Oma võrgu turvamine rakendusega Iptables - Proxy - NAT - IDS: 2. OSA

Aastal Eelmine postitus Nägime IPTable'i konfiguratsiooni tulemüürina toimimiseks. Nüüd näeme, kuidas neid skripte luua nii, et reeglid käivitatakse süsteemi käivitamisel automaatselt, ja ka seda, kuidas saaksime need reeglid hetkeks kõrvaldada või peatada.

Enne skripti tegemist ja selle väljanägemise rääkimist räägime veidi NAT-ist ja kontseptsioonist, mida me selle seadmega teha tahame.

NAT ja näite kontekst.

NAT-ist rääkides võime selle segi ajada marsruutimisega, kuna mõlemad vastutavad kahe erineva võrgu ühendamise eest üksteisega. Tegelik erinevus seisneb selles, et marsruutimist rakendatakse ühest kohalikust võrgust teise liikumiseks ja see teine ​​võrk saab ruuteriga ühenduse luua ja Internetti minna.

Kui aga räägime NAT-ist, siis pakettide suunamisest kohalikust või eravõrgust avalikku võrku või Internetti. Ta teeb seda maskeerides pakette, pannes Interneti-ühenduse avaliku IP-ga. Teisisõnu, me ei vaja ruuterit, sest avalik IP kuulub otse GNU / Linuxi arvutile.

Töötame selle loosungiga, et me kasutame oma Linuxit ruuteri / tulemüürina, et minna kohalikust võrgust Internetti. Kuid siin võib ilmneda kaks stsenaariumi.

• Et meie Linux on teenusepakkuja ruuteri ja kohaliku võrgu vahel.

Sel juhul oleks ruuteri ja meie Linuxi vahel võrk ning Linuxi ja kohaliku võrgu vahel teine ​​teine ​​võrk. See tähendab, et meie ruuter ei peaks NAT-i kui sellist tegema, lihtsa liikluse marsruutimisega, nagu on selgitatud jaotises Eelmine postitus See oleks hea.

• Et meie Linuxil on liides ühendatud kohaliku võrguga ja teise liidese kaudu saab ta otse avaliku IP, millega ta navigeerib.

See tähendab, et meie Linux peab tegema NAT-i, et paketid jõuaksid Internetti.

Selle väikese labori jaoks ütleme siis, et meie Linux saab otse avaliku IP-ühenduse ja saab seega testida NAT-i mõjusid.

NAT-i tegemiseks kasutame seejärel süntaksit

 iptables -t nat -A JÄLGIMINE -O eth1 -j MASQUERADE

Kus eth1 on liides, kus me saame avaliku ip, see tähendab, kus me läheme Internetti.

Iptablesi skripti loomine

Oletame siis, et: 172.26.0.0 on meie kohalik võrk ja 81.2.3.4 on avalik IP, millega me Internetis käime. (see on staatiline ip). Mul on liidesed eth0 (kohalik võrk)

eth1 (avalik võrk).

Põhimõtteliselt koosneb see skripti loomisest, mida saab kutsuda näiteks /etc/init.d/firestop alt. ja sellest skriptist saame alustada, peatada või kontrollida oma konfiguratsiooni olekut, nagu me teeme mis tahes süsteemi deemoniga.

Oletame, et minu IPTABLES-i reeglid ON:

#! / bin / bash # Minu kodu tulemüür. # Failinimi / etc / tulemüür_on # Autor Jlcmux Twitter: @Jlcmux # # Põhiline poliitika. iptables -P INPOUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP # #NAT Interneti jagamiseks eth0-lt eth1-le iptables -t nat -A POSTROUTING -O eth1 -j SNAT --allikale 81.2.3.4
# # Luba minu iptables-i algatatud sissetulevad ühendused -EEDASTI -m olek - riik KEHTESTATUD, SEOTUD -j ACCEPT # # Volitatud väljamineva liikluse iptable -A EDASI -i eth0 -o eth1 -p tcp --port 80 -j AKTSEPTI iptables -A EDASI -i eth0 -o eth1 -p tcp --port 443 -j VÕTAKE vastu iptables -A EDASI -i eth0 -o eth1 -p udp --port 53 -j VÕTTA

Selgitus:

Skript teeb põhimõtteliselt järgmist:

1. Kõigepealt piirake kogu navigeerimist, ühendusi ja liiklust. (Tulemüüri põhieeskirjad)
2. Seejärel looge NAT sihtkoha eth1 abil. mis näitab, et meil on staatiline avalik ip «81.2.3.4»
3. See avab minu algatatud ühenduste pakettide vastuvõtmiseks vajalikud pordid.
4. Aktsepteerib väljaminevat HTTP-, HTTPS- ja DNS-liiklust.

Kui soovime navigeerimiseks kasutada oma varustust, peaksime ridu kordama ja vastavalt vajadusele muutma FORWARD asendiks INPUT või OUTPUT.

Tühista skript.

Nüüd loome skripti, mis tühistab kõik ülaltoodud ja jätab arvuti kõigest sellest puhtaks. (Testimiseks või tahame lihtsalt tulemüüri välja lülitada).

#! / bin / bash # Minu kodu tulemüür. # Failinimi / etc / tulemüür_off # Autor Jlcmux Twitter: @Jlcmux # # iptables-reeglite kustutamine -F # # Vaikepoliitikate rakendamine (kogu liiklus on aktsepteeritud) iptables -P INPUT ACCEPT iptables -P OUTPUT ACCEPT iptables -P FORWARD ACCEPT

Automatiseerimine.

Nüüd peame skripti sisse looma /etc/init.d/ ja teenus käivitub automaatselt ja saame seda mugavamalt hallata.

#! / bin / bash # Minu kodu tulemüür. # Faili nimi /etc/init.d/ tulemüür # Jlcmux Twitter: @Jlcmux juhul $ 1 alguses) / etc / tulemüür_on ;; stop) / etc / tulemüür_off ;; olek) iptables -L ;; *) echo "Vale süntaks. Kehtib = /etc/init.d/ tulemüüri algus | peatus | olek ;; esac

Selgitus:

See viimane skript, mille me panime /etc/init.d/ nimega tulemüür. Nii et kui tahame tulemüüri hallata, saame seda käsku kasutada /etc/init.d/ tulemüüri käivitamine. Samamoodi saame selle peatada või näha riiki.

Nüüd hakkame faili muutma /etc/rc.local ja panime midagi sellist: /etc/init.d/ tulemüüri käivitamine alustamiseks süsteemist.

Samuti. See on teine ​​osa. Loodan, et see toob teile kõigile midagi. Järgmises näeme puhverserverit ja IDS-i.