Witam i zapraszam na wykład wprowadzający do Firewalled, kiedy trzeba zabezpieczyć swój system, firewalle powinny być
również tematem numer jeden do omówienia.
Zacznijmy więc od tego, czym dokładnie jest zapora ogniowa, jak czyta.
To właściwie jest jak ściana, która zapobiega rozprzestrzenianiu się ognia.
Więc wszystko, co go umieścisz, nie wpuści ognia do środka, to właściwie zapora ogniowa.
Tak się tam dostali.
Ta nazwa, gdy dane wchodzą i wychodzą z serwera, to informacje o pakietach są testowane pod kątem reguł
zapory.
A reguły zapory to w rzeczywistości coś, co znajduje się na zaporze.
Więc kiedy jest to testowane z regułami zapory ogniowej, aby sprawdzić, czy powinno to być dozwolone,
czy nie, moimi słowami chcę to opisać, że zapora jest jak strażnik, bramkarz lub tarcza, która ma zestaw
Zasady podane i na podstawie zasad decydują, kto może wejść, a kto może wyjść.
Istnieją w nim dwa rodzaje zapór.
Pierwszą z nich jest zapora programowa, która w rzeczywistości jest zaporą działającą w systemie operacyjnym.
Więc masz zaporę sieciową działającą w systemie Linux, prawdopodobnie masz zaporę sieciową działającą w systemie Windows
lub dowolnym systemie operacyjnym.
Ma małe oprogramowanie zwane zaporą ogniową.
Innym rodzajem zapory jest zapora sprzętowa.
Teraz ta zapora jest w rzeczywistości dedykowanym urządzeniem, takim jak urządzenie sprzętowe z uruchomionym na
nim oprogramowaniem zapory.
Teraz ten typ urządzenia częściej znajduje się po stronie sieci, w zespole sieciowym lub
u tego, który faktycznie utrzymuje ten rodzaj zapory.
Ale tak czy inaczej, skupiamy się na tym, na czym się skupiamy, na stronie oprogramowania zapory, która faktycznie działa
na systemie operacyjnym.
W porządku.
Pozwolę sobie więc umieścić obrazek, aby łatwiej było to zrozumieć.
Mamy więc serwer, zestaw po prostu chce jechać do Sarabi.
Teraz, kiedy idzie do serwera B, wysyła jakiś protokół lub żądanie połączenia.
A w tym przypadku powiedzmy, że serwer chce nas połączyć z rahbi przez Secich i wlać 22.
Ale kiedy pośrodku jest zapora, sprawdzi swoją regułę i powie „hej, pozwól mi sprawdzić
regułę”.
Jeśli serwer ma pozwolenie na wejście na pokład 22 i reguła mówi: tak, ta praca może
wejść, wtedy wszyscy mówią: OK, wyjaśniłem to i połączenie jest ustanowione.
Innym przykładem może być inny serwer, który chce przejść na serwer B i chce
połączyć się z serwerem B na FTP, a FTP, jak wszyscy wiemy, działa przez dwadzieścia jeden.
Teraz, zanim przejdzie do ustanowionego połączenia z serwerem B, przechodzi do reguł zapory i
zapory, pozostaje na serwerze B, że serwer A nie może wejść przy użyciu protokołu lub usługi ftp.
Wtedy to, co się stało, to usługi.
Przepraszam stary, nie mogę cię wpuścić, ponieważ moje reguły zapory mówią, że nie możesz
wejść do mojego systemu operacyjnego przez usługę FTP.
Teraz możesz zobaczyć tę zaporę sieciową pośrodku i prawdopodobnie myślisz, gdzie dokładnie siedzi.
Ale w rzeczywistości ten firewall znajduje się na serwerze A, podobnie jak inny firewall na
serwerze B, więc oba serwery A i B również mają firewalle.
Serwer A, który chce połączyć się z serwerem B, może również mieć regułę, czy ta usługa może nawet
opuścić serwer, czy nie.
A potem, gdy idzie do serwera B, serwer B ma swój własny firewall, który powiedziałby, hej, mimo
że przyszedł.
