Bảo mật mạng của bạn với Iptables - Proxy - NAT - IDS: PHẦN 2

Trong Previous post Chúng tôi đã thấy cấu hình của IPTables để hoạt động như một Tường lửa. Bây giờ chúng ta có thể xem cách tạo các tập lệnh đó để các quy tắc được thực thi tự động khi hệ thống khởi động và cũng là cách chúng tôi có thể loại bỏ hoặc dừng các quy tắc đó trong giây lát.

Trước khi thực hiện kịch bản và cho bạn thấy nó trông như thế nào, hãy nói một chút về NAT và khái niệm về những gì chúng ta muốn làm với thiết bị này.

NAT và Ngữ cảnh của ví dụ.

Khi nói về NAT, chúng ta có thể nhầm lẫn điều này với định tuyến, vì cả hai đều chịu trách nhiệm kết nối hai mạng khác nhau với nhau. Sự khác biệt thực sự là việc định tuyến được áp dụng để đi từ mạng cục bộ này sang mạng cục bộ khác và mạng khác này có thể kết nối với một bộ định tuyến và ra ngoài Internet.

Trong khi, khi chúng ta nói về NAT, chúng ta nói về việc định tuyến các gói từ mạng cục bộ hoặc mạng riêng đến mạng công cộng hoặc Internet. Nó thực hiện điều này bằng cách che các gói tin bằng cách đưa IP công cộng mà nó đi Internet. Có nghĩa là, chúng ta không cần bộ định tuyến, vì IP công cộng thuộc sở hữu trực tiếp của máy tính GNU / Linux.

Chúng tôi sẽ làm việc này với khẩu hiệu rằng chúng tôi đang sử dụng Linux làm bộ định tuyến / tường lửa để truy cập Internet từ mạng cục bộ. Nhưng ở đây có thể xuất hiện hai kịch bản.

• Rằng Linux của chúng tôi nằm giữa bộ định tuyến của nhà cung cấp dịch vụ và mạng cục bộ.

Trong trường hợp này, giữa bộ định tuyến và Linux của chúng ta sẽ có một mạng và giữa Linux và mạng cục bộ sẽ có một mạng khác. Điều này có nghĩa là bộ định tuyến của chúng tôi sẽ không phải thực hiện NAT như vậy, với một định tuyến lưu lượng đơn giản như được giải thích trong Previous post Nó sẽ tốt.

• Rằng Linux của chúng tôi có một giao diện được kết nối với mạng cục bộ và thông qua giao diện khác, nó nhận trực tiếp một IP công cộng mà nó điều hướng.

Điều này có nghĩa là Linux của chúng ta phải thực hiện NAT để các gói có thể truy cập Internet.

Vì mục đích của phòng thí nghiệm nhỏ này, chúng tôi sẽ nói rằng Linux của chúng tôi nhận trực tiếp một IP công cộng và do đó có thể kiểm tra các tác động của NAT.

Để thực hiện NAT, chúng ta sử dụng cú pháp

 iptables -t nat -A POSTROUTING -O eth1 -j MASQUERADE

Trong đó eth1 là giao diện nơi chúng ta nhận IP công cộng, tức là nơi chúng ta truy cập Internet.

Tạo tập lệnh iptables

Giả sử khi đó: 172.26.0.0 là mạng cục bộ của chúng ta và 81.2.3.4 là IP công cộng mà chúng ta truy cập Internet. (nó là một ip tĩnh). Tôi có các giao diện eth0 (Mạng cục bộ)

eth1 (Mạng công cộng).

Về cơ bản, nó bao gồm việc tạo một tập lệnh có thể được gọi từ /etc/init.d/firestop (ví dụ). và từ tập lệnh này, chúng tôi có thể bắt đầu, dừng hoặc kiểm tra trạng thái cấu hình của chúng tôi, như chúng tôi làm với bất kỳ daemon hệ thống nào.

