הגדרת iptables - חלק 2
iptables -L -v מציג את החוקים יחד עם מונים של פאקטים ובתים לכל חוק.iptables -A מוסיף חוק בסוף השרשרת. חוק שמתאים לרשת הפנימית (192.168.1.0/24) שנוסף כך אחרי חוק הדחייה לא יעבוד.iptables -I מכניס חוק למקום שמצוין במספר, למשל למקום הרביעי.iptables -D מוחק חוק לפי מספר השורה שלו.-m multiport ו---dports אפשר לציין HTTP וגם HTTPS, או את הפורטים 80 ו-443, מופרדים בפסיקים.service iptables save שומר את החוקים לקובץ הקבוע. טעינה מחדש של השירות מהקובץ דורסת שינויים שלא נשמרו.מבנה ושמות דיסקים ומחיצות בלינוקס:
הוכן ע"י התלמיד המצטיין: אברהים אבו שיכה
פרקי ההרצאה: הגדרת iptables - חלק 2
תמלול ההרצאה: הגדרת iptables - חלק 2
הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת iptables - חלק 2» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום וברוכים הבאים לחלק השני של סרטון בנושא Firewall בלינוקס. בסרטון הקודם למדנו על איך מפעילים בצורה בסיסית את המנגנון של ה-IP טייבלס.
למדנו על הקונפיגורציה של ה-IP טייבלס, אוקיי? אתם אמורים בשלב זה כבר לדעת בצורה ברורה מה בעצם משמעות של כל ההגדרות בקובץ הגדרות של IP טייבלס ETCSIS Config IP טייבלס מי שאינו מכיר את זה מוזמן לראות את החלק הראשון של הסרטון שם אנחנו מסבירים את ההגדרות האלה בפרטים.
בסרטון הזה אנחנו נלמד איך לנהל את ה-IP טייבלס בצורה דינמית כלומר ההגדרות שרשומות בקובץ הזה הם ייכנסו לתוקף כאשר אני אעשה לסרוויס ריסטארט.
אוקיי? ואז אני בעצם אכיל אותם במכה את כל ההגדרות. זהו מצב שלא תמיד מתאים למערכות ייצור, בהן אני ארצה בעצם לשמור על עקביות של השירות למעלה, ואני לא ארצה לפגוע בשירות בזמן שאני עושה ריסטארט לשירות.
אנחנו נלמד בעצם איך אנחנו בצורה דינמית, תוך כדי הריצה של הסרוויס, מוסיפים חוקים חדשים, עורכים את החוקים הקיימים ומוחקים חוקים מיותרים.
כמו כן אנחנו נלמד איך בעצם להוסיף חוקים מתקדמים שבעזרתם אפשר לעשות פעולות על מספר פורטים בו זמנית ואיך אפשר לייצר nut בין שתי רשתות Network Address Translation ואיך להפנות תעבורה לתוך הרשת הפנימית הסגורה בתוכה נאט.
כמו שאנחנו יודעים אנחנו יכולים לראות את המצב של החוקים שכרגע פעילים במנגנון הפיירוול על ידי הרצת הפקודה IPTables-L שזה בעצם הסוויץ' שייתן לנו את פעולת הליסט ומינוס v verbess שיציג לנו פלט ארוך.
ההבדל בין הפלט הקצר לארוך זה שהוא גם מציג כתובות ואינטרפייסים בצורה יותר ארוכה. אלה ההגדרות הנוכחיות של הפיירוול. יש לנו במערכת הזאת שרת ווב ואנחנו רוצים לאפשר לו גישה מבחוץ.
נבדוק שהשארת ווב למעלה, ServiceHTTPDStatus, אוקיי? הוא רץ, נבדוק שהוא מאזין ב-NetStat, NetStat מינוס TNL, הרשת תיבות של TCP, Numbers ו-Listen, יכולים גם להוסיף P כדי שיראה לנו בדיוק את הפרוסס שמאזין על הפורט,
אוקיי? ואנחנו רואים שה-HTTPD אכן מאזין, יחד עם זאת, מהדוגמה הקודמת הוא מאזין על פורט 100, עכשיו אני הולך לשנות את זה בחזרה לפורט 80.
site.tc.httpd.conf איך פה על הפרמטר של listen ומחזיר אותו בחזרה לפורט 80 כדי שההשערה תתנהג באופן תקני. עכשיו אני עושה סרוויס HTTPD ריסטארט כדי לטעון את השרת מחדש שיעלה ויאזין על הפורט הנכון.