Ale pozwól mi zobaczyć, czy ta usługa może zostać zaakceptowana do obsługi mojego serwera.
Więc tak działa firewall.
Witam ponownie i witam na wykładzie Firewall, a dokładniej tabel IP, istnieją dwa narzędzia
do zarządzania firewallem w większości dystrybucji Linuksa.
Jedna to tablice IP, która jest używana głównie we wszystkich dystrybucjach Linuksa, a druga jest zaporą ogniową,
która została wprowadzona niedawno do nowszych wersji RedHat Centaurs lub Fedory, a może także
niektórych dystrybucji mandolinistycznych.
Ale jak powiedziałem ponownie, nadal większość większości narzędzia, narzędzie zapory ogniowej to tabele IP, które są używane
we wszystkich dystrybucjach Linuksa.
Teraz możesz uruchomić jedno lub drugie, więc nie możesz uruchomić obu narzędzi jednocześnie.
Tak więc w tym wykładzie będziemy pracować z tablicami IP do zarządzania zaporą ogniową.
Nie oznacza to, że nie zajmę się firewallem.
Zapora ogniowa zostanie omówiona w późniejszych wykładach przed rozpoczęciem pracy z tablicami IP.
Upewnij się, że zapora nie działa i jest wyłączona.
Aby zatrzymać serwery, musisz wykonać system, zatrzymać zaporę ogniową lub polecenie usługi, jeśli używasz starszej wersji RedHat
lub Linux S. O. S.
Ale oczywiście, jeśli używasz starszej wersji, najprawdopodobniej i tak nie ponosisz odpowiedzialności za
jej wyłączenie.
Uruchamiasz systemowy ctrl wyłączasz firewall D a do Mascotte uruchamiasz systemowy ctl mass firewall d
potrzebujesz Maxo.
Inne programy nie mogą tego uruchomić lub nie uruchamiasz tej usługi przypadkowo.
Dlatego maskujesz usługę.
Teraz sprawdź, czy masz zainstalowany pakiet usługi tabeli IP.
Miło, ponieważ przed uruchomieniem usługi, cokolwiek mówi hej, jaką usługę próbujesz zainstalować.
Musisz więc upewnić się, że masz zainstalowaną usługę i sprawdzić, czy ta usługa ma zainstalowany
ten pakiet, zrobisz R. P. M. Dash keyway i tablice IP, usługi dash.
A jeśli go tam nie ma, użyjesz tego narzędzia do zainstalowania usług tabel IP.
Po zainstalowaniu, uruchomisz usługę za pomocą polecenia start IP tables, a następnie włączysz ją, aby sprawdzić
reguły tabeli IP.
Zrobisz tabele IP, kreska Stachel i aby opróżnić tabele IP, zrobisz tabele IP, myślnik f co oznacza, że
jeśli chcesz zacząć od zera, nie chcesz predefiniowanych reguł w tabeli IP.
Robisz tablice IP, które musisz opróżnić.
Teraz pozwól mi wejść do mojego Linuxa tutaj i wypróbujemy wszystkie rzeczy, które mamy tutaj coord.
Więc najpierw musimy uruchomić tabele IP, ale czy naprawdę mamy tabele IP.
Najpierw sprawdź, czy nasz RPM ma tablice adresów IP z kluczami, usługi dash.
Nie, nie robimy tego, ale oczywiście zanim go zainstalujemy lub pobierzemy, najpierw zatrzymam zaporę.
Aby sprawdzić, czy zapora działa, ponieważ koncentrujemy się na tablicach IP.
Robisz status zapory D?
TAk.
Widzisz, jest aktywny i działa.
Więc pozwól mi iść dalej i zatrzymać tę usługę, zanim jeszcze zajmę się tablicami IP.
To jest stop.
Teraz idź dalej i wyłącz go, aby nie uruchamiał się po ponownym uruchomieniu.
OK, teraz idź dalej i zamaskuj go, aby nie uruchomić go przypadkowo.
Teraz idź dalej i sprawdź status, a zobaczysz tutaj załadowaną maskę i aktualny status nieaktywny i
martwy.
