Бруй В.В., Карлов С.В. - Linux-сервер - пошаговые инструкции - инсталляции и настройки (1077321), страница 40
Текст из файла (страница 40)
В настоящее время в комплект поставки входят:• giptables.conf.dns1 и giptables.conf.dns2 – конфигурационные файлы для первичногои вторичного DNS-серверов, соответственно;• giptables.conf.ftpserver – конфигурационный файл для сервера;• giptables.conf.gateway – конфигурационный файл для шлюза;• giptables.conf.mailserver – конфигурационный файл для почтового сервера;• giptTables.conf.ppp – конфигурационный файл для PPP-сервера;138Часть 2. Система сетевой защиты• giptables.conf.virtual – для виртуального сервера;• giptables.conf.workstation – для рабочей станции;• giptables.conf.README – демонстрационный файл, включающий все возможные опции конфигурирования с достаточно подробными комментариями.В каталог /etc/rc.d устанавливается файл rc.giptables.blocked, в который можно внестиперечень IP-адресов, для которых доступ к системе следует закрыть. В каталог /etc/init.d устанавливается файл инициализации giptables.Конфигурационный файл /etc/giptables.confФайл /etc/giptables.conf – основной конфигурационный файл GIPTables.
При инсталляциипрограммы он не создается. Для его создания необходимо выполнить определенные действия.Шаг 1Выберите один из файлов /lib/giptables/conf/giptables.conf.*, наиболее соответствующийвашимтребованиямксистемесетевойзащиты,например,/lib/giptables/conf/giptables.conf.gateway,ископируйтееговфайл/lib/giptables/conf/giptables.conf:[root@bastion /]# cd /lib/giptables/conf/[root@bastion conf]# cp giptables.conf.gateway giptables.confСоздайте символьную ссылку:[root@bastion conf]# ln -sf /lib/gip-tables/conf/giptables.conf/etc/giptables.confШаг 2Установите необходимые для реализации ваших требований к системе сетевой защиты значения опций в файле /lib/giptables/conf/giptables.conf, о чем будет подробно рассказано чуть позже.Шаг 3Запустите GIPTables Firewall:[root@bastion conf]# /etc/init.d./giptables startДля автоматизированного запуска GIPTables Firewall при загрузке системы, выполните:[root@bastion conf]# chkconfig --add giptablesРассмотрим некоторые из наиболее важных параметров, содержащихся в конфигурационном файле/lib/giptables/conf/giptables.conf.В разделе DEBUG содержится единственный конфигурационный параметр – DEBUG.# DEBUG#DEBUG="off"Параметр DEBUG включает/выключает режим отладки.
При установленном по умолчанию значении"off" режим отладки выключен. При включении режима отладки на экран будут выведены все правила, применяемые системой сетевой защиты. При этом никакие действия (фильтрация, перенаправление и т. п.) с пакетами совершаться не будут. Для удобства при включенном режиме отладки можно переадресовать выводс экрана в файл:[root@bastion /]# /etc/init.d/giptables start > giptables-dump.txtЗАМЕЧАНИЕ Это очень удобная опция, позволяющая сгенерировать свод правил, которые легко могутбыть преобразованы в скрипт IPTables, запускаемый при старте системы. При этом правила могут быть сгенерированы и отлажены на одной системе (рабочей станции администратора сервера, оснащенной графическим интерфейсом и необходимым для отладки программным обеспечением), а установлены на другой, гдепо каким либо причинам отладка может быть затруднена или не возможна.В следующем разделе определяются основные параметры системы.# Some definitions for easy maintenance# Edit these to suit your system#MONOLITIC_KERNEL="no"Глава 10.
