חומת אש לינוקס

בקשה ביציאה 80 מהמחשב המקומי, אם כן, תייצר כניסה DMESG שנראית כך (שורה יחידה שנפצלה ל -3 כך שתתאים למסמך זה):

אבטחה – חומת אש

גרעין לינוקס כולל את Netfilter תת -מערכת המשמשת לתמרון או להחליט את גורל תנועת הרשת שנכנסת לשרת שלך או דרך. כל פתרונות חומת האש המודרניים של לינוקס משתמשים במערכת זו לסינון מנות.

מערכת סינון המנות של הגרעין לא תועיל מעט למנהלים ללא ממשק מרחב משתמשים כדי לנהל אותו. זו המטרה של iptabl. לפיכך, iptabl.

UFW – חומת אש לא מסובכת

כלי תצורת חומת האש המוגדר כברירת מחדל עבור אובונטו הוא UFW. UFW, שפותח כדי להקל על תצורת חומת האש של iPtabl.

UFW כברירת מחדל מושבת בתחילה. מדף ה- UFW Man:

“UFW לא נועד לספק פונקציונליות מלאה של חומת אש באמצעות ממשק הפקודה שלה, אלא מספקת דרך קלה להוסיף או להסיר כללים פשוטים. כיום הוא משמש בעיקר לחומות אש מבוססות מארח.”

להלן כמה דוגמאות לשימוש ב- UFW:

• ראשית, יש לאפשר UFW. מהנחת מסוף הזן:

sudo ufw אפשר

sudo ufw מאפשר 22

sudo ufw הכנס 1 אפשר 80

sudo ufw מכחיש 22

sudo ufw מחק דחייה 22

sudo ufw מאפשר Proto TCP משנת 192.168.0.2 לכל יציאה 22

sudo ufw-יבש-ריצה מאפשר http

*פילטר: UFW-User-Put-[0: 0]: UFW-User-Output-[0: 0]: UFW-User-forward-[0: 0]: UFW-User-Limit-[0: 0]: UFW-USER-LIMIT-accee.0.0.0/0 כל 0.0.0.0/0 -A UFW -USER -PUPT -P -P TCP -DPORT 80 -J קבל ### כללי סיום ### -A UFW -USER -PUT -PUT -J RETURN -A UFW -USER -OUTPUTPUTING -J החזרת UFW -USER -FORWARD -J החזרת -A UFW- USER -LIMIT -MILITE -Limit -Limit 3/j Log -gug -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log - imit -J דחייה -א UFW -User -Limit -accept -j קבל כללי התחייבות עדכנו

sudo ufw השבת

SUDO UFW סטטוס

sudo ufw סטטוס מילולי

SUDO UFW סטטוס ממוספר

הערה
אם היציאה שברצונך לפתוח או לסגור מוגדרת ב- /etc /שירותים, אתה יכול להשתמש בשם היציאה במקום במספר. בדוגמאות לעיל, החלף 22 ב- SSH.

זוהי מבוא מהיר לשימוש ב- UFW. אנא עיין בדף ה- UFW Man למידע נוסף.

שילוב יישומים של UFW

יישומים שפותחים יציאות יכולים לכלול פרופיל UFW, המפרט את היציאות הדרושות ליישום כדי לתפקד כראוי. הפרופילים נשמרים ב-/etc/ufw/יישומים.D וניתן לערוך אותם אם שונו יציאות ברירת המחדל.

• כדי להציג אילו יישומים התקנו פרופיל, הזן את הדברים הבאים בטרמינל:

רשימת האפליקציות של sudo ufw

sudo ufw לאפשר סמבה

UFW מאפשר משנת 192.168.0.0/24 לכל אפליקציה סמבה

החלף את סמבה ו -192.168.0.0/24 עם פרופיל היישום שאתה משתמש בו וטווח ה- IP של הרשת שלך.