Piękny.
OK, postępujemy zgodnie z naszymi instrukcjami, a teraz naszym następnym krokiem jest zainstalowanie tabeli IP.
Pamiętaj, sprawdziliśmy, że nie jest zainstalowany.
Więc komentarz jest mniam.
Zainstaluj tabele IP, usługi dash.
Teraz upewnij się, że jeśli chcesz go zainstalować, twój komputer może wyjść z Internetu i przejść do repozytoriów,
które wymagają lub mają pakiet usługi tabeli IP.
Znalazł go i mówi ci, że rozmiar nie idzie dalej.
I tak, jestem pewien, że znasz to młode narzędzie, a teraz możesz je zainstalować
ponownie.
Po zainstalowaniu zobaczysz pełną wiadomość o zainstalowanej wiadomości.
Jest tam.
Teraz śmiało uruchom usługę.
Systemowe CTL uruchamiają tablice IP, zostało uruchomione, a ja pójdę dalej i dokończę.
Jest włączony, teraz idź dalej i sprawdź stan, jeśli jest włączony bez żadnych komunikatów o błędach.
Tak, widzisz, jest to aktywny status z niesamowitym identyfikatorem procesu.
Teraz następnym krokiem jest sprawdzenie, co znajduje się w tabelach IP, które wychodzą z pudełka.
Są to tabele IP, wielkie litery L z myślnikiem i domyślnie ma kilka reguł, które pozwalają na wyjątek, a
także ICMP dla hosta, który jest zabroniony, a niektóre z zawartych tam reguł chcieliśmy zacząć od
zera.
Więc chcę, żebyś wypłukał wszystko, wpisując tabele IP.
Jeśli jest w kolorze, sprawdźmy, czy wszystko zniknęło.
A jeśli go uruchomisz, możesz zobaczyć te trzy różne łańcuchy.
Jeden łańcuch mówi wejście.
Drugi widzi zmiany i że ich szanse wychodzą teraz, co to jest zmiana lub co to
jest i co oznacza każda kolumna?
Nie martw się, zaraz to omówię.
Funkcja ja. Narzędzie p table to filtrowanie pakietów, mechanizmy filtrowania pakietów
zorganizowane w trzy różne rodzaje struktury, a struktura to tabela, którą właśnie wam pokazałem.
Zmieniło się i ma cele.
Co to jest?
Przejdźmy do szczegółów.
Tabele tabel to coś, co pozwala na przetwarzanie pakietów w określony sposób.
Istnieją cztery różne typy stołów.
Przefiltruj, zmieć to i surowe.
Teraz pogrubiłem filtr, a następnie linię tamtego, ponieważ naszym głównym celem jest filtr i jest to
ten, który jest najczęściej używany w systemie operacyjnym Linux.
Tak więc do każdego stołu przymocowane są łańcuchy.
Łańcuchy te umożliwiają kontrolę ruchu w różnych punktach.
Istnieją trzy główne łańcuchy wykorzystujące tablice IP.
Jednym z nich jest wejście, które jest powiązaną z nim regułą, która mówi o dochodach z ruchu przychodzącego do routera, a następnie
z jednego urządzenia do drugiego, co jest rzadko używane ponownie.
A trzecim wyjściem jest ruch wychodzący.
Skoncentruj się więc na tych dwóch danych wejściowych i wyjściowych, czyli ruchu przychodzącym i ruchu wychodzącym.
Teraz wszystkie te trzy łańcuchy, które widzisz, mają powiązane zasady.
Zmiana pozwala na filtrowanie ruchu poprzez dodawanie do nich reguł.
Przykładem reguły jest to, że jeśli ruch pochodzi z tego adresu IP, zdefiniuj teraz cel.
OK, mam stół, mam łańcuszek, a te trzy łańcuszki tam są i łańcuszek ma swoje zasady.
Zdefiniuj teraz, co się stanie, gdy zostanie spełniona reguła, że znalazłem przychodzący adres IP.
Co mam teraz zrobić z tym adresem IP?
Następnie wchodzisz i definiujesz cel, a są trzy różne typy celów.
