Tembok Api Linux (Netfilter/iptables)

Apakah tembok api? Ia seperti pengawal keselamatan untuk rangkaian Anda, yang mengawal trafik yang masuk dan keluar. Dalam Linux, rangka kerja tembok api teras dipanggil Netfilter. Kita menggunakan alat baris perintah bernama iptables untuk mengurus peraturannya.

Netfilter ialah rangka kerja berkuasa yang terbina terus dalam kernel Linux. Ia membolehkan modul kernel yang berbeza memeriksa, mengubah suai dan menggugurkan paket rangkaian.

Anggaplah ia sebagai enjin di sebalik tembok api. Ia menyediakan "cangkuk" yang membolehkan pemprosesan paket dipintas.

Walaupun Netfilter berada dalam kernel, iptables ialah utiliti baris perintah yang Anda gunakan untuk berinteraksi dengannya. Ia membolehkan Anda mentakrifkan peraturan yang memberitahu Netfilter perkara yang perlu dilakukan terhadap paket tertentu.

Peraturan ini disusun dalam jadual dan rantaian, yang akan kita terokai seterusnya.

iptables menyusun peraturan ke dalam rantaian. Rantaian ini ialah senarai peraturan tersusun yang digunakan untuk menyemak paket. Tiga rantaian terbina dalam yang paling biasa ialah:

• INPUT: Untuk paket yang ditujukan kepada sistem tempatan.
• OUTPUT: Untuk paket yang berasal daripada sistem tempatan.
• FORWARD: Untuk paket yang melalui sistem (contohnya, penghala).

Setiap rantaian mempunyai dasar lalai, iaitu tindakan yang diambil jika tiada peraturan dalam rantaian sepadan dengan sesuatu paket. Dasar yang biasa ialah:

• ACCEPT: Benarkan paket lalu.
• DROP: Buang paket secara senyap (pengirim tidak menerima respons).
• REJECT: Buang paket dan hantar mesej ralat kembali kepada pengirim.

Menetapkan dasar lalai kepada DROP demi keselamatan ialah amalan yang biasa.

Sebelum menambah peraturan, sebaiknya lihat perkara yang sudah tersedia. Anda boleh menyenaraikan semua peraturan iptables semasa dengan pilihan -L. Menambah -n akan memaparkan alamat IP secara berangka, manakala -v menambah perincian.

Mari tambahkan peraturan untuk membenarkan sambungan SSH masuk (port 22). Kita akan menambahkan (-A) peraturan ini pada rantaian INPUT, dengan menentukan protokol TCP (-p tcp) dan port destinasi (--dport 22). Tindakannya (-j) ialah ACCEPT.

Sekarang, mari sekat semua permintaan ping keluar (protokol ICMP). Kita akan menambahkan peraturan ini pada rantaian OUTPUT dengan menentukan protokol ICMP. Tindakannya ialah DROP.

Ini bermakna sistem Anda tidak akan menghantar permintaan ping, tetapi mungkin masih menerimanya jika tidak disekat pada INPUT.

Peraturan iptables tidak kekal; peraturan tersebut hilang apabila sistem dimulakan semula! Untuk menjadikannya kekal, Anda perlu menyimpannya. Pada banyak sistem, Anda boleh menggunakan iptables-save untuk mengeksport peraturan dan iptables-restore untuk memuatkannya.

Sesetengah pengedaran Linux menggunakan perkhidmatan tertentu (seperti netfilter-persistent) atau fail (contohnya, /etc/sysconfig/iptables) untuk mengurus ketekalan peraturan.

Anda telah mempelajari tentang Netfilter, rangka kerja tembok api kernel, dan iptables, iaitu alat ruang pengguna untuk mengurus peraturannya. Kami membincangkan rantaian utama (INPUT, OUTPUT, FORWARD) dan dasar (ACCEPT, DROP, REJECT).

Anda juga telah melihat cara menyenaraikan serta menambah peraturan asas, dan kepentingan menyimpannya supaya kekal digunakan. Ini merupakan langkah penting dalam melindungi mana-mana sistem Linux!