GIPTables Firewall – программное обеспечение для настройки IPTables139# Interface 0: This is our external network interface# It is directly connected to InternetINTERFACE0="eth0"INTERFACE0_IPADDR="x.x.x.x"ANY_IPADDR="0/0"# Interface 1: This is our internal network interface# It is directly connected to our internal Network 1INTERFACE1="eth1"INTERFACE1_IPADDR="192.168.1.254"NETWORK1="192.168.1.0/24"# Do you need Network Address Translation for your internal network?NETWORK1_NAT="yes"# Your name servers ip addressISP_PRIMARY_DNS_SERVER="a.a.a.a"ISP_SECONDARY_DNS_SERVER="b.b.b.b"# SYSLOG server ip addressSYSLOG_SERVER="c.c.c.c"# SYSLOG client ip addressSYSLOG_CLIENT="d.d.d.d"# Loopback interfaceLOOPBACK_INTERFACE="lo"# Loopback interface# Port declarations, do not change themPRIV_PORTS="0:1023"UNPRIV_PORTS="1024:65535"# --------------------------------------------------------------------# Loading custom firewall rules from /etc/rc.d/rc.giptables.custom#LOAD_CUSTOM_RULES="yes"Параметр MONOLITIC_KERNELопределяет не архитектуру ядра в целом, а только способ включения в него кодов IPTables.
Мы рекомендуем во всех случаях, когда это возможно, использовать ядро с монолитной архитектурой и включать код, реализующий систему сетевой защиты, непосредственно в код ядра. Если вы следуете нашим рекомендациям,значение параметра, установленное по умолчанию "no", нужно изменить на "yes".Параметры INTERFACE0="eth0" и INTERFACE0_IPADDR="x.x.x.x"определяют внешний (ориентированный в сторону Интернет) сетевой интерфейс и его IP-адрес, соответственно.Параметр ANY_IPADDR="0/0"определяет параметры сети, с которыми данный компьютер может устанавливать соединения.
Учитывая,что этот параметр соответствует внешнему интерфейсу, ему присвоено значение, позволяющее устанавливать соединение с компьютером, имеющим любой адрес – "0/0". Не изменяйте значение опции. Ограничение доступа со стороны нежелательных хостов осуществляется другим способом и описано ниже.Если ваша система получает IP-адрес с DHCP-сервера провайдера, то параметру INTERFACE0должно быть присвоено значение "/lib/giptabies/if_ipaddr $INTERFACE0":INTERFACE0_IPADDR="/lib/giptabies/if_ipaddr $INTERFACE0"140Часть 2. Система сетевой защитыВ этом случае в файле инициализации /etc/init.d/giptabies также необходимо изменить вторуюстроку:# chkconfig: 2345 08 92на:# chkconfig: 2345 11 92После внесения изменений система сетевой защиты будет запускаться после инициализации сети, икомпьютер сможет получить динамический IP-адрес от DHCP-сервера провайдера.Опции INTERFACE1="eth1", INTERFACE1_IPADDR="y.y.y.y" и NETWORK1="s.s.s.0/24"определяют сетевой интерфейс, IP-адрес компьютера во внутренней сети и внутреннюю подсеть, соответственно.Если компьютер не имеет интерфейса, ориентированного во внутреннюю сеть – т.
е. имеет толькоодин сетевой интерфейс, например, являясь рабочей станцией с одним сетевым интерфейсом, ориентированным в локальную сеть офиса, или сервером с одним сетевым интерфейсом, ориентированным в Интернет– закомментируйте или удалите параметры INTERFACE1="eth1", INTERFACE1_IPADDR="y.y.y.y" иNETWORK1="s.s.s.0/24".ПараметрыISP_PRIMARY_DNS_SERVER="a.a.a.a"ISP_SECONDARY_DNS_SERVBR="b.b.b.b"предназначены для определения IP-адресов первичного и вторичного DNS-серверов.Параметр SYSLOG_SERVER="c.c.c.c"определяет IP-адрес сервера, на котором осуществляется запись файлов регистрации.Параметр LOOPBACK_INTERFACE="lo"определяет петлевой интерфейс.ПараметрыPRIV_PORTS="0:1023"UNPRIV_PORTS="1024:65535"определяют диапазон привилегированных портов.Параметр LOAD_CUSTOM_RULES="yes"предназначендлядобавлениядополнительныхправил,включаемыхвфайл/etc/rc.d/rc.GIPTables.custom.
