iptables, tường lửa Linux tiêu chuẩn, không lưu quy tắc giữa các lần khởi động lại. Bạn phải tự chăm sóc điều này. Có rất nhiều cách để làm điều này. Cách kinh điển để làm điều này là gì? Thực hành tốt nhất là gì?
Tôi sẽ trả lời với giải pháp của riêng tôi, nhưng tôi quan tâm đến các giải pháp khác / tốt hơn.
Câu trả lời:
Dưới đây là một số quy tắc ví dụ. Lưu chúng vào /etc/iptables.rules
# Generated by iptables-save v1.3.6 on Wed Oct 24 17:07:29 2007
*filter
:INPUT ACCEPT [89458:132056082]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [263904:15667452]
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7
-A INPUT -j DROP
COMMIT
# Completed on Wed Oct 24 17:07:29 2007
thêm dòng này vào cuối / etc / mạng / giao diện
pre-up iptables-restore < /etc/iptables.rules
Chúng tôi sử dụng rất nhiều quy tắc iptables , vì vậy để dễ dàng quản trị, chúng tôi thực hiện như sau:
Tôi không biết liệu đây có phải là cách tốt nhất để làm việc này không, nhưng nó đã hoạt động tốt với chúng tôi.
Mặc dù đúng là phụ thuộc vào môi trường và nền tảng, tôi đã thấy hai cách tiếp cận tốt, tùy thuộc vào nền tảng:
RHEL / CentOS: lưu trữ tất cả các quy tắc trong một tệp / etc / sysconfig / iptables được đọc bởi tập lệnh khởi động iptables.
Debian / Ubuntu: lưu trữ tất cả các quy tắc trong các tệp dành riêng cho dịch vụ trong thư mục /etc/iptables.d/. Ví dụ: /etc/iptables.d/port_http, /etc/iptables.d/port_dns, trong đó port_service ánh xạ tới tên dịch vụ trong / etc / services.
Trong cả hai trường hợp, tệp hoặc tệp được quản lý bởi một công cụ cấu hình như Chef hoặc Puppet và được đọc bởi tập lệnh khởi động 'chính' cho iptables chạy khi khởi động.
Ngoài iptables-save(và iptables-restore), các chương trình tường lửa phức tạp được xử lý tốt hơn với các chương trình chuyên dụng. Ví dụ: chúng tôi đã sử dụng shorewall("iptables được thực hiện dễ dàng") để định cấu hình iptables.
Các công cụ đơn giản hơn cũng có sẵn, như Firestarter và kmyfirewall .
Điều này phụ thuộc vào phân phối bạn sử dụng. Một số bản phân phối, đặc biệt là các bản phân phối dựa trên bản phân phối Red Hat giữ các quy tắc iptables tự động nhưng trong thư mục đặc biệt của riêng nó. Tôi quen thuộc nhất với RHEL và các quy tắc iptables có thể được tìm thấy tại / etc / sysconfig / iptables. Làm quen với cú pháp quy tắc iptables lúc đầu có thể khó khăn nhưng khá dễ dàng một khi bạn nắm bắt được nó.
Trang web netfilter có rất nhiều tài liệu về iptables bao gồm một số giới thiệu. Nếu bạn muốn đọc một chút, bạn có thể tìm thấy rất nhiều thông tin tốt ở đây: http://www.netfilter.org/documentation/
Câu hỏi này rất gần với một bản sao của 4934 và nó có liên quan đến 397 .
Tôi sử dụng firehol kết hợp với giao diện web mà tôi đã phát triển để quản lý tệp cấu hình.
Tôi thực sự thích firehol, nó cung cấp một cú pháp đơn giản hơn sau đó sử dụng iptables trực tiếp.
Chúng tôi sử dụng một init-script tùy chỉnh, tất nhiên. Tôi có thể sử dụng các vòng lặp for để lặp qua danh sách các cổng, phân tích các tệp cấu hình khác như người dùng vpn, v.v ... Tuyệt vời!
Và iptables-restore chắc chắn là cách tiết kiệm "kinh điển" nhất.
Những gì tôi muốn thêm:
Xin lưu ý rằng phiên bản hiện tại của iptables sẽ cho mỗi lần gọi yêu cầu kernel trả lại danh sách đầy đủ các chuỗi. Sau đó, nó sẽ làm cho một thay đổi bạn yêu cầu nó làm. Sau đó, nó sẽ tải lên danh sách một lần nữa.
Đây là chậm (O (n ^ 2)), đối với chúng tôi, nó cần 5 giây, quá dài ;-)
Nếu bạn sử dụng iptables-restore, tất cả sẽ diễn ra trong một thao tác nhanh.