Alapjai általános szabályait és iptables parancs
Miután szerver biztonságos adatközpontok Európában. Nyílt felhő VPS / VDS szerver egy gyors SSD 1 perc alatt!
A legjobb Web Hosting:
- megvédi az illetéktelen hozzáférés egy biztonságos európai adatközpont
- fizet legalább Bitcoin.
- Akkor tegye meg a disztribúciós
- védelmet DDOS támadások
- ingyenes biztonsági mentés
- Üzemidő 99,9999%
- DPC - TIER III
- ISP - TIER I
Támogatás az orosz 24/7/365 dolgozni a jogi és fizikai személyek. Most kell 24 mag és 72 Gb RAM. Kérlek!
A versenyképes áron bizonyítani, hogy a legolcsóbb hosting, ha nem tudja!
A percek alatt, válassza ki a konfiguráció, a fizetés és a CMS egy VPS kész.
Pénzvisszafizetési - 30 nap alatt!
Bankkártyák, elektronikus valuta révén Qiwi terminálok, WebMoney, PayPal, Novoplat és mások.
Tegye fel kérdését támogatás 24/7/365
Megtalálja a választ az adatbázisunkban, és megfelel az ajánlásokat a
Hogyan kell használni ezt az útmutatót
Először meg kell telepíteni iptables a szerveren.
A legtöbb leírt szabályoknak kézi alaphelyzetbe bejövő forgalmat szerint az alapértelmezett politikája (DROP). Akkor szelektíven oldja a bejövő forgalmat a saját.
Nem kell elvégezni az összes kézi érdekében. Keresse meg a rész, amely tartalmazza az utasításokat, hogy szükség van, és használja a javasolt szabály. Alapvetően a szakaszok az utasítás nem köti össze egymással.
Ha szükséges, akkor egyszerűen másolja be a példákban a szabályok korábban kijavítása után.
Ne feledje, a szabályok sorrendje a fájlban rendkívül fontos! Minden csapat használ iptables -A zászló szabály beiktatása végén a lánc. Ha azt szeretnénk, hogy válasszon egy helyet, amely felveszi a szabályt a láncban, használja a -I. Ahhoz, hogy a szabályt, hogy a tetején a lánc, egyszerűen nem adja meg a csoport számát.
Megjegyzés. Munka közben a tűzfal, akkor véletlenül kizárja magát hozzáférés a saját szerver - disable SSH-forgalmat, port 22. Ha ez bekövetkezik, próbáljon meg csatlakozni a szerver segítségével a konzol és rögzítse a tűzfal beállításait, hogy a forgalom a port 22. Ha még nem mentett új sor szabályokat, amelyek blokkolják az SSH, és a régi szabályok nyitott kapuk 22, csak a szerver újraindítására. Nem mentett szabályokat kell állítani, és akkor képes lesz arra, hogy újra a szervert.
Hogy ellenőrizze az aktuális készlet iptables szabályok, a következő parancsot:
sudo iptables -S
sudo iptables -L
A jogok fenntartása
Iptables szabályok visszaállítása után a kiszolgáló újraindítását. Hogy ezeket használják rendszeresen, akkor meg kell menteni kézzel.
Megőrzési szabályok Ubuntu
Az Ubuntu szabályok alkalmazásával elmentett iptables-perzisztens csomagot. Telepítse ezt a csomagot:
sudo apt-get install iptables-perzisztens
A telepítés során, akkor a program kérni fogja, hogy mentse a jelenleg hatályos szabályok.
Ha frissítettük a szabályokat, és azt szeretnék, hogy megmentse őket, típus: e
sudo hivatkozhat-rc.d iptables-tartós megtakarítás
Megőrzési szabályok CentOS 6 és annál idősebb
Megjegyzés. CentOS 7 alapértelmezésben használ FirewallD.
A CentOS 6 és az idősebb használhatja az iptables init scriptet, hogy mentse a fájlt:
sudo service iptables menteni
A jelenlegi készlet az iptables szabályok lesznek tárolva az / etc / sysconfig / iptables.
Ezt a témát részletesen tárgyalja a kimenő és eltávolítására iptables szabályok.
Általános szabályok a IPTables
Ebben a részben található a közös szabályok és az iptables parancsokat.
