הגדרת FirewallD
--permanent חל רק עד הטעינה מחדש, ולכן צריך לשמור כל שינוי קבוע.firewall-cmd --state, firewall-cmd --get-default-zone, firewall-cmd --get-active-zonesfirewall-cmd --zone=external --add-masquerade --permanentfirewall-cmd --zone=public --add-service=ssh --permanentfirewall-cmd --reloadמבנה ושמות דיסקים ומחיצות בלינוקס:
הוכן ע"י התלמיד המצטיין: אברהים אבו שיכה
פרקי ההרצאה: הגדרת FirewallD
תמלול ההרצאה: הגדרת FirewallD
הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת FirewallD» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, בהרצאה הזאת אנחנו נלמד על FireWall-D ונדבר על IP-Tables ואיך להפוך את המחשב שלי לראוטר אבל נתחיל מהדבר מאוד מאוד חשוב, מה ההבדל בין FireWall-D ל-IP-Tables זה נושא מאוד מעניין, FireWall-D זאת מערכת חדשה שבאה להחליף IP-Table Services שימו לב Services, אבל לא IP-Tables Command וזה משהו מאוד מאוד
מבלבל בואו נתחיל מההתחלה יש קרנל שיש שם פילטר שאפשר לקנפג אותו עם פקודות של IP טייבלס סביב הפקודות של IP טייבלס בנו סרוויס שעולה עם מערכת ההפעלה ומוריד לו את הפקודות כשהסרוויס עולה אז במקום הסרוויס הזה שמנהל על ידי הפקודות של IP טייבלס את מערכת ההפעלה עשו סרוויס חדש הרבה
יותר טוב שנקרא FireWall-D יש לו גם ממשק גרפי שנקרא FireWall-Config וגם ממשק CLI FireWall-CMD ולמעשה היום כל המערכות עובדות עם FireWall-D היתרון הכי גדול של FireWall-D על פני IP-Table סרוויס שהוא לא צריך לעשות כל שינוי שלו לא צריך לעשות ריסטארט לכל הסרוויס
ולהפיל את ה-FireWall ולהדליק אותו מההתחלה הוא יודע להפעיל רק את ה... הוא יודע לעדכן את הקונפיגורציה תוך כדי עבודה בלי להפיל את הפיירוול ויש לו מבחינת נוחות שלנו, יש לו גם יתרון גדול שיש לו זונים מה זה זונים? בואו נראה, אני כל כך תצרשת משייך לאיזשהו זון ואומר מה החוקים באותו זון בואו נתחיל מממשק הגרפי של פיירוול קונפיג
ונראה איך אנחנו נתקדם משם אנחנו יכולים ללכת לפה להריץ אותו, ככה להריץ אותו מכאן ויש לנו firewall config וזה הזונים שעוד דקה נדבר עליהם ואפשר להריץ אותו גם מטרמינל firewall config זה אותו דבר אוקיי זה אותו חלון אז תדעו שזה
אותו דבר יפה אז מה אנחנו רואים פה זה משהו שלא היה משהו שלא היה בIP טייבלס המקורי זה למעשה אפשר להגיד של firewall D הוא הוא עוטף את ה-IP טייבלס המקורי ומוסיף לו גם זונים חדשים.
זאת אומרת, הוא משתמש בפאייר, זה מעטפת סביב IP טייבלס המקורי ומשדרג אותו. אז הוא לא מחליף אותו, הוא משדרג אותו. מה שהוא מחליף זה IP טייבלס סרוויסס.
בואו נראה איזה זונים יש לנו. יש לנו זון בלוק. זון בלוק, כל מה שניכנס לזון הזה יימחק. מה זה ייכנס לזון? אתם רואים, יש אצלי הכל בזון שנקרא פאבליק.
בואו נראה מה זה אומר. זה אומר שיש לי פה בתוך הזון הזה כרטיסי רשת. אתם רואים שני כרטיסי רשת שלי שייכים לזון של פאבליק.
אנחנו יכולים לקחת ולהעביר אותם לזונים אחרים. כשאני משייך משהו לזון מסוים, אז למעשה מופעלות עליו חוקים של אותו זון. מה הם החוקים של הזון הזה?
