FIREWALL iptables

Pengantar

Menyiapkan firewall yang bagus adalah suatu langkah penting untuk mengambil dalam mengamankan sistem operasi modern. Kebanyakan distribusi Linux kapal dengan beberapa alat firewall yang berbeda yang dapat kita gunakan untuk mengkonfigurasi firewall kami. Dalam panduan ini, kami akan meliputi iptables firewall.

Iptables adalah firewall standar termasuk dalam sebagian besar distribusi Linux secara default (varian modern yang disebut nftables akan mulai menggantinya). Hal ini sebenarnya front end untuk kait netfilter kernel-level yang dapat memanipulasi jaringan tumpukan Linux. Ia bekerja dengan mencocokkan masing-masing paket yang melintasi interface jaringan terhadap seperangkat aturan untuk memutuskan apa yang harus dilakukan.

Dalam panduan ini kita akan membahas bagaimana iptables bekerja. Dalam artikel berikutnya dalam seri, kami akan menunjukkan cara mengkonfigurasi satu set dasar aturan untuk melindungi Ubuntu server 14.04 Anda.

Bagaimana Iptables Pekerjaan

Sebelum kita mulai membahas perintah yang sebenarnya diperlukan untuk mengendalikan iptables dan membangun kebijakan firewall, mari kita membahas beberapa terminologi dan membahas bagaimana iptables bekerja.

Iptables firewall beroperasi dengan membandingkan lalu lintas jaringan terhadap seperangkat aturan. Aturan mendefinisikan karakteristik yang paket harus harus sesuai aturan, dan tindakan yang harus diambil untuk pencocokan paket.

Ada banyak pilihan untuk menetapkan paket sesuai aturan tertentu. Anda dapat cocok dengan jenis protokol paket, sumber atau alamat tujuan atau port, antarmuka yang sedang digunakan, hubungannya dengan paket sebelumnya, dll

Ketika pola didefinisikan sesuai, tindakan yang terjadi disebut target. Sebuah target dapat menjadi keputusan kebijakan akhir untuk paket, seperti menerima, atau menjatuhkan. Hal ini juga dapat memindahkan paket ke rantai yang berbeda untuk diproses, atau hanya log pertemuan itu. Ada banyak pilihan.

Aturan-aturan ini akan disusun dalam kelompok yang disebut rantai. Sebuah rantai adalah seperangkat aturan yang paket diperiksa terhadap berurutan. Ketika paket cocok dengan salah satu aturan, dijalankan tindakan terkait dan tidak diperiksa terhadap aturan yang tersisa dalam rantai.

Seorang pengguna dapat menciptakan rantai yang diperlukan. Ada tiga rantai didefinisikan secara default. Mereka:

INPUT: Rantai ini menangani semua paket yang ditujukan ke server Anda.

OUTPUT: Rantai ini berisi aturan untuk lalu lintas yang dibuat oleh server Anda.

MAJU: Rantai ini digunakan untuk menangani lalu lintas diperuntukkan untuk server lainnya yang tidak dibuat pada server Anda. Rantai ini pada dasarnya adalah cara untuk mengkonfigurasi server Anda untuk permintaan rute ke mesin lain.

Setiap rantai dapat berisi nol atau lebih aturan, dan memiliki kebijakan default. Kebijakan menentukan apa yang terjadi ketika sebuah paket tetes melalui semua aturan dalam rantai dan tidak sesuai aturan apapun. Anda juga dapat drop paket atau menerima paket jika tidak ada aturan sesuai.

Melalui modul yang dapat dimuat melalui aturan, iptables juga dapat melacak koneksi. Ini berarti Anda dapat membuat aturan yang mendefinisikan apa yang terjadi pada paket berdasarkan hubungannya dengan paket sebelumnya. Kami menyebutnya kemampuan ini "pelacakan negara", "pelacakan koneksi", atau mengkonfigurasi "mesin negara".

Untuk panduan ini, kami terutama akan mencakup konfigurasi rantai INPUT, karena mengandung seperangkat aturan yang akan membantu kita menyangkal lalu lintas yang tidak diinginkan diarahkan pada server kami.

