Как закрыть порты в linux - История изменений

VorteX в 12:11, 3 апреля 2025

2025-04-03T12:11:11Z

← Предыдущая		Версия 12:11, 3 апреля 2025
Строка 101:		Строка 101:

	Вот и все! В следующий раз, когда вы перезагрузите систему, systemd запустит службу, которая запускает скрипт, настраивающий iptables.		Вот и все! В следующий раз, когда вы перезагрузите систему, systemd запустит службу, которая запускает скрипт, настраивающий iptables.













			{{nav foot}}
			---------------------------------------------------------
			'''[https://hostingrust.ru/aff.php?aff=1371 Hostingrust.ru]'''

VorteX в 15:47, 10 марта 2024

2024-03-10T15:47:04Z

← Предыдущая		Версия 15:47, 10 марта 2024
Строка 33:		Строка 33:
	set -ex		set -ex

	# Очищаем все правила <span style="color:#ff0000">Внимание! Может закрыть доступ ssh.</span>		# Очищаем все правила <span style="color:#ff0000">Внимание! Может закрыть доступ ssh. Попробовать перезапуск машины.</span>
	iptables -F		iptables -F
	iptables -X		iptables -X

VorteX в 15:45, 10 марта 2024

2024-03-10T15:45:07Z

← Предыдущая		Версия 15:45, 10 марта 2024
Строка 32:		Строка 32:
	#!/bin/bash		#!/bin/bash
	set -ex		set -ex
	<span style="color:#ff0000">Внимание! Может закрыть доступ ssh.</span>~~<br><br>~~
	~~# Очищаем все правила~~		# Очищаем все правила <span style="color:#ff0000">Внимание! Может закрыть доступ ssh.</span>
	iptables -F		iptables -F
	iptables -X		iptables -X
Строка 43:		Строка 43:
	iptables -t raw -X		iptables -t raw -X

	<span style="color:#ff0000">Внимание! Может закрыть доступ ssh.</span>~~<br><br>~~
	~~# Default policy: блокировать все входящие соединения~~		# Default policy: блокировать все входящие соединения <span style="color:#ff0000">Внимание! Может закрыть доступ ssh.</span>
	iptables -P FORWARD DROP		iptables -P FORWARD DROP
	iptables -P INPUT DROP		iptables -P INPUT DROP

VorteX в 15:44, 10 марта 2024

2024-03-10T15:44:23Z

← Предыдущая		Версия 15:44, 10 марта 2024
Строка 32:		Строка 32:
	#!/bin/bash		#!/bin/bash
	set -ex		set -ex
	~~<h1>~~<span style="color:#ff0000">Внимание! Может закрыть доступ ssh.</span~~></h1~~><br><br>		<span style="color:#ff0000">Внимание! Может закрыть доступ ssh.</span><br><br>
	# Очищаем все правила		# Очищаем все правила
	iptables -F		iptables -F
Строка 43:		Строка 43:
	iptables -t raw -X		iptables -t raw -X

	~~<h1>~~<span style="color:#ff0000">Внимание! Может закрыть доступ ssh.</span~~></h1~~><br><br>		<span style="color:#ff0000">Внимание! Может закрыть доступ ssh.</span><br><br>
	# Default policy: блокировать все входящие соединения		# Default policy: блокировать все входящие соединения
	iptables -P FORWARD DROP		iptables -P FORWARD DROP

VorteX в 15:43, 10 марта 2024

2024-03-10T15:43:59Z

← Предыдущая		Версия 15:43, 10 марта 2024
Строка 32:		Строка 32:
	#!/bin/bash		#!/bin/bash
	set -ex		set -ex
			<h1><span style="color:#ff0000">Внимание! Может закрыть доступ ssh.</span></h1><br><br>
	# Очищаем все правила		# Очищаем все правила
	iptables -F		iptables -F
Строка 42:		Строка 42:
	iptables -t raw -F		iptables -t raw -F
	iptables -t raw -X		iptables -t raw -X

			<h1><span style="color:#ff0000">Внимание! Может закрыть доступ ssh.</span></h1><br><br>
	# Default policy: блокировать все входящие соединения		# Default policy: блокировать все входящие соединения
	iptables -P FORWARD DROP		iptables -P FORWARD DROP

Swidh в 10:21, 15 мая 2022

2022-05-15T10:21:38Z

← Предыдущая		Версия 10:21, 15 мая 2022
Строка 12:		Строка 12:
	<h3>Существует три типа правил iptables — input, forward и output.</h3>		<h3>Существует три типа правил iptables — input, forward и output.</h3>

	<h3>Input</h3> — Такие цепочки используются для контроля поведения входящих соединений. К примеру, если пользователь попробует подключиться к серверу по SSH, то iptables сравнит его IP-адрес со своим списком, чтобы разрешить или запретить доступ.		<b>Input</b> — Такие цепочки используются для контроля поведения входящих соединений. К примеру, если пользователь попробует подключиться к серверу по SSH, то iptables сравнит его IP-адрес со своим списком, чтобы разрешить или запретить доступ.

