A Linux beállítása tűzfalnak

Az előadások a következő témára: "A Linux beállítása tűzfalnak"— Előadás másolata:

1 A Linux beállítása tűzfalnak
1. Egyszerű csomagszűrő tűzfal: ipchains 2004 óta nem ajánlott, a disztribúciók nem támogatják 2. Állapot alapú tűzfal: iptables A v2.4. kernel óta támogatott: a szabványos fejléc-mezőkön felül figyeli a kezdeményezett kapcsolatokat, és azok állapotát is. Pl. csak akkor engedélyez bejövő csomagokat, ha a kapcsolatot belülről kezdeményezték.

2 A kernel beállítása Korábban a rendszergazda maga fordított kernelt, amelyben beállította a szükséges funkciókat. Újabb disztribúciók megfelelő moduláris szerkezetben alapértelmezésben tartalmazzák ezeket, tehát csak a tűzfal beállítását kell elvégezni.

3 Iptables http://www.netfilter.org
A disztribúciók alapértelmezetten tartalmazzák Felépítés: egymást követő szabályok, az első illeszkedő érvényesül A csomagok táblákon haladnak át, láncokon keresztül. Mangle tábla: a fejléceket módosíthatjuk, vagy megjelölhetjük Nat tábla: a forrás- és célcímek módosítására szolgál Filter tábla: korlátozhatjuk a gépünkhöz való hozzáférést

4 Üres tűzfal: a filter tábla mindent átenged:
iptables -t filter -L -n Chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (policy ACCEPT) Chain OUTPUT (policy ACCEPT)

5 Paranoid tűzfal: a filter tábla mindent tilt:
iptables -t filter -L -n Chain INPUT (policy DROP) target prot opt source destination Chain FORWARD (policy DROP) Chain OUTPUT (policy DROP) Minden hálózati forgalom tiltott...

6 A tűzfal általában shell script formájában készül.
Alapértelmezett interfész és saját IP-cím meghatározása: default_interface=`route | grep default | awk '{print $8}'` my_ip=`ifconfig $default_interface | grep inet | awk '{print $2}' | cut -d: -f2`

7 Magyarázat: root@sirius:/boot# route Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface default ntszki.local UG wlan0 link-local * U wlan0 * U wlan0 ifconfig wlan0 | grep inet inet addr: Bcast: Mask: inet6 addr: fe80::1e65:9dff:fe7a:2814/64 Scope:Link ifconfig wlan0 | grep inet|awk ' {print $2}' addr: addr: