กฎไฟร์วอลล์ขั้นสูง (IPTables)

IPTables คือไฟร์วอลล์ในตัวอันทรงพลังของ Linux แม้เราจะได้เห็นพื้นฐานไปแล้ว แต่ยังมีฟีเจอร์ขั้นสูงสำหรับควบคุมได้อย่างแม่นยำ

บทเรียนนี้จะสอนกฎที่ซับซ้อน การกรองแบบติดตามสถานะ และการแปลที่อยู่เครือข่าย (NAT) เพื่อรักษาความปลอดภัยและจัดการเครือข่ายของเซิร์ฟเวอร์อย่างแท้จริง

IPTables จัดระเบียบกฎไว้ในตาราง โดยแต่ละตารางมีจุดประสงค์เฉพาะ ภายในตารางจะมีสายโซ่ ซึ่งเป็นรายการกฎที่ประเมินตามลำดับ

• ตาราง filter: ตารางเริ่มต้นที่ใช้กรอง (บล็อกหรืออนุญาต) แพ็กเก็ต ประกอบด้วยสายโซ่ INPUT, OUTPUT, FORWARD
• ตาราง nat: ใช้สำหรับการแปลที่อยู่เครือข่าย (NAT) ประกอบด้วยสายโซ่ PREROUTING, POSTROUTING, OUTPUT
• ตารางอื่น ๆ เช่น mangle และ raw มีไว้สำหรับแก้ไขแพ็กเก็ตเฉพาะทาง

ไฟร์วอลล์แบบติดตามสถานะจะติดตามสถานะของการเชื่อมต่อเครือข่าย แทนที่จะตรวจสอบแพ็กเก็ตแต่ละรายการแยกกัน ไฟร์วอลล์จะจดจำว่าแพ็กเก็ตเป็นส่วนหนึ่งของการเชื่อมต่อที่มีอยู่และสร้างขึ้นแล้วหรือไม่

สถานะการเชื่อมต่อที่สำคัญ

• NEW: แพ็กเก็ตแรกของการเชื่อมต่อใหม่
• ESTABLISHED: แพ็กเก็ตที่เป็นส่วนหนึ่งของการเชื่อมต่อที่มีอยู่และกำลังทำงาน
• RELATED: แพ็กเก็ตที่เริ่มการเชื่อมต่อใหม่ซึ่งเกี่ยวข้องกับการเชื่อมต่อที่มีอยู่ (เช่น การถ่ายโอนข้อมูลผ่าน FTP)

กฎแบบติดตามสถานะช่วยให้การจัดการไฟร์วอลล์ง่ายขึ้นอย่างมาก คุณสามารถอนุญาตทราฟฟิกทั้งหมดที่เป็นของการเชื่อมต่อที่สร้างขึ้นแล้วได้ ซึ่งหมายความว่าคุณต้องกำหนดกฎเฉพาะสำหรับการเริ่มการเชื่อมต่อ NEW เท่านั้น

กฎนี้อนุญาตแพ็กเก็ตขาเข้าทั้งหมดที่เป็นส่วนหนึ่งของการเชื่อมต่อที่สร้างขึ้นแล้วหรือเกี่ยวข้องกัน

IPTables ช่วยให้คุณรวมโมดูลจับคู่และตัวเลือกต่าง ๆ เพื่อสร้างกฎที่เจาะจงอย่างมากได้ วิธีนี้ช่วยปรับแต่งการเข้าถึงสำหรับบริการและแหล่งที่มาต่าง ๆ ได้อย่างละเอียด

ตัวอย่าง: อนุญาต SSH (พอร์ต 22) จากซับเน็ตที่ระบุ (192.168.1.0/24) เฉพาะการเชื่อมต่อใหม่

การแปลที่อยู่เครือข่าย (NAT)จะปรับเปลี่ยนข้อมูลที่อยู่เครือข่ายในส่วนหัว IP ของแพ็กเก็ตขณะที่แพ็กเก็ตกำลังถูกส่งผ่าน ซึ่งมีความสำคัญสำหรับ

• อนุญาตให้อุปกรณ์หลายเครื่องในเครือข่ายส่วนตัวใช้ที่อยู่ IP สาธารณะเดียวร่วมกัน (เช่น เราเตอร์ตามบ้าน)
• การส่งต่อพอร์ต เพื่อส่งคำขอภายนอกไปยังเซิร์ฟเวอร์ภายใน

