iptables สำหรับมือใหม่อยากรู้อยากเห็นสนใจ

ฉันคิดมาตลอดว่าความปลอดภัยไม่เคยทำร้ายและมันก็ไม่เพียงพอ (นั่นคือเหตุผล Elav เขาระบุว่าฉันเป็นคนบ้าคลั่งความปลอดภัยและโรคจิต ...) ดังนั้นแม้ว่าฉันจะใช้ GNU / Linux ฉันก็ไม่ละเลยความปลอดภัยของระบบรหัสผ่านของฉัน (สร้างแบบสุ่มด้วย พวเก้น) ฯลฯ ..

นอกจากนี้แม้ว่าระบบจะพิมพ์ ยูนิกซ์ ปลอดภัยมากอย่างไม่ต้องสงสัยขอแนะนำให้ใช้ a ไฟร์วอลล์กำหนดค่าอย่างถูกต้องเพื่อให้ได้รับการปกป้องอย่างดีที่สุด🙂

ที่นี่ฉันจะอธิบายให้คุณฟังโดยไม่ต้องยุ่งยากวุ่นวายหรือมีรายละเอียดที่ซับซ้อนวิธีการทราบข้อมูลพื้นฐานของ iptables.

แต่… iptables คืออะไร?

iptables เป็นส่วนหนึ่งของเคอร์เนลลินุกซ์ (โมดูล) ที่เกี่ยวข้องกับการกรองแพ็กเก็ต นี่พูดอีกอย่างก็หมายความว่า iptables เป็นส่วนหนึ่งของเคอร์เนลที่มีหน้าที่ในการรู้ว่าข้อมูล / ข้อมูล / แพ็คเกจใดที่คุณต้องการเข้าสู่คอมพิวเตอร์ของคุณและสิ่งที่ไม่ (และทำสิ่งต่างๆได้มากขึ้น แต่ตอนนี้เรามามุ่งเน้นไปที่สิ่งนี้กันเถอะฮิฮิ).

ฉันจะอธิบายเรื่องนี้ในอีกทางหนึ่ง🙂

หลายคนใน Distros ใช้ไฟร์วอลล์ Firestarter o ไฟร์ฮอลแต่จริงๆแล้วไฟร์วอลล์เหล่านี้ 'จากด้านหลัง' (ในพื้นหลัง) ใช้ iptablesแล้ว ... ทำไมไม่ใช้โดยตรง iptables?

และนั่นคือสิ่งที่ฉันจะอธิบายสั้น ๆ ที่นี่🙂

จนถึงขณะนี้มีข้อสงสัยหรือไม่? 😀

ในการทำงานกับ iptables จำเป็นต้องมีสิทธิ์ระดับผู้ดูแลระบบดังนั้นที่นี่ฉันจะใช้ sudo (แต่ถ้าคุณใส่เช่น ราก, มันไม่จำเป็น).

เพื่อให้คอมพิวเตอร์ของเรามีความปลอดภัยอย่างแท้จริงเราต้องอนุญาตในสิ่งที่เราต้องการเท่านั้น มองเห็นคอมพิวเตอร์ของคุณราวกับว่าเป็นบ้านของคุณเองโดยค่าเริ่มต้นคุณจะไม่อนุญาตให้ใครเข้ามามีเพียงบางคนที่คุณได้อนุมัติก่อนเท่านั้นที่จะเข้าไปได้ใช่ไหม สิ่งเดียวกันนี้เกิดขึ้นกับไฟร์วอลล์โดยค่าเริ่มต้นจะไม่มีใครสามารถเข้าสู่คอมพิวเตอร์ของเราได้มีเพียงพวกเราเท่านั้นที่สามารถเข้าสู่🙂ได้

เพื่อให้บรรลุสิ่งนี้ฉันอธิบายขั้นตอนต่อไปนี้:

