אבטחת הרשת באמצעות Iptables - Proxy - NAT - IDS: PART 2

ב הודעה קודמת ראינו את התצורה של טבלאות IP כדי לתפקד כחומת אש. כעת אנו יכולים לראות כיצד ליצור סקריפטים אלה כך שהכללים יבוצעו אוטומטית כאשר המערכת מתחילה, וכיצד אנו יכולים לחסל או לעצור את הכללים לרגע.

לפני שנעשה את התסריט ונראה לך איך זה נראה, בואו נדבר קצת על NAT ועל הרעיון של מה שאנחנו רוצים לעשות עם ציוד זה.

NAT והקשר של הדוגמה.

כאשר אנו מדברים על NAT, אנו יכולים לבלבל זאת עם ניתוב, מכיוון ששניהם אחראים על חיבור שתי רשתות שונות זו לזו. ההבדל האמיתי הוא שניתוב מוחל על מנת לעבור מרשת מקומית אחת לאחרת ורשת אחרת זו יכולה להתחבר לנתב ולצאת לאינטרנט.

ואילו כאשר אנו מדברים על NAT, אנו מדברים על ניתוב מנות מרשת מקומית או פרטית לרשת ציבורית או לאינטרנט. היא עושה זאת על ידי מיסוך החבילות על ידי הצבת ה- IP הציבורי איתו הוא עובר לאינטרנט. כלומר, איננו זקוקים לנתב מכיוון שה- IP הציבורי נמצא בבעלות ישירה של מחשב GNU / Linux.

נעבוד עם הסיסמה שאנחנו משתמשים בלינוקס שלנו כנתב / חומת אש כדי ללכת לאינטרנט מרשת מקומית. אבל כאן יכולים להופיע שני תרחישים.

• שהלינוקס שלנו נמצא בין הנתב של ספק השירות לרשת המקומית.

במקרה זה, בין הנתב ללינוקס שלנו תהיה רשת, ובין הלינוקס לרשת המקומית תהיה רשת אחרת אחרת. המשמעות היא שהנתב שלנו לא יצטרך לעשות NAT ככזה, עם ניתוב תנועה פשוט כמוסבר ב הודעה קודמת זה יהיה טוב.

• שללינוקס שלנו יש ממשק המחובר לרשת המקומית ודרך הממשק האחר הוא מקבל ישירות IP ציבורי שאיתו הוא מנווט.

המשמעות היא שעל לינוקס שלנו לעשות NAT כדי שהחבילות יוכלו להגיע לאינטרנט.

לצורך המעבדה הקטנה הזו אם כן, אנו נגיד כי הלינוקס שלנו מקבלת IP ציבורי ישירות וכך תוכל לבדוק את ההשפעות של NAT.

כדי לעשות NAT אנו משתמשים בתחביר

 iptables -t nat -A POSTROUTING -O eth1 -j MASQUERADE

איפה eth1 הוא הממשק שבו אנו מקבלים את ה- IP הציבורי, כלומר לאן אנו הולכים לאינטרנט.

יצירת סקריפט iptables

נניח אם כן: 172.26.0.0 היא הרשת המקומית שלנו ו- 81.2.3.4 היא ה- IP הציבורי שאיתו אנו עוברים לאינטרנט. (זה ip סטטי). יש לי את הממשקים eth0 (רשת מקומית)

eth1 (רשת ציבורית).

זה בעצם מורכב מיצירת סקריפט שניתן לקרוא לו מ /etc/init.d/firestop (למשל). ומתוך סקריפט זה אנו יכולים להתחיל, לעצור או לבדוק את מצב התצורה שלנו, כפי שאנו עושים עם כל שד מערכת.

נניח שכללי ה- IPTABLES שלי הם:

#! / bin / bash # חומת האש של הבית שלי. # שם קובץ / etc / firewall_on # מאת Jlcmux Twitter: @Jlcmux # # מדיניות בסיסית. iptables -P INPOUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP # #NAT כדי לשתף אינטרנט מ eth0 ל- eth1 iptables -t nat -A POSTROUTING -O eth1 -j SNAT - למקור 81.2.3.4
# # אפשר חיבורים נכנסים שהתחילו ה- iptables שלי -מצב קדימה -מ -מדינה הוקמה, קשורים -j קבלה # # טבלאות תנועה יוצאות מורשות- A FORWARD -i eth0 -o eth1 -p tcp --port 80 -j חטיפות קבלה -A FORWARD -i eth0 -o eth1 -p tcp --port 443 -j קבלות טבליות -A FORWARD -i eth0 -o eth1 -p udp --port 53 -j קבל

הסבר:

התסריט בעצם מבצע את הפעולות הבאות:

1. ראשית הגבל את כל הניווט, החיבורים והתנועה. (מדיניות בסיסית של חומת האש)
2. ואז ליצור את ה- NAT עם היעד eth1. המציין שיש לנו ip ציבורי סטטי «81.2.3.4»
3. זה פותח את היציאות הדרושות לקבלת חבילות החיבורים שיזמתי.
4. מקבל תעבורת HTTP, HTTPS ויוצא DNS יוצאים.

אם אנו רוצים להשתמש בציוד שלנו כדי לנווט עלינו לחזור על השורות ולהחליף קדימה ל- INPUT או OUTPUT לפי הצורך.

בטל סקריפט.

כעת אנו הולכים ליצור סקריפט העוקף את כל האמור לעיל ומשאיר את המחשב נקי מכל אלה. (למטרות בדיקה או שאנחנו רק רוצים לכבות את חומת האש).

#! / bin / bash # חומת האש של הבית שלי. # שם קובץ / etc / firewall_off # מאת Jlcmux בטוויטר: @Jlcmux # # מחיקת כללי iptables -F # # החלת מדיניות ברירת מחדל (כל התעבורה מקובלת) iptables -P קלט קבל iptables -P OUTPUT קבלה iptables -P קדימה קבלה

אוטומציה.

עכשיו עלינו ליצור את התסריט בפנים /etc/init.d/ והשירות מתחיל אוטומטית ונוכל לנהל אותו בצורה נוחה יותר.

#! / bin / bash # חומת האש של הבית שלי. # שם קובץ /etc/init.d/ חומת אש # מאת Jlcmux טוויטר: @Jlcmux מקרה 1 $ בהתחלה) / etc / firewall_on ;; עצור) / etc / firewall_off ;; סטטוס) iptables -L ;; *) הד "תחביר שגוי. תקף = /etc/init.d/ התחלת חומת האש | עצור | סטטוס ;; esac

הסבר:

התסריט האחרון הזה שהכנסנו /etc/init.d/ עם השם חומת אש. אז אם אנחנו רוצים לנהל את חומת האש נוכל להשתמש בפקודה /etc/init.d/ התחלת חומת האש. באותו אופן אנו יכולים לעצור את זה או לראות את המדינה.

עכשיו אנחנו הולכים לערוך את הקובץ /etc/rc.local ושמנו משהו כמו: /etc/init.d/ התחלת חומת האש להתחיל עם המערכת.

גם כן. זה החלק השני. אני מקווה שזה מביא משהו לכולכם. בהמשך נראה פרוקסי ו- IDS.