Iptables'ın bakımını kolaylaştırır

Beyaz listeye eklenen birkaç site dışında ağım tamamen kilitlendi. Bu, iptables yoluyla yapılır, bu böyle bir şey gibi görünür:

# Allow traffic to google.com
iptables -A zone_lan_forward -p tcp -d 1.2.3.0/24 -j ACCEPT
iptables -A zone_lan_forward -p udp -d 1.2.3.0/24 -j ACCEPT
iptables -A zone_lan_forward -p tcp -d 11.12.13.0/24 -j ACCEPT
iptables -A zone_lan_forward -p udp -d 11.12.13.0/24 -j ACCEPT
iptables -A zone_lan_forward -p tcp -d 101.102.103.0/24 -j ACCEPT
iptables -A zone_lan_forward -p udp -d 101.102.103.0/24 -j ACCEPT
...

Açıkçası bu adresler varsayımsaldır, ama fikri anlarsınız. Güvenlik duvarım muazzam bir hal alıyor. Bunu yapabilseydim sürdürmek çok daha kolay olurdu:

# Allow traffic to google.com
iptables -A zone_lan_forward -p tcp -d google.com -j ACCEPT
iptables -A zone_lan_forward -p udp -d google.com -j ACCEPT

Bunun mümkün olduğuna inanıyorum, çünkü man iptablesdiyor ki:

Adres, bir ağ adı, ana bilgisayar adı (DNS gibi uzak bir sorgu ile çözümlenecek herhangi bir ad belirtmenin gerçekten kötü bir fikir olduğunu), bir ağ IP adresi (/ mask ile) veya düz bir IP adresi olabilir.

Ama endişelendiğim şey, "çözülmesi gereken herhangi bir isim belirtmek ... DNS gerçekten kötü bir fikir" diyen kısım. Bu neden kötü bir fikir? Her şeyi yavaşlatıyor mu?

Ana bilgisayar adlarını iptables kurallarında gerçekten kullanmamam gerekiyorsa, güvenlik duvarımı basitleştirmek için ne yapmalıyım?

• DNS Adları, paketler işaretlendiğinde değil, kurallar eklendiğinde çözümlenir. Bu, çoğu insanın beklentilerini ihlal ediyor.
  • Kural, değiştirilen DNS sonuçlarını yansıtacak şekilde güncellenmez. Eklendiğinde çözülür ve işte budur. Kuralları düzenli olarak yeniden yüklemeniz gerekir, aksi takdirde bazı siteler bozulabilir.
• Temel olarak güvenlik duvarı kurallarınızın kontrolünü harici bir varlığa devrettiğiniz için bir güvenlik sorunu var.
  • Üst DNS sunucunuzun güvenliği ihlal edilirse ve yanlış veriler döndürülürse ne olur?

Amacınız HTTP erişimini engellemekse, o düzeyde filtrelemek için tasarlanmış bir yazılım (genellikle kalamar + squidquard) kurmaktan çok daha iyidir.

Güvenlik duvarınızda ana bilgisayar adları kullanıyorsanız, güvenlik duvarınız artık DNS'ye bağımlıdır. Bu, güvenlik duvarını bir dizi soruna açar:

• Yüksek hacimlerdeki DNS aramaları gecikmeye neden olabilir.
• DNS değişiklikleri anında yayılmaz. Yani güvenlik duvarınız önbelleğe alınmış IP kullanıyor olabilir.
• DNS, sahte, ele geçirilmiş, saldırıya uğramış olabilir.
• DNS başarısız olabilir - yani güvenlik duvarınız başarısız olur.
• Güvenlik duvarı kurallarınız artık 3. taraflarca kontrol ediliyor.

Ana bilgisayar adlarını kullanıyorsanız ve DNS'yi kontrol etmiyorsanız, başka biri IPtables kurallarınızı etkili bir şekilde kontrol eder. Hatalar, hatalar veya sonlarındaki güvenlik sorunları sizin için sorun haline gelir.

Ana bilgisayar adlarının iyi kullanıldığını gördüğüm tek şey dahili işlemler içindir. IP'lerin ve ana bilgisayar adlarının DHCP aracılığıyla atandığı bir ofiste çalıştım. Güvenlik duvarları, farklı gruplar arasında engel oluşturmak için ana bilgisayar adlarını kullandı. Tüm bunlar dahili olarak kontrol edildiğinden iyi çalıştı.

Kurallarınızı korumayı kolaylaştırmak için shorewall gibi iptables etrafında bir sarıcı kullanabilirsiniz.

Diğerlerinin zaten söylediği gibi iptables kurallarında DNS tarafından çözülebilir isimler kullanmamalısınız. Bunlar yanlıştır, üçüncü taraflarca kontrol edilir ve genellikle Kötü Bir Şeydir (tm). Ayrıca iptables servisi başlatıldığında DNS'inizin başarısız olabileceğini veya erişilemeyebileceğini de ekleyeceğim. Bu durumda kural hiç eklenmeyecek ve yepyeni bir sorun ortaya çıkabilir (yeniden başlatmadan sonra ssh erişimini kaybetmek gibi).

Yapabilecekleriniz:

1. Kuralları mantıksal olarak ayırmak için özel zincirler kullanın
2. ipsetAdreslerin kurallardan gruplanması ve ayrılması için s kullanın
3. Kurallara yorum ekleme

Ayrıca kimse vardır hostname hakkında kötü bir şey söz konusu değil DNS tarafından çözümlenir (yani belirtilen hosts. Eğer gerçekten gerekiyorsa bunları kullanabilirsiniz.

Şahsen ben / etc / hosts içinde bir ip için bir hostname atar ve sonra iptables içinde kullanın.

Bu şekilde sen

1. Güvenlik Duvarı kurallarınızı harici bir varlığa yüklemeyin
2. Bakımı kolay iptables