Securizarea rețelei dvs. cu Iptables - Proxy - NAT - IDS: PARTEA 2

În posta anterioară Am văzut configurația IPTables pentru a funcționa ca un firewall. Acum putem vedea cum să creăm aceste scripturi, astfel încât regulile să fie executate automat la pornirea sistemului și, de asemenea, cum putem elimina sau opri aceste reguli pentru o clipă.

Înainte de a face scenariul și de a vă arăta cum arată, să vorbim puțin despre NAT și despre conceptul a ceea ce vrem să facem cu acest echipament.

NAT și contextul exemplului.

Când vorbim despre NAT, putem confunda acest lucru cu rutare, deoarece ambele sunt responsabile de conectarea a două rețele diferite între ele. Adevărata diferență este că rutare se aplică pentru a trece de la o rețea locală la alta, iar această altă rețea se poate conecta la un router și poate ieși la Internet.

În timp ce, atunci când vorbim despre NAT, vorbim despre rutarea pachetelor dintr-o rețea locală sau privată către o rețea publică sau Internet. Face acest lucru mascând pachetele prin plasarea IP-ului public cu care merge pe Internet. Cu alte cuvinte, nu avem nevoie de un router, deoarece IP-ul public este deținut direct de computerul GNU / Linux.

Vom lucra cu sloganul că folosim Linux-ul nostru ca router / firewall pentru a ieși pe internet dintr-o rețea locală. Dar aici pot apărea două scenarii.

• Că Linux-ul nostru se află între routerul furnizorului de servicii și rețeaua locală.

În acest caz, între router și Linux-ul nostru ar exista o rețea, iar între Linux și rețeaua locală ar exista o altă rețea diferită. Aceasta înseamnă că routerul nostru nu ar trebui să facă NAT ca atare, cu o rutare simplă a traficului, așa cum este explicat în posta anterioară Ar fi bine.

• Că Linux-ul nostru are o interfață conectată la rețeaua locală și prin cealaltă interfață primește direct un IP public cu care navighează.

Aceasta înseamnă că Linux-ul nostru trebuie să facă NAT, astfel încât pachetele să poată ajunge pe Internet.

Atunci, în scopul acestui mic laborator, vom spune că Linux-ul nostru primește direct un IP public și astfel vom putea testa efectele NAT.

Pentru a face NAT folosim apoi sintaxa

 iptables -t nat -A POSTROUTING -O eth1 -j MASCHERADE

Unde eth1 este interfața unde primim IP-ul public, adică unde mergem la Internet.

Crearea scriptului iptables

Să presupunem că: 172.26.0.0 este rețeaua noastră locală și 81.2.3.4 este IP-ul public cu care mergem pe internet. (este un ip static). Am interfețele eth0 (rețea locală)

eth1 (Rețea publică).

Practic, constă în crearea unui script care poate fi apelat din /etc/init.d/firestop (de exemplu). și din acest script putem începe, opri sau verifica starea configurației noastre, la fel cum facem cu orice daemon de sistem.

Să presupunem că regulile mele IPTABLES SUNT:

#! / bin / bash # Paravan de protecție al casei mele. # Numele fișierului / etc / firewall_on # De Jlcmux Twitter: @Jlcmux # # Politica de bază. iptables -P INPOUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP # #NAT pentru a partaja Internetul de la eth0 la eth1 iptables -t nat -A POSTROUTING -O eth1 -j SNAT - la sursă 81.2.3.4
# # Permiteți conexiunile de intrare inițiate de iptables -O state FORWARD -m state --stable STABILIT, RELATAT -j ACCEPT # # Autorizat iptables de trafic de ieșire-A FORWARD -i eth0 -o eth1 -p tcp --dport 80 -j ACCEPT iptables -A FORWARD -i eth0 -o eth1 -p tcp --dport 443 -j ACCEPT iptables -A FORWARD -i eth0 -o eth1 -p udp --dport 53 -j ACCEPT

Explicaţie:

Scenariul face practic următoarele:

1. Mai întâi restricționați toate navigația, conexiunile și traficul. (Politici de bază pentru firewall)
2. Apoi creați NAT cu eth1 de destinație. indicând faptul că avem un IP public static "81.2.3.4"
3. Deschide porturile necesare pentru a primi pachetele de conexiuni inițiate de mine.
4. Acceptă trafic HTTP, HTTPS și DNS de ieșire.

Dacă am dori să ne folosim echipamentul pentru a naviga, ar trebui să repetăm ​​liniile și să schimbăm FORWARD la INPUT sau OUTPUT, după caz.

Anulați scriptul.

Acum vom crea un script care suprascrie toate cele de mai sus și lasă computerul curat de toate acestea. (În scopuri de testare sau vrem doar să oprim firewall-ul).

#! / bin / bash # Paravan de protecție al casei mele. # Numele fișierului / etc / firewall_off # De Jlcmux Twitter: @Jlcmux # # Ștergerea regulilor iptables -F # # Aplicarea politicilor implicite (tot traficul acceptat) iptables -P INPUT ACCEPT iptables -P OUTPUT ACCEPT iptables -P FORWARD ACCEPT

Automatizare.

Acum trebuie să creăm scriptul în interior /etc/init.d/ iar serviciul pornește automat și îl putem gestiona într-un mod mai confortabil.

#! / bin / bash # Paravan de protecție al casei mele. # Numele fișierului /etc/init.d/ firewall # De Jlcmux Twitter: @Jlcmux case $ 1 în start) / etc / firewall_on ;; stop) / etc / firewall_off ;; status) iptables -L ;; *) echo "Sintaxă greșită. Valid = /etc/init.d/ firewall start | stop | status ;; esac

Explicaţie:

Acest ultim scenariu l-am introdus /etc/init.d/ cu denumirea firewall. Deci, dacă vrem să gestionăm firewall-ul, putem folosi comanda /etc/init.d/ firewall start. În același mod îl putem opri sau vedea starea.

Acum vom edita fișierul /etc/rc.local și punem ceva de genul: /etc/init.d/ firewall start pentru a începe cu sistemul.

De asemenea. Aceasta este a doua parte. Sper că vă aduce ceva pentru voi toți. În următoarea vedem Proxy și IDS.