Linux & OpenSource

🔥Secure your linux Network with firewall-cmd

شبکه لینوکس خود را ایمن کنید با firewall-cmd
@uselinux
فایروال ها از قسمت های اساسی امنیت شبکه محسوب میشوند و برای سیس ادمین ها لازم است که کار با آن را بدانند

@uselinux
پورت ها :
پورت ها شاهراه های ارتباطی برای دیتا تایپ های مختلف است (هنوز کسی نمیدونه چرا اسمشو گذاشتن پورت:D)

یک سری پورت های عمومی و رایج( بیشتر convention هست) :
پورت 80 ترافیک http
پورت 443 ترافیک https
پورت 21 برای پروتکل FTP
پورت 22 برای SSH
@uselinux
و اما اینترفیس firewall-cmd
ممکن است شما در اکوسیستم - سرور ها - مودم فایروال استفاده کنید
و همچنین فایروال های گوناگون . کانفیگ های گوناگونی دارند
@uselinux
این پست درباره firewall-cmd است که در بیشتر توزیع های لینوکسی یافت میشود
((روی اوبونتو اکثرا نیست . میتونید با دستور:

apt install firewalld

نصب کنید))
@uselinux
دستور firewall-cmd یک ابزار فرانتی برای منیج کردن firewalld هست .. که یک اینترفیس بر روی netfilter کرنل لینوکس هست.
@uselinux
قبل از اکتیو کردن فایروال - firewall-cmd هیچ کنترلی بر روی هیچ چیز ندارد . پس ابتدا برای اکتیو کردن :

sudo systemctl enable --now firewalld

@uselinux
این دستور فایروال رو اکتیو میکند و در حالت auto-load در هربار ریبوت سیستم قرار میدهد(همون deamon تو systemd)

💥تقریبا همه چیز را بلاک کنید!
@uselinux
در استفاده از فایروال ها ابتدا همه چیز را ببندید و بعد صرفا پورت هایی ک نیاز دارید رو باز کنید
(پورت 53 رو حتما باز بزارید اگه DNS دارید)
@uselinux
بالاتر لیست پورت های دیفالت پروتکل های مهم رو لیست کردیم . (بهتره از پورت دیفالت تغییرشون بدید. مثل SSH)
ا firewall-cmd از zone استفاده میکنه برای منیج .. که به حد زیادی تو وقت و اعصاب :D شما صرفه جویی میکنه برای کانفیگ
@uselinux
برای اینکه zone های سیستم رو ببینیم:

sudo firewall-cmd --get-zones

برای دیدن چیز هایی ک بلاک نشدن :

sudo firewall-cmd --zone work --list-all

یکی از zone های لیست شده رو برای شروع انتخاب کنید . یا یه zone جدید بسازید

ایجاد zone جدید:

sudo firewall-cmd --new-zone uselinux --permanent

@uselinux
تو دستور بالا من zoneای به اسم uselinux ساختم

فلگ --permannet برای persistency هست (روی دیسک ذخیره میشه و موقع ریبوت از بین نمیره)

الان zone شما اکتیو هست
قبل از هرکاری اول ssh رو به زون خودتون اضافه کنید تا بتونید ریموت اکسس رو داشته باشید :)
@uselinux

sudo firewall-cmd --zone uselinux --add-service ssh --permanent

الان zone شما فعال و همه چیز بجز ssh رو reject میکنه

بصورت دیفالت به هیچ اینترفیس نت ورکی متصل نیست

برای تغییر اینترفیس نت ورک :

firewall-cmd --change-interface ens3 --zone uselinux --permanent

با قرار دادن zone دیفالت به uselinux تمام کامند های آتی به uselinux مربوط خواهند بود مگر با فلگ --zone مشخص کنیم که به کدام zone میخاییم تغییر دهیم . و بسته به هدف و برنامه شما دارد
برای انجام اینکار:
@uselinux

sudo firewall-cmd --set-default uselinux

برای مشاهده zone ها و اینترفیس های متصل بهشون :

sudo firewall-cmd --get-active-zones``

با صحنه ای مشابه زیر:D مواجه میشید:

uselinux
  interfaces: ens3
work
  interfaces: ens4

@uselinux
افزودن و حذف سرویس ها به فایروال:
برای دیدن سرویس های تعریف شده دستور زیر :

sudo firewall-cmd --get-service

فرض کنید میخواهید وب سروری مثل httpd بر روی ردهت یا فدورا (همون apache2 خودمون رو اوبونتو و دبیان)‌ ران کنیم
"نصب روی رو ردهت"

sudo dnf install httpd
sudo systemctl --enable --now httpd

سپس تست میکنیم وب سرور رو:

curl --silent localhost:80 | grep title

و خروجی:

<title>Test Page for the Apache HTTP Server on Red Hat Enterprise Linux</title>

خب کانکشن لوکال برقرار بود |
حالا کانکشن از بیرون:

curl --connect-timeout 3 192.168.122.206

خروجی:

curl: (28) Connection timed out after 3001 milliseconds

@uselinux
همونطور ک میبینید کانکشن fail شد .
برای اینکه ترافیک HTTP رو مجوز عبور از فایروال بدید بصورت عمل میکنید:

sudo firewall-cmd --add-service http --permanent
sudo firewall-cmd --reload

دوباره تست میکنیم :

curl --silent 192.168.122.206 | grep title

و در نهایت خروجی به شکل زیر :

<title>Test Page for the Apache HTTP Server on Red Hat Enterprise Linux</title>

حذف کردن سرویس هم به همین ترتیب انجام میشه :

sudo firewall-cmd --remove-service http --permanent
sudo firewall-cmd --reload

@uselinux
ادامه 👇🏻👇🏻👇🏻👇🏻

1K views(mehdi j) salvador_immortal🎩 + CLI, edited 10:27