มีสองประเภทหลัก ได้แก่ Source NAT (SNAT) และ Destination NAT (DNAT)

Source NAT (SNAT)จะเปลี่ยนที่อยู่ IP ต้นทางของแพ็กเก็ต โดยทั่วไปใช้เมื่อเซิร์ฟเวอร์ภายในต้องเข้าถึงอินเทอร์เน็ตผ่านเซิร์ฟเวอร์เกตเวย์ที่มี IP สาธารณะ

การพรางที่อยู่เป็นรูปแบบหนึ่งของ SNAT ซึ่งใช้ที่อยู่ IP ของอินเทอร์เฟซขาออกเป็น IP ต้นทางโดยอัตโนมัติ เหมาะสำหรับที่อยู่ IP แบบไดนามิก

ตัวอย่าง: อนุญาตให้เครือข่ายภายใน 192.168.0.0/24 เข้าถึงอินเทอร์เน็ตผ่าน eth0

Destination NAT (DNAT) ใช้เปลี่ยนที่อยู่ IP ปลายทางของแพ็กเก็ต เหมาะอย่างยิ่งสำหรับ การส่งต่อพอร์ต ซึ่งทำให้บริการที่ทำงานอยู่บนเซิร์ฟเวอร์ภายในสามารถเข้าถึงได้จากอินเทอร์เน็ตผ่าน IP สาธารณะของเซิร์ฟเวอร์เกตเวย์

ตัวอย่าง: ส่งต่อคำขอเว็บขาเข้า (พอร์ต 80) บน eth0 ไปยังเซิร์ฟเวอร์เว็บภายในที่ 192.168.1.100

IPTables ช่วยป้องกันการโจมตีทั่วไป เช่น ความพยายามเข้าสู่ระบบแบบเดารหัสผ่าน (เช่น SSH) ได้ โดยจำกัดอัตราการยอมรับการเชื่อมต่อใหม่จาก IP ต้นทาง

โมดูล limit ช่วยให้คุณกำหนดอัตราและขีดจำกัดการรับเป็นชุดได้ โปรดอย่าลืมทิ้งการเชื่อมต่อที่เข้ามาหลังจากถึงขีดจำกัดแล้ว

ตัวอย่าง: จำกัดการเชื่อมต่อ SSH ใหม่ไว้ที่ 3 ครั้งต่อนาที โดยอนุญาตให้มีการเชื่อมต่อชุดแรก 3 ครั้ง จากนั้นทิ้งการเชื่อมต่ออื่น ๆ

ลองพิจารณาเซิร์ฟเวอร์ที่ทำหน้าที่เป็นเกตเวย์ เซิร์ฟเวอร์นี้มีอินเทอร์เฟซสาธารณะ eth0 และอินเทอร์เฟซภายใน eth1 (เชื่อมต่อกับ 192.168.1.0/24)

คำสั่ง IPTables ใดที่จะทำให้เซิร์ฟเวอร์เว็บภายในที่ 192.168.1.50 สามารถเข้าถึงได้จากอินเทอร์เน็ตผ่านพอร์ต 80

ยินดีด้วยครับ คุณได้เรียนรู้แนวคิดขั้นสูงของ IPTables แล้ว:

• ไฟร์วอลล์แบบติดตามสถานะ ด้วยสถานะ ESTABLISHED, RELATED และ NEW
• การสร้าง กฎที่ซับซ้อน ด้วยการรวมเกณฑ์การจับคู่หลายรายการ
• การใช้ การแปลที่อยู่เครือข่าย (NAT) กับการรับส่งข้อมูลทั้งขาออก (SNAT/การทำ Masquerade) และขาเข้า (DNAT/การส่งต่อพอร์ต)
• การใช้โมดูล limit เพื่อ ป้องกันการโจมตี เบื้องต้น

ทักษะเหล่านี้สำคัญอย่างยิ่งต่อการสร้างสภาพแวดล้อมเซิร์ฟเวอร์ Linux ที่แข็งแกร่งและปลอดภัย โปรดอย่าลืมบันทึกกฎ IPTables หลังแก้ไข เนื่องจากกฎเหล่านี้จะไม่คงอยู่โดยค่าเริ่มต้น