισμικού και κακόβουλων κωδικών. Από προεπιλογή, το σύστημα Linux δεν διαθέτει ανοικτές θύρες που δεν σημαίνει ότι δεν υπάρχουν εξωτερικές συσκευές ή προγράμματα δεν μπορούν να έχουν πρόσβαση στη συσκευή σας χωρίς να ανοίγουν θύρες, σε αντίθεση με τα Windows. Επιπλέον, οι ιοί και τα malwares για το Linux είναι εξαιρετικά σπάνιοι λόγω του γεγονότος ότι το λειτουργικό σύστημα Linux είναι το λιγότερο δημοφιλές λειτουργικό σύστημα. Αυτό ουσιαστικά το καθιστά μη κερδοφόρο για τους επιτιθέμενους στον κυβερνοχώρο να το επιτεθούν.

Παρόλα αυτά, εξακολουθούν να υπάρχουν σημαντικά κενά που μπορούν να εκθέσουν το σύστημα Linux σας. Επιπλέον, δεδομένου ότι οι περισσότεροι χρήστες του Linux αισθάνονται σίγουροι ότι δεν χρειάζονται επιπλέον προστασία, είναι πιο ευάλωτοι εάν ξεκινήσει μια επίθεση. Για το σκοπό αυτό, είναι λογικό να διασφαλίσετε ότι έχετε ένα αξιόπιστο τείχος προστασίας Linux που θα σας δώσει την απαραίτητη προστασία. Εδώ είναι τέσσερις λόγοι που πρέπει να εξετάσετε το ενδεχόμενο εγκατάστασης τείχους προστασίας για τη συσκευή Linux.

Γιατί χρειάζεστε τείχος προστασίας για το σύστημα Linux?

Εγώ. Επιπλέον στρώμα προστασίας

Όπως αναφέρθηκε, το Linux γίνεται έτσι ώστε να είναι εξαιρετικά δύσκολο για τα malwares και άλλες δυσλειτουργίες ασφαλείας να συμβούν. Από προεπιλογή, έχει το δικό της εσωτερικό τείχος προστασίας, αν και απενεργοποιείται. Πρώτα απ ‘. Δεδομένου ότι οι περισσότεροι χρήστες του Linux είναι τεχνολογικά καταλαβαίνω, μπορούν εύκολα να χειριστούν τα συστήματα τείχους προστασίας τους ώστε να ταιριάζουν στις ανάγκες ασφαλείας τους. Η προσθήκη ενός επιπλέον στρώματος προστασίας, εγκαθιστώντας ένα τείχος προστασίας τρίτου μέρους σημαίνει ότι η συσκευή σας Linux θα έχει πολλαπλά στρώματα ασφάλεια.

ii. Πρόληψη κακόβουλου λογισμικού

Τα Malwares για το Linux είναι εξαιρετικά σπάνια. Αλλά όταν επιτίθενται, η ζημιά έχει ακραία μεγέθη. Καλύτερα να είσαι ασφαλής από το συγγνώμη. Ένα καλό τείχος προστασίας Linux είναι σχολαστικά κατασκευασμένο για να πολεμήσει το κακόβουλο λογισμικό και τους ιούς του Linux από την είσοδο στο σύστημα. Χρησιμοποιώντας ένα σύνολο κανόνων, θα εντοπίσει κακόβουλους κώδικες που μεταδίδονται μέσω του ιδιωτικού σας δικτύου. Τώρα, χορηγείται, το σύστημα Linux δεν έχει ανοικτές θύρες από προεπιλογή και έχει διάφορα επίπεδα εξουσιοδότησης. Ωστόσο, ένα μικρό λάθος, όπως το να έχετε ένα ανοιχτό λιμάνι και να χορηγήσετε άδεια συστήματος σε έναν κακόβουλο κώδικα θα σας αφήσει ευάλωτο. Το τείχος προστασίας εμποδίζει αυτό το κακόβουλο λογισμικό να αποκτήσει πρόσβαση στη συσκευή στην πρώτη θέση. Με αυτόν τον τρόπο, ανεξάρτητα από τις ανοικτές θύρες ή την εξουσιοδότηση, δεν υπάρχει κακόβουλο λογισμικό που εισέρχεται στο σύστημα.

