Как защитить linux-сервер при помощи фаерволла?

Question

[Искатель]

Здравствуйте! Подскажите, пожалуйста, как должен быть правильно настроен фаерволл, чтобы защитить сервер, круглосуточно подключённый к Интернет. Вот скрипт, загружающего фаерволл на моём сервере:

#!/bin/sh
## Очистка таблиц
iptables -t filter -F
iptables -t filter -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X

## Отфильтровывание пакетов с локальным адресом
iptables -t filter -A INPUT -i eth0 -s 192.168.0.0/16 -j DROP
iptables -t filter -A INPUT -i eth0 -s 172.16.0.0/12 -j DROP
iptables –t filter –A INPUT –i eth0 –s 10.0.0.0/8 –j DROP

## Отфильтровывание пакетов на широковещательный адрес
iptables –t filter –A INPUT –i eth0 –d 255.255.255.255 –j DROP

## Разрешить lo и внутреннюю сеть
iptables -t filter -A INPUT -i lo -j ACCEPT
iptables -t filter -A INPUT -i eth1 -j ACCEPT

## Разрешить icmp
iptables –t filter -A INPUT -i eth0 -p icmp -j ACCEPT

## Закрытие портов входящих соединений, кроме ssh
iptables –t filter -A INPUT -i eth0 -p udp -m state –state RELATED,ESTABLISHED -j ACCEPT
iptables –t filter -A INPUT -i eth0 -p tcp -m state –state RELATED,ESTABLISHED -j ACCEPT
iptables –t filter -A INPUT -i eth0 -p tcp –dport 22 -j ACCEPT

## Всё остальное запретить
iptables -t filter -A INPUT -j DROP

Закрытия портов и отфильтровывания широковещательных и локальных пакетов недостаточно? Слышал, что нужно также фильтровать фрагментированые icmp-пакеты и что-то ещё. Подскажите, чего не хватает.

Comments

[merlin-vrn]

От чего именно вы защищаетесь?

Например, есть подозрение, что правило iptables –t filter –A INPUT –i eth0 –d 255.255.255.255 –j DROP у вас не сработает никогда, а если бы такой пакет и пришёл, он не принёс бы никакого вреда. Вот вы его вставили — вы понимаете, что от этого изменилось?

Answer 1

[Sergey]

Вопрос как-то некорректно задан. Какие задачи сервер выполняет-то? Какие риски?
Можно и вообще без фаервола обойтись в некоторых случаях, если уж на то пошло, достаточно просто не «светить» лишними портами наружу, правильно настраивая директиву listen в конфигах служб/сервисов.

Answer 2

[miwa]

Вопрос не совсем корректный, как уже сказали. Что вообще должен делать сервер, кроме того, чтобы круглосуточно смотреть в интернет? На него кто-то должен заходить? Кто, откуда, куда (в смысле, какими службами сервера пользоваться)? С другой стороны, разрешать любой трафик изнутри сети в наше непростое время — тоже довольно легкомысленно. Если уж вы опасаетесь атаки извне, где гарантия, что не будет атакована сначала машина в локалке, а уже через нее — ваш сервер?

А еще много от дистрибутива зависит. Каждый популярный дистрибутив предлагает рекомендации по увеличению собственной безопасности — погуглите по словосочетанию «distro hardening|securing»

Comments

[Искатель]

Да, про задачи я не сказал. Шлюз интернета плюс samba-сервер для локалки. В локалке пользователей около 50.

[miwa]

Если на сервер не предполагается входить извне, то и ssh наружу разрешать незачем. И если для локалки только самба-сервер, то и кроме 137-139, да 445 портов (ничего не забыл?) изнутри тоже разрешать нечего. Разве что ssh (или как сервером предполагается управлять?).

Плюс отдельно рекомендовал бы почитать о настройке самбы, особенно в связке с антивирусом.

Answer 3

[kyzia]

Не пользуйтесь скриптом!

Пользуйтесь iptables-save, iptables-restore.
В случае использования скрипта — у вас будет пропадать сеть на пару минут при добавлении нового правила.

Comments

[Искатель]

Пользовался и тем и другим способом. Использую дистрибутив Debian, в котором сеть управляется демоном networking, скрипты выполняющиеся при поднятии сети лежат в /etc/network/if-up.d. iptables-restore клал в if-up.d iptables-save — в if-down.d. Но после того как save-файл у меня пару раз был случайно затёрт перешёл на единый скрипт загрузки, который кладу в if-up.d.

[kyzia]

Случайно затерт ?) Вы точно так же можете случайно затереть скрипт. Просто храните файл для iptables-restore где-нибудь не в стандартном месте. А оттуда уже подгружайте скриптом с помощь iptables-restore. Хотя бы и из rc.local

Повторюсь, в вашем случае, любое добавление правил начинается с удаления всех цепочек во всех таблицах. Это сбой.

Пользуйтесь iptables-restore, зачем изобретать велосипеды в виде скриптов? Ее(программу) же специально написали именно для этого. И механизм ее работы такой, что она не флашит таблицы — сбоев по соединениям не будет. А если будет ошибка — она ругнется и не будет вносить изменения.