הערה אין צורך לציין את הפרוטוקול ליישום מכיוון שמידע זה מפורט בפרופיל. כמו כן, שימו לב ששם האפליקציה מחליף את מספר היציאה.

sudo ufw info samba

לא כל היישומים הדורשים פתיחת יציאת רשת מגיעים עם פרופילי UFW, אך אם תפרסם אפליקציה ורוצה שהקובץ ייכלל בחבילה, אנא הגש באג כנגד החבילה ב- LaunchPad.

ubuntu-bug nameofpackage

IP מתנהג

מטרת התחפשות ה- IP היא לאפשר מכונות עם כתובות IP פרטיות ולא ניתנות לניתוק ברשת שלך כדי לגשת לאינטרנט דרך ההתקן המבצע את ההסכה. יש לתכנן את התנועה מהרשת הפרטית שלך המיועדת לאינטרנט כדי שתשובות יהיו ניתנות לניתוב למכונה שהביאה את הבקשה. לשם כך, על הגרעין לשנות את כתובת ה- IP של המקור של כל מנות כך שתשובות יועברו אליו, ולא לכתובת ה- IP הפרטית שהפכה את הבקשה, שאי אפשר דרך האינטרנט. לינוקס משתמשת במעקב אחר חיבור (Conntrack) כדי לעקוב אחר אילו חיבורים שייכים אליהם מכונות ושוב מחדש כל מנות החזרה בהתאם. התנועה עוזבת את הרשת הפרטית שלך היא אפוא “מחוסנת” כמקורן במכונת השער של אובונטו שלך. תהליך זה מכונה בתיעוד של מיקרוסופט כשיתוף חיבור לאינטרנט.

UFW מתחפש

ניתן להשיג מחסונת IP באמצעות כללי UFW מותאמים אישית. זה אפשרי מכיוון שהקצה האחורי הנוכחי עבור UFW הוא iptables-restore עם קבצי הכללים הממוקמים ב-/etc/ufw/*.כללים. קבצים אלה הם מקום נהדר להוסיף כללי IPTabl.

הכללים מפוצלים לשני קבצים שונים, כללים שיש לבצע לפני כללי שורת הפקודה של UFW וכללים המבוצעים

חומת אש לינוקס

בקשה ביציאה 80 מהמחשב המקומי, אם כן, תייצר כניסה DMESG שנראית כך (שורה יחידה שנפצלה ל -3 כך שתתאים למסמך זה):

אבטחה – חומת אש

גרעין לינוקס כולל את Netfilter תת -מערכת המשמשת לתמרון או להחליט את גורל תנועת הרשת שנכנסת לשרת שלך או דרך. כל פתרונות חומת האש המודרניים של לינוקס משתמשים במערכת זו לסינון מנות.

הגרעין’מערכת סינון מנות S לא תועיל מעט למנהלים ללא ממשק מרחב משתמשים כדי לנהל אותו. זו המטרה של iptabl. לפיכך, iptables זה כל מה שאתה צריך כדי לנהל את חומת האש שלך, אם אתה’מכירה זאת מחדש, אך חזיתות רבות זמינות כדי לפשט את המשימה.

UFW – חומת אש לא מסובכת

כלי תצורת חומת האש המוגדר כברירת מחדל עבור אובונטו הוא UFW. UFW, שפותח כדי להקל על תצורת חומת האש של iPtabl.

UFW כברירת מחדל מושבת בתחילה. מדף ה- UFW Man:

“UFW אינו נועד לספק פונקציונליות מלאה של חומת אש באמצעות ממשק הפקודה שלו, אלא מספקת דרך קלה להוסיף או להסיר כללים פשוטים. כיום הוא משמש בעיקר לחומות אש מבוססות מארח.”

להלן כמה דוגמאות לשימוש ב- UFW:

ראשית, יש לאפשר UFW. מהנחת מסוף הזן:

sudo ufw אפשר 

sudo ufw מאפשר 22 

sudo ufw הכנס 1 אפשר 80 

sudo ufw מכחיש 22 

sudo ufw מחק דחייה 22 

sudo ufw מאפשר Proto TCP משנת 192.168.0.2 לכל יציאה 22 

 sudo ufw-יבש-ריצה מאפשר http 

*פילטר: UFW-User-Put-[0: 0]: UFW-User-Output-[0: 0]: UFW-User-forward-[0: 0]: UFW-User-Limit-[0: 0]: UFW-USER-LIMIT-accee.0.0.0/0 כל 0.0.0.0/0 -A UFW -USER -PUPT -P -P TCP -DPORT 80 -J קבל ### כללי סיום ### -A UFW -USER -PUT -PUT -J RETURN -A UFW -USER -OUTPUTPUTING -J החזרת UFW -USER -FORWARD -J החזרת -A UFW- USER -LIMIT -MILITE -Limit -Limit 3/j Log -gug -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log -log - imit -J דחייה -א UFW -User -Limit -accept -j קבל כללי התחייבות עדכנו 

