浙江福彩3d走势图
我們來自五湖四海,不為別的,只因有共同的愛好,為中國互聯網發展出一分力!

保護你的Web服務器 iptables防火墻腳本全解讀

2011年12月31日23:39 閱讀: 16625 次

標簽: WEB

本文中介紹的腳本涉及到recent安全模塊,這對系統內核有要求(recent模塊在主機防護腳本中也經常用到)。因此,如果大家要采用iptables作為主機防火墻時,建議用CentOS 5.6 x86_64或更高級版本。此Web服務器是置于負載均衡器后面,所以我們要允許數據源地址為負載均衡器的數據包通過。

本文假設你已經對iptables有基本的了解,否則請先閱讀iptables入門一文。

在我們的Web服務器上,系統的默認策略是INPUT為DROP,OUTPUT;FORWARD鏈為ACCEPT,DROP則設置得比較寬松,因為我們知道出去的數據包比較安全。

準備工作

為了驗證腳本的通用性,我特地查看了服務器的內核及iptables版本:

# uname -a
Linux ud50041 2.6.9-34.ELsmp #1 SMP Fri Feb 24 16:54:53 EST 2006 i686 i686 i386 GNU/Linux
# iptables -V
iptables v1.2.11
# lsb_release -a
LSB Version: :core-3.0-ia32:core-3.0-noarch:graphics-3.0-ia32:graphics-3.0-noarch
Distributor ID: RedHatEnterpriseAS
Description: Red Hat Enterprise Linux AS release 4 (Nahant Update 3)
Release: 4
Codename: NahantUpdate3

大家可以發現,這臺服務器的系統、內核和iptables版本是比較老的。本文中介紹的腳本涉及到recent安全模塊,這對系統內核有要求(recent模塊在主機防護腳本中也經常用到)。因此,如果大家要采用iptables作為主機防火墻時,建議用CentOS 5.6 x86_64或更高級版本,不然系統會有如下提示錯誤信息:

iptables: Unknown error 18446744073709551615
iptables:Invalid argument

在tail -f /var/log/messages時會有如下出錯提示:

ip_tables: connlimit match: invalid size 32 != 16
ip_tables: connlimit match: invalid size 32 != 24

另外,在生產環境下進行iptables腳本的調試之前,強烈建議編寫crontab任務,每5分鐘關閉一次iptables腳本,防止操作失誤而將自己的SSH客戶端鎖在外面:

*/5 * * * * root /etc/init.d/iptables stop

準備工作就是這些,下面是iptables腳本內容。

腳本內容

#!/bin/bash
iptables -F
iptables -F -t nat
iptables -X

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
 
#load connection-tracking modules
modprobe iptable_nat
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp

iptables -A INPUT -f -m limit --limit 100/sec --limit-burst 100 -j ACCEPT
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 10 -j ACCEPT
iptables -A INPUT -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -m limit --limit 20/sec --limit-burst 200 -j ACCEPT
 
iptables -A INPUT -s 122.70.x.x -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dport 80,22 -j ACCEPT

保存腳本文件后用

# sh iptables.sh

執行腳本。運行腳本之后最好檢查一下:

# iptables -nv -L

腳本說明

由于此Web服務器是置于負載均衡器后面,所以我們要允許數據源地址為負載均衡器的數據包通過:

iptables -A INPUT -s 122.70.x.x -j ACCEPT

如果配置了Nagios等監控系統的話在這里也要加上,如果監控和LB都沒做的話,這行可以不用。

另外,我的許多基于LNMP的小網站上面也部署了此腳本,由于Web服務和MySQL數據庫同時安裝在一臺機器上,所以沒有開放3306端口。

在本腳本中,我們配置了一些安全措施,以防止外部的ping和SYN洪水攻擊,并且考慮到外部的瘋狂端口掃描軟件可能會影響服務器的入口帶寬,所以在這里也做了限制:

iptables -A INPUT -p tcp --syn -m limit --limit 100/s --limit-burst 100 -j  ACCEPT

上面的命令每秒鐘最多允許100個新連接。請注意這里的新連接指的是state為New的數據包,在后面我們也配置了允許狀態為ESTABLISHED和RELATED的數據通過;另外,100這個閥值則要根據服務器的實際情況來調整,如果是并發量不大的服務器這個數值就要調小,如果是訪問量非常大且并發數不小的服務器,這個值則還需要調大。

iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s –limit-burst 10 -j ACCEPT

這是為了防止ping洪水攻擊,限制每秒的ping包不超過10個。

iptables -A INPUT -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -m limit --limit 20/sec --limit-burst 200 -j ACCEPT

上面的命令防止各種端口掃描,將SYN及ACK SYN限制為每秒鐘不超過200個,免得把數務器帶寬耗盡了。

后續加固工作

iptables防火墻運行后,運行nmap工具進行掃描:

# nmap -P0 -sS 211.143.6.x
Starting Nmap 4.11 ( http://www.insecure.org/nmap/ ) at 2009-03-29 16:21 CST
Interesting ports on 211.143.6.X:
Not shown: 1668 closed ports
PORT     STATE SERVICE
22/tcp   open   ssh
25/tcp   open   smtp
80/tcp   open   http
110/tcp   open   pop3
111/tcp   open   rpcbind
143/tcp   open   imap
443/tcp   open   https
465/tcp   open   smtps
587/tcp   open   submission
993/tcp   open   imaps
995/tcp   open   pop3s
1014/tcp  open   unknown

在這里,我們發現一個1014端被某個進程打開了,用lsof -i:1014查看發現是rpc.statd打開的,這服務每次用的端口都不一樣啊!本來想置之不理的,但是如果rpc.statd不能正確處理SIGPID信號,遠程攻擊者可利用這個漏洞關閉進程,進行拒絕服務攻擊,所以還是得想辦法解決掉。我們發現rpc.statd是由服務nfslock開啟的,進一步查詢得知它是一個可選的進程,它允許NFS客戶端在服務器上對文件加鎖。這個進程對應于nfslock服務,于是我們關掉了此服務:

service nfslock stop
chkconfig nfslock off

最后想說的是,如果沒有硬件防火墻保護的話,請盡量在每一臺有公網IP的機器上部署iptables防火墻吧!


分享到: 更多
藍客門戶
©2001-2019 中國藍客聯盟 版權所有.
關于藍客聯盟歷史宗旨章程技術服務聯系我們藍客社區

浙江福彩3d走势图 时时彩APP 河北福彩2o选五走势图 亿博团队全天实施计划下载 wellbet吉祥 一分赛记录 秒速时时彩有什么技巧 华东15选5预测彩乐乐 扑克21策略 刮刮乐中奖彩票 河北麻将微信群