Jak otestovat konfiguraci firewallu pomocí Nmap na Linuxu

Úvod

Nmap je bezplatný a velmi oblíbený síťový bezpečnostní skener. Je snadno použitelný a velmi výkonný. Tento článek vysvětlí instalaci a použití Nmap pro testování konfigurací brány firewall. I když můžete zkontrolovat, které porty jsou otevřené přes váš firewall, testování skenováním může být velmi užitečné. Pokud máte například pravidlo brány firewall, které zakazuje přístup zvenčí k vaší službě MariaDB, Nmap vám může pomoci zajistit, aby brána firewall fungovala tak, jak má.

POZNÁMKA: Nikdy byste neměli spouštět Nmap na IP adresách, které vám nepatří, pokud k tomu nemáte výslovné povolení podle zásad přijatelného používání ('AUP') Vultr.com.

Předpoklady

• Vultr VPS s distribucí Linuxu
• Kořenový přístup k vašemu VPS přes SSH nebo konzoli.

Instalace

Nainstalujte Nmap na VPS, které chcete otestovat.

• Debian a distribuce založené na Debianu: apt install -y nmap
• CentOS a RHEL: yum install -y nmap

Používání

Nejprve musíte znát IP adresu vašeho VPS. Měli byste použít svou veřejnou IP adresu, protože cílem je otestovat konfiguraci brány firewall pro veřejnost. Tento článek bude použit 203.0.113.1jako příklad. Ujistěte se, že jste ji nahradili svou vlastní IP adresou.

Testování jednoho TCP portu.

Příkaz k testování jednoho portu je následující:

nmap -p 80 203.0.113.1

V tomto příkladu 80je číslo portu TCP, který chcete otestovat.

Příklad výstupu:

root@debian1:~# nmap -p 80 203.0.113.1

Starting Nmap 7.40 at 2018-10-19 00:00 EEST
Nmap scan report for 203.0.113.1
Host is up (0.000097s latency).
PORT   STATE SERVICE
80/tcp open  http

Nmap done: 1 IP address (1 host up) scanned in 0.36 seconds

Testování všech TCP portů.

Následující příkaz otestuje všechny TCP porty ( -p-) a uloží výstup do nmap.out.

nmap -oN nmap.out -p- 203.0.113.1 

Testování všech portů TCP a zjištění verze.

Následující příkaz otestuje všechny TCP porty ( -p-), pokusí se zjistit, které služby a které verze běží ( -sV), a uloží výstup do nmap.out.

nmap -sV -oN nmap.out -p- 203.0.113.1 

Testování všech TCP portů a spuštění základních bezpečnostních kontrol.

Následující příkaz otestuje všechny TCP porty ( -p-), spustí základní bezpečnostní kontroly na otevřených portech ( -sC) a uloží výstup do nmap.out.

nmap -sC -oN nmap.out -p- 203.0.113.1 

Tyto bezpečnostní kontroly jsou užitečné zejména při odhalování běžných zranitelností a nesprávných konfigurací.

Další užitečné možnosti

-v, -vv, -vvvvede ke stále upovídanějšímu výstupu.

-sU se používá pro skenování UDP.

Závěr

Spouštění nmap není vždy nutné, ale může být velmi užitečné, zvláště když jsou zavedeny složité konfigurace sítě a pravidla brány firewall.