Если установлено значение "no", то правила, содержащиеся в этомфайле, игнорируются.В разделе Logging конфигурируется регистрация пакетов, задерживаемых системой сетевой защиты:# -----------------------------------------------------------------# Logging# Limit the amount of incoming dropped packets that gets sent to the logs## We log & drop all the packets that are not expected. In order to avoid# our logs beeing flooded, we rate limit the logging# Interface 0 log dropped packetsINTERFACE0_LOG_DROPPED_PACKETS="yes"INTERFACE0_LOG_LIMIT="5/m"INTERFACE0_LOG_LIMIT_BURST="7"# Interface 1 log dropped packetsINTERFACE1_LOG_DROPPED_PACKETS="yes"INTERFACE1_LOG_LIMIT="7/m"INTERFACE1_LOG_LIMIT_BURST="9"# Network 1 log forwarded dropped packetsNETWORK1_LOG_DROPPED_PACKETS="yes"NETWORK1_LOG_LIMIT="9/m"NETWORK1_LOG_LIMIT_BURST="11"Если в системе нет внутреннего сетевого интерфейса, удалите или закомментируйте строки, относящиеся к внутреннему сетевому интерфейсу и локальной сети (INTERFACE1 и NETWORK1).
При выбраннойнами концепции сетевой безопасности система сетевой защиты исключает все пакеты, кроме разрешенных.Глава 10. GIPTables Firewall – программное обеспечение для настройки IPTables141В случае прихода нежелательных пакетов они задерживаются и регистрируются. Если система будет подвергнута атаке путем отправки на ее сетевые интерфейсы большого числа нежелательных пакетов, файл регистрации быстро заполнит все свободное дисковое пространство. Чтобы избежать этого, мы устанавливаемограничение на количество сообщений в файлы регистрации с помощью параметров LOG_LIMIT иLOG_LIMIT_BURST.Параметр LOG_LIMIT_BURSTопределяет максимальное число нежелательных пакетов, информация о которых заносится в файл регистрации в течение интервала времени, величина которого определяется числом, стоящим перед знаком "/", аединица измерения ключом, стоящим после (секунда - /second или /s, минута - /minute или /m, час /hour или /h и день - /day или /d).Таким образом, пара значений параметровNETWORK1_LOG_LIMIT="9/m" и NETWORK1_LOG_LIMIT_BURST="11" в рассмотренном примере означает, что в течение 9 минут в файл регистрации будут внесена информация не более чем об 11 первых нежелательных пакетах.Регистрационная информация посылается в файл /var/log/messages.Параметры, с помощью которых устанавливается запрет на установку любых соединений с определенных IP-адресов, содержатся в секции Network Ghouls:# Network Ghouls# Refuse any connection from problem sites## The /etc/rc.d/rc.giptables.blocked file contains a list of ip addressesthat# will be blocked from having any kind of access to your server on allyour# interfaces if the next option is "yes"NETWORK_GHOULS="yes"# If you would like to block an ip address from having any kind of accessto# your server on a specific interface, please use the options belowREFUSE_CONNECTION_IPADDR[0]="1.1.1.1"INTERFACE0_REFUSE_CONNECTION[0]="yes"INTERFACE1_REFUSE_CONNECTION[0]="yes"NETWORK1_REFUSE_CONNECTION[0]="yes"REFUSE_CONNECTION_IPADDR[1]="2.2.2.2"INTERFACE0_REFUSE_CONNECTION[1]="yes"INTERFACE1_REFUSE_CONNECTION[1]="yes"NETWORK1_REFUSE_CONNECTION[1]="yes"Для включения или отключения блокирования сетевых подключений с определенных IP-адресов используется параметр NETWORK_GHOULS="yes"/"no".
Если установлено значение параметра – "yes", тоустановкалюбыхсетевыхсоединенийсIP-адресов,перечисленныхвфайле/etc/rc.d/rc.giptables.blocked, запрещается. Если установлено значение параметра "no", то список запрещенных IP-адресов игнорируется.ПараметрыREFUSE_CONNECTION_IPADDR[0]INTERFACE0_REFUSE_CONNECTION[0]NTERFACE1_REFUSE_CONNECTION[0]NETWORK1_REFUSE_CONNECTION[0]используются для ограничения установки сетевых соединений с нежелательными адресами только для определенных сетевых интерфейсов.Для конфигурирования системы защиты от одного из видов DoS-атак – "SYN-flood" – используютсяпараметры секции Syn-flood protection:# Syn-flood protection# Limit the number of incoming tcp connections#SYN_FLOOD_PROTECTION="yes"142Часть 2.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
