Роблячи iptables простішими в обслуговуванні

Моя мережа повністю заблокована, за винятком кількох сайтів, які містяться у списках. Все це робиться через iptables, який виглядає приблизно так:

# Allow traffic to google.com
iptables -A zone_lan_forward -p tcp -d 1.2.3.0/24 -j ACCEPT
iptables -A zone_lan_forward -p udp -d 1.2.3.0/24 -j ACCEPT
iptables -A zone_lan_forward -p tcp -d 11.12.13.0/24 -j ACCEPT
iptables -A zone_lan_forward -p udp -d 11.12.13.0/24 -j ACCEPT
iptables -A zone_lan_forward -p tcp -d 101.102.103.0/24 -j ACCEPT
iptables -A zone_lan_forward -p udp -d 101.102.103.0/24 -j ACCEPT
...

Очевидно, ці адреси гіпотетичні, але ви розумієте. Мій брандмауер стає величезним. Було б набагато простіше в обслуговуванні, якби я міг просто так:

# Allow traffic to google.com
iptables -A zone_lan_forward -p tcp -d google.com -j ACCEPT
iptables -A zone_lan_forward -p udp -d google.com -j ACCEPT

Я вважаю, що це можливо, оскільки man iptablesговорить:

Адреса може бути як мережевим іменем, ім'ям хоста (зауважте, що вказати будь-яке ім'я, яке слід вирішити за допомогою віддаленого запиту, наприклад, DNS - це дійсно погана ідея), мережеву IP-адресу (з / маскою) або звичайну IP-адресу.

Але мене турбує частина, в якій сказано: "Вказання будь-якого імені, яке слід вирішити за допомогою ... DNS - це дійсно погана ідея". Чому це погана ідея? Це просто сповільнює все?

Якщо я дійсно не повинен використовувати імена хостів у правилах iptables, то що мені робити для спрощення брандмауера?

• Імена DNS вирішуються, коли правила додаються, а не під час перевірки пакетів. Це порушує очікування більшості людей.
  • Правило не оновлюється для відображення змінених результатів DNS. Він вирішується, коли додається, і це все. Вам потрібно буде періодично перезавантажувати правила, інакше деякі веб-сайти можуть порушитися.
• Проблема безпеки полягає в тому, що ви в основному делегуєте контроль над правилами брандмауера зовнішньому об'єкту.
  • Що робити, якщо ваш батьківський DNS-сервер порушений і повертає неправдиві дані.

Якщо ваша мета - блокувати доступ до HTTP, вам зазвичай набагато краще створити програмне забезпечення, призначене для фільтрації на цьому рівні (наприклад, кальмар + squidquard).

Якщо ви використовуєте імена хостів у брандмауері, то ваш брандмауер тепер залежить від DNS. Це відкриває брандмауер для низки питань:

• Пошук DNS при великих обсягах може спричинити затримку.
• Зміни DNS не розповсюджуються миттєво. Таким чином, ваш брандмауер може використовувати кешовані IP-адреси.
• DNS може бути підробленим, викраденим, зламаним.
• DNS може вийти з ладу - це означає, що ваш брандмауер не працює.
• Ваші правила брандмауера тепер контролюються третьою стороною.

Якщо ви використовуєте імена хостів і не керуєте DNS, то хтось інший ефективно керує вашими правилами IPtables. Помилки, помилки чи проблеми із безпекою на їхньому шляху стають для вас проблемами.

Єдиний раз, коли я бачив імена хостів, які добре використовуються, це внутрішні операції. Я працював в офісі, де IP-адреси та імена хостів призначалися через DHCP. Брандмауери використовували імена хостів для встановлення бар'єрів між різними групами. Оскільки це все контролювалося внутрішньо, він працював добре.

Ви можете використовувати обгортку навколо iptables, наприклад, берегової стіни, щоб зробити ваші правила легшими для зберігання.

Як уже говорили інші, ви не повинні використовувати дозволені імена DNS у правилах iptables. Вони неточні, контролюються сторонніми сторонами і, як правило, погані речі (tm). Я також додаю, що ваш DNS може вийти з ладу або бути недоступним під час запуску послуги iptables. У такому випадку правило взагалі не буде додано, і можуть виникнути цілі нові проблеми (наприклад, втрата ssh доступу після перезавантаження).

Що ви можете зробити:

1. Використовуйте спеціальні ланцюги, щоб логічно розділити правила
2. Використовуйте ipsets, щоб адреси були згруповані та відокремлені від правил
3. Додайте коментарі до правил

Також ніхто не сказав нічого поганого про імена хостів, які не вирішені DNS (тобто вказані в hosts. Ви можете використовувати їх, якщо вам справді потрібно.

Я особисто присвоюю ім’я хоста ip вручну в / etc / hosts, а потім використовую його в iptables.

Таким чином ви

1. Не завантажуйте свої правила брандмауера на зовнішні об'єкти
2. Мають легко ремонтувати iptables