IPv4 IPv6 Versus

Firewall netfilter yang disertakan dalam kernel Linux terus IPv4 dan IPv6 lalu lintas benar-benar terpisah. Demikian juga, alat yang digunakan untuk memanipulasi tabel yang berisi aturan firewall yang berbeda juga. Jika Anda memiliki IPv6 diaktifkan pada server Anda, Anda akan harus mengkonfigurasi kedua tabel untuk mengatasi lalu lintas server yang dikenakan.

Perintah iptables biasa digunakan untuk memanipulasi tabel yang berisi aturan yang mengatur lalu lintas IPv4. Untuk lalu lintas IPv6, perintah pendamping disebut ip6tables digunakan. Ini adalah poin penting untuk internalisasi, karena itu berarti bahwa setiap aturan yang Anda tetapkan dengan iptables tidak akan mempengaruhi pada paket menggunakan versi 6 protokol.

Sintaks antara perintah kembar adalah sama, sehingga menciptakan ruleset untuk setiap tabel ini tidak terlalu besar. Hanya ingat untuk memodifikasi kedua tabel setiap kali Anda membuat perubahan. Perintah iptables akan membuat aturan-aturan yang berlaku untuk lalu lintas IPv4, dan ip6tables perintah akan membuat aturan-aturan yang berlaku untuk lalu lintas IPv6.

Anda harus yakin untuk menggunakan alamat IPv6 sesuai server Anda untuk kerajinan aturan ip6tables.

Hal yang Perlu Mind

Sekarang kita tahu bagaimana iptables mengarahkan paket yang datang melalui antarmuka (mengarahkan paket ke rantai yang tepat, memeriksa terhadap setiap aturan sampai salah satu cocok, masalah kebijakan default rantai jika tidak ada yang cocok), kita bisa mulai melihat beberapa perangkap untuk menyadari seperti yang kita membuat aturan.

Pertama, kita perlu memastikan bahwa kita memiliki aturan untuk menjaga koneksi saat aktif jika kita menerapkan kebijakan penurunan default. Hal ini terutama penting jika Anda terhubung ke server Anda melalui SSH. Jika Anda tanpa sengaja menerapkan aturan atau kebijakan yang tetes koneksi Anda saat ini, Anda selalu dapat login ke DigitalOcean VPS Anda dengan menggunakan konsol web, yang menyediakan out-of-band akses.

Satu hal yang perlu diingat adalah bahwa urutan aturan di setiap materi rantai. Sebuah paket tidak harus menemukan aturan yang lebih umum bahwa itu cocok jika itu dimaksudkan untuk mencocokkan aturan yang lebih spesifik.

Karena itu, aturan dekat bagian atas rantai harus memiliki tingkat yang lebih tinggi dari kekhususan dari aturan di bagian bawah. Anda harus mencocokkan kasus-kasus tertentu pertama, dan kemudian memberikan aturan yang lebih umum untuk mencocokkan pola yang lebih luas. Jika paket jatuh melalui seluruh rantai (tidak sesuai aturan apapun), itu akan memukul aturan yang paling umum, kebijakan default.

Untuk alasan ini, kebijakan default rantai sangat kuat menentukan jenis aturan yang akan dimasukkan dalam rantai. Sebuah rantai dengan kebijakan default ACCEPT akan berisi aturan yang secara eksplisit drop paket. Sebuah rantai yang defaultnya DROP akan berisi pengecualian untuk paket yang harus diterima secara khusus.

Kesimpulan

Pada titik ini, cara termudah untuk belajar tentang bagaimana iptables bekerja adalah untuk menggunakannya untuk mengimplementasikan firewall Anda sendiri.

Dalam panduan berikutnya, kami akan menunjukkan cara membuat iptables firewall dasar pada Ubuntu 14.04. Ini akan mengunci server Anda kecuali untuk beberapa layanan yang ingin Anda memungkinkan.

Justin Ellingwood