אתם יכולים לראות שבזון הזה מאופשר DHCPv6 Client, בזון שנקרא פאבליק, ומאובשר פורט, פתוח פורט מבחוץ, איזה פורטים פתוחים מבחוץ? אנחנו יכולים לראות פה SSH פתוח מבחוץ זה פורטים שפתוחים מבחוץ להיכנס למחשב שלי כשכרטיס רשת שייך ל-Zone Public אני יכול לפתוח סרוויסים, שמאחורי כל סרוויס
יש כמה פורטים שימו לב מה המשמעות של כל סרוויס, אנחנו רואים כאן אנחנו רואים שסרוויס הזה יש לו שני פורטים ל-DNS יש שני פורטים 53 TCP ו-UDP, אוקיי?
TCP זה לעשות טרנספר לזון ו-UDP זה לעשות שילטות. ל-FTP אנחנו רואים יש 21. זאת אומרת, אנחנו רואים פה כל סרוויס, מהם הפורטים או פרוטוקולים שמוגדרים בשבילו, אוקיי?
אתם יכולים לראות פה דברים שאתם אולי מכירים. יפה, בואו נחזור חזרה. אז כל סרוויס מוגדרים לו פורטים, ואנחנו יכולים פה לפתוח גם פורטים ואנחנו יכולים לעשות מסקר רייד מסקר רייד זה אומר כשיוצאים החוצה דרך כרטיס רשת זה למעשה לעשות נאט לאספות את כתובת ה-IP של כשאני יוצא החוצה אני אצא עם ה-IP של השרת הזה
אוקיי לעשות נאט זה נקרא מסקר רייד עוד מעט אנחנו נעשה את זה פורט פורוורדינג זה לפתוח פורטים אתם בעצם יכולים פה לפתוח פורט ולחסום ICMP, שימו לב, זה חוסם ICMP, default, no limitation, אין מגבלות, וחוקים אקסטרה מורכבים, אוקיי?
ואיזה כרטיסי רשת שייכים לזון הזה, ויש פה לפי, אוקיי. אז בואו עכשיו נעביר את הכרטיס אחד ל-private ואחד ל-public.
בואו נראה מה יש לנו. יש לנו פה שני כרטיסי רשת. בואו נראה מה יש לנו פה. יש לנו פה ctrl l IP address show בגלל שאני בגוי חכם אני רואה שהכרטיס רשת שלי זה הכתובת שלו החיצונית וזה הכתובת הפנימית אז תזכרו ששמונה זה הפנימי וזה החיצוני יפה מאוד בוא נפעיל את הפיירול שלנו אנחנו גם נראה הכל איך
עושים את זה גם בגוי וגם בלי גוי כן אוקיי אז אנחנו הולכים דבר כזה אנחנו באים לפה ואנחנו רוצים להעביר את השמונה, נכון, את השמונה אמרנו, את השמונה, כן, את השמונה ללאן הפנימי, לשייך אותו לחוקים של הלאן הפנימי.
איך אנחנו נעשה את זה? אנחנו באים פה, Change Zones, ואנחנו אומרים לו שאנחנו רוצים להחליף לשמונה את הזון שלו.
הוא אומר, לאיזה זון אתה רוצה? אני אומר לו, אינטרנל, שזה יהיה מבחינתי אינטרנל. ברגע שעשיתי את זה, בפאבליק נשאר רק שלוש, ואינטרנל נדלק, ויש פה את השמונה, מה ההבדל בין אינטרנל לפאבליק?
זה למעשה איזה סרוויסים פתוחים, מה מאושר. זאת אומרת, אני יכול להגיד שלמחשב שלי מותר להתחבר לצורך ל-IPP, זה פרינט, לעשות הדפסות, כן?
כל מה שקשור ל... או שכנים ברשת, M-DNA זה כמו מולטי-קאסט של DNA, זה שכנים ברשת. לדוגמה, בפאבליק אסור לגלות אותי, המחשב שלי לא רוצה שיגלו אותו. וכשהכרטיס רשת משוייך ל-DNS פנימי, לזון הפנימי, אז אפשר. זה גם במייקרוסופט יש. כשאתם מתחברים לרשת חדשה, במייקרוסופט הוא שואל אתכם לאיזה חוקים להפעיל על אותה הרשת.
עכשיו אתם תגידו, בואו נדבר קצת על הרשתות פה. אז תראו, ההבדל ביניהם זה בעצם מה מותר, מה מופעל. אם אני בא לבלוק, אז הכל חסום.
