הגבלת גישה לשרת Apache לפי כתובת IP

בלי כתוביותעם כתוביות

מילון מושגים:

כתובת IP - מספר שמזהה באופן ייחודי מכשיר ברשת מבוססת פרוטוקול IP, ומאפשר לשלוח אליו ולקבל ממנו מידע.

תחביר - אוסף הכללים של שפת תכנות הקובעים כיצד לכתוב קוד תקין. הפרתם גורמת לשגיאת תחביר.

חומת אש - מערכת שמסננת תעבורת רשת לפי כללים, ומתירה או חוסמת חיבורים כדי להגן על מחשב או רשת.

IPv4 - הגרסה הרווחת של פרוטוקול IP, שבה כתובת מורכבת מארבעה מספרים בין 0 ל-255.

פרוטוקול - מערכת כללים מוסכמת שקובעת כיצד מכשירים או תוכנות מתקשרים ומחליפים מידע, למשל HTTP או TCP.

TCP - פרוטוקול תקשורת אמין שמוודא שכל חבילות המידע מגיעות ליעד בשלמות ובסדר הנכון.

HTML - שפת הסימון שבה בונים את מבנה ותוכן דפי האינטרנט, באמצעות תגיות שמגדירות כותרות, פסקאות, קישורים ועוד.

SELinux - מנגנון אבטחה ב-Linux שאוכף מדיניות בקרת גישה מחמירה על תהליכים וקבצים.

הגבלת גישה לשרת Apache לפי כתובת IP

המשימה: לאפשר רק ללקוחות מהרשת 192.168.50.0/24 לגשת לשרת Apache. ההרצאה פותרת אותה עם Rich Rule ב-firewalld, ואז מסכמת את כל שלבי ההתקנה של השרת מהסרטון הקודם.

השלבים העיקריים

1. איפה מחפשים את התחביר: אם שוכחים איך כותבים Rich Rule, פותחים את man firewalld.cmd, ובסופו יש הפניה לעמוד firewalld.richlanguage. שם רואים את המבנה (rule, source, destination, service או port) ודוגמאות.

2. הוספת הכלל: firewall-cmd --add-rich-rule עם rule family="ipv4", כתובת מקור של הרשת, פורט 80 בפרוטוקול tcp, והפעולה accept. כלומר מקבלים תקשורת מהרשת הזו ורק בפורט הזה.

3. בדיקה שהכלל פועל: קודם מסירים את הכלל עם --remove-rich-rule ובודקים. curl מהמערכת הראשונה לכתובת ה-IP של השרת נכשל בשגיאת חיבור. אחרי הוספה מחדש curl מחזיר "welcome to system 2".

4. שמירה קבועה: firewall-cmd --runtime-to-permanent, ובנוסף systemctl enable httpd.

5. בדיקה אחרי אתחול: לאחר Reboot בודקים systemctl status httpd, רואים את הכלל בתצורת ה-firewall, ו-curl ממערכת 1 עדיין עובד.

מה לזכור מכל התרגיל

1. התקנה: dnf install httpd.

2. הקובץ index.html נמצא ב-/var/www/html.

3. אם הקובץ הורד או הועתק, מריצים restorecon -R . בתיקייה, כדי לתקן את SELinux.

4. מפעילים את השירות עם enable כדי שישרוד אתחול.

5. ב-/etc/hosts צריכים להיות כתובת השרת, השם המלא והשם הקצר.

6. תחביר הכלל: rule family, כתובת מקור, פורט, והפעולה accept.

אחרי ההרצאה אפשר להגביל גישה לשרת Apache לפי כתובת מקור, ולוודא שההגדרה נשמרת אחרי אתחול.

השיעור הבא בקורס: יצירת תעודה דיגיטלית בלינוקס - openssl

לחץ כאן להורדת הורדת קבצי Script של לינוקס שהיו בסרטים

מילון מושגים:

דיסק - התקן לאחסון קבוע של נתונים, כמו כונן קשיח (HDD) או כונן מבוסס זיכרון מהיר (SSD).

תיקייה - מכל במערכת הקבצים שמשמש לארגון קבצים ותיקיות אחרות בתוך מבנה היררכי.

מחיצה - חלוקה לוגית של דיסק פיזי לאזורים נפרדים, שכל אחד מתפקד כאילו הוא כונן עצמאי.

זיכרון - רכיב מהיר ונדיף שבו המחשב שומר נתונים ותוכניות בזמן ריצתם. תוכנו נמחק עם כיבוי המחשב.

