Verkon suojaaminen Iptables - Proxy - NAT - IDS: OSA 2

Että Edellinen viesti Näimme IPTable-kokoonpanon toimivan palomuurina. Nyt voimme nähdä, miten nämä komentosarjat luodaan niin, että säännöt suoritetaan automaattisesti järjestelmän käynnistyessä, ja kuinka voimme poistaa tai lopettaa nämä säännöt hetkeksi.

Ennen kuin teet komentosarjan ja näytämme sinulle, miltä se näyttää, puhutaan vähän NAT: sta ja käsitteestä, mitä haluamme tehdä tällä laitteella.

NAT ja esimerkin konteksti.

Kun puhumme NAT: sta, voimme sekoittaa tämän reititykseen, koska molemmat vastaavat kahden eri verkon yhdistämisestä toisiinsa. Todellinen ero on, että reititystä käytetään siirtymään paikallisesta verkosta toiseen ja tämä toinen verkko voi muodostaa yhteyden reitittimeen ja mennä Internetiin.

Kun puhumme NAT: sta, puhumme pakettien reitittämisestä paikallisesta tai yksityisestä verkosta julkiseen verkkoon tai Internetiin. Se tekee tämän peittämällä paketit asettamalla julkisen IP-osoitteen, jolla se menee Internetiin. Toisin sanoen, emme tarvitse reititintä, koska julkinen IP on suoraan GNU / Linux-tietokoneen omistuksessa.

Työskentelemme tämän iskulauseen kanssa, että käytämme Linuxia reitittimenä / palomuurina Internetiin lähiverkosta. Mutta tässä voi näkyä kaksi skenaariota.

• Että Linux on palveluntarjoajan reitittimen ja paikallisen verkon välillä.

Tässä tapauksessa reitittimen ja Linuxin välillä olisi verkko, ja Linuxin ja paikallisen verkon välillä olisi toinen erilainen verkko. Tämä tarkoittaa, että reitittimemme ei tarvitse tehdä NAT: ta sellaisenaan, yksinkertaisella liikenteen reitityksellä, kuten selitetään Edellinen viesti Se olisi hyvä.

• Että Linuxillamme on liitäntä paikalliseen verkkoon ja toisen liitännän kautta se vastaanottaa suoraan julkisen IP: n, jolla se navigoi.

Tämä tarkoittaa, että Linuxin on tehtävä NAT, jotta paketit pääsevät Internetiin.

Tämän pienen laboratorion tarkoituksia varten sanomme sitten, että Linuximme saa julkisen IP: n suoraan ja pystyy siten testaamaan NAT: n vaikutuksia.

NAT: n tekemiseksi käytämme sitten syntaksia

 iptables -t nat -A JÄLJITTELY -O eth1 -j MASQUERADE

Missä eth1 on käyttöliittymä, johon vastaanotamme julkisen IP: n, eli missä käytämme Internetiä.

Iptables-komentosarjan luominen

Oletetaan sitten, että: 172.26.0.0 on paikallinen verkko ja 81.2.3.4 on julkinen IP, jolla käytämme Internetiä. (se on staattinen ip). Minulla on liitännät eth0 (paikallinen verkko)

eth1 (julkinen verkko).

Se koostuu periaatteessa komentosarjan luomisesta, jota voidaan kutsua esimerkiksi tiedostosta /etc/init.d/firestop. ja tästä skriptistä voimme aloittaa, pysäyttää tai tarkistaa kokoonpanomme tilan, aivan kuten minkä tahansa järjestelmän demonin kanssa.

Oletetaan, että IPTABLES-sääntöni OVAT:

#! / bin / bash # Kotini palomuuri. # Tiedostonimi / etc / firewall_on # Kirjoittaja Jlcmux Twitter: @Jlcmux # # Peruskäytäntö. iptables -P INPOUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP # #NAT Internetin jakamiseksi eth0: sta eth1: ään iptables -t nat -A POSTROUTING -O eth1 -j SNAT - lähteeseen 81.2.3.4
# # Salli iptables-laitteeni käynnistämät saapuvat yhteydet - Eteenpäin -m-tila - valtio PERUSTETTU, LIITTYVÄ -j HYVÄKSY # # Valtuutetun lähtevän liikenteen iptables -A Eteenpäin -i eth0 -o eth1 -p tcp --portti 80 -j HYVÄKSY iptables -A ETEEN -i eth0 -o eth1 -p tcp --port 443 -j HYVÄKSY Iptables -A ETEEN -i eth0 -o eth1 -p udp --portti 53 -j HYVÄKSY

Selitys:

Skripti tekee pohjimmiltaan seuraavat:

1. Rajoita ensin kaikki navigointi, yhteydet ja liikenne. (Palomuurin peruskäytännöt)
2. Luo sitten NAT kohdekohteella eth1. mikä osoittaa, että meillä on staattinen julkinen ip «81.2.3.4»
3. Se avaa portit, jotka ovat tarpeen minun aloittamieni yhteyspakettien vastaanottamiseksi.
4. Hyväksyy lähtevän HTTP-, HTTPS- ja DNS-liikenteen.

Jos haluamme käyttää laitteitamme navigointiin, meidän on toistettava rivit ja vaihdettava FORWARD-asetukseksi INPUT tai OUTPUT tarvittaessa.

Peruuta komentosarja.

Nyt aiomme luoda komentosarjan, joka ohittaa kaikki yllä olevat ja jättää tietokoneen puhtaaksi kaikesta. (Testausta varten tai haluamme vain sammuttaa palomuurin).

#! / bin / bash # Kotini palomuuri. # Tiedostonimi / etc / firewall_off # Kirjoittaja: Jlcmux Twitter: @Jlcmux # #Iptables-sääntöjen poistaminen -F # # Oletuskäytäntöjen soveltaminen (kaikki liikenne hyväksytty) iptables -P INPUT ACCEPT iptables -P OUTPUT ACCEPT iptables -P FORWARD ACCEPT

Automatisointi.

Nyt meidän on luotava komentosarja sisälle /etc/init.d/ ja palvelu käynnistyy automaattisesti, ja voimme hallita sitä mukavammalla tavalla.

#! / bin / bash # Kotini palomuuri. # Tiedostonimi /etc/init.d/ palomuuri # Kirjoittaja Jlcmux Twitter: @Jlcmux tapaus $ 1 alussa) / etc / firewall_on ;; stop) / etc / firewall_off ;; tila) iptables -L ;; *) echo "Väärä syntaksi. Voimassa = /etc/init.d/ palomuurin käynnistys | lopeta | tila ;; esac

Selitys:

Tämä viimeinen käsikirjoitus, jonka laitimme /etc/init.d/ nimen kanssa palomuuri. Joten jos haluamme hallita palomuuria, voimme käyttää komentoa /etc/init.d/ palomuuri käynnistyy. Samalla tavalla voimme pysäyttää sen tai nähdä tilan.

Nyt aiomme muokata tiedostoa /etc/rc.local ja laitamme jotain: /etc/init.d/ palomuuri käynnistyy aloittaa järjestelmästä.

Yhtä hyvin. Tämä on toinen osa. Toivon, että se tuo jotain teille kaikille. Seuraavassa näemme välityspalvelimen ja IDS: n.