Támogatás a visszacsatolási felületen
Visszacsatolási felületen (más néven lo) - olyan felület, amely a számítógép által használt hálózati kapcsolat magad.
Annak érdekében, hogy a forgalmat a visszacsatolási felületen, a következő parancsokat:
sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A OUTPUT -o lo -j ACCEPT
A felbontás a meglévő és a kapcsolódó bejövő kapcsolatok
A hálózati forgalom egészét kellene kétirányú (bemenő és kimenő). Meg kell adnia a tűzfal szabályt, amely lehetővé teszi a meglévő kapcsolatok és a kapcsolódó bejövő forgalmat a szerver egy visszirányú forgalom kimenő kapcsolatok által kezdeményezett szerveren.
sudo iptables -A INPUT -m conntrack --ctstate LÉTRE, KAPCSOLÓDÓ -j ACCEPT
Az állásfoglalás a meglévő kimenő kapcsolatok
Ahhoz, hogy a szerver támogatja a kimenő meglévő kapcsolatok, használja a következő parancsot:
sudo iptables -A OUTPUT -m conntrack --ctstate LÉTRE -j ACCEPT
Külső és belső hálózat
Tekintettel arra, hogy az eth0 - külső hálózat és az eth1 - belső hálózat, a következő szabály módosíthatja a kölcsönhatás:
sudo iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
Visszaállítása érvénytelen csomagok
Néha a hálózati forgalom csomagok érvénytelennek jelölték. Bizonyos esetekben ezek a csomagok kell regisztrálni a naplóban, de általában jobb, ha veszít. Ez történik a következő parancsot:
sudo iptables -A INPUT -m conntrack --ctstate érvénytelen -j DROP
sudo iptables -A INPUT -s 15.15.15.51 -j DROP
Ebben a parancsban, -s 15.15.15.51 jelzi a forrása a kapcsolatot blokkolni kívánt.
Megjegyzés. Adja meg az IP forrás lehet bármilyen tűzfalszabály köztük lehetővé.
sudo iptables -A INPUT -s 15.15.15.51 -j REJECT
Korlátozása a vegyületek az interfész
A tűzfal akadályozhatja a vegyület érkező IP (például 15.15.15.51) egy bizonyos interfész (például eth0).
iptables -A INPUT -i eth0 -s 15.15.15.51 -j DROP
Ez a parancs abban különbözik a korábbi egyetlen lehetőség -i eth0. Megadhat egy hálózati interfész bármilyen tűzfal szabályt.
SSH szolgáltatás
, Meg kell, hogy a beérkező SSH kapcsolatokat (22-es port), hogy működjön együtt a felhő szerver.
Lehetővé teszi az összes bejövő forgalom
Ehhez használja a következő parancsot:
sudo iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate ÚJ, LÉTRE -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 22 -m conntrack --ctstate LÉTRE -j ACCEPT
A második parancs, amely lehetővé teszi a kimenő SSH-létező vegyületek van szükség, csak ha a politika kimenetre - nem tud elfogadni.
sudo iptables -A INPUT -p tcp -s 15.15.15.0/24 --dport 22 -m conntrack --ctstate ÚJ, LÉTRE -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 22 -m conntrack --ctstate LÉTRE -j ACCEPT
A második parancs, amely lehetővé teszi a kimenő SSH-létező vegyületek van szükség, csak ha a politika kimenetre - nem tud elfogadni.
Felbontás kimenő forgalom
Ha a politika kimenetre - nem fogadja el, de meg kell, hogy a kimenő SSH-kapcsolat használata:
sudo iptables -A OUTPUT -p tcp --dport 22 -m conntrack --ctstate ÚJ, LÉTRE -j ACCEPT
sudo iptables -A INPUT -p tcp --sport 22 -m conntrack --ctstate LÉTRE -j ACCEPT
Bejövő rsync kapcsolat
Rsync portot használja 873, és lehetővé teszi, hogy fájlokat egyik számítógépről a másikra.
sudo iptables -A INPUT -p tcp -s 15.15.15.0/24 --dport 873 -m conntrack --ctstate ÚJ, LÉTRE -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 873 -m conntrack --ctstate LÉTRE -j ACCEPT
A második parancs, amely lehetővé teszi a kimenő forgalmat a meglévő kapcsolatokat az rsync, szükség csak abban az esetben, ha a politika kimenetre - nem tud elfogadni.
webszerverek
Web szerver (például az Apache és Nginx) általában menetes HTTP és HTTPS kapcsolatok 80. és 443. port rendre. Ha az alapértelmezett tűzfalszabályzat blokkot vagy elutasítja a csatlakozást, akkor létre kell hozni szabályok, kivételek ezt a politikát, a Web szerver szolgálja a kéréseket.