sudo ufw השבת 

SUDO UFW סטטוס 

sudo ufw סטטוס מילולי 

SUDO UFW סטטוס ממוספר 

הערה

אם היציאה שברצונך לפתוח או לסגור מוגדרת ב- /etc /שירותים, אתה יכול להשתמש בשם היציאה במקום במספר. בדוגמאות לעיל, החלף 22 עם ssh.

זוהי מבוא מהיר לשימוש ב- UFW. אנא עיין בדף ה- UFW Man למידע נוסף.

שילוב יישומים של UFW

יישומים שפותחים יציאות יכולים לכלול פרופיל UFW, המפרט את היציאות הדרושות ליישום כדי לתפקד כראוי. הפרופילים נשמרים ב-/etc/ufw/יישומים.D, וניתן לערוך אותם אם שונו יציאות ברירת המחדל.

כדי להציג אילו יישומים התקנו פרופיל, הזן את הדברים הבאים בטרמינל:

רשימת האפליקציות של sudo ufw 

sudo ufw לאפשר סמבה 

UFW מאפשר משנת 192.168.0.0/24 לכל אפליקציה סמבה 

החלף סמבה וכן 192.168.0.0/24 עם פרופיל היישום שאתה משתמש בו וטווח ה- IP של הרשת שלך.

הערה אין צורך לציין את נוהל ליישום, מכיוון שמידע זה מפורט בפרופיל. כמו כן, שימו לב שה- אפליקציה השם מחליף את נמל מספר.

sudo ufw info samba 

לא כל היישומים הדורשים פתיחת יציאת רשת מגיעים עם פרופילי UFW, אך אם תפרסם אפליקציה ורוצה שהקובץ ייכלל בחבילה, אנא הגש באג כנגד החבילה ב- LaunchPad.

ubuntu-bug nameofpackage 

IP מתנהג

מטרת התחפשות ה- IP היא לאפשר מכונות עם כתובות IP פרטיות ולא ניתנות לניתוק ברשת שלך כדי לגשת לאינטרנט דרך ההתקן המבצע את ההסכה. יש לתכנן את התנועה מהרשת הפרטית שלך המיועדת לאינטרנט כדי שתשובות יהיו ניתנות לניתוב למכונה שהביאה את הבקשה. לשם כך, על הגרעין לשנות את מָקוֹר כתובת IP של כל מנות כך שתשובות תועברו אליו, ולא לכתובת ה- IP הפרטית שהפכה את הבקשה, שאי אפשר דרך האינטרנט. שימושים לינוקס מעקב אחר חיבור (Conntrack) כדי לעקוב אחר אילו חיבורים שייכים לאילו מכונות ולחזור על כל מנות חוזרות בהתאם. התנועה עוזבת את הרשת הפרטית שלך היא אפוא “מסופק” כמקורו במכונת השער של אובונטו. תהליך זה מכונה בתיעוד של מיקרוסופט כשיתוף חיבור לאינטרנט.

UFW מתחפש

ניתן להשיג מחסונת IP באמצעות כללי UFW מותאמים אישית. זה אפשרי מכיוון שהקצה האחורי הנוכחי עבור UFW הוא iptables-restore עם קבצי הכללים הממוקמים ב-/etc/ufw/*.כללים . קבצים אלה הם מקום נהדר להוסיף כללי IPTabl.

הכללים מפוצלים לשני קבצים שונים, כללים שיש לבצע לפני כללי שורת הפקודה של UFW וכללים המבוצעים לאחר כללי שורת הפקודה של UFW.

