Sigurimi i rrjetit tuaj me Iptables - Proxy - NAT - ID: PJESA 2

Në Previous post Ne pamë konfigurimin e tabelave IPT për të funksionuar si një Firewall. Tani mund të shohim se si të krijojmë ato skripta në mënyrë që rregullat të ekzekutohen automatikisht kur fillon sistemi, dhe gjithashtu se si mund t'i eliminojmë ose ndalojmë ato rregulla për një moment.

Para se të bëni skenarin dhe t'ju tregojmë se si duket, le të flasim pak për NAT dhe konceptin e asaj që duam të bëjmë me këtë pajisje.

NAT dhe Konteksti i shembullit.

Kur flasim për NAT, mund ta ngatërrojmë këtë me rutimin, pasi që të dy janë përgjegjës për lidhjen e dy rrjeteve të ndryshme me njëri-tjetrin. Dallimi i vërtetë është se rutimi aplikohet për të shkuar nga një rrjet lokal në tjetrin dhe ky rrjet tjetër mund të lidhet me një router dhe të dalë në internet.

Ndërsa, kur flasim për NAT, flasim për paketimin e rrugëzimit nga një rrjet lokal ose privat në një rrjet publik ose në Internet. Këtë e bën duke maskuar paketat duke vendosur IP-në publike me të cilën shkon në Internet. Me fjalë të tjera, ne nuk kemi nevojë për një router, sepse IP-ja publike është në pronësi të drejtpërdrejtë nga kompjuteri GNU / Linux.

Ne do ta punojmë këtë me parullën që po përdorim Linux-in tonë si një router / firewall për të dalë në internet nga një rrjet lokal. Por këtu mund të shfaqen dy skenarë.

• Që Linux-i ynë është midis routerit të ofruesit të shërbimit dhe rrjetit lokal.

Në këtë rast, midis routerit dhe Linux-it tonë do të kishte një rrjet dhe midis Linux-it dhe rrjetit lokal do të kishte një rrjet tjetër të ndryshëm. Kjo do të thotë që router-i ynë nuk do të duhet të bëjë NAT si të tillë, me një rrugë të thjeshtë trafiku siç shpjegohet në Previous post Do të ishte mirë.

• Që Linux-i ynë ka një ndërfaqe të lidhur në rrjetin lokal dhe përmes ndërfaqes tjetër merr direkt një IP publike me të cilën lundron.

Kjo do të thotë që Linux-i ynë duhet të bëjë NAT në mënyrë që paketat të mund të arrijnë në Internet.

Për qëllimet e këtij laboratori të vogël atëherë, ne do të themi se Linux-i ynë merr një IP publike drejtpërdrejt dhe kështu të jetë në gjendje të testojë efektet e NAT.

Për të bërë NAT atëherë përdorim sintaksën

 iptables -t nat -A POSTROUTING -O eth1 -j MASKUERADE

Aty ku eth1 është ndërfaqja ku marrim ip-in publik, domethënë ku shkojmë në Internet.

Krijimi i skriptit të iptables

Supozoni atëherë se: 172.26.0.0 është rrjeti ynë lokal dhe 81.2.3.4 është IP-ja publike me të cilën shkojmë në Internet. (është një IP statike). Unë kam ndërfaqet eth0 (Rrjeti lokal)

eth1 (Rrjeti publik).

Në parim konsiston në krijimin e një skenari që mund të thirret nga /etc/init.d/firestop (për shembull). dhe nga ky skript mund të fillojmë, ndalojmë ose kontrollojmë statusin e konfigurimit tonë, ashtu si bëjmë me çdo daemon të sistemit.

Supozoni se rregullat e mia IPTABLES janë:

#! / bin / bash # Firewall i shtëpisë sime. # Emri i skedarit / etj / firewall_on # Nga Jlcmux Twitter: @Jlcmux # # Politika themelore. iptables -P INPOUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP # #NAT për të ndarë internetin nga eth0 në eth1 iptables -t nat -A POSTROUTING -O eth1 -j SNAT - në-burim 81.2.3.4
# # Lejoni lidhjet hyrëse të filluara nga iptablat e mia - Një shtet përpara - shtet - shtet i themeluar, i lidhur - j PRANIM # # iptables të autorizuara të trafikut në dalje -A PWRPARA -i eth0 -o eth1 -p tcp --dport 80 -j Pranoj iptables -A PWRPARA -i eth0 -o eth1 -p tcp --dport 443 -j Pranoj iptables -A PWRPARA -i eth0 -o eth1 -p udp --dport 53 -j PRANOJ

Shpjegim:

Skenari në thelb bën sa vijon:

1. Së pari kufizoni të gjithë navigimin, lidhjet dhe trafikun. (Politikat Themelore të Zjarrit)
2. Pastaj krijoni NAT me destinacionin eth1. duke treguar se kemi një IP publike statike «81.2.3.4»
3. Ai hap portet e nevojshme për të marrë paketat e lidhjeve të iniciuara nga unë.
4. Pranon trafikun jashtë HTTP, HTTPS dhe DNS.

Nëse duam të përdorim pajisjet tona për të lundruar ne duhet të përsërisim linjat dhe të ndryshojmë P toRPARA në INPUT ose OUTPUT siç është e përshtatshme.

Anulo skenarin.

Tani do të krijojmë një skenar që anashkalon të gjitha sa më sipër dhe e lë kompjuterin të pastër nga e gjithë kjo. (Për qëllime testimi ose thjesht duam të fikim firewall).

#! / bin / bash # Firewall i shtëpisë sime. # Emri i skedarit / etj / firewall_off # Nga Jlcmux Twitter: @Jlcmux # #Fshirja e rregullave të iptables -F # #Zbatimi i politikave të parazgjedhura (i pranuar i gjithë trafiku) iptables -P INPUT PRANIMI i pranueshëmve -P OUTPUT I PRANIMIT iptables -P P FORRPARA PRPARIM

Automatizimi.

Tani duhet ta krijojmë skenarin brenda /etj/init.d/ dhe shërbimi fillon automatikisht dhe ne mund ta menaxhojmë atë në një mënyrë më komode.

#! / bin / bash # Firewall i shtëpisë sime. # Emri i skedarit /etc/init.d/ firewall # Nga Jlcmux Twitter: @Jlcmux rasti $ 1 në fillim) / etc / firewall_on ;; ndalo) / etj / firewall_off ;; statusi) iptables -L ;; *) echo "Sintaksa e gabuar. E vlefshme = /etc/init.d/ fillimi i firewall-it | ndalimi | statusi ;; esac

Shpjegim:

Ky skenar i fundit që kemi vendosur /etj/init.d/ me emrin firewall. Pra, nëse duam të menaxhojmë firewall-in mund të përdorim komandën /etc/init.d/ fillimi i firewall-it. Në të njëjtën mënyrë ne mund ta ndalojmë atë ose të shohim shtetin.

Tani do të ndryshojmë skedarin /etc/rc.local dhe ne kemi vendosur diçka si: /etc/init.d/ fillimi i firewall-it për të filluar me sistemin.

Gjithashtu. Kjo është pjesa e dytë. Shpresoj të sjellë diçka për të gjithë ju. Në pjesën tjetër shohim Proxy dhe IDS.