בואו נבדוק עם נטסטאט ואכן אני רואה שעכשיו ה-HTTPD מאזין על פורט 80 לכן הבדיקה הזאת של הנטסטאט היא חשובה לפני שאנחנו מתחילים בכלל לבדוק את הסרוויס הלאה ולהתקדם בבדיקה. קודם כל, אני רוצה לראות שהאפליקציה שלי היא בכלל מאזינה ומכוונת לקבל בקשות מהמערכת, אוקיי?
כרגע אני הולך לבדוק מה כתובת ה-IP של השרת, ifconfig, אוקיי? ואני רואה שהכתובת של השרת 192.98.1.7 בסוף. אני פותח את הדפדפן ונכנס לכתובת של השרת, נקודה שבע ואני רואה שאני לא יכול להתחבר להשארת הבראוזר מנסה להתחבר קונקטינג ונכשל יחד עם זאת מהעמדה המקומית אם אני אעשה את זה 192.168 wget זה בעצם קליינט של ל-HTTP שיודע להוריד מכתובת מסוימת קובץ אל התיקייה הנוכחית שהוא נמצא.
למשל אם יש לי איזושהי הורדה שאני רוצה לעשות אני יכול לעשות קופי ללינק ולהריץ את זה עם wget וככה הוא ישמור לי את הקובץ במערכת.
כאן אני מצפה לקבל את הקובץ של אינדקס html שבעצם נמצא על השרת אוקיי, וכרגע אני רואה שהוא כן הצליח והוריד את הקובץ אינדקס html, שמר אותו עם סיומת נקודה 2, כי כבר היה לי קובץ אינדקס html במערכת.
עכשיו אני אבדוק את הקובץ שהתקבל, אוקיי, אינטרנל אינפורמיישן, והוא בעצם מקביל לקובץ שנמצא אצלי בתיקיית המקור של השרת.
אכן, אכן זה אותו קובץ. עכשיו, מישהו יודע למה אני כן מצליח לגשת לשירות הזה באופן מקומי, ולמה אני לא מצליח לגשת לשירות הזה מבחוץ?
כמובן בגלל הגדרות הfirewall. אם אני אסתכל על הגדרות הfirewall IP tables -l -v, אני אראה שכאן יש לי הגדרה שמקבלת את כל התעבורה שמגיעה מתוך השרת, כל התעבורה המקומית, אוקיי?
ולכן התעבורה הזאת היא כן מתקבלת ואני יכול לגשת לשירות, אוקיי? עכשיו אני רוצה לאפשר גישה בעצם מהמחשב שלי, אוקיי? אל הקובץ הזה כאשר אני לא רוצה לעשות ריסטארט לשירות של הפיירוול אם אני אעשה ריסטארט לשירות של הפיירוול לשנייה או לשבריר שנייה כל הפורטים
שלי יהיו פתוחים בגלל שהצ'יין הוא במצב דיפולטיבי של אקספט כלומר ללא חוקים הצ'יין של האינפוט יקבל את כל הפאקטים או לחלופין, אם הייתי מריץ את הצ'יין עם פוליסי של דיניי, כלומר שהצ'יין היה זורק את הפאקטים אם לא היו חוקים שהיו מקבלים אותם,
אז כל מי שמחובר לשרת באותו רגע, הסשנים היום שלא היו מתנתקים, הוא היה עף מהשרת. אז מה שאני הולך לעשות כרגע, אני הולך להוסיף פקודה בעצם שבעזרתה אני אוסיף חוק לשרשרת של האינפוט אשר יאפשר גישה מהרשת הפנימית שלי לתוך לתוכן של ה-HTTP.
אני עושה את זה בצורה הבאה IP טייבלס אני בכוונה עושה פה איזושהי בעיה מסוימת שאנחנו בעוד דקה נדבר עליה אבל בעיקרון אני מוסיף חוק אני עושה IPtables -a add פה אני רושם את שם השרשרת input מינוס s כלומר מלשון source 192.168.1.0/24-J accept, הוספתי את החוק ועכשיו אני יכול לראות