בלוק, הכל חסום. אתם רואים, אין שום דבר שמתחבר אליי. ב-DMZ, נראה לי משהו פה מופעל או משהו מאופשר יש פה סייטים שונים של חוקים אתם יכולים גם לשנות אותם ssh מאופשר בדרופ הכל מבוטל אבל הוא שולח דרופ אקסטרנל שימו לב אקסטרנל הוא דומה מאוד לפאבליק רק ההבדל בין אקסטרנל לפאבליק שיש לו מסקה רייט
כל מי שיוצא דרך האקסטרנל עובר הסוואה מאחורי כתובת הip מה שבפאבליק אין אז פאבליק ואקסטרנל מאוד דומים רק באקסטרנל מופעל המאסקר רייד, עוד מעט אנחנו נעשה את זה ידנית ואחרי זה אנחנו נעשה את זה מכאן.
הום, יש פה יותר דברים שמאופשרים, לדוגמה אתם יכולים לראות פה סאמבה קליינט, זה אומר שיתופים, גם אינטרנל יש פה עוד הרבה דברים מאופשרים, טראסטד, זה הכל מאופשר, אוקיי? כשמשהו נכנס לטראסטד, הכל הכל מאופשר, אני לא יודע איפה זה בגרפי מופיע, אבל תדעו שזה הכל מאופשר, אוקיי? בטראסטד, שזה הכי גבוה.
יפה מאוד, אז בואו תראו מה קורה אם אני משאיר כרטיסי רשת באינטרנל ופאבליק נניח אני רוצה להפוך את המחשב שלי לראוטר בואו נראה איך אנחנו עושים את זה, איך אנחנו הופכים מחשב לראוטר בואו נעשה את זה בשיטה נניח, תראו כאן בשיטה חדשה זה נורא פשוט נעשה את זה בשיטה חדשה אחרי זה בישנה זה לא משנה אנחנו באים ולוקחים את הכרטיס רשת מפאבליק
מעבירים אותו לאקסטרנל יופי העברנו אותו לאקסטרנל יפה ברגע שהעברנו אותו לאקסטרנל בואו נבדוק שזה הכל עובד כמו שצריך בעצם רק שייכתי אותם לרשתות הנכונות בואו נראה אני לא יודע אם זה פעל כמו שצריך בואו נבדוק ctrl l אני מוחק את המסך ואני רוצה עכשיו להתחבר ולבדוק האם הוא עשה לי ראוטר האם הוא אפשר ראוטינג סביב בין כרטיסי הרשת
זאת אומרת, פרוג זה מה שקורה כרגע במערכת ההפעלה, זה כמו Task Manager. מה קורה כרגע במערכת ההפעלה, ואני רואה שהוא הפעיל לנו את ה-IP Forward. אתם רואים, הוא הפעיל לנו את ה-IP Forward.
עכשיו, אם אני אקח ואני אעביר אותו בחזרה, IP Forward זה לאפשר ראוטינג בין התחנות, בין הקצה רשת. אם אני אפעיל אותו מאקסטרנל חזרה לפאבליק, בואו נראה.
בואו נעשה כזה דבר, Service Network Restart. אני רוצה לראות סרוויס נטוורק ריסטארט, נעשה לו ריסטארט שיקרא את כל ההגדרות מההתחלה אתם רואים 0, זאת אומרת שאין לו עכשיו ראוטינג בין כרטיסי הרשת זה אומר שהוא גם אם יגיע פאקט מכרטיס רשת אחד הוא לא יעביר אותו לשני היופי בממשק הגרפיה החדש של סיסטם די שכל
מה שאני צריך לעשות כל מה שאני צריך לעשות זה לקחת את הכרטיס רשת לשייך אותו לאקסטרנל במקום פאבליק לאקסטרנל וישר עובד לי הנאט אוקיי, אקסטרנל, שימו לב, עשיתי אותו אקסטרנל.
אתם רואים, הפכתי אותו לאקסטרנל, איך שהפכתי אותו לאקסטרנל, מערכת ההפעלה צריכה ישר לכתוב לי את ה-NAT הזה. בואו נעשה את זה עוד פעם.
בפעם הקודמת לקח לה כמה שניות. נו, סגור, נפתח שוב, נראה שעשינו הכל בסדר. עוד מעט אנחנו גם נעשה את כל הדברים האלו, נדבר על כל הפקודות האלו, אני רואה שהכל בסדר.