1. เปิดเทอร์มินัลใส่สิ่งต่อไปนี้แล้วกด [ป้อน]:

sudo iptables -P INPUT DROP

แค่นี้ก็เพียงพอแล้วที่จะไม่มีใครเข้ามาในคอมพิวเตอร์ของคุณได้อย่างแน่นอน ... และ "ไม่มีใคร" นี้ก็รวมถึงตัวคุณเองด้วย😀

คำอธิบายของบรรทัดก่อนหน้า: ด้วยการที่เราระบุกับ iptables ว่านโยบายเริ่มต้น (-P) สำหรับทุกสิ่งที่ต้องการเข้าสู่คอมพิวเตอร์ของเรา (INPUT) คือการละเว้นไม่สนใจ (DROP)

ไม่มีใครค่อนข้างทั่วไปแน่นอนในความเป็นจริงไม่ว่าคุณเองจะไม่สามารถท่องอินเทอร์เน็ตหรืออะไรก็ได้นั่นคือเหตุผลที่เราต้องใส่สิ่งต่อไปนี้ในเทอร์มินัลนั้นและกด [ป้อน]:

sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

... ฉันไม่เข้าใจอึ ตอนนี้สองบรรทัดแปลก ๆ กำลังทำอะไรอยู่? ...

ง่าย🙂

บรรทัดแรกที่บอกคือคอมพิวเตอร์นั่นเอง (-i lo ... ยังไงก็ตาม lo = localhost) ทำอะไรก็ได้ตามความพอใจ สิ่งที่ชัดเจนซึ่งอาจดูไร้สาระ ... แต่เชื่อเถอะว่ามันสำคัญพอ ๆ กับอากาศฮ่า ๆ

บรรทัดที่สองฉันจะอธิบายโดยใช้ตัวอย่าง / การเปรียบเทียบ / อุปมาที่ฉันเคยใช้มาก่อนฉันหมายถึงการเปรียบเทียบคอมพิวเตอร์กับบ้าน🙂เช่นสมมติว่าเราอาศัยอยู่กับผู้คนในบ้านมากขึ้น (แม่พ่อพี่น้องแฟน ฯลฯ ). ถ้าคนเหล่านี้ออกจากบ้านเห็นได้ชัด / มีเหตุผลหรือไม่ที่เราจะปล่อยให้พวกเขาเข้ามาเมื่อพวกเขากลับมาไม่?

นั่นคือสิ่งที่บรรทัดที่สองทำอย่างแม่นยำ การเชื่อมต่อทั้งหมดที่เราเริ่มต้น (ที่มาจากคอมพิวเตอร์ของเรา) เมื่อคุณต้องการป้อนข้อมูลผ่านการเชื่อมต่อนั้น iptables จะปล่อยให้ข้อมูลนั้นเข้ามา อีกหนึ่งตัวอย่างเพื่ออธิบายหากใช้เบราว์เซอร์ของเราเราพยายามท่องอินเทอร์เน็ตโดยไม่มีกฎ 2 ข้อนี้เราจะไม่สามารถทำได้ใช่ ... เบราว์เซอร์จะเชื่อมต่อกับอินเทอร์เน็ต แต่เมื่อพยายามดาวน์โหลดข้อมูล ( .html, .gif ฯลฯ ) ไปยังคอมพิวเตอร์ของเราเพื่อแสดงให้เราเห็นคุณจะไม่สามารถทำได้ iptables มันจะปฏิเสธการเข้าสู่แพ็กเก็ต (ข้อมูล) ในขณะที่กฎเหล่านี้เมื่อเราเริ่มต้นการเชื่อมต่อจากภายใน (จากคอมพิวเตอร์ของเรา) และการเชื่อมต่อเดียวกันนั้นเป็นสิ่งที่พยายามป้อนข้อมูลก็จะอนุญาตให้เข้าถึงได้

