قم بإعداد جدار حماية IPTables على CentOS 6

• المقدمة
• المتطلبات الأساسية
• الخطوة 1: تحديد الخدمات والمنافذ المستخدمة على الخادم الخاص بك
• الخطوة 2: تكوين قواعد iptables
• الخطوة 3: احفظ التكوينات
• حلول للحظر العرضي

المقدمة

جدار الحماية هو نوع من أدوات أمان الشبكة التي تتحكم في حركة مرور الشبكة الواردة والصادرة وفقًا لمجموعة القواعد المحددة مسبقًا. يمكننا استخدام جدار حماية مع إجراءات أمان أخرى لحماية خوادمنا من نبلات المتسللين وهجماتهم.

يمكن أن يكون تصميم جدار الحماية عبارة عن جهاز مخصص أو برنامج يعمل على أجهزتنا. في CentOS 6 ، يكون برنامج جدار الحماية الافتراضي هو iptables.

في هذه المقالة ، سأوضح لك كيفية إعداد جدار حماية iptables الأساسي بناءً على تطبيق Vultr "WordPress على CentOS 6 x64" ، والذي سيحظر جميع حركة المرور باستثناء خدمات الويب و SSH و NTP و DNS و ping. ومع ذلك ، هذا مجرد تكوين أولي يلبي احتياجات الأمان الشائعة. ستحتاج إلى تكوين iptables أكثر تعقيدًا إذا كان لديك متطلبات أخرى.

ملحوظة :

إذا قمت بإضافة عنوان IPv6 إلى الخادم الخاص بك ، يجب عليك أيضًا إعداد خدمة ip6tables. تكوين ip6tables خارج نطاق هذه المقالة.

على عكس CentOS 6 ، لم يعد iptables برنامج جدار الحماية الافتراضي على CentOS 7 ، وتم استبداله ببرنامج يسمى جدار الحماية. إذا كنت تخطط لاستخدام CentOS 7 ، فستحتاج إلى إعداد جدار الحماية باستخدام جدار الحماية.

المتطلبات الأساسية

قم حديثًا بنشر نسخة خادم باستخدام تطبيق Vultr "WordPress على CentOS 6 x64" ، ثم قم بتسجيل الدخول كجذر.

الخطوة 1: تحديد الخدمات والمنافذ المستخدمة على الخادم الخاص بك

أفترض أن هذا الخادم سيستضيف فقط مدونة WordPress ، ولن يتم استخدامه كموجه أو تقديم خدمات أخرى (على سبيل المثال ، البريد ، FTP ، IRC ، إلخ).

هنا نحتاج إلى الخدمات التالية:

• HTTP (TCP على المنفذ 80)
• HTTPS (TCP على المنفذ 443)
• SSH (TCP على المنفذ 22 افتراضيًا ، يمكن تغييره لأغراض أمنية)
• NTP (UDP على المنفذ 123)
• DNS (TCP و UDP على المنفذ 53)
• ping (ICMP)

سيتم حظر جميع المنافذ الأخرى غير الضرورية.

الخطوة 2: تكوين قواعد iptables

تتحكم Iptables في حركة المرور بقائمة من القواعد. عندما يتم إرسال حزم الشبكة إلى خادمنا ، ستقوم iptables بفحصها باستخدام كل قاعدة في التسلسل واتخاذ الإجراءات وفقًا لذلك. إذا تم استيفاء قاعدة ، سيتم تجاهل القواعد الأخرى. إذا لم يتم استيفاء أي قواعد ، فستستخدم iptables السياسة الافتراضية.

يمكن تصنيف كل حركة المرور على أنها INPUT و OUTPUT و FORWARD.

• يمكن أن تكون حركة مرور INPUT طبيعية أو ضارة ، ويجب السماح بها بشكل انتقائي.
• تعتبر حركة مرور OUTPUT عادةً آمنة ويجب السماح بها.
• حركة مرور FORWARD عديمة الفائدة ويجب حظرها.

الآن ، دعنا نقوم بتكوين قواعد iptables وفقًا لاحتياجاتنا. يجب إدخال جميع الأوامر التالية من طرف SSH الخاص بك كجذر.

تحقق من القواعد الحالية:

iptables -L -n

مسح كافة القواعد الموجودة:

iptables -F; iptables -X; iptables -Z

نظرًا لأن التغييرات التي يتم إجراؤها على تكوين iptables ستسري على الفور ، إذا قمت بتكوين قواعد iptables بشكل خاطئ ، فقد تصبح محظورًا خارج الخادم الخاص بك. يمكنك منع عمليات الحظر العرضي باستخدام الأمر التالي. تذكر أن تستبدل [Your-IP-Address]بعنوان IP العام الخاص بك أو نطاق عناوين IP (على سبيل المثال ، 201.55.119.43 أو 201.55.119.0/24).

iptables -A INPUT -s [Your-IP-Address] -p tcp --dport 22 -j ACCEPT

السماح لجميع حركة الاسترجاع (lo) وإسقاط كل حركة المرور إلى 127.0.0.0/8 بخلاف lo:

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -d 127.0.0.0/8 -j REJECT

منع بعض الهجمات الشائعة:

iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP

قبول جميع الاتصالات الواردة:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

السماح بحركة مرور الواردة HTTP و HTTPS:

iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

السماح باتصالات SSH:

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

السماح باتصالات NTP:

iptables -A INPUT -p udp --dport 123 -j ACCEPT

السماح باستعلامات DNS:

iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -j ACCEPT

السماح بـ ping:

iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

أخيرًا ، عيّن السياسات الافتراضية:

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

الخطوة 3: احفظ التكوينات

كل من التغييرات التي أجريناها سارية المفعول ، لكنها ليست دائمة. إذا لم نقم بحفظها على القرص الصلب ، فسيتم فقدها بمجرد إعادة تشغيل النظام.

حفظ تكوين iptables باستخدام الأمر التالي:

service iptables save

سيتم حفظ تغييراتنا في الملف /etc/sysconfig/iptables. يمكنك مراجعة أو تعديل القواعد عن طريق تحرير هذا الملف.

حلول للحظر العرضي

إذا تم حظر دخولك خارج الخادم بسبب خطأ في التكوين ، فلا يزال بإمكانك استعادة وصولك ببعض الحلول البديلة.

• إذا لم تقم بحفظ تعديلاتك على قواعد iptables حتى الآن ، فيمكنك إعادة تشغيل الخادم الخاص بك من واجهة موقع Vultr على الويب ، ثم سيتم تجاهل التغييرات.
• إذا قمت بحفظ التغييرات الخاصة بك ، يمكنك تسجيل الدخول إلى الخادم الخاص بك من خلال وحدة التحكم من واجهة موقع Vultr على الويب ، والإدخال iptables -Fلمسح جميع قواعد iptables. ثم يمكنك إعداد القواعد مرة أخرى.