סרוויס סיס פיירוול די פיירוול די ריסטארט סיסטם ctl זה למעשה סיסטם ctl ריסטארט אוקיי הנה עכשיו זה עובד טוב פיירוול די זה בעיה הייתה שאחרי שעושים ריסטארט לסרוויס של נטרוק צריך לעשות ריסטארט גם לפיירוול די אבל זה הקטע שרציתי להראות לכם שהוא אוטומט מפעילי ולא הייתי צריך לעשות שום דבר כל מה שהייתי צריך זה לשייך את הכרטיסים לרשתות הנכונות
משהו שלא היה ב-IP טייבל סרוויסס המקוריים. הלאה, בואו עכשיו נבדוק שיש לנו פינג ל-888 ממכונה אחרת, יש לנו פה בעצם, התצורה שלנו היא כזאת שיש לנו פה שני מכונות וירטואליות, השרת שהיינו עליו יש לו שני כרטיסי רשת, אחד מחובר בברידג' והשני בהוסט אונלי, אז שייכנו, זה אינטרנל וזה החיצוני, הוסט אוני ואינטרנל
והסנט או-אס שבע אחד הראשון הוא מחובר רק להוסט אוני אדאפטרס כן זאת אומרת פה בסטינס של המכונה בנטוורק שמתי אותו בהוסט אוני אדאפטר בזה השני שמתי אותו ברידג' והוסט אוני אדאפטר שמתי פה עוד v יופי אנחנו רוצים ללכת עכשיו למכונה שנייה בואו נתחבר אליה בטרמינל נתחבר אליה בטרמינל, מה ה-IP שלה?
עם SSH 192, 168, 56, 102 אני חושב. בואו ננסה, יפה מאוד. כדי שתדעו שזו מכונה מרוחקת, אני אחליף לכם צבע. עשיתי פה פרופיל, מי שרוצה לדעת פרופיל, עשיתי פה Profile Preferences ויצרתי עוד פרופיל עם צבעים שונים, אוקיי?
עשיתי פה כמה פרופילים עם צבעים שונים כדי שיהיה לכם קל והנה ככה אתם רואים שזה מכונה מרוחקת בואו נראה שזה באמת מכונה מרוחקת ה-fconfig אנחנו רואים שזה באמת מכונה 102 וה-fconfig פה אנחנו רואים שזה 101 יופי route-n לראות מה ה-default gateway שלה אנחנו רואים שאין לה default gateway מה עוד שיטה לראות default gateway?
נט סטאט מינוס rn הוא מראה לי גם default gateway ומראה גם שאין default gateway בואו נראה איך אנחנו נוסיף default gateway IP ראוט כן מי שיודע זה דומה לסיסקו ויה 192 168 56 101 יופי יופי יופי צריך לעשות su פייסט יופי קונטרול l ראוט מינוס n אני רואה פה שיש לנו 101 יפה מאוד אז אני בודק
שני דברים אני בודק שיש לנו default gateway עכשיו שימו לב עד עכשיו כל מה שעשינו זה רק שייכנו את הכרטיסי רשת לזונים הנכונים זה הכל זה היופי בfirewall d שהוא מוסיף את כל הנושא של הזונים לip tables ועכשיו אם אנחנו נעשה פינג ל-888 מתוך הרשת הפנימית זה אמור לעבוד לנו יפה מאוד יפה מאוד יפה בואו נעשה את כל
זה כאילו אין לנו את הזונים כן בואו נעשה עוד דקה כאילו אין לנו את הזונים לפני שאני עושה אני רוצה להראות לכם מה הוא עשה מאחורי הקלעים מה שהוא עשה מאחורי הקלעים טוב אנחנו אחרי זה ניכנס לזה טוב בואו נעשה עכשיו את זה כאילו אנחנו רוצים לעשות את זה ידני בלי firewall d ובלי לשייך לזונים
אז, אה, דרך אגב, אם אנחנו רוצים לשמור, יש לנו פה reload, להתקין מחדש את כל הגדולות, run time to permanent, אם אני לא אעשה את זה, הכל יימחק לי, מה עוד יש לנו פה, panic mode, ברגע שאני panic mode, הוא אומר, כל התקשורת נעצרת, כן, כל התקשורת נעצרת, גם דאחקו, גם ממנו, הכל הכל נעצר, אם נעשה פה מינוס t,
מינוס t, לא צריך, זה לא מייקרוסופט, אנחנו רואים שהתקשורת פה הולכת אם אני בא לפה ועושה פה panic mode אתם רואים שהתקשורת נעצרה אוקיי זאת אומרת אם אתם עושים panic mode אתם עוצרים את כל התקשורת יפה מאוד והנה התקשורת ממשיכה הלאה לוקדאון לוקדאון זה אומר מי רשאי לשנות איזה תוכנות רשאיות להריץ
פקודות ולשנות את הפקקים של הפיירוול אוקיי זה אומר שלא כל אחד ישנה על ה-Default Zone, לאן משויכים כרטיסי רשת חדשים שמצטרפים ב-Default ואתם יכולים לראות שהם משויכים ל-Public, אני יכול לשנות את זה, אוקיי?