iii. Προστασία από επιθέσεις στον κυβερνοχώρο

Κυβερνοεφίλοι’ Η κύρια ατζέντα κερδίζει είτε σημαντικές πληροφορίες από ένα σύστημα είτε εκτοπίζει χρήματα από τα θύματά τους. Οι χρήστες του Linux είναι συνήθως είτε τεχνολογικοί φορείς είτε μεγάλοι οργανισμοί. Είναι λογικό οι κυβερνοεπικοινωνίες να επενδύουν σε μεγάλο βαθμό στις επιθέσεις τους, καθώς τα κέρδη θα είναι εξίσου μεγάλα εάν πετύχουν. Επομένως, σημαίνει ότι οι επιθέσεις που διεξάγονται σε συστήματα Linux προκαλούν ακραίες απώλειες όταν είναι επιτυχείς.

Ένα καλό λογισμικό τείχους τείχους προστασίας Linux θα πρέπει να είναι αρκετά ισχυρό ώστε να είναι σε θέση να αποτρέψει τέτοιες επιθέσεις. Ελέγχει κάθε πακέτο δεδομένων που έχει πρόσβαση στο σύστημά σας και αποξενώνει τα κακόβουλα δεδομένα και εμποδίζει τη μετάδοση του. Αυτό συμβαίνει ιδιαίτερα όταν ένας εισβολέας έχει αποκτήσει πρόσβαση στο σύστημα και προσπαθεί να μεταδώσει σε σημαντικά δεδομένα.

iv. Μυστικότητα

Όλοι εκτιμούν την ιδιωτική ζωή. Οι χρήστες του Linux έχουν το πλεονέκτημα ότι έχουν ένα ασφαλές λειτουργικό σύστημα που επιτίθεται λιγότερο από κακόβουλο λογισμικό και εγκληματίες στον κυβερνοχώρο. Αλλά αυτό δεν σημαίνει ότι δεν μπορούν να εισέλθουν, ειδικά αν χρησιμοποιείτε δημόσιο δίκτυο. Ενώ τέτοιες επιθέσεις βασίζονται σε ανοικτές λιμένες στο σύστημα Linux, όταν συμβαίνουν, θα μπορούσατε να καταλήξετε εκτεθειμένο και μερικά από τα προσωπικά σας αρχεία μπορούν να μπουν στον δημόσιο τομέα. Ακόμη χειρότερα, οι δραστηριότητές σας στο διαδίκτυο μπορούν να εντοπιστούν και να μπορείτε να διαχωριστείτε. Είναι αυτονόητο ότι η κατοχή ενός ανώτερου τείχους προστασίας Linux θα πρέπει να είναι η πρώτη σας προτεραιότητα εάν εκτιμάτε το απόρρητό σας. Και πρέπει να’να πάρει τις πιθανότητες σε αυτό.

Λογισμικό Comodo Firewall για Linux

Η Comodo είναι μία από τις κορυφαίες εταιρείες ασφάλειας δικτύου που υπάρχουν εδώ και αρκετές δεκαετίες. Αυτή η εκτεταμένη εμπειρία, σε συνδυασμό με την ομάδα των εμπειρογνωμόνων πληροφορικής μας, μας επέτρεψε να βρούμε ένα από τα κορυφαία λογισμικά τείχους προστασίας του Linux που προσφέρει υψηλή λειτουργικότητα και χρηστικότητα ακόμη και για τα λιγότερο τεχνολογικά-καταλαβαίνω άτομα. Με κορυφαία βραβεία από το AV-Test 2019 και με προσιτό επιτόκιο 29 $.99, είστε εγγυημένοι μέγιστη προστασία 24/7 με 100% ετυμηγορία 100% του χρόνου.

Το Linux χρειάζεται ένα τείχος προστασίας και πώς να διαμορφώσετε το τείχος προστασίας Linux με το Firewall-CMD

Το Linux είναι πιο ασφαλές από άλλα λειτουργικά συστήματα. Αλλά αυτός δεν είναι ο μόνος λόγος για τον οποίο μπορεί να μην χρειαστείτε ένα antivirus ή τείχος προστασίας κατά τη χρήση του Linux.

Το Linux δεν είναι άτρωτο. Στην πραγματικότητα, αυτός είναι ένας από τους πιο συνηθισμένους μύθους στον κυβερνοχώρο που παίρνει τους χρήστες του Linux σε πρόβλημα. Αυτή η πεποίθηση καθιστά εύκολη την τοποθέτηση της φρουράς σας και όταν ο φρουρός σας είναι κάτω, είναι πιο πιθανό να πάρετε το Sucker διάτρητο. Αλλά μόνο και μόνο επειδή το Linux έχει τρύπες ασφαλείας δεν σημαίνει ότι χρειάζεστε λογισμικό προστασίας από ιούς ή τείχους προστασίας. Η επιλογή των ρυθμίσεων ασφαλείας θα έχει συζητηθεί λεπτομερώς κατά τη διάρκεια της εγκατάστασης του συστήματος Linux, αλλά ίσως να μην τις θυμάστε μέχρι τώρα. Σε αυτό το άρθρο, θα μιλήσουμε για τη διαμόρφωση του τείχους προστασίας με την εντολή Firewall-CMD.

Τι είναι το τείχος προστασίας?

Τα τείχη προστασίας αποτελούν βασική πτυχή της ασφάλειας του δικτύου, οπότε ένα sysadmin πρέπει να καταλάβει πώς λειτουργούν. Εάν κατανοήσετε τα τείχη προστασίας, μπορείτε να διατηρήσετε το δίκτυό σας ασφαλές κάνοντας ενημερωμένες αποφάσεις σχετικά με την κυκλοφορία για να αφήσετε και να βγείτε. Ένα τείχος προστασίας είναι απλά ένα φίλτρο που καθορίζει ποια πακέτα δικτύου μπορούν να έρθουν στον υπολογιστή σας από το Διαδίκτυο και που μπορούν να αφήσουν τον υπολογιστή σας στο Διαδίκτυο. Χρησιμοποιείται κυρίως για να επιτρέπεται και/ή να απαγορεύει τις εισερχόμενες συνδέσεις. Οι εξερχόμενες συνδέσεις σπάνια διηθούνται. Με απλά λόγια, είναι ένα είδος τοίχου μεταξύ του υπολογιστή σας και του εξωτερικού κόσμου.

Το Linux χρειάζεται ένα τείχος προστασίας?

Αυτή είναι σχεδόν πάντα μια ερώτηση. Το 99% των χρηστών Linux πιστεύει ότι το Linux είναι ασφαλές από προεπιλογή. Από προεπιλογή, σχεδόν όλες οι κατανομές Linux δεν έχουν τείχος προστασίας. Για να είμαστε πιο ακριβείς, έχουν ένα αδρανές τείχος προστασίας. Επειδή ο πυρήνας του Linux περιλαμβάνει ένα ενσωματωμένο τείχος προστασίας και θεωρητικά όλες οι κατανομές Linux περιλαμβάνουν ένα, αλλά δεν έχει ρυθμιστεί ή είναι ενεργό. Αλλά μην ανησυχείτε, ακόμη και χωρίς ενεργό τείχος προστασίας, το linux σας είναι ακόμα ασφαλές. Οι περισσότερες κατανομές, συμπεριλαμβανομένου του Ubuntu και του Linux Mint, δεν έχουν ανοικτές θύρες από προεπιλογή, εξασφαλίζοντας ότι οι ξένοι δεν έχουν πρόσβαση στο μηχάνημά σας. Παρ ‘όλα αυτά, παροτρύνω να ενεργοποιήσετε ένα τείχος προστασίας. Είναι προτιμότερο να είσαι ασφαλής παρά να λυπάσαι. Θα συζητήσουμε περαιτέρω τον τρόπο διαμόρφωσης του τείχους προστασίας Linux χρησιμοποιώντας το Firewall-CMD.

Τι είναι τα iptables?

Το iPtables είναι ένα εργαλείο τείχους προστασίας γραμμής εντολών που επιτρέπει ή εμποδίζει την κυκλοφορία χρησιμοποιώντας αλυσίδες πολιτικής. Όταν μια σύνδεση προσπαθεί να εδραιωθεί στο σύστημά σας, το iPtables αναζητά τη λίστα κανόνων του για έναν αγώνα. Εάν δεν μπορεί να ανακαλύψει ένα, πέφτει πίσω στην προεπιλεγμένη ενέργεια. Το iPtables περιλαμβάνεται σχεδόν συνήθως σε κάθε διανομή Linux. Το iPtables τείνει να χρησιμοποιεί 3 διαφορετικές αλυσίδες: είσοδος, εμπρός και έξοδος. Με αυτό, μπορείτε να δημιουργήσετε διαφορετικά κανόνες για διαφορετικά μηχανήματα στο δίκτυο, ωστόσο, γιατί να μην διευκολύνετε τη χρήση του Firewall-CMD!

Τι είναι το τείχος προστασίας-cmd & firewalld?

Το Firewall-CMD είναι μια διεπαφή γραμμής εντολών για το Daemon Firewalld, το οποίο επικοινωνεί με το πλαίσιο Netfilter του πυρήνα του Linux. Αυτή η στοίβα είναι απίθανο να βρεθεί στα ενσωματωμένα μόντεμ που βρίσκονται συνήθως σε μικρές και μεσαίες επιχειρήσεις, αλλά είναι παρόντες ή διαθέσιμες για οποιαδήποτε κατανομή Linux που υποστηρίζει το SystemD. Το Firewalld είναι ένα δυναμικά ελεγχόμενο τείχος προστασίας που υποστηρίζει ζώνες δικτύου/τείχους προστασίας, οι οποίες καθορίζουν το επίπεδο εμπιστοσύνης για συνδέσεις δικτύου ή διεπαφές. Υποστηρίζει τις ρυθμίσεις τείχους προστασίας IPv4 και IPv6, καθώς και γέφυρες Ethernet και IP σύνολα. Οι επιλογές διαμόρφωσης και μόνιμης διαμόρφωσης διαχωρίζονται. Παρέχει επίσης μια διεπαφή μέσω των οποίων οι υπηρεσίες ή τα προγράμματα ενδέχεται εύκολα να προσθέσουν κανόνες τείχους προστασίας.

Ρύθμιση του τείχους προστασίας με τείχος προστασίας CMD

Ανάλογα με τη διανομή Linux, μπορείτε ή δεν μπορείτε να έχετε ήδη εγκαταστήσει την εντολή Firewall-CMD. Χωρίς επιχειρησιακό τείχος προστασίας, το Firewall-CMD δεν έχει τίποτα να ελέγξει, οπότε το πρώτο βήμα είναι να ελέγξουμε ότι το Firewalld τρέχει:

$ sudo systemctl enable -Now Firewalld

Οι ζώνες χρησιμοποιούνται ως προεπιλογές στο Firewall-CMD, προσφέροντάς σας εύλογες επιλογές για να διαλέξετε. Αυτό σας εξοικονομεί από το να σχεδιάσετε ένα τείχος προστασίας από το έδαφος. Οι ζώνες ανατίθενται σε διεπαφές δικτύου. Εκτελέστε την παρακάτω εντολή για να ελέγξετε τις ζώνες σας:

Αν ήθελα να δημιουργήσω μια νέα ζώνη, θα χρησιμοποιούσα την εντολή:

$ sudo firewall-cmd –new-zone [zonename]-

Επιπλέον, μπορώ να χρησιμοποιήσω τις ακόλουθες εντολές για να ελέγξω ποιες θύρες και υπηρεσίες επιτρέπονται:

Για να ελέγξετε ποιες ζώνες είναι ενεργές, εκτελέστε την εντολή:

