добро пожаловать обратно, эта лекция будет посвящена политике фильтрации трафика, которая выполняется в таблице фильтров
входной цепочки для входящего трафика, выходной цепочки для исходящего трафика и
прямой цепочки для маршрутизируемого трафика. Правила добавляются в цепочки и таблицы и просматриваются в порядке от
сверху вниз по пакетам каждый пакет затем проверяется на соответствие фактическому интерну, начиная
сверху, если он соответствует правилу, то предпринимается действие, такое как принятие или отбрасывание пакета,
после того, как правило было достигнуто максимальным образом, и предпринимаемое действие, пакет обрабатывается в соответствии с к цели
этого правила и теперь не обрабатывается другими правилами в цепочке, если пакет проходит вниз
по всем правилам в цепочке и достигает дна, не сопоставляясь ни с одним
правилом, тогда применяется политика по умолчанию для этой цепочки действие по умолчанию называется
политикой по умолчанию и может быть настроено либо на принятие, либо на отказ. Концепция политик по умолчанию открывает
две возможности, которые мы должны рассмотреть, прежде чем решать, как мы собираются организовать брандмауэр,
поэтому при организации нашего брандмауэра мы должны иметь в виду следующие параметры:
мы можем установить политику по умолчанию, чтобы отбрасывать все пакеты, а затем добавлять правила, специально разрешающие пакет,
который может быть с доверенных IP-адресов или для определенных портов, на которых у нас есть службы, работающие,
например, веб-почта ftp и т. д., или вторая возможность, мы можем установить политику по умолчанию
для приема всех пакетов, а затем добавить правила для конкретной блокировки или удаления пакетов, которые могут
быть с определенных IP-адресов или диапазонов или для определенных портов, на которых у нас есть частные службы,
как правило, первый вариант используется по крайней мере для входной цепочки и считается более безопасным
по умолчанию политика настроена на прием любого пакета, который не был отброшен каким-либо правилом политика
может быть изменена для обмена, у которого есть таблица фильтров и являются входом-выходом и пересылкой, мы не можем
изменить политику для цепочек предварительной или последующей маршрутизации. Давайте взглянем на некоторые примеры,
мы можем проверить политику, указав iptab межсетевого экрана. les minus vnl это
брандмауэр по умолчанию для операционной системы Linux, мы видим, что политика по умолчанию принимает для входных
выходов и цепочек пересылки, обратите внимание, что в обмене нет правил, поэтому весь трафик разрешен,
теперь я буду постоянно пинговать этот Linux, а также проверьте соединение ssh
ping и ip-адрес linux 1.
ping работает,
и теперь ssh
ssh тоже работает,
и входящий ping, и ssh теперь работают, если я установил политику, чтобы отбросить входную цепочку,
весь трафик будет отброшен, нет правило, которое принимает трафик, поэтому весь трафик отбрасывается
iptables минус p и прописные буквы p падение ввода так мы устанавливаем политику мы видим, что
политика отброшена и она уже отбросила четыре пакета ping остановлен он больше не работает
установка отбрасывания политика для входной цепочки без какого-либо правила, которое принимает трафик, похожа на то, что я логически
отключил хост от сети, теперь я добавлю правило, которое разрешает входящий ssh-трафик
входная цепочка его входящий трафик протокол TCP -
назначение порт 22 минус j цель принимает,
давайте попробуем снова подключиться с помощью ssh,
и он работает, мы замечаем, как ssh-клиент может снова подключиться к серверу,
трафик ssh разрешен этим правилом, но что насчет ping
pink все еще не работает
розовые пакеты отброшено политикой отброшено 15 пакетов, теперь имеется 19 пакетов
22 пакета, и поэтому ping постоянно отправляет пакеты в linux 1.
если я хочу разрешить входящий пакет ping icmp, я должен добавить правило, которое принимает этот трафик,
также обратите внимание на эту политику всегда находится в конце цепочки, невозможно добавить
правила, которые соответствуют пакету после политики
в конце этой лекции, я хотел бы сказать вам кое-что важное:
будьте осторожны при изменении политики на удаленных серверах всегда есть возможность чтобы
заблокировать себе доступ к серверу, сначала убедитесь, что вы добавили
правило, разрешающее ваш собственный трафик, и только затем измените политику по умолчанию, имейте это в виду