שיטות אחרות לחסימת פורטים בלינוקס
/etc/hosts.allow ו-/etc/hosts.deny. יש לא להתבלבל עם קובץ hosts הרגיל, שמגדיר שמות שרתים.getenforce מציג את המצב, ו-semanage port -l מציג את הפורטים המותרים לכל סוג.semanage port -a -t http_port_t -p tcp 100 מוסיף את הפורט לסוג http_port_t. העדכון לוקח זמן כי הוא משנה את המדיניות.semanage port -d -t http_port_t -p tcp 100 מוציא את הפורט מהרשימה.מבנה ושמות דיסקים ומחיצות בלינוקס:
הוכן ע"י התלמיד המצטיין: אברהים אבו שיכה
פרקי ההרצאה: שיטות אחרות לחסימת פורטים בלינוקס
תמלול ההרצאה: שיטות אחרות לחסימת פורטים בלינוקס
הטקסט המלא של הדקות הראשונות בהרצאה «שיטות אחרות לחסימת פורטים בלינוקס» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום וברוכים הבאים לסרטון אבטחת פורטים ברשת בלינוקס. בשרת שלנו קיים המון מידע רגיש שאנחנו ודאי שלא רוצים שגופים עוינים, כל מיני האקרים למיניהם, ישימו עליו את הידיים.
במיוחד היום בעידן שבו התקפות הסייבר הם תופעה שהיא כל כך פופולרית ואם תשימו מכונה ברשת חשופה ותסתכלו על הלוגים תראו שמנסים בעצם לפרוץ למכונה הזאתי ולהגיע אליה לא מעט פעמים.
לכן אבטחת רשת, לדעת בעצם איך לאבטח את השירותים ולשמור על המידע בתוך השרת, היא בעצם ידע שהוא הכרחי לכל מנהל מערכת. אנחנו היום נלמד על שלושה טכנולוגיות שקיימות בתוך הלינוקס לשמירה על המידע בתוך השרת.
למעשה, בגלל שהרשת היא הדרך הנגישה ביותר לאדם זר או לגורם חיצוני לקחת מידע על השרת, הושקעו המון משאבים בפיתוח של כל אחת ואחת מהטכנולוגיות האלה, והיכרות איתם היא בגדר חובה לכל מנהל מערכת.
הטכנולוגיה הראשונה שאנחנו נלמד עליה היא TCP Rappers, אשר מאפשרת למנוע גישה לשירותים מסוימים מבחוץ. הטכנולוגיה השנייה שנלמד עליה היא טכנולוגיית ה-IP טייבלס, כלומר זהו בעצם ה-firewall שקיים בלינוקס, שהתפקיד של הטכנולוגיה הזאת הוא בעצם לחסום ברמת הרשת את התעבורה הלא רצויה או המסכנת
את השרת. אני לימד בסרטון הזה איך להגדיר בעזרת גוי את הפיירוול. אני ממליץ לכם ומזמין אתכם לראות את הסרטון המורחב שמדבר על הגדרות הפיירוול בממשק הטקסט, שם אנחנו גם נכנסים פנימה ומסבירים איך המנגנון הזה עובד, בסרטון מתקדם אנחנו
מסבירים איך מתבצעות הגדרות מתקדמות של firewall כגון הגדרות של nut והגדרות של port forwarding. ה-nut הוא למעשה היכולת של לקחת ולהחביא רשת מסוימת מאחורי שרת, מאחורי ראוטר.
ו-port forwarding זו טכנולוגיה שמאפשרת באופן מובחר לחבר פורטים לרשת המוחבאת הזאת שיושבת מאחורי ה-NAT ראוטר. אבל בסרטון הזה אנחנו בעצם נראה את הדרך הקלה והמהירה להגדיר את ה-firewall בעזרת כלי הגוי שמסופקים עם המערכת.
בסרטון הזה כמו כן אנחנו ניגע ונדבר על ה-SE-Linux אשר התפקיד שלו במערכה היא בעצם למנוע מאפליקציה לא רצויה להשתמש בפורט על השרת.
למשל זה יכול להיות רלוונטי במידה ונגיד יש לי שרת אפאצ'י אז מישהו משתלט לי על הרכיב של האפאצ'י במערכת, הפאצ'י זה ה-Web Server מוריד אותו ובמקומו רוצה להעלות שירות אחר שישתמש בפורט 80 בפורט של הפאצ'י וה-SE Linux ימנע ממנו.
את כל הדברים האלה אנחנו נראה בסרטון עם הדגמות והסברים. אז בואו נתחיל, אוקיי? ה-TCP Wrapper זאת בעצם אחת הטכנולוגיות הוותיקות ביותר שמגיעות אלינו עוד מעולם הלינוקס, אוקיי?