ראשית, העברת מנות צריכה להיות מופעלת ב- UFW. יהיה צורך להתאים שני קבצי תצורה Default_forward_policy ל “לְקַבֵּל”:

Default_forward_policy = "קבל" 

ואז ערוך/etc/ufw/sysctl.conf and uncomment:

net/ipv4/ip_forward = 1 

באופן דומה, לצורך העברת IPv6 ביטול סימון:

net/ipv6/conf/default/העברה = 1 

# כללי טבלה של NAT *NAT: Postrouting Comect [0: 0] # תנועה קדימה מ- Eth1 עד Eth0. -Postrouting -s 192.168.0.0/24 -O Eth0 -J מסכות # אל תמחק את השורה 'התחייבות' או כללי הטבלה של NAT לא יועברו להתחייב 

ההערות אינן נחוצות בהחלט, אך זה נחשב לנוהג טוב לתעד את התצורה שלך. כמו כן, בעת שינוי אחד מה- כללים קבצים ב- /etc /ufw, וודאו שורות אלה הם השורה האחרונה עבור כל טבלה ששונו:

# אל תמחק את קו 'התחייבות' או שהכללים הללו לא יעבדו התחייבות 

לכל אחד שולחן תואם לְבַצֵעַ הצהרה נדרשת. בדוגמאות אלה רק נט וכן לְסַנֵן טבלאות מוצגות, אך אתה יכול גם להוסיף כללים עבור גלם וכן לְהַשְׁחִית שולחנות.

הערה בדוגמה לעיל החלף Eth0, ETH1, וכן 192.168.0.0/24 עם הממשקים המתאימים וטווח ה- IP לרשת שלך.

sudo ufw השבת && sudo ufw 

כעת יש להפעיל את הספנת ה- IP. אתה יכול גם להוסיף כל כללי קדימה נוספים ל-/etc/ufw/לפני כן.כללים . מומלץ להוסיף את הכללים הנוספים הללו ל UFW לפני קדימה שַׁרשֶׁרֶת.

iptables מתחפש

ניתן להשתמש ב- iptables.

בדומה ל- UFW, השלב הראשון הוא לאפשר העברת מנות IPv4 על ידי עריכה /etc /sysctl.conf ובטל את השורה הבאה:

נֶטוֹ.IPv4.ip_forward = 1 

אם ברצונך לאפשר העברת IPv6 גם ביטול סימון:

נֶטוֹ.IPv6.Conf.בְּרִירַת מֶחדָל.העברה = 1 

sudo sysctl -p 

sudo iptables -t nat -a postrouting -s 192.168.0.0/16 -O PPP0 -J Masquerade 

• -t nat – הכלל הוא להיכנס לטבלת NAT
• -לאחר מכן-הכלל אמור להיות מצורף (-A) לשרשרת הפרה-פוטו
• -S 192.168.0.0/16 – הכלל חל על תנועה שמקורו במרחב הכתובות שצוין
• -o PPP0 – הכלל חל על תנועה המתוכננת לניתוב דרך מכשיר הרשת שצוין
• -J Masquerade – תנועה תואמת את הכלל הזה היא “קְפִיצָה” (-J) ליעד המסכות שיופעל כמתואר לעיל

sudo iptables -a קדימה -192.168.0.0/16 -O PPP0 -J קבל SUDO IPTABLES -A קדימה -D 192.168.0.0/16 -M STATE \ -סטייט מבוסס, קשור -I PPP0 -J קבל 

iptables -t nat -a postrouting -s 192.168.0.0/16 -O PPP0 -J Masquerade 

יומנים

יומני חומת אש הם חיוניים להכרת התקפות, פתרון בעיות בכללי חומת האש שלך ולהבחין בפעילות חריגה ברשת שלך. עליכם לכלול כללי כניסה בחומת האש שלכם כדי שיניבו אותם, ועל כללי כריתת רישום לפני כל כלל סיום רלוונטי (כלל עם יעד שמחליט על גורל המנה, כגון לקבל, להפיל או לדחות).

אם אתה משתמש ב- UFW, אתה יכול להפעיל רישום על ידי הזנת הדברים הבאים בטרמינל:

sudo ufw כניסה 

כדי לכבות כניסה ל- UFW, פשוט החלף עַל עם כבוי בפקודה לעיל.

אם משתמשים ב- iPtables במקום UFW, הזן:

sudo iptables -a קלט -מצב -מיקוד חדש -P TCP -dport 80 \ -j log -log -prefix "new_http_conn:" 

בקשה ביציאה 80 מהמחשב המקומי, אם כן, תייצר כניסה DMESG שנראית כך (שורה יחידה שנפצלה ל -3 כך שתתאים למסמך זה):

[4304885.870000] new_http_conn: in = lo out = mac = 00: 00: 00: 00: 00: 00: 00: 00: 00: 00: 00: 00: 08: 00 src = 127.0.0.1 DST = 127.0.0.1 len = 60 TOS = 0x00 prec = 0x00 ttl = 64 df proto = tcp spt = 53981 dpt = 80 חלון = 32767 res = 0x00 syn urgp = 0 

היומן לעיל יופיע גם ב-/var/log/הודעות,/var/log/syslog, ו/var/log/kern.עֵץ . ניתן לשנות התנהגות זו על ידי עריכה /etc /syslog.CONP באופן מתאים או על ידי התקנה ותצורה של ULOGD ושימוש ביעד ULOG במקום יומן. הדמון של Ulogd הוא שרת מרחב משתמשים שמאזין להוראות רישום מהגרעין במיוחד עבור חומות אש, ויכול להתחבר לכל קובץ שתרצה, או אפילו למסד נתונים PostgreSQL או MySQL. ניתן לפשט את הגיוני ביומני חומת האש שלך באמצעות כלי לניתוח יומן כמו Logwatch, Fwanalog, Fwlogwatch או Lire.

כלים אחרים

ישנם כלים רבים העומדים לרשותכם שיעזרו לכם לבנות חומת אש מלאה ללא ידע אינטימי של iptables. כלי שורת פקודה עם קבצי תצורת טקסט רגיל:

• ShoreWall הוא פיתרון חזק מאוד שיעזור לך להגדיר חומת אש מתקדמת לכל רשת.

הפניות

• עמוד הוויקי של חומת האש באובונטו מכיל מידע על פיתוח UFW.
• כמו כן, הדף הידני של UFW מכיל מידע שימושי מאוד: Man UFW .
• עיין בסילונו-מנות מנות למידע נוסף על שימוש ב- iptables.
• ה- Nat-Hohto מכיל פרטים נוספים על התחפשות.
• ה- iptables howto בוויקי אובונטו הוא משאב נהדר.

חומת אש לינוקס

לעתים קרובות לא מופרז כי חומת האש אינה נחוצה עבור לינוקס. כמובן שמערכת לינוקס נוצרת בקפדנות כדי להעניק לה אבטחה מקסימאלית. לדוגמה, יש לו מספר רמות הרשאה המונעות התקנת תוכנות זדוניות וקודים זדוניים. כברירת מחדל, למערכת לינוקס אין יציאות פתוחות, כלומר אין מכשירים או תוכניות חיצוניים יכולים לקבל גישה למכשיר שלך ללא פתיחת יציאות, שלא כמו Windows. יתר על כן, וירוסים ומווארס המיוצרים עבור לינוקס הם נדירים ביותר בגלל העובדה שמערכת ההפעלה לינוקס היא מערכת ההפעלה הפחות פופולרית. זה כמעט הופך את זה לבלתי רווחי עבור תוקפי הסייבר לתקוף אותו.

על אף זאת, עדיין קיימים פרצות עיקריות שיכולות לחשוף את מערכת הלינוקס שלך. יתר על כן, מכיוון שרוב משתמשי לינוקס מרגישים בטוחים שהם אינם זקוקים להגנה נוספת, הם פגיעים יותר אם יש להקים התקפה. לשם כך, הגיוני להבטיח שתקבלו לעצמכם חומת אש לינוקס מכובדת שתעניק לכם את ההגנה הדרושה. להלן ארבע סיבות שכדאי לשקול להתקין חומת אש למכשיר לינוקס שלך.

מדוע אתה זקוק לחומת אש למערכת לינוקס שלך?

אני. שכבת הגנה נוספת

כאמור, לינוקס נעשה כך שקשה מאוד למלווארס ותקלות ביטחוניות אחרות. כברירת מחדל, יש לו חומת אש פנימית משלה גם אם מבוטלת. ראשית, לפני שתתקין חומת אש חדשה של לינוקס, עליך להבטיח כי חומת האש המקורית שלו כבר מופעלת. מכיוון שרוב משתמשי לינוקס הם מנוסים בטכנולוגיה, הם יכולים בקלות להיות מסוגלים לתפעל את מערכות חומת האש שלהם כך שיתאימו לצרכי האבטחה שלהם. הוספת שכבה נוספת של הגנה על ידי התקנת חומת אש של צד שלישי פירושה שלמכשיר לינוקס שלך יהיו שכבות אבטחה מרובות, מה שמקשה עוד יותר על האקרים ומלווארס.