Bejövő HTTP-forgalom
Annak érdekében, hogy minden bejövő HTTP-forgalmat (80-as port), akkor:
sudo iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate ÚJ, LÉTRE -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 80 -m conntrack --ctstate LÉTRE -j ACCEPT
A második parancs, amely lehetővé teszi a kimenő HTTP-létező vegyületek van szükség, csak ha a politika kimenetre - nem tud elfogadni.
Amely lehetővé teszi a Bejövő HTTPS forgalom
Annak érdekében, hogy az összes bejövő HTTPS-forgalom (443-as port), típus:
sudo iptables -A INPUT -p tcp --dport 443 -m conntrack --ctstate ÚJ, LÉTRE -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 443 -m conntrack --ctstate LÉTRE -j ACCEPT
A második parancs, amely lehetővé teszi a kimenő HTTPS-létező vegyületek van szükség, csak ha a politika kimenetre - nem tud elfogadni.
Bejövő HTTP és HTTPS forgalom
Ahhoz, hogy a HTTP és a HTTPS forgalom használja multiport modult. Hozzon létre egy szabályt, amely megnyitja két portot a bejövő forgalom számára:
sudo iptables -A INPUT -p tcp -m multiport --dports 80443 -m conntrack --ctstate ÚJ, LÉTRE -j ACCEPT
sudo iptables -A OUTPUT -p tcp -m multiport --dports 80443 -m conntrack --ctstate LÉTRE -j ACCEPT
A második parancs, amely lehetővé teszi a kimenő forgalmat a meglévő HTTP és HTTPS-kapcsolat szükséges csak abban az esetben, ha a politika kimenetre - nem tud elfogadni.
MySQL adatbázis-kezelő rendszer
MySQL figyeli klienskapcsolatokat porton 3306. Ha a MySQL adatbázis szerver által használt kliens egy távoli szerveren, akkor biztos, hogy ez a forgalom.
sudo iptables -A INPUT -p tcp -s 15.15.15.0/24 --dport 3306 -m conntrack --ctstate ÚJ, LÉTRE -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 3306 -m conntrack --ctstate LÉTRE -j ACCEPT
A második parancs, amely lehetővé teszi a kimenő forgalmat a meglévő MySQL kapcsolatok szükségesek csak abban az esetben, ha a politika kimenetre - nem tud elfogadni.
MySQL Hálózati csatolók
Ahhoz, hogy a hozzáférés MySQL segítségével egy adott hálózati interfész (pl eth1), használja a következő parancsokat:
sudo iptables -A INPUT -i eth1 -p tcp --dport 3306 -m conntrack --ctstate ÚJ, LÉTRE -j ACCEPT
sudo iptables -A OUTPUT -o eth1 -p tcp --sport 3306 -m conntrack --ctstate LÉTRE -j ACCEPT
A második parancs, amely lehetővé teszi a kimenő forgalmat a meglévő MySQL kapcsolatok szükségesek csak abban az esetben, ha a politika kimenetre - nem tud elfogadni.
PostgreSQL adatbázis-kezelő rendszer
PostgreSQL figyeli klienskapcsolatokat porton 5432. Ha a PostgreSQL szerver által használt kliens egy távoli szerveren, akkor biztos, hogy ez a forgalom.
sudo iptables -A INPUT -p tcp -s 15.15.15.0/24 --dport 5432 -m conntrack --ctstate ÚJ, LÉTRE -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 5432 -m conntrack --ctstate LÉTRE -j ACCEPT
ahol 15.15.15.0/24 - alhálózati amely hozzáférhet a PostgreSQL.
A második parancs, amely lehetővé teszi a kimenő kapcsolatok meglévő PostgreSQL van szükség, csak ha a politika kimenetre - nem tud elfogadni.