	<h3>Forward</h3> — Правила этого типа используются для обработки входящих сообщений, конечный пункт назначения которых не является текущим сервером. К примеру, в случае маршрутизатора, к нему подключаются многие пользователи и приложения, но данные не посылаются на сам маршрутизатор, они лишь передаются ему, чтобы он мог перенаправить их адресату. Если вы не занимаетесь настройкой маршрутизации или NAT, то правила этого типа использовать в работе не будете.		<b>Forward</b> — Правила этого типа используются для обработки входящих сообщений, конечный пункт назначения которых не является текущим сервером. К примеру, в случае маршрутизатора, к нему подключаются многие пользователи и приложения, но данные не посылаются на сам маршрутизатор, они лишь передаются ему, чтобы он мог перенаправить их адресату. Если вы не занимаетесь настройкой маршрутизации или NAT, то правила этого типа использовать в работе не будете.

	<h3>Output</h3> — Такие цепочки используются для исходящих соединений. К прмиеру, если пользователь пытается отправинг запрос ping к сайту 1cloud.ru, iptables изучит цепочку правил, чтобы понять, что нужно делать в случае ping и этого сайт, и только потом разрешит или запретит соединение.		<b>Output</b> — Такие цепочки используются для исходящих соединений. К прмиеру, если пользователь пытается отправинг запрос ping к сайту 1cloud.ru, iptables изучит цепочку правил, чтобы понять, что нужно делать в случае ping и этого сайт, и только потом разрешит или запретит соединение.

	<h3>Важный момент</h3>		<b>Важный момент</b>

	Даже в случае пинга внешних хостов, нужно не только отправить пакеты к ним, но и получить ответ. При работе с iptables важно помнить, что многие протоколы передачи данных требуют двусторонней коммуникации. Поэтому нужно настраивать правила соответствующим образом — случаи, когда новички забывают разрешить работу с сервером по SSH случаются очень часто.		Даже в случае пинга внешних хостов, нужно не только отправить пакеты к ним, но и получить ответ. При работе с iptables важно помнить, что многие протоколы передачи данных требуют двусторонней коммуникации. Поэтому нужно настраивать правила соответствующим образом — случаи, когда новички забывают разрешить работу с сервером по SSH случаются очень часто.
Строка 98:		Строка 98:
	# systemctl start my-firewall		# systemctl start my-firewall
	# iptables -L		# iptables -L

			Вот и все! В следующий раз, когда вы перезагрузите систему, systemd запустит службу, которая запускает скрипт, настраивающий iptables.

Swidh в 10:20, 15 мая 2022

2022-05-15T10:20:45Z

← Предыдущая		Версия 10:20, 15 мая 2022
Строка 90:		Строка 90:
	[Install]		[Install]
	WantedBy=default.target		WantedBy=default.target
			Настройте права доступа к файлам:
			# chmod 664 /etc/systemd/system/my-firewall.service
			Установите и включите службу, чтобы она запускалась при следующей загрузке:
			# systemctl daemon-reload
			# systemctl enable my-firewall
			Если вы хотите протестировать свою службу перед перезагрузкой, запустите:
			# systemctl start my-firewall
			# iptables -L

Swidh в 10:19, 15 мая 2022

2022-05-15T10:19:26Z

← Предыдущая		Версия 10:19, 15 мая 2022
Строка 24:		Строка 24:


	Рассмотрим вариант закрытия всех портов на сервере minecraft		<h3>Рассмотрим вариант закрытия всех портов на сервере minecraft</h3>

	Создаем файл.		Создаем файл.
	nano /usr/local/sbin/my-firewall.sh		nano /usr/local/sbin/my-firewall.sh

	~~Вставляем~~ содержимое в ~~файл~~		Скопируйте и вставьте следующее содержимое (подсказка: чтобы вставить в терминал, используйте Ctrl + Shift + V):
	#!/bin/bash		#!/bin/bash
	set -ex		set -ex
Строка 73:		Строка 73:

	Когда вам нужно изменить правила брандмауэра, отредактируйте скрипт и запустите его снова.		Когда вам нужно изменить правила брандмауэра, отредактируйте скрипт и запустите его снова.

			<h3>Запуск iptables при загрузке</h3>
			Чтобы наш брандмауэр был идеальным, не хватает только одного: правила должны быть установлены во время загрузки вместе с операционной системой, сетью и службами.

			В дистрибутивах systemd, таких как openSUSE и Linux Kamarada, лучший способ запустить сценарий, такой как my-firewall.sh, во время загрузки — это создать службу.

			Например, создайте службу systemd с именем my-firewall.service в папке /etc/systemd/system/ с помощью вашего любимого текстового редактора:
			# nano /etc/systemd/system/my-firewall.service
			Скопируйте и вставьте следующее содержимое:
			[Unit]
			After=network.target

			[Service]
			ExecStart=/usr/local/sbin/my-firewall.sh

			[Install]
			WantedBy=default.target

Swidh в 10:16, 15 мая 2022

2022-05-15T10:16:45Z

← Предыдущая		Версия 10:16, 15 мая 2022
Строка 65:		Строка 65:
	# Block all UDP - блокируем все подключения по протоколу UDP		# Block all UDP - блокируем все подключения по протоколу UDP
	iptables -A INPUT -p udp -s 0.0.0.0/0 -j DROP		iptables -A INPUT -p udp -s 0.0.0.0/0 -j DROP

			Измените права доступа к файлу, чтобы только пользователь root мог запускать скрипт:
			# chmod 744 /usr/local/sbin/my-firewall.sh

			Вот и все! Теперь, когда вам нужно настроить iptables, просто запустите скрипт:
			# /usr/local/sbin/my-firewall.sh

			Когда вам нужно изменить правила брандмауэра, отредактируйте скрипт и запустите его снова.

Swidh в 10:15, 15 мая 2022

2022-05-15T10:15:16Z

← Предыдущая		Версия 10:15, 15 мая 2022
Строка 31:		Строка 31:
	Вставляем содержимое в файл		Вставляем содержимое в файл
	#!/bin/bash		#!/bin/bash
	set -ex		set -ex

	# Очищаем все правила		# Очищаем все правила
	iptables -F		iptables -F
	iptables -X		iptables -X
	iptables -t nat -F		iptables -t nat -F
	iptables -t nat -X		iptables -t nat -X
	iptables -t mangle -F		iptables -t mangle -F
	iptables -t mangle -X		iptables -t mangle -X
	iptables -t raw -F		iptables -t raw -F
	iptables -t raw -X		iptables -t raw -X

	# Default policy: блокировать все входящие соединения		# Default policy: блокировать все входящие соединения
	iptables -P FORWARD DROP		iptables -P FORWARD DROP
	iptables -P INPUT DROP		iptables -P INPUT DROP
	iptables -P OUTPUT ACCEPT		iptables -P OUTPUT ACCEPT

	# Разрешить ранее установленные соединения		# Разрешить ранее установленные соединения
	iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT		iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

	# Разрешить loopback соединения		# Разрешить loopback соединения
	iptables -A INPUT -i lo -j ACCEPT		iptables -A INPUT -i lo -j ACCEPT

	# ICMP (ping) разрешаем пинг		# ICMP (ping) разрешаем пинг
	iptables -A INPUT -p icmp -j ACCEPT		iptables -A INPUT -p icmp -j ACCEPT

	# SSH (port 22/TCP,UDP) разрешаем ssh соединения		# SSH (port 22/TCP,UDP) разрешаем ssh соединения
	#iptables -A INPUT -p tcp --dport 22 -j ACCEPT		#iptables -A INPUT -p tcp --dport 22 -j ACCEPT
	#iptables -A INPUT -p udp --dport 22 -j DROP		#iptables -A INPUT -p udp --dport 22 -j DROP

	# MINECRAFT (port 25565/TCP) разрешаем подкючение к порту 25565		# MINECRAFT (port 25565/TCP) разрешаем подкючение к порту 25565
	iptables -A INPUT -p tcp --dport 25565 -j ACCEPT		iptables -A INPUT -p tcp --dport 25565 -j ACCEPT
	# Block all UDP - блокируем все подключения по протоколу UDP		# Block all UDP - блокируем все подключения по протоколу UDP
	iptables -A INPUT -p udp -s 0.0.0.0/0 -j DROP		iptables -A INPUT -p udp -s 0.0.0.0/0 -j DROP