II. מניעת תוכנות זדוניות

Malwares עבור לינוקס הם נדירים ביותר. אך כאשר הם תוקפים, הנזק הוא בעל גודל קיצוני. עדיף להיות בטוח מאשר מצטער. חומת אש טובה של לינוקס מיועדת בקפדנות להילחם בתוכנות זדוניות לינוקס וירוסים מכניסה למערכת. באמצעות מערך כללים, הוא יזהה קודים זדוניים המועברים דרך הרשת הפרטית שלך. כעת, שניתנו, למערכת הלינוקס שלך אין יציאות פתוחות כברירת מחדל ויש לה מספר רמות הרשאה. עם זאת, טעות קטנה כמו קיום יציאה פתוחה והענקת הרשאת מערכת לקוד זדוני תשאיר אותך פגיע. חומת האש מונעת מלכתחילה תוכנות זדוניות כאלה לקבל גישה למכשיר. בדרך זו, ללא קשר ליציאות פתוחות או הרשאה, אין שום תוכנה זדונית שנכנסת למערכת.

III. הגנה מפני התקפות סייבר

פושעי סייבר’ סדר היום העיקרי אני צובר מידע חשוב ממערכת או סחיטת כסף מהקורבנות שלהם. משתמשי לינוקס הם בדרך כלל אנשים מנוסים טכניים או ארגונים גדולים. זה הגיוני שפושעי רשת ישקיעו רבות בהתקפותיהם מכיוון שהרווחים יהיו גדולים באותה מידה אם הם יצליחו. פירושו, אפוא, כי התקפות שנערכו על מערכות לינוקס גורמות להפסדים קיצוניים כאשר הם מצליחים.

תוכנת חומת אש טובה של לינוקס צריכה להיות חזקה מספיק כדי להיות מסוגלת למנוע התקפות כאלה. זה בוחן כל חבילה של נתונים הגישה למערכת שלך ומנכרת נתונים זדוניים ומונעת את העברתם. זאת במיוחד כאשר תוקף קיבל גישה למערכת ומנסה להעביר נתונים חשובים.

iv. פְּרָטִיוּת

כולם מעריכים פרטיות. למשתמשי לינוקס יש את היתרון בכך שיש מערכת הפעלה מאובטחת שפחות מותקפת על ידי תוכנות זדוניות ופושעי סייבר. אבל זה לא אומר שהם לא יכולים להיכנס, במיוחד אם אתה משתמש ברשת ציבורית. בעוד שהתקפות כאלה מסתמכות מאוד על יציאות פתוחות במערכת לינוקס שלך, כאשר הן אכן קורות, אתה יכול בסופו של דבר לחשוף וכמה מהקבצים האישיים שלך יכולים להיכנס לרשות הרבים. חמור מכך, ניתן לעקוב אחר הפעילויות המקוונות שלך וניתן לרגל אותך. למותר לציין כי חומת אש מעולה של לינוקס צריכה להיות העדיפות מספר אחת שלך אם אתה מעריך את פרטיותך. ואתה לא צריך’לא קח סיכויים על זה.

תוכנת חומת אש של Comodo עבור לינוקס

קומודו היא אחת מחברות אבטחת הרשת המובילות שקיימות כבר כמה עשורים. ניסיון נרחב זה, בשילוב עם צוות מומחי ה- IT המנוסים ביותר שלנו, איפשר לנו להמציא את אחת מתוכנות חומת האש המובילות של לינוקס שמציעה פונקציונליות ושימושיות גבוהה אפילו עבור האנשים הפחות מנוסים טכניים. עם הפרסים המובילים ממבחן ה- AV 2019 ובשיעור נוח של 29 $.99, מובטחת לך הגנה מקסימאלית 24/7 עם 100% פסק דין 100% מהזמן.

האם לינוקס זקוקה לחומת אש וכיצד להגדיר את חומת האש של לינוקס עם חומת אש- CMD

לינוקס מאובטחת יותר ממערכות הפעלה אחרות. אבל זו לא הסיבה היחידה לכך שאולי אינך זקוק לאנטי -וירוס או חומת אש בזמן השימוש בלינוקס.