PostgreSQL hálózati interfészek
Ahhoz, hogy a hozzáférés PostgreSQL segítségével egy adott hálózati interfész (pl eth1), használja a következő parancsokat:
sudo iptables -A INPUT -i eth1 -p tcp --dport 5432 -m conntrack --ctstate ÚJ, LÉTRE -j ACCEPT
sudo iptables -A OUTPUT -o eth1 -p tcp --sport 5432 -m conntrack --ctstate LÉTRE -j ACCEPT
A második parancs, amely lehetővé teszi a kimenő kapcsolatok meglévő PostgreSQL van szükség, csak ha a politika kimenetre - nem tud elfogadni.
postai szolgáltatások
Blokkoló kimenő SMTP
Ha a szerver nem küld kimenő leveleket, akkor blokkolja az ilyen jellegű forgalmat. SMTP portot használja 25. blokkolása kimenő forgalom, az alábbi parancsot:
sudo iptables -A OUTPUT -p tcp --dport 25 -j REJECT
Most iptables elutasít minden kimenő forgalom 25-ös porton visszaállítása a forgalmat egy másik port, egyszerűen válassza ki a csapat számát.
SMTP forgalom engedély
Ahhoz, hogy a teljes SMTP-forgalom 25-ös porton, fuss:
sudo iptables -A INPUT -p tcp --dport 25 -m conntrack --ctstate ÚJ, LÉTRE -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 25 -m conntrack --ctstate LÉTRE -j ACCEPT
A második parancs, amely lehetővé teszi a meglévő kimenő SMTP-kapcsolatok szükségesek csak abban az esetben, ha a politika kimenetre - nem tud elfogadni.
Megjegyzés. Jellemzően SMTP-kiszolgálók használatához port 587, a kimenő leveleket.
Amely lehetővé teszi a Bejövő IMAP forgalom
A kiszolgáló képes válaszolni az IMAP-kapcsolat a következő porton 143, fuss:
sudo iptables -A INPUT -p tcp --dport 143 -m conntrack --ctstate ÚJ, LÉTRE -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 143 -m conntrack --ctstate LÉTRE -j ACCEPT
A második parancs, amely lehetővé teszi, hogy a kimenő forgalmat a meglévő IMAP szükséges csatlakozóval csak abban az esetben, ha a politika kimenetre - nem tud elfogadni.
Amely lehetővé teszi a bejövő forgalom IMAPS
A kiszolgáló képes válaszolni a -Connection IMAPS porton 993, a parancsot:
sudo iptables -A INPUT -p tcp --dport 993 -m conntrack --ctstate ÚJ, LÉTRE -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 993 -m conntrack --ctstate LÉTRE -j ACCEPT
A második parancs, amely lehetővé teszi a kimenő kapcsolatok meglévő IMAPS, szükség csak abban az esetben, ha a politika kimenetre - nem tud elfogadni.
Bejövő POP3 forgalom
A szerver válaszol a POP3-kapcsolat 110-es porton adja ki a következő parancsot:
sudo iptables -A INPUT -p tcp --dport 110 -m conntrack --ctstate ÚJ, LÉTRE -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 110 -m conntrack --ctstate LÉTRE -j ACCEPT
A második parancs, amely lehetővé teszi, hogy a kimenő forgalmat a POP3 kapcsolat szükséges csak abban az esetben, ha a politika kimenetre - nem tud elfogadni.
Amely lehetővé teszi a bejövő forgalom POP3S
A kiszolgáló képes válaszolni a POP3S -os csatlakozással porton 995, írja be:
sudo iptables -A INPUT -p tcp --dport 995 -m conntrack --ctstate ÚJ, LÉTRE -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 995 -m conntrack --ctstate LÉTRE -j ACCEPT
A második parancs, amely lehetővé teszi a kimenő kapcsolatok meglévő POP3S szükséges csak abban az esetben, ha a politika kimenetre - nem tud elfogadni.
következtetés
Ez az útmutató a többség a leggyakoribb parancsok és iptables szabályokat. Persze, az iptables nagyon rugalmas eszköz; kiválasztani a leginkább megfelelő szabályokat, a kísérlet a saját tűzfal beállításait.