הטכנולוגיה הזאת היא בשימוש עד היום בעיקר בזכות הפשטות של ההגדרה שלה. יש לנו שני קבצים שנמצאים ב-etc, slash etc, etc זאת תקייה שבה נמצאים ההגדרות של המערכת, ולקבצים קוראים hosts.allow והosts.Deny, שימו לב לא להתבלבל עם קובץ ה-hosts שהוא בלי נקודה ובלי הרחבה אשר בקובץ ה-hosts מוגדרים
בעצם השמות של השרתים עם השיוך לכתובת IP שלהם. בכל מקרה בקובץ ה-hosts allow ו-hosts deny נמצאים ההגדרות של ה-TCP ראפרס אשר שולטות בגישה לשירותים.
ותכף אני אראה דוגמה פשוטה איך בעזרת הטכנולוגיה הזאת אפשר באופן פשוט לשלוט על התקשורת עבור השירותים האלה. קודם כל אני אציין את הסדר של הפעולה שקודם כל הקובץ המשפיע זה הוס.אלאו וכאן בעצם יש רשימה של שירותים או של חוקים שהם בעצם מאפשרי גישה וברגע שיש allow בהוסטס, כלומר יש אפשרה, אפשור לשירות מסוים,
אז גם אחרי זה אם הוא חסום בהוסט דיני אנחנו כבר אפשרנו את השירות הזה. כלומר, למשל אני יכול לשים בקובץ host.deny למנוע גישה מכל השירותים, מכל המקומות, וב-hosts.allow לאפשר רק את מה שאני רוצה, אוקיי?
אנחנו נתחיל עם דוגמה בעצם פשוטה ביותר, אני הולך ל-hosts.deny, פותח אותו ב-vi, וכאן אני הולך להוסיף את השורה הבאה, נקודותיים ואת הרשת המקומית שלי 192.168.1 אוקיי זה יחסום את כל השירותים שבאים מהרשת הזאת מהרשת שלי אוקיי עכשיו עוד לא עשיתי שמירה לקובץ אני אפתח רגע פוטי לשרת אוקיי, פוטיבר בעצם זאת תוכנה שמאפשרת חיבור
ssh לשרת שעובד בפורט 22. אני פותח ואני יכול לראות שאני מקבל פה בעצם ישר את הסך של הלוגין ועם הסיסמה אני יכול להתחבר לשרת. עכשיו אני סוגר את ההתחברות הזאת, סגרתי את ההתחברות ואני אציף פה נקודה לסינטקס.
בעצם זה שאני משאיר נקודה פתוחה, אני אומר שכל מה שבא אחרי הנקודה הזאתי, הוא ייחשב בתוך החוק הזה. כלומר, אני סוגר, בגלל שזה קובץ של דיניי, אני סוגר בעצם את כל השירותים מתוך הרשת 192, 268.1 אוקיי ואני שומר את הקובץ פותח עוד פעם עם פוטי סרבר 1 וכאן אני בעצם רואה שהפוטי מנסה להתחבר להשראת
והוא לא מצליח אוקיי אני אערוך את הקובץ עוד פעם והפעם אני אשנה פה את הכתובת שבעצם ימנע רק ממחשב אחד בתוך הרשת לקבל גישה למחשב שלי.
בשביל זה אני הולך לסרבר 2, בואו נראה מה ה-IP שלו, אשתמש בפקודה ifconfig, כי הפקודה ifconfig מציגה את האינטרפייסים שלי, וכאן אני יכול לראות בעצם בשורה השנייה, של הפלט את כתובת ה-IP 192.168.1.6.
דרך נוספת אגב לראות את כתובת ה-IP ועוד הגדרות רשת רבות היא בעזרת הפקודה IP שהיא בעצם הטכנולוגיה היותר חדשה, הדרך היותר חדשה לניהול רשתות.
שם IPADDR show, והוא מציג לי את המידע על הרשתות. אגב, ה-IF-Config הוא למעשה נמצא במערכות המודרניות יותר לצורכי המשתמש ולסקריפטים שרגילים לעבוד עם IF-Config.
הרוב המוחלט של הדברים שנמצאים בתוך המערכת הם עובדים למעשה דרך הפקודה. איי-פי, אוקיי? בכל מקרה גיליתי את הכתובת איי-פי של השרת, 192, 168, 1.6, ועכשיו אני הולך לעבור לשרת הראשון ולחסום רק אותו, אוקיי?
חסמתי את השרת, אני, שהשרת 2, אני שומר את הקובץ, ועכשיו אני מנסה להתחבר בפוטי לשרת מספר 1, ואני רואה שאני מצליח, רוט סיסמה ואני בפנים, סוגר את ההתחברות הזאת, ועכשיו אני אנסה להתחבר ב-ssh מהשרת השני, 192.168.1.7 ופה אני בעצם, ה-SSH מנסה להתחבר