Securizarea serverului Linux cu reguli bogate Firewalld

Gestionarea securității rețelei este esențială atunci când rulați aplicații sau servicii pe un server Linux, în special pe o platformă de înaltă performanță precum ava.hosting. Firewalld, un instrument dinamic de gestionare a firewall-ului utilizat în distribuții precum CentOS, RHEL și Fedora, oferă un control puternic prin intermediul funcției sale de reguli bogate. Regulile bogate permit politici precise și granulare pentru a vă securiza serverul, mult peste setările de bază ale firewall-ului. De exemplu, ați putea utiliza o regulă bogată pentru a permite doar IP-ului biroului dvs. să acceseze SSH pe serverul ava.hosting, protejându-l de accesul neautorizat. Acest ghid explorează regulile bogate ale Firewalld, modul de implementare a acestora și cele mai bune practici pentru a vă proteja mediul ava.hosting.

Ce sunt regulile bogate din Firewalld?

Regulile bogate sunt o metodă avansată de definire a politicilor firewall, oferind opțiuni suplimentare de filtrare, cum ar fi:

• Specificarea adreselor sursă și destinație
• Permiterea sau respingerea traficului pe baza protocoalelor sau porturilor
• Definirea regulilor de logare și de audit
• Setarea limitelor de viteză și a acțiunilor pentru anumite conexiuni

Regulile complexe permit administratorilor să creeze politici de securitate ajustate dincolo de regulile de bază bazate pe zone și servicii.

Verificarea regulilor bogate existente

Pentru a verifica dacă există reguli bogate configurate în prezent, executați următoarea comandă:

firewall-cmd --list-rich-rules

Aceasta va afișa toate regulile bogate care sunt active în prezent în firewall.

Adăugarea unei reguli bogate

Pentru a adăuga o nouă regulă bogată, utilizați următoarea sintaxă:

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" 
source address="192.168.1.100" service name="ssh" accept'

Această regulă permite traficul SSH de la o anumită adresă IP (192.168.1.100).

După adăugarea unei reguli, reîncărcați Firewalld pentru a aplica modificările:

firewall-cmd --reload

Blocarea traficului cu o regulă bogată

Pentru a bloca traficul de la o anumită adresă IP, utilizați:

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" 
source address="192.168.1.200" drop'

Această regulă va elimina în mod silențios tot traficul de la adresa 192.168.1.200 fără a trimite un răspuns.

Permiterea traficului pentru un anumit port și protocol

Pentru a permite traficul pentru un anumit port și protocol, cum ar fi HTTP pe portul 80:

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" 
source address="192.168.1.0/24" port protocol="tcp" port="80" accept'

Această regulă permite traficul HTTP de la orice dispozitiv din subrețeaua 192.168.1.0/24.

Înregistrarea și auditarea traficului

Pentru a înregistra pachetele abandonate în scopul monitorizării, utilizați:

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" 
source address="192.168.1.150" drop log prefix="[FIREWALL-DROP]" level="info"'

Această regulă elimină traficul de la 192.168.1.150 și îl înregistrează cu prefixul [FIREWALL-DROP].

Eliminarea unei reguli bogate

Pentru a elimina o anumită regulă bogată, utilizați:

firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" 
source address="192.168.1.100" service name="ssh" accept'

Apoi reîncărcați Firewalld:

firewall-cmd --reload

Cele mai bune practici pentru gestionarea regulilor bogate

• Testați întotdeauna noile reguli firewall înainte de a le aplica permanent.
• Utilizați reguli de logare pentru a monitoriza și analiza traficul blocat.
• Revizuiți periodic regulile firewall pentru a asigura conformitatea cu cerințele de securitate.
• Restricționați accesul la serviciile critice în funcție de adresa IP sau subrețea.

Concluzii

Regulile bogate ale Firewalld oferă o flexibilitate de neegalat pentru securizarea traficului de rețea pe serverul Linux, ceea ce le face indispensabile pentru administratori. Fie că restricționați SSH la un singur IP, permiteți HTTP pentru o subrețea de încredere sau înregistrați încercările de acces neautorizat, regulile bogate vă permit să elaborați politici de securitate precise. De exemplu, puteți bloca un IP rău intenționat pentru a vă proteja aplicația găzduită de ava.hosting sau puteți înregistra traficul pentru a depana problemele de conectivitate. Prin stăpânirea regulilor bogate și valorificarea infrastructurii robuste ava.hosting, vă puteți asigura că serverul dvs. rămâne sigur, eficient și rezistent la amenințări.