$ sudo firewall-cmd-get-active-zones

Για να προσθέσετε μια υπηρεσία και να επιτρέψετε συνδέσεις για αυτήν την υπηρεσία, χρησιμοποιείτε το επιχείρημα-προσανατολισμού όπως φαίνεται παρακάτω:

$ sudo firewall-cmd-Add-service http-

Η παραπάνω εντολή επιτρέπει στις υπηρεσίες HTTP να εκτελούνται στην προεπιλεγμένη ζώνη. Εάν θέλετε να καθορίσετε τη ζώνη, μπορείτε να εκτελέσετε:

$ sudo firewall-cmd –zone = public -add-service http-

Η παραπάνω εντολή επιτρέπει την κυκλοφορία HTTP για τη ζώνη “δημόσιο”. Για να καταργήσετε μια υπηρεσία και να αποκλείσετε τη σύνδεση, απλώς αφαιρέστε την παρακάτω:

$ sudo firewall-cmd-remove-service http-
$ sudo firewall-cmd–reload

Κάθε φορά που κάνετε μια αλλαγή στο τείχος προστασίας χρησιμοποιώντας το Firewall-CMD, φροντίστε να φορτώσετε ξανά όλες τις ρυθμίσεις ή αλλιώς η αλλαγή δεν θα τεθεί σε ισχύ. Για να ελέγξετε για πρόσθετα επιχειρήματα, μπορείτε να εκτελέσετε την εντολή Firewall-CMD -HELP.

Γιατί το Firewalld & Firewall-CMD?

Μπορείτε να κάνετε πολλά περισσότερα με το Firewall-CMD, όπως ορίζετε τις δικές σας υπηρεσίες, το μπλοκάρισμα του ICMP και τον καθορισμό πηγών επιτρεπόμενης εισερχόμενης κυκλοφορίας. Παρόλο που δεν προτείνεται υπερβολικά για ασφάλεια σε επίπεδο επιχείρησης, το Firewall-CMD εξακολουθεί να είναι μια εξαιρετική και βιώσιμη λύση για καθημερινούς χρήστες και εταιρείες που απαιτούν γρήγορο βαθμό ασφάλειας. Εάν είστε νέοι στο Linux Security, το Firewall-CMD είναι ένας θαυμάσιος τρόπος για να ξεκινήσετε με ipchains και iptables. Το Firewall-CMD σας επιτρέπει να ρυθμίσετε γρήγορα ένα βασικό τείχος προστασίας εάν γνωρίζετε ήδη ipchains. Επιπλέον, το περιβάλλον εκτέλεσης είναι εύκολα τροποποιημένο. Δεν υπάρχει καμία απαίτηση για επανεκκίνηση του δαίμονα ή της υπηρεσίας. Είναι απλό για υπηρεσίες, προγράμματα και χρήστες να τροποποιήσουν τις ρυθμίσεις τείχους προστασίας χάρη στη διεπαφή Firewalld D-Bus. Αυτό είναι χρήσιμο για τους διαχειριστές, καθώς επιτρέπει τη δοκιμή και την αξιολόγηση του χρόνου εκτέλεσης λόγω του διαχωρισμού του χρόνου εκτέλεσης και της μόνιμης διαμόρφωσης.

Τελικές σκέψεις

Η μόνη φορά που θα χρειαστείτε ένα τείχος προστασίας είναι εάν εκτελείτε κάποια εφαρμογή διακομιστή στο σύστημά σας τις περισσότερες φορές. Σε αυτή την περίπτωση, ένα τείχος προστασίας θα περιορίσει τις εισερχόμενες συνδέσεις σε ορισμένες θύρες, διασφαλίζοντας ότι μπορούν να αλληλεπιδράσουν μόνο με την κατάλληλη εφαρμογή διακομιστή. Και πάλι, δεν υπάρχει καμία βλάβη στο να μην ενεργοποιηθεί το τείχος προστασίας στο μηχάνημα Linux σας. Το μόνο που λέμε είναι ότι πρέπει να σκεφτείτε την εφαρμογή ενός τείχους προστασίας χρησιμοποιώντας το Firewall-CMD για αυξημένη ασφάλεια!