Linux אינה ניתנת לבלתי ניתנת לבלתי ניתנת לבלתי ניתנת לניתוח. לאמית. אמונה זו מקלה על להניח את המשמר שלך, וכשהשומר שלך נופל, סביר להניח שתקבל אגרוף פראייר. אבל רק מכיוון שלינוקס יש חורי אבטחה זה לא אומר שאתה זקוק לתוכנת אנטי -וירוס או חומת אש. הבחירה שלך בהגדרות האבטחה תידון בפירוט במהלך התקנת מערכת לינוקס שלך, אך יתכן שלא תזכור אותן עד עכשיו. במאמר זה נדבר על קביעת תצורת חומת האש עם פקודת חומת האש- CMD.

מהי חומת אש?

חומות אש הן היבט מרכזי באבטחת הרשת, ולכן סיסדמין צריך להבין כיצד הם מתפקדים. אם אתה מבין חומות אש, אתה יכול לשמור על הבטחה שלך על ידי קבלת החלטות מושכלות על איזו תנועה להכניס ולצאת. חומת אש היא פשוט פילטר שקובע אילו מנות רשת יכולות להיכנס למחשב שלך מהאינטרנט ואילו יכול להשאיר את המחשב שלך לאינטרנט. הוא משמש בעיקר לאפשר ו/או לא לאפשר חיבורים נכנסים. לעיתים רחוקות מסוננים חיבורים יוצאים. במילים פשוטות, זהו מעין קיר בין המחשב שלך לעולם החיצון.

האם לינוקס זקוקה לחומת אש?

זו כמעט תמיד שאלה. 99% ממשתמשי לינוקס מאמינים כי לינוקס מאובטחת כברירת מחדל. כברירת מחדל, כמעט לכל הפצות לינוקס אין חומת אש. ליתר דיוק, יש להם חומת אש רדומה. מכיוון שגרעין לינוקס כולל חומת אש מובנית, ובאופן תיאורטי כל התפלגויות לינוקס כוללות אחת, אך היא אינה מוגדרת או פעילה. אבל אל תדאג, אפילו בלי חומת אש פעילה, הלינוקס שלך עדיין בטוח. לרוב ההפצות, כולל אובונטו ולינוקס מנטה, אין יציאות פתוחות כברירת מחדל, ומבטיחות כי אנשים מבחוץ לא יוכלו לגשת למכונה שלך. עם זאת, אני קורא שתאפשר חומת אש. עדיף להיות בטוח מאשר מצטער. נדון עוד יותר כיצד להגדיר את חומת האש של לינוקס באמצעות חומת אש- CMD.

מה זה iptables?

IPTABLES הוא כלי חומת אש בשורת פקודה המאפשר או חוסם תנועה באמצעות שרשראות מדיניות. כאשר חיבור מנסה לבסס את עצמו במערכת שלך, iptables מחפשת את רשימת הכללים שלה לצורך התאמה. אם זה לא יכול לגלות כזה, הוא נופל על פעולת ברירת המחדל. iptables נכלל בדרך כלל בדרך כלל בכל הפצת לינוקס. Iptables נוטה להשתמש ב -3 שרשראות שונות: קלט, קדימה ופלט. עם זאת, אתה יכול ליצור מערכי כללים שונים למכונות שונות ברשת, עם זאת, מדוע לא להקל על ידי שימוש בחומת אש- CMD!

מה זה חומת אש- CMD וחומת אש?

Firewall-CMD הוא ממשק שורת פקודה לדמון חומת האש, המתקשר עם מסגרת NetFilter של גרעין לינוקס. סביר להניח כי ערימה זו לא נמצאת במודמים המוטמעים הנמצאים בדרך כלל בארגונים קטנים ובינוניים, אך היא קיימת או זמינה עבור כל חלוקת לינוקס התומכת במערכת. Firewalld הוא חומת אש מבוקרת באופן דינמי התומך באזורי רשת/חומת אש, המפרטת את רמת האמון לחיבורי רשת או ממשקים. הוא תומך בהגדרות חומת האש של IPv4 ו- IPv6, כמו גם גשרי אתרנט ומערכות IP. זמן ריצה ובחירות תצורה קבועות מופרדות. זה גם מספק ממשק שבאמצעותו שירותים או תוכניות עשויים להוסיף בקלות כללי חומת אש.