เมื่อพร้อมแล้วเราได้ประกาศแล้วว่าไม่มีใครสามารถเข้าถึงบริการใด ๆ บนคอมพิวเตอร์ของเราไม่มีใครนอกจากตัวคอมพิวเตอร์ (127.0.0.1) และนอกจากการเชื่อมต่อที่เริ่มต้นในคอมพิวเตอร์เอง

ตอนนี้ฉันจะอธิบายรายละเอียดเพิ่มเติมอย่างรวดเร็วเพราะส่วนที่ 2 ของบทช่วยสอนนี้จะอธิบายและครอบคลุมเพิ่มเติมเกี่ยวกับเรื่องนี้ฮิฮิฉันไม่ต้องการก้าวไปข้างหน้ามากเกินไป😀

ตัวอย่างเช่นพวกเขามีเว็บไซต์ที่เผยแพร่บนคอมพิวเตอร์และพวกเขาต้องการให้ทุกคนเห็นเว็บไซต์ดังกล่าวก่อนที่เราจะประกาศว่าทุกอย่างตามค่าเริ่มต้นไม่ได้รับอนุญาตเว้นแต่จะระบุไว้เป็นอย่างอื่นจะไม่มีใครสามารถเห็นเว็บไซต์ของเราได้ ตอนนี้เราจะทำให้ทุกคนสามารถเห็นเว็บไซต์หรือเว็บไซต์ที่เรามีบนคอมพิวเตอร์ของเราสำหรับสิ่งนี้เราได้ใส่:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

นี่เป็นเรื่องง่ายมากที่จะอธิบาย😀

ด้วยบรรทัดนั้นเรากำลังประกาศว่าคุณยอมรับหรืออนุญาต (-j ยอมรับ) การรับส่งข้อมูลทั้งหมดไปยังพอร์ต 80 (- พอร์ต 80) ทำให้เป็น TCP (-พีทีซีพี) และเป็นปริมาณการใช้งานขาเข้าด้วย (- อินพุต). ฉันใส่พอร์ต 80 เพราะนั่นคือพอร์ตของโฮสต์เว็บนั่นคือ ... เมื่อเบราว์เซอร์พยายามเปิดไซต์บนคอมพิวเตอร์ X มันจะดูพอร์ตนั้นตามค่าเริ่มต้นเสมอ

ทีนี้ ... จะทำอย่างไรเมื่อคุณรู้ว่าต้องตั้งกฎอะไร แต่เมื่อเรารีสตาร์ทคอมพิวเตอร์เราพบว่าการเปลี่ยนแปลงไม่ได้รับการบันทึก? ... เอาล่ะวันนี้ฉันได้ทำบทช่วยสอนอื่นแล้ว:

วิธีเริ่มกฎ iptables โดยอัตโนมัติ

ฉันจะอธิบายโดยละเอียด😀

และนี่คือจุดสิ้นสุดของ การสอนครั้งที่ 1 บน iptables สำหรับมือใหม่อยากรู้อยากเห็นและสนใจ 😉…ไม่ต้องกังวลมันจะไม่ใช่ครั้งสุดท้ายฮิฮิอันต่อไปจะจัดการกับสิ่งเดียวกัน แต่มีกฎที่เฉพาะเจาะจงมากขึ้นโดยให้รายละเอียดทุกอย่างมากขึ้นเล็กน้อยและเพิ่มความปลอดภัย ฉันไม่ต้องการขยายสิ่งนี้มากไปกว่านี้เพราะในความเป็นจริงมันเป็นสิ่งจำเป็นที่ฐาน (สิ่งที่คุณอ่านที่นี่ในตอนต้น) จะเข้าใจอย่างถ่องแท้🙂

ทักทายและ ... มาฉันชี้แจงข้อสงสัยตราบเท่าที่คุณรู้คำตอบฮ่า ๆ !! (ฉันไม่ใช่ผู้เชี่ยวชาญเรื่องนี้ฮ่า ๆ ๆ ๆ)