Файрволы являются неотъемлемой частью безопасности любой операционной системы, включая Linux. Они функционируют как барьер между Вашей системой и внешним миром, контролируя входящий и исходящий сетевой трафик в соответствии с заранее определенными правилами безопасности. В Linux существует несколько инструментов для управления файрволами, каждый из которых имеет свои особенности и сферы применения.

Настройка файрволов является критическим аспектом защиты серверов и рабочих станций Linux от несанкционированного доступа, различных типов атак и потенциальных уязвимостей. Правильно настроенный файрвол позволяет ограничить доступ к Вашей системе, разрешая только авторизованный трафик и блокируя все остальное.

В контексте Linux файрволы обычно работают на уровне ядра, влияя непосредственно на сетевой стек операционной системы. Это обеспечивает высокую эффективность и производительность при фильтрации сетевого трафика, что особенно важно для высоконагруженных серверов и систем с ограниченными ресурсами.

Сравнительная характеристика файрволов Linux

IPTables

IPTables является традиционным и универсальным инструментом для настройки файрвола в Linux, который непосредственно взаимодействует с функциями фильтрации пакетов ядра Linux (Netfilter).

Базовые команды IPTables

Просмотр текущих правил:

sudo iptables -L -v -n

Отображение всех правил:

Просмотр правил с номерами строк:

sudo iptables -L --line-numbers

Просмотр правил для конкретной таблицы:

sudo iptables -t nat -L -v

Добавление правила: разрешение входящего SSH соединения:

sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

Добавление правила с ограничением IP-адреса:

sudo iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT

Блокировка всех других входящих соединений:

sudo iptables -A INPUT -j DROP

Добавление правила в начало цепочки:

sudo iptables -I INPUT 1 -p tcp --dport 80 -j ACCEPT

Удаление правила по номеру:

sudo iptables -D INPUT 3

Удаление правила по содержанию:

sudo iptables -D INPUT -p tcp --dport 80 -j ACCEPT

Сохранение правил (Debian/Ubuntu):

sudo netfilter-persistent save

Сохранение правил (CentOS/RHEL):

sudo service iptables save

Пример базовой конфигурации

Очистка всех правил:

sudo iptables -F

Установка политики по умолчанию:

sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT

Разрешение локальных соединений:

sudo iptables -A INPUT -i lo -j ACCEPT

Разрешение установленных соединений:

sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Разрешение SSH:

sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

Разрешение HTTP и HTTPS:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Разрешение ICMP (ping):

sudo iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

Логирование и блокировка всех других соединений:

sudo iptables -A INPUT -j LOG --log-prefix "IPTables-Dropped: "
sudo iptables -A INPUT -j DROP

Расширенные возможности IPTables

Лимитирование количества новых соединений:

sudo iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m limit --limit 3/minute --limit-burst 3 -j ACCEPT

Блокировка определенных IP-адресов:

sudo iptables -A INPUT -s 10.0.0.5 -j DROP

Настройка переадресации портов:

sudo iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 8080

Настройка NAT для доступа внутренней сети к внешней:

sudo iptables -t nat -A POSTROUTING -o eth0 -s 192.168.1.0/24 -j MASQUERADE

UFW (Uncomplicated Firewall)

UFW является надстройкой над IPTables, разработанной для упрощения управления файрволом. Он чаще всего используется в дистрибутивах на базе Ubuntu и Debian. UFW был создан с целью обеспечить легкий в использовании интерфейс, который скрывает сложности IPTables, сохраняя при этом его мощность.

Основные команды UFW

Установка UFW:

sudo apt install ufw

Активация UFW:

sudo ufw enable

Отключение UFW:

sudo ufw disable

Проверка статуса:

sudo ufw status verbose

Результат проверки статуса:

Настройка политик по умолчанию:

sudo ufw default deny incoming
sudo ufw default allow outgoing

Разрешение сервиса по названию:

sudo ufw allow ssh

Разрешение порта по номеру:

sudo ufw allow 80/tcp

Разрешение диапазона портов:

sudo ufw allow 6000:6007/tcp

Блокировка порта:

sudo ufw deny 23/tcp

Отклонение запросов с сообщением:

sudo ufw reject 80/tcp

Удаление правила:

sudo ufw delete allow 80/tcp

Разрешение доступа для конкретного приложения из профилей:

sudo ufw app list
sudo ufw allow 'Nginx Full'

Использование числовых порядковых номеров

Просмотр правил с номерами:

sudo ufw status numbered

При вводе команды Вы увидите список правил и их номера:

Удаление правила по номеру:

sudo ufw delete 2

Определение дополнительных параметров

Разрешение доступа с определенного IP-адреса:

sudo ufw allow from 192.168.1.100

Разрешение доступа к определенному порту с определенного IP-адреса:

sudo ufw allow from 192.168.1.100 to any port 22

Разрешение доступа с определенной подсети:

sudo ufw allow from 192.168.1.0/24

Разрешение доступа с определенной подсети к определенному порту:

sudo ufw allow from 192.168.1.0/24 to any port 3306

Разрешение доступа через определенный интерфейс:

sudo ufw allow in on eth1 to any port 80

Настройка переадресации портов (требует дополнительных настроек):

sudo ufw route allow proto tcp from any to any port 80

Включение логирования:

sudo ufw logging on
sudo ufw logging medium

FirewallD

FirewallD — это современный фреймворк управления файрволом, который является стандартным для дистрибутивов на базе Red Hat (RHEL, CentOS, AlmaLinux, RockyLinux). Он использует концепцию зон и сервисов для упрощения управления.

