Хороші правила запуску iptables для веб-сервера?

Встановлюю новий сервер centos 5.4, і я хотів би мати набір чистих правил для запуску mu iptables.

З яких добрих правил слід почати?

Це хороша відправна точка:

# Allow outgoing traffic and disallow any passthroughs

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

# Allow traffic already established to continue

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Allow ssh, ftp and web services

iptables -A INPUT -p tcp --dport ssh -i eth0 -j ACCEPT
iptables -A INPUT -p tcp --dport ftp -i eth0 -j ACCEPT
iptables -A INPUT -p udp --dport ftp -i eth0 -j ACCEPT
iptables -A INPUT -p tcp --dport ftp-data -i eth0 -j ACCEPT
iptables -A INPUT -p udp --dport ftp-data -i eth0 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -i eth0 -j ACCEPT

# Allow local loopback services

iptables -A INPUT -i lo -j ACCEPT

# Allow pings

iptables -I INPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
iptables -I INPUT -p icmp --icmp-type source-quench -j ACCEPT
iptables -I INPUT -p icmp --icmp-type time-exceeded -j ACCEPT

Для чого це правило:

iptables -A INPUT -p tcp --dport domain -i eth0 -j ACCEPT

ОНОВЛЕННЯ:

Це буде веб-сервер з FTP (обов'язково), apache, SSH, mysql.

Ваші правила IPTables, здається, найбільше підходять для вашого сервера. Але я б запропонував кілька можливих змін:

• Якщо вам не потрібно дозволити доступ до SSH, MySQL та FTP з усього Інтернету, було б набагато безпечніше використовувати параметр "- джерело" для обмеження доступу до цих портів лише з певних затверджених IP-адрес. Наприклад, щоб дозволити доступ SSH лише з IP-адреси 71.82.93.101, ви б змінили 5-е правило на 'iptables -A INPUT -p tcp --dport ssh --source 71.82.93.101 -i eth0 -j ACCEPT'. Можливо, вам потрібно буде додати окреме правило для кожної окремої IP-адреси, яку ви хочете дозволити, див. Це питання для отримання додаткової інформації про це: iptables декілька джерел IP-адрес .

• Якщо на цій машині не працює DNS-сервер, ви, ймовірно, захочете заблокувати доступ до порту 'домен' (53). Для цього просто видаліть рядок 'iptables -A INPUT -p tcp --dport домен -i eth0 -j ACCEPT'. (Це також повинно відповісти на ваше остаточне запитання, BTW.) Якщо ви фактично працюєте з сервером DNS, залиште це правило на місці.

• Якщо вам потрібно дозволити віддалений доступ клієнта MySQL через мережу, вам потрібно буде додати рядок 'iptables -A INPUT -p tcp --dport 3306 -i eth0 -j ACCEPT', щоб відкрити зовнішній доступ до стандартного порту MySQL . Але НЕ робіть цього, якщо це справді не потрібно - якщо вам потрібен лише локальний доступ до MySQL (для програми PHP, що працює під Apache, скажімо), вам не потрібно надавати віддалений доступ до MySQL. І якщо ви не хочете ризикувати злому, якщо ви відкриєте порт 3306 в мережу, переконайтеся, що вам потрібні надійні паролі для всіх облікових записів користувачів MySQL та що ваші пакети серверів MySQL оновлені.

• В одному з ваших коментарів ("Дозволити ssh, dns, ldap, ftp та веб-сервіси") згадуються служби LDAP, але такого правила у вашій конфігурації немає. Це трапляється зі мною багато, коли я копіюю приклад конфігурації та модифікую її. Це не вплине на функцію, але я б виправив коментар, оскільки оманливі коментарі можуть спричинити опосередковано, заплутавши вас або іншого адміністратора в майбутньому.

На мій досвід, важко придумати ідеальний набір правил IPTables, але я думаю, що ти точно на вірному шляху. Крім того, удачі в довіданні більше про IPTables - ці правила спочатку можуть здатися складними, але це дуже корисна навичка для будь-якого Linux-системи.

Однозначно дивись, щоб також обмежити вихідний трафік.

Я бачив безліч випадків, коли PHP використовує результат, коли хтось використовує 'curl' або 'wget' для отримання шкідливого коду з інших місць, а потім виконує його на своєму сервері, щоб приєднатися до ботнету.

Якщо ви не очікуєте, що Apache (як приклад) повинен самостійно поговорити з іншими веб-сайтами, обмежте трафік і заощадите собі трохи болю!

Ці правила готові до імпорту через "iptables-Resto":

*filter
:INPUT DROP [20:2036]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [93:16260]
-A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT -m comment --comment "allow ICMP: echo-reply"
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT -m comment --comment "allow ICMP: echo-request"
-A INPUT -p icmp -m icmp --icmp-type 3 -j ACCEPT -m comment --comment "allow ICMP: destination-unreachable"
-A INPUT -p icmp -m icmp --icmp-type 4 -j ACCEPT -m comment --comment "allow ICMP: source-quench"
-A INPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT  -m comment --comment "allow ICMP: time-exceeded"
-A INPUT -i lo -j ACCEPT -m comment --comment "allow input from the loop-back adapter"
-A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT -m comment --comment "allow SSH: ssh"
-A INPUT -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT -m comment --comment "allow DNS: domain"
-A INPUT -i eth0 -p tcp -m udp --dport 53 -j ACCEPT -m comment --comment "allow DNS: domain"
-A INPUT -i eth0 -p tcp -m tcp --dport 21 -j ACCEPT -m comment --comment "allow FTP: ftp"
-A INPUT -i eth0 -p udp -m udp --dport 21 -j ACCEPT -m comment --comment "allow FTP: ftp"
-A INPUT -i eth0 -p tcp -m tcp --dport 20 -j ACCEPT -m comment --comment "allow FTP: ftp-data"
-A INPUT -i eth0 -p udp -m udp --dport 20 -j ACCEPT -m comment --comment "allow FTP: ftp-data"
-A INPUT -i eth0 -p tcp -m tcp --dport 3306 -j ACCEPT -m comment --comment "allow MariaDB/MySQL: mysql"
-A INPUT -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT -m comment --comment "allow HTTP (apache/nxing/lighttpd)"
-A INPUT -i eth0 -p tcp -m tcp --dport 443 -j ACCEPT -m comment --comment "allow HTTPS (apache/nxing/lighttpd)"
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT  -m comment --comment "allow already established connections"
COMMIT

І лише для запису ... ці політики за замовчуванням також повинні бути встановлені, якщо вищевказані iptables-відновлення не використовуються:

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

Чому ви дозволяєте ftp та dns? Чи надає ваш сервер ці послуги? FTP насправді не слід використовувати, за винятком деяких дуже конкретних випадків використання, замість цього використовуйте SFTP (не FTPS). Крім того, навіщо вказувати всі інші порти символічними іменами, а http - числовими 80? Ви просто скопіювали це з іншого місця? Жодне копіювання та поради не збирається компенсувати нерозумінням. Переконайтеся, що ви розумієте TCP, IP, брандмауері та протоколи служб, які збираєтеся надавати.