קביעת תצורה של חומת האש עם חומת אש- CMD

תלוי בהפצת לינוקס שלך, יתכן ותוכל להתקין את הפקודה CMD של חומת האש. ללא חומת אש מבצעית, ל- Firewall-CMD אין מה לשלוט, ולכן הצעד הראשון הוא לבדוק ש- Firewalld פועל:

$ sudo systemctl enable -עכשיו חומת אש

אזורים משמשים כהגדרות מראש בחומת האש- CMD, ומציעים לך אפשרויות סבירות לבחירה. זה חוסך אותך מלהצטרך לעצב חומת אש מהיסוד. אזורים מוקצים לממשקי רשת. הפעל את הפקודה למטה כדי לבדוק את האזורים שלך:

אם הייתי רוצה ליצור אזור חדש, הייתי משתמש בפקודה:

$ SUDO FIREALL-CMD-New-Zone [Zonename]-Permanent

בנוסף, אני יכול להשתמש בפקודות הבאות כדי לבדוק אילו יציאות ושירותים מותרות:

כדי לבדוק אילו אזורים פעילים, הפעל את הפקודה:

$ SUDO FIREALL-CMD-get-active-Zones

כדי להוסיף שירות ולאפשר חיבורים לשירות זה, אתה משתמש בטיעון –ADD-Service כמוצג להלן:

$ SUDO FIREALL-CMD-ADD-Service HTTP-Permanent

הפקודה לעיל מאפשרת לשירותי HTTP להפעלה באזור ברירת המחדל. אם אתה רוצה לציין את האזור, אתה יכול לרוץ:

$ SUDO FIREALL-CMD-Zone = ציבורי-הוסף שירות HTTP-Permanent

הפקודה לעיל מאפשרת תנועת HTTP לאזור “פּוּמְבֵּי”. כדי להסיר שירות ולחסום את החיבור, פשוט הסר אותו כמו למטה:

$ SUDO FIREALL-CMD-remove-Service http-permanent
$ SUDO FIREALL-CMD-טעינה

בכל פעם שתבצע שינוי בחומת האש באמצעות חומת אש- CMD, הקפד לטעון מחדש את כל ההגדרות, אחרת השינוי לא ייכנס לתוקף. כדי לבדוק טיעונים נוספים, באפשרותך להריץ את הפקודה CMAL-CMD-HELP.

מדוע חומת אש וחומת אש- CMD?

אתה יכול לעשות הרבה יותר עם חומת אש- CMD, כגון הגדרת השירותים שלך, חסימת ICMP, וייעוד מקורות של תנועה נכנסת המותרת. למרות שלא מוצע יתר על המידה לאבטחה ברמת הארגון, Firewall-CMD הוא עדיין פיתרון מצוין ובר-קיימא עבור משתמשים ותאגידים יומיים כאחד הדורשים מידה מהירה של אבטחה. אם אתה חדש ב- Linux Security, Firewall-CMD הוא דרך נפלאה להתחיל עם ipchains ו- iptables. Firewall-CMD מאפשר לך להקים במהירות חומת אש בסיסית אם אתה כבר מכיר את ה- ipchains. בנוסף, סביבת זמן הריצה ניתנת לשינוי בקלות. אין דרישה להפעיל מחדש את הדמון או השירות. זה פשוט לשירותים, תוכניות ומשתמשים לשנות את הגדרות חומת האש בזכות ממשק ה- D-Bus של חומת האש. זה שימושי למנהלים מכיוון שהוא מאפשר בדיקות והערכה של זמן ריצה עקב הפרדת זמן הריצה והתצורה הקבועה.

מחשבות סופיות

הפעם היחידה שתזדקק לחומת אש היא אם אתה מפעיל יישום שרת כלשהו במערכת שלך רוב הזמן. במקרה זה, חומת אש תגביל חיבורים נכנסים ליציאות מסוימות, ותוודא שהם יכולים רק לקיים אינטראקציה עם יישום השרת המתאים. שוב, אין שום נזק בכך שלא יופעל חומת אש במכונת לינוקס שלך. כל מה שאנחנו אומרים הוא שכדאי לחשוב על יישום חומת אש באמצעות חומת אש- CMD לצורך אבטחה מוגברת!