Giả sử các quy tắc IPTABLES của tôi LÀ:

#! / bin / bash # Tường lửa của nhà tôi. # Tên tệp / etc / firewall_on # Bởi Jlcmux Twitter: @Jlcmux # # Chính sách cơ bản. iptables -P INPOUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP # #NAT để chia sẻ Internet từ eth0 đến eth1 iptables -t nat -A POSTROUTING -O eth1 -j SNAT --to-source 81.2.3.4
# # Cho phép các kết nối đến do iptables của tôi khởi tạo -Một trạng thái FORWARD -m - trạng thái ĐÃ ĐƯỢC THIẾT LẬP, CÓ LIÊN QUAN -j CHẤP NHẬN # # Lưu lượng đi được cấp phép iptables -A FORWARD -i eth0 -o eth1 -p tcp --dport 80 -j CHẤP NHẬN iptables -A FORWARD -i eth0 -o eth1 -p tcp --dport 443 -j ACCEPT iptables -A FORWARD -i eth0 -o eth1 -p udp --dport 53 -j CHẤP NHẬN

Giải trình:

Về cơ bản script thực hiện những việc sau:

1. Đầu tiên hạn chế tất cả điều hướng, kết nối và lưu lượng truy cập. (Chính sách tường lửa cơ bản)
2. Sau đó tạo NAT với đích eth1. chỉ ra rằng chúng tôi có một ip công cộng tĩnh «81.2.3.4»
3. Nó mở các cổng cần thiết để nhận các gói kết nối do tôi khởi tạo.
4. Chấp nhận lưu lượng HTTP, HTTPS và DNS gửi đi.

Nếu chúng ta muốn sử dụng thiết bị của mình để điều hướng, chúng ta nên lặp lại các dòng và thay đổi FORWARD thành INPUT hoặc OUTPUT nếu thích hợp.

Hủy tập lệnh.

Bây giờ chúng ta sẽ tạo một tập lệnh ghi đè tất cả những điều trên và giúp máy tính sạch sẽ tất cả những điều này. (Với mục đích thử nghiệm hoặc chúng tôi chỉ muốn tắt tường lửa).

#! / bin / bash # Tường lửa của nhà tôi. # Tên tệp / etc / firewall_off # By Jlcmux Twitter: @Jlcmux # # Xóa quy tắc iptables -F # # Áp dụng các chính sách mặc định (chấp nhận tất cả lưu lượng) iptables -P ĐẦU VÀO CHẤP NHẬN iptables -P OUTPUT CHẤP NHẬN iptables -P FORWARD CHẤP NHẬN

Tự động hóa.

Bây giờ chúng ta phải tạo tập lệnh bên trong /etc/init.d/ và dịch vụ bắt đầu tự động và chúng tôi có thể quản lý dịch vụ theo cách thoải mái hơn.

#! / bin / bash # Tường lửa của nhà tôi. # Tên tệp /etc/init.d/ tường lửa # Bởi Jlcmux Twitter: @Jlcmux case $ 1 khi bắt đầu) / etc / firewall_on ;; dừng) / etc / firewall_off ;; trạng thái) iptables -L ;; *) echo "Sai cú pháp. Valid = /etc/init.d/ firewall start | stop | status ;; esac

Giải trình:

Tập lệnh cuối cùng này chúng tôi đưa vào /etc/init.d/ với tên tường lửa. Vì vậy, nếu chúng ta muốn quản lý tường lửa, chúng ta có thể sử dụng lệnh /etc/init.d/ khởi động tường lửa. Theo cách tương tự, chúng ta có thể dừng nó lại hoặc xem trạng thái.

Bây giờ chúng ta sẽ chỉnh sửa tệp /etc/rc.local và chúng tôi đặt một cái gì đó như: /etc/init.d/ bắt đầu tường lửa để nó bắt đầu với hệ thống.

Cũng. Đây là phần thứ hai. Tôi hy vọng nó mang lại điều gì đó cho tất cả các bạn. Trong phần tiếp theo, chúng ta sẽ thấy Proxy và IDS.