Settu upp IPTables eldvegg á CentOS 6

Kynning

Eldveggur er tegund netöryggisverkfæra sem stjórnar inn- og útleið netumferðar í samræmi við fyrirfram skilgreind reglusett. Við getum notað eldvegg ásamt öðrum öryggisráðstöfunum til að vernda netþjóna okkar gegn töfum og árásum tölvuþrjóta.

Hönnun eldveggs getur annað hvort verið sérstakur vélbúnaður eða hugbúnaður sem keyrir á vélinni okkar. Á CentOS 6 er sjálfgefið eldveggsforrit iptables.

Í þessari grein mun ég sýna þér hvernig á að setja upp grunn iptables eldvegg sem byggir á Vultr "WordPress á CentOS 6 x64" appinu, sem mun loka fyrir alla umferð nema fyrir vef, SSH, NTP, DNS og ping þjónustu. Hins vegar er þetta aðeins bráðabirgðastilling sem uppfyllir algengar öryggisþarfir. Þú þyrftir flóknari iptables stillingar ef þú hefur frekari kröfur.

Athugið :

Ef þú bætir IPv6 vistfangi við netþjóninn þinn ættirðu líka að setja upp ip6tables þjónustuna. Að stilla ip6tables er utan gildissviðs þessarar greinar.

Ólíkt CentOS 6 er iptables ekki lengur sjálfgefið eldveggsforrit á CentOS 7 og hefur verið skipt út fyrir forrit sem kallast firewalld. Ef þú ætlar að nota CentOS 7 þarftu að setja upp eldvegginn þinn með því að nota eldvegg.

Forkröfur

Settu nýlega upp netþjónstilvik með Vultr „WordPress á CentOS 6 x64“ appinu og skráðu þig síðan inn sem rót.

Skref 1: Ákvarða þjónustu og höfn sem notuð eru á netþjóninum þínum

Ég geri ráð fyrir að þessi þjónn muni aðeins hýsa WordPress blogg og hann verði ekki notaður sem leið eða veitir aðra þjónustu (til dæmis póst, FTP, IRC, osfrv.).

Hér þurfum við eftirfarandi þjónustu:

• HTTP (TCP á tengi 80)
• HTTPS (TCP á höfn 443)
• SSH (TCP á höfn 22 sjálfgefið, hægt að breyta í öryggisskyni)
• NTP (UDP á tengi 123)
• DNS (TCP og UDP á tengi 53)
• ping (ICMP)

Öllum öðrum óþarfa höfnum verður lokað.

Skref 2: Stilltu iptables reglur

Iptables stjórnar umferð með lista yfir reglur. Þegar netpakkar eru sendir á netþjóninn okkar munu iptables skoða þá með því að nota hverja reglu í röð og grípa til aðgerða í samræmi við það. Ef regla er uppfyllt verða hinar reglurnar hunsaðar. Ef engar reglur eru uppfylltar mun iptables nota sjálfgefna stefnu.

Hægt er að flokka alla umferðina sem INNPUT, OUTPUT og ÁFRAM.

• INPUT umferð getur verið annað hvort venjuleg eða illgjarn, ætti að vera leyfð með vali.
• OUTPUT umferð er venjulega talin örugg og ætti að vera leyfð.
• ÁFRAM umferð er gagnslaus og ætti að loka.

Nú skulum við stilla iptables reglurnar í samræmi við þarfir okkar. Allar eftirfarandi skipanir ættu að vera inntakar frá SSH flugstöðinni sem rót.

Athugaðu gildandi reglur:

iptables -L -n

Skolaðu allar gildandi reglur:

iptables -F; iptables -X; iptables -Z

Þar sem breytingar á uppsetningu iptables munu taka gildi strax, ef þú misskilgreinir iptables reglurnar, gætirðu orðið útilokaður af þjóninum þínum. Þú getur komið í veg fyrir útlokun fyrir slysni með eftirfarandi skipun. Mundu að skipta [Your-IP-Address]út fyrir þitt eigið opinbera IP-tölu eða IP-tölusvið (til dæmis 201.55.119.43 eða 201.55.119.0/24).

iptables -A INPUT -s [Your-IP-Address] -p tcp --dport 22 -j ACCEPT

Leyfðu alla umferð til baka (lo) og slepptu allri umferð í 127.0.0.0/8 annað en lo:

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -d 127.0.0.0/8 -j REJECT

Lokaðu nokkrum algengum árásum:

iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP

Samþykkja allar staðfestar tengingar á heimleið:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Leyfa HTTP og HTTPS umferð á heimleið:

iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Leyfa SSH tengingar:

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

Leyfa NTP tengingar:

iptables -A INPUT -p udp --dport 123 -j ACCEPT

Leyfa DNS fyrirspurnir:

iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -j ACCEPT

Leyfa ping:

iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

Að lokum skaltu stilla sjálfgefnar reglur:

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

Skref 3: Vistaðu stillingarnar

Allar breytingarnar sem við gerðum hér að ofan hafa tekið gildi, en þær eru ekki varanlegar. Ef við vistum þær ekki á harða diskinn munu þær glatast þegar kerfið er endurræst.

Vistaðu iptables stillingar með eftirfarandi skipun:

service iptables save

Breytingar okkar verða vistaðar í skránni /etc/sysconfig/iptables. Þú getur skoðað eða breytt reglunum með því að breyta þeirri skrá.

Lausnarleiðir fyrir útilokun fyrir slysni

Ef þú ert útilokaður af netþjóninum þínum vegna stillingarmistaka geturðu samt fengið aðgang þinn aftur með einhverjum lausnum.

• Ef þú hefur ekki vistað breytingar þínar á iptables reglum ennþá, geturðu endurræst netþjóninn þinn frá Vultr vefsíðuviðmótinu, þá munu breytingar þínar falla niður.
• Ef þú hefur vistað breytingar þínar geturðu skráð þig inn á netþjóninn þinn í gegnum stjórnborðið frá Vultr vefsíðuviðmótinu og sett inn iptables -Ftil að skola allar iptables reglurnar. Þá er hægt að setja reglurnar upp aftur.