Seadistage CentOS 6-s IPTablesi tulemüür

Sissejuhatus

Tulemüür on teatud tüüpi võrguturbetööriist, mis juhib sissetulevat ja väljaminevat võrguliiklust vastavalt oma eelmääratletud reeglistikule. Saame kasutada tulemüüri koos muude turvameetmetega, et kaitsta oma servereid häkkerite rünnakute ja rünnakute eest.

Tulemüüri kujundus võib olla kas spetsiaalne riistvara või meie masinas töötav tarkvaraprogramm. CentOS 6 puhul on tulemüüri vaikeprogramm iptables.

Selles artiklis näitan teile, kuidas seadistada iptablesi põhitulemüür, mis põhineb rakendusel Vultr "WordPress on CentOS 6 x64", mis blokeerib kogu liikluse, välja arvatud veebi-, SSH-, NTP-, DNS- ja ping-teenused. See on siiski vaid esialgne konfiguratsioon, mis rahuldab üldised turbevajadused. Kui teil on täiendavaid nõudeid, vajate keerukamat iptablesi konfiguratsiooni.

Märkus :

Kui lisate oma serverile IPv6 aadressi, peaksite seadistama ka teenuse ip6tables. IP6tablesi konfigureerimine ei kuulu selle artikli reguleerimisalasse.

Erinevalt CentOS 6-st ei ole iptables enam CentOS 7 vaiketulemüüriprogramm ja see on asendatud programmiga nimega firewalld. Kui kavatsete kasutada CentOS 7, peate tulemüüri abil seadistama oma tulemüüri.

Eeltingimused

Värskelt juurutage serveri eksemplar rakendusega Vultr "WordPress on CentOS 6 x64" ja logige sisse administraatorina.

1. samm: määrake oma serveris kasutatavad teenused ja pordid

Eeldan, et see server majutab ainult WordPressi ajaveebi ja seda ei kasutata ruuterina ega pakuta muid teenuseid (näiteks post, FTP, IRC jne).

Siin vajame järgmisi teenuseid:

• HTTP (TCP pordil 80)
• HTTPS (TCP pordil 443)
• SSH (vaikimisi TCP pordis 22, saab turvalisuse huvides muuta)
• NTP (UDP pordis 123)
• DNS (TCP ja UDP pordis 53)
• ping (ICMP)

Kõik muud mittevajalikud pordid blokeeritakse.

2. samm: konfigureerige iptablesi reeglid

Iptables juhib liiklust reeglite loendiga. Kui võrgupaketid saadetakse meie serverisse, kontrollib iptables neid iga reegli järgi järjest ja võtab sellekohased toimingud. Kui reegel on täidetud, siis teisi reegleid eiratakse. Kui reeglid pole täidetud, kasutab iptables vaikepoliitikat.

Kogu liikluse saab liigitada kategooriateks SISEND, VÄLJUND ja EDASIMINE.

• SISEND-liiklus võib olla kas tavaline või pahatahtlik, tuleks lubada valikuliselt.
• OUTPUT liiklust peetakse tavaliselt turvaliseks ja see tuleks lubada.
• FORWARD liiklus on kasutu ja tuleks blokeerida.

Nüüd konfigureerime iptablesi reeglid vastavalt meie vajadustele. Kõik järgmised käsud tuleks sisestada teie SSH-terminalist administraatorina.

Kontrollige olemasolevaid reegleid:

iptables -L -n

Loputage kõik olemasolevad reeglid:

iptables -F; iptables -X; iptables -Z

Kuna iptablesi konfiguratsiooni muudatused jõustuvad kohe, võidakse iptablesi reeglite valesti konfigureerimisel teie serverisse pääsemine blokeerida. Juhuslikke blokeerimisi saate vältida järgmise käsuga. Ärge unustage asendada [Your-IP-Address]oma avaliku IP-aadressi või IP-aadressi vahemikuga (nt 201.55.119.43 või 201.55.119.0/24).

iptables -A INPUT -s [Your-IP-Address] -p tcp --dport 22 -j ACCEPT

Lubage kogu loopback (lo) liiklus ja langetage kogu liiklus 127.0.0.0/8 peale, välja arvatud lo:

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -d 127.0.0.0/8 -j REJECT

Blokeerige mõned levinud rünnakud:

iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP

Aktsepteerige kõik loodud sissetulevad ühendused:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Luba HTTP ja HTTPS sissetulev liiklus:

iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Luba SSH-ühendused:

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

Luba NTP-ühendused:

iptables -A INPUT -p udp --dport 123 -j ACCEPT

Luba DNS-päringud:

iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -j ACCEPT

Luba ping:

iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

Lõpuks määrake vaikepoliitikad:

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

3. samm: salvestage konfiguratsioonid

Kõik ülaltoodud muudatused on jõustunud, kuid need ei ole püsivad. Kui me neid kõvakettale ei salvesta, lähevad need pärast süsteemi taaskäivitamist kaotsi.

Salvestage iptablesi konfiguratsioon järgmise käsuga:

service iptables save

Meie muudatused salvestatakse faili /etc/sysconfig/iptables. Saate reegleid üle vaadata või muuta, muutes seda faili.

Juhusliku blokeerimise lahendused

Kui olete konfiguratsioonivea tõttu serverist välja lülitatud, saate mõne lahenduse abil siiski juurdepääsu taastada.

• Kui te pole veel iptablesi reeglite muudatusi salvestanud, saate oma serveri Vultri veebisaidi liidese kaudu taaskäivitada ja teie muudatused tühistatakse.
• Kui olete muudatused salvestanud, saate Vultri veebisaidi liidese kaudu konsooli kaudu oma serverisse sisse logida ja sisestada iptables -Fkõik iptablesi reeglid. Seejärel saate reeglid uuesti paika panna.