Зоны являются центральным понятием в FirewallD и представляют различные уровни доверия для сетевых соединений. Каждую зону можно настроить с помощью собственного набора правил брандмауэра, а сетевые интерфейсы можно назначить определенным зонам в соответствии с их потребностями в безопасности. Это позволяет легко управлять различными сетевыми средами с одной системы.

Базовое управление FirewallD

Прежде чем начать настройку правил брандмауэра, важно уметь проверять текущее состояние системы и осуществлять базовое управление FirewallD. Это позволяет администратору понимать имеющуюся конфигурацию и эффективно вносить изменения.

Проверить, запущена ли служба FirewallD:

sudo firewall-cmd --state

Если служба запущена, Вы увидите надпись running:

Проверить версию FirewallD:

sudo firewall-cmd --version

Получить список всех доступных зон в системе:

sudo firewall-cmd --get-zones

Просмотреть активные зоны вместе с привязанными интерфейсами:

sudo firewall-cmd --get-active-zones

Детально исследовать настройки конкретной зоны:

sudo firewall-cmd --zone=public --list-all

Для полного аудита системы можно просмотреть все зоны вместе с их настройками:

sudo firewall-cmd --list-all-zones

Просмотр всех зон с настройками:

Управление сервисами и портами. FirewallD использует концепцию “сервисов” для удобного управления доступом к стандартным программам. Просмотр доступных сервисов:

sudo firewall-cmd --get-services

Проверить, какие сервисы разрешены в конкретной зоне:

sudo firewall-cmd --zone=public --list-services

Добавить разрешение для сервиса на постоянной основе:

sudo firewall-cmd --zone=public --add-service=http --permanent

Для временного тестирования можно добавить сервис без параметра --permanent:

sudo firewall-cmd --zone=public --add-service=https

Удалить разрешение для сервиса:

sudo firewall-cmd --zone=public --remove-service=http --permanent

Для нестандартных программ можно разрешить доступ по номеру порта:

sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent

Удалить разрешение для порта:

sudo firewall-cmd --zone=public --remove-port=8080/tcp --permanent

После внесения изменений необходимо применить их:

sudo firewall-cmd --reload

Расширенные настройки и управление зонами

FirewallD предоставляет гибкие возможности для конфигурации сетевой безопасности, позволяя создавать сложные правила для различных сетевых сред.

Настройка зон и интерфейсов. Установить зону по умолчанию для всех новых подключений:

sudo firewall-cmd --set-default-zone=home

Привязать сетевой интерфейс к конкретной зоне:

sudo firewall-cmd --zone=trusted --add-interface=eth0 --permanent

Удалить интерфейс из зоны:

sudo firewall-cmd --zone=trusted --remove-interface=eth0 --permanent

Узнать, к какой зоне принадлежит интерфейс:

sudo firewall-cmd --get-zone-of-interface=eth0

Для специфических потребностей можно создать собственную зону:

sudo firewall-cmd --permanent --new-zone=myzone
sudo firewall-cmd --reload

Настройка сервисов и расширенных правил. Получить детальную информацию о сервисе:

sudo firewall-cmd --info-service=http

Создать собственный сервис для нестандартной программы:

sudo firewall-cmd --permanent --new-service=myservice
sudo firewall-cmd --permanent --service=myservice --set-description="My Custom Service"
sudo firewall-cmd --permanent --service=myservice --add-port=12345/tcp
sudo firewall-cmd --reload

Для более сложных сценариев сетевого взаимодействия FirewallD поддерживает маскарадинг (NAT) и пересылку портов:

sudo firewall-cmd --zone=external --add-masquerade --permanent

Проверить состояние маскарадинга для зоны:

sudo firewall-cmd --zone=external --query-masquerade

Настроить переадресацию портов в рамках одного сервера:

sudo firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toport=8080 --permanent

Переадресовать трафик на другой хост:

sudo firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=192.168.1.10 --permanent

Расширенные правила и безопасность

Для реализации сложных политик сетевой безопасности FirewallD поддерживает так называемые “rich-правила”, которые предоставляют максимальную гибкость при настройке.

Добавить правило для разрешения HTTP-доступа с конкретного IP-адреса:

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.10" service name="http" accept' --permanent

Заблокировать доступ с определенного IP-адреса:

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.10" reject' --permanent

Ограничить количество входящих соединений для повышения безопасности:

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" service name="http" accept limit value="5/m"' --permanent

Вывод

Файрволы Linux предоставляют удобные инструменты для защиты Ваших систем от несанкционированного доступа и сетевых атак. Выбор конкретного инструмента зависит от Ваших потребностей, уровня опыта и используемого дистрибутива Linux.

IPTables остается лучшим низкоуровневым инструментом для опытных администраторов, UFW предлагает упрощенный интерфейс для базовых потребностей, а FirewallD обеспечивает баланс между простотой и функциональностью с поддержкой динамического управления.

Независимо от выбранного инструмента, важно соблюдать лучшие практики безопасности и регулярно обновлять конфигурацию файрвола в соответствии с меняющимися требованиями безопасности и потребностями Вашей инфраструктуры.