Në postimin e mëparshëm, pamë se si të konfigurojmë IPTables që të funksionojë si një firewall. Tani mund të shohim se si të krijojmë skripte për të ekzekutuar automatikisht rregullat kur sistemi fillon, dhe gjithashtu si t'i fshijmë ose t'i ndalojmë përkohësisht ato rregulla.
Para se të bëni skenarin dhe t'ju tregojmë se si duket, le të flasim pak për NAT dhe konceptin e asaj që duam të bëjmë me këtë pajisje.
NAT dhe Konteksti i shembullit.
Kur flasim për NAT, mund ta ngatërrojmë këtë me rutimin, pasi që të dy janë përgjegjës për lidhjen e dy rrjeteve të ndryshme me njëri-tjetrin. Dallimi i vërtetë është se rutimi aplikohet për të shkuar nga një rrjet lokal në tjetrin dhe ky rrjet tjetër mund të lidhet me një router dhe të dalë në internet.
Ndërsa, kur flasim për NAT, flasim për paketimin e rrugëzimit nga një rrjet lokal ose privat në një rrjet publik ose në Internet. Këtë e bën duke maskuar paketat duke vendosur IP-në publike me të cilën shkon në Internet. Me fjalë të tjera, ne nuk kemi nevojë për një router, sepse IP-ja publike është në pronësi të drejtpërdrejtë nga kompjuteri GNU / Linux.
Ne do ta punojmë këtë me parullën që po përdorim Linux-in tonë si një router / firewall për të dalë në internet nga një rrjet lokal. Por këtu mund të shfaqen dy skenarë.
- Që Linux-i ynë është midis routerit të ofruesit të shërbimit dhe rrjetit lokal.
Në këtë rast, do të kishte një rrjet midis ruterit dhe sistemit tonë Linux, dhe një rrjet të ndryshëm midis sistemit Linux dhe rrjetit lokal. Kjo do të thotë që ruteri ynë nuk do të kishte nevojë të kryente NAT si të tillë; një rrugëzim i thjeshtë i trafikut, siç u shpjegua në postimin e mëparshëm, do të mjaftonte.
- Që Linux-i ynë ka një ndërfaqe të lidhur në rrjetin lokal dhe përmes ndërfaqes tjetër merr direkt një IP publike me të cilën lundron.
Kjo do të thotë që Linux-i ynë duhet të bëjë NAT në mënyrë që paketat të mund të arrijnë në Internet.
Për qëllimet e këtij laboratori të vogël atëherë, ne do të themi se Linux-i ynë merr një IP publike drejtpërdrejt dhe kështu të jetë në gjendje të testojë efektet e NAT.
Për të bërë NAT atëherë përdorim sintaksën
iptables -t nat -A POSTROUTING -O eth1 -j MASKUERADE
Aty ku eth1 është ndërfaqja ku marrim ip-in publik, domethënë ku shkojmë në Internet.
Krijimi i skriptit të iptables
Supozoni atëherë se: 172.26.0.0 është rrjeti ynë lokal dhe 81.2.3.4 është IP-ja publike me të cilën shkojmë në Internet. (është një IP statike). Unë kam ndërfaqet eth0 (Rrjeti lokal)
eth1 (Rrjeti publik).
Në parim konsiston në krijimin e një skenari që mund të thirret nga /etc/init.d/firestop (për shembull). dhe nga ky skript mund të fillojmë, ndalojmë ose kontrollojmë statusin e konfigurimit tonë, ashtu si bëjmë me çdo daemon të sistemit.
Supozoni se rregullat e mia IPTABLES janë:
#! / bin / bash # Firewall i shtëpisë sime. # Emri i skedarit / etj / firewall_on # Nga Jlcmux Twitter: @Jlcmux # # Politika themelore. iptables -P INPOUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP # #NAT për të ndarë internetin nga eth0 në eth1 iptables -t nat -A POSTROUTING -O eth1 -j SNAT - në-burim 81.2.3.4 # # Lejoni lidhjet hyrëse të filluara nga iptablat e mia - Një shtet përpara - shtet - shtet i themeluar, i lidhur - j PRANIM # # iptables të autorizuara të trafikut në dalje -A PWRPARA -i eth0 -o eth1 -p tcp --dport 80 -j Pranoj iptables -A PWRPARA -i eth0 -o eth1 -p tcp --dport 443 -j Pranoj iptables -A PWRPARA -i eth0 -o eth1 -p udp --dport 53 -j PRANOJ
Shpjegim:
Skenari në thelb bën sa vijon:
- Së pari kufizoni të gjithë navigimin, lidhjet dhe trafikun. (Politikat Themelore të Zjarrit)
- Pastaj krijoni NAT me destinacionin eth1. duke treguar se kemi një IP publike statike «81.2.3.4»
- Ai hap portet e nevojshme për të marrë paketat e lidhjeve të iniciuara nga unë.
- Pranon trafikun jashtë HTTP, HTTPS dhe DNS.
Nëse duam të përdorim pajisjet tona për të lundruar ne duhet të përsërisim linjat dhe të ndryshojmë P toRPARA në INPUT ose OUTPUT siç është e përshtatshme.
Anulo skenarin.
Tani do të krijojmë një skenar që anashkalon të gjitha sa më sipër dhe e lë kompjuterin të pastër nga e gjithë kjo. (Për qëllime testimi ose thjesht duam të fikim firewall).
#! / bin / bash # Firewall i shtëpisë sime. # Emri i skedarit / etj / firewall_off # Nga Jlcmux Twitter: @Jlcmux # #Fshirja e rregullave të iptables -F # #Zbatimi i politikave të parazgjedhura (i pranuar i gjithë trafiku) iptables -P INPUT PRANIMI i pranueshëmve -P OUTPUT I PRANIMIT iptables -P P FORRPARA PRPARIM
Automatizimi.
Tani duhet të krijojmë skriptin brenda /etc/init.d/ në mënyrë që shërbimi të fillojë automatikisht dhe ne ta menaxhojmë atë më lehtë.
#! / bin / bash # Firewall i shtëpisë sime. # Emri i skedarit /etc/init.d/ firewall # Nga Jlcmux Twitter: @Jlcmux rasti $ 1 në fillim) / etc / firewall_on ;; ndalo) / etj / firewall_off ;; statusi) iptables -L ;; *) echo "Sintaksa e gabuar. E vlefshme = /etc/init.d/ fillimi i firewall-it | ndalimi | statusi ;; esac
Shpjegim:
E vendosim këtë skript të fundit në /etc/init.d/ me emrin "firewall" . Pastaj, nëse duam të menaxhojmë firewall-in, mund të përdorim komandën /etc/init.d/firewall start. Gjithashtu mund ta ndalojmë ose të kontrollojmë statusin e tij në të njëjtën mënyrë.
Tani do të modifikojmë skedarin /etc/rc.local dhe do të shtojmë diçka si: /etc/init.d/firewall start në mënyrë që të fillojë bashkë me sistemin.
Gjithashtu. Kjo është pjesa e dytë. Shpresoj të sjellë diçka për të gjithë ju. Në pjesën tjetër shohim Proxy dhe IDS.