דומיין - תחום ניהולי משותף של מחשבים ומשתמשים ברשת ארגונית, המנוהל מרכזית. גם שם ייחודי של אתר באינטרנט.

אימות - תהליך שמוודא שהמשתמש או המערכת הם מי שהם טוענים שהם, בדרך כלל באמצעות סיסמה, קוד או תעודה.

Active Directory - שירות מדריך של מיקרוסופט לניהול מרכזי של משתמשים, מחשבים והרשאות ברשת ארגונית מבוססת דומיין.

GPO - אובייקט מדיניות קבוצתית ב-Active Directory, שמכיל הגדרות ומדיניות המוחלות על משתמשים ומחשבים.

מבנה ושמות דיסקים ומחיצות בלינוקס:

(Sda (disk0): זה הדיסק הפיזי הראשון (SATA DISK)

(Sda1,Sda2 (Partitions in disk): אלו הן המחיצות בתוך הדיסק הפיזי הראשון.

(Sdb (disk1): זה הדיסק הפיזי השני כמו בוינדוס Disk1

(Sdb1,Sdb2 (Partitions in disk): אלו הן המחיצות בתוך הדיסק הפיזי השני.

מחיצת השורש הראשונה:

וינדוס: C

לינוקס: /

מחיצות נוספות:

וינדוס: D: / E:

לינוקס: /data /example כמו תיקיות.

הערה: בתהליך ההתקנה יוצרים מחיצה נוספת לזיכרון הווירטואלי שנקראת SWAP

מטרת צירוף לינוקס לדומיין הינה לאימות משתמשים מתוך Active Directory בלבד ואין GPO ללינוקס דרך AD.

הוכן ע"י התלמיד המצטיין: אברהים אבו שיכה

פרקי ההרצאה: הגבלת גישה לשרת Apache לפי כתובת IP

תמלול ההרצאה: הגבלת גישה לשרת Apache לפי כתובת IP

הטקסט המלא של הדקות הראשונות בהרצאה «הגבלת גישה לשרת Apache לפי כתובת IP» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
אנחנו בעצם מתבקשים שלקוחות מאקזמפל נקודה קום יוכלו לגשת לדומיין וזה לקוחות שנמצאים ברשת 192, 168, 50, 24. מה שאני הולך לעשות אני הולך לאפשר גישה רק מהרשת הזאת ואת זה אני הולך לעשות בעזרת ריצ'רול של Firewall CMD. מי שלא זוכר איך להגדיר ריצ'רול יכול להסתכל קודם כל במאן של firewall.cmd ללכת לסוף הקובץ וכאן יש את
00:38
ההפניה לעמוד המאן של ה-reach language אני אעשה עוד פעם מאן ל-firewall.d.reach language וכאן בעצם אני רואה את מבנה הנקודה של reach rule כלומר rule source destination אחרי זה service port וכדומה בואו נגלול להמשך הקובץ ואנחנו יכולים לראות כאן אקזמפלס מה שאנחנו צריכים הכי קרוב זה בעצם ה-reach rule הזה שאומר מכתובת מסוימת אנחנו עושים
01:12
רוצים לעשות אקספט ואנחנו טיפה נרחיב את זה ונרשום גם בדיוק את הפורט שאנחנו רוצים לעשות אקספט בפורט הזה ולא בכל הפורטים והפקודה שאנחנו הולכים להריץ כדי לאפשר את הפיירוול שלנו הולכת ככה פיירוול cmd מינוס מינוס אד ריצ' רול כי אנחנו רוצים לעשות ריצ' רול רול family ipv4 source address 192 168 5024
01:49
הגבלה מסוג port ופורט שווה ל-80 בפרוטוקול tcp והפעולה שאנחנו רוצים שתקרה שהיא תהיה אקספט כלומר שהתקשורת הזאת תתקבל במערכת הנה אנחנו הוספנו את הריצ'רול הזה אבל אתם יודעים מה בואו קודם כל נוריד את הריצ'רול הזה ונראה שאין לנו תקשורת ואחרי זה נוסיף אותו עוד פעם כדי להוריד ריצ'רול
01:53
אנחנו מריצים את אותה פקודה רק במקום add אנחנו עושים רימוב מעולה בואו נעבור למערכת אחת וכאן נריץ את הפקודה קורל עם כתובת ה-IP כי אנחנו לא הגדרנו את השם של השרת בקובץ ctc-host 192.168.50.8 ואנחנו בעצם מקבלים שהם קונקשן