ופה אני משנה את ה-Zones של הכרטיס רשת הקיים ופה אני עושה Reload, בואו נעשה Reload, הוא מבקש ממני סיסמה של סורדו ותסתכלו אחרי ה-Reload, אה, אוקיי, הכל נשאר בעצם אותו דבר או שלא?
בואו נראה, כן אקסטרנל ואינטרנל יופי בואו נעצור פה את הפינג או שאתם יודעים מה עכשיו בואו נעשה דבר כזה ניקח את זה view אני יכול להוסיף פה hcmp טייפס ואז לראות איזה סוגים של hcmp מוגדרים כל מיני דברים נוספים direct configuration זה בעצם חוקים מתקדמים שאני יכול לעשות ולעקוף את הIP טייבלס ולהגיע ישירות לדרייבר
לקרנל ודברים כאלו יפה מאוד אז בואו נעשה דבר כזה נעשה עכשיו נעביר אותו חזרה לפאבליק נעביר אותו חזרה לפאבליק יופי נעשה אחרי שאני מעביר אותו לפאבליק אני אעשה סרוויס נטוורק נטוורק ריסטארט סרוויס נטוורק ריסטארט ונקיש את זה סיסמה ובסרוויס פיירול די פיירול די ריסטארט
בעצם עכשיו אחרי הריסטארטים אין לי בעצם ראוטינג ואני יכול לראות שהפינג עוצר אין לי ראוטינג ואני רוצה לעשות עכשיו ידנית אני עכשיו רוצה להראות לכם מה היה לפני שהיה הסיפור הזה עם הזונים מה היה לפני כן אוקיי אתם יכולים לראות פה שזה אינטרנל ופאבליק ואין לו ראוטינג וזהו כאילו תחשבו שהוא לא עשה לנו את כל העבודה אוקיי כאילו שהוא לא עשה לנו את כל העבודה איך היינו עושים אותה
לבד דרך אגב פה אני רואה runtime וpermanent מה עם ההגדרות הקבועות שיש לו וזה מה יש כרגע בואו נעשה את זה ידנית אז אם אנחנו רוצים לעשות ידנית את הסיפור שזה יעבוד לנו שהדבר הזה ימשיך לנו לרוץ ורואים הוא לא רץ כרגע אנחנו צריכים לעשות שני דברים קודם כל אנחנו צריכים לאפשר ראוטינג בין הכרטיסים איך אנחנו עושים את זה
מאוד פשוט אנחנו שמים אחד בתוך הדבר הזה אבל אם אנחנו שמים אחד יש לנו ראוטינג אבל הוא ייעלם לנו אחרי הריסטארט זאת אומרת אם אנחנו נעשה סרוויס נטוורק ריסטארט או סיסטם ctl ריסטארט לנטוורק אתם תראו שההגדרה הזאת תיעלם לנו אוקיי ההגדרה של הip forward תיעלם לנו בוא נעשה עוד פעם פייסט ככה שיהיה לכם אתם רואים זה נעלם לנו אחרי הריסטארט ההגדרה נעלמת אם אני רוצה שהיא תהיה קבועה
אם אני רוצה שימו לב כל מה שאני מסביר לכם זה בגלל זה בגלל שזה אם אני לא משתמש בfirewall d המובנה ולא משייך הכל לזונים הנכונים אני עושה את העבודה ידנית אתם מבינים כמה שfirewall d בא לעזור לנו כמנהלי הרשת יש לו זונים מוכנים עם הגדרות מוכנות ואנחנו רק משייכים כרטיס מסך לזון הנכון והכל עובד לנו זה היופי טוב
אם אם אנחנו רוצים איזושהי הגדרה אז יש לנו קובץ שנקרא etc בתוך ה-etc נקרא systemctl.conf ומה שאנחנו נכניס בקובץ הזה זה מעשה ייכנס