Jednym z nich jest oczywiście zaakceptowanie połączenia, jeśli reguła pasuje.
Po drugie, odrzuć znaczenie, nie akceptuj go.
Ale wyślij odpowiedź, że hej, odrzucam ją, nie przyjmuję twojej prośby.
Może niektóre odpowiedzi, jakieś znaczące informacje.
Ale tak czy inaczej, trzeci to drop, czyli ostry spadek.
Nie chcę ci mówić, dlaczego tego nie akceptuję.
Po prostu nie wolno ci w ogóle.
Te trzy są prostymi celami.
Tak więc ponownie, podsumowując, tabele IP zawierają tabele.
To się zmieniło.
Każdy łańcuch ma wejście do przodu na wyjściu, a następnie na podstawie tych reguł definiuje się w tych łańcuchach.
Są celami.
A te trzy cele to akceptacja, odrzucenie i narysowanie.
Jeśli nadal masz problem ze zrozumieniem, pozwól, że ci to narysuję.
Ten stół wygląda tak, ale oczywiście tak nie jest.
Ale ja po prostu wstawiam się w sposób graficzny.
To jest stół.
Tabela ma jakie łańcuchy i te trzy łańcuchy są i przedstawia dane wyjściowe.
I wszystkie te łańcuchy mają z tym związane zasady.
Oznacza to, że jeśli adres IP to lub jest to i tak dalej, to co chcesz wtedy zrobić?
Chcę, żebyś to zaakceptował.
Nie, rzuć to.
Nie, odrzucam to.
Jakikolwiek jest cel, zdefiniujesz go na poziomie docelowym.
Teraz uruchomisz stół EPEAT Zakhele, aby zobaczyć ten stół i go uruchomić, a zobaczysz stół,
który jest taki, jak pokazałem to kilka minut temu.
Jak widzisz, istnieją trzy kanały, ale możesz zobaczyć zmianę wejścia łańcucha do przodu i wyjście łańcucha.
To wszystko nazywa się łańcuchem.
Teraz każdy łańcuch ma i przedstawia wyjście, potem ma cel.
Do tej pory wszyscy wiemy, jestem pewien, że odkryłeś w tym wszystkie te mocne strony.
Przejdźmy teraz do bardziej szczegółowych informacji na poziomie reguł.
To pole, które widzisz tutaj, oznacza protokół, taki jak TCP, UDP, ICMP lub każdy inny typ protokołu, który
chcesz zdefiniować, zostanie zdefiniowany tuż pod nim, a następnie opcjonalny.
Jest to rzadko używane, ponieważ Clallam wskazuje źródło opcji IP, co oznacza, z którego adresu IP pochodzi, a następnie miejsce
docelowe.
Dokąd to zmierza?
Więc kiedy zobaczysz regułę tuż pod tym, możesz ją łatwo przetłumaczyć.
Och, OK.
Takie jest znaczenie tej reguły, to znaczy, że protokół pochodzi z tego źródła i zmierza do tego miejsca przeznaczenia.
A celem jest.
Usuń go, a to jest dla przychodzącego łańcucha lub ruchu przychodzącego, ponieważ jest powiązany z wejściem
łańcucha.
Tak czy inaczej, chłopaki, chodzi o cały wykład, który omówiłem, więc wyjaśnij, jak możesz
pobrać, zainstalować tabele IP, jak możesz to uruchomić i jak wygląda wynik kreski tabeli IP.
Musisz więc zrozumieć, zanim zaczniesz administrować tablicami IP, które omówimy w następnym
wykładzie, aby wykonać pewną praktykę, uruchomić określone polecenia.
Bądźcie na bieżąco.
OK, więc teraz nadszedł czas, aby popracować nad firewallem, konkretnie firewallem narzędziowym, firewallem, działa tak samo
jak zastawa stołowa IP.
Oczywiście ma własne polecenia i polecenie, które zaczyna się od kreski ACMD zapory.
Upewnij się, że zapora poleceń, pierwsza część pierwszego słowa nie zawiera D.
Więc to tylko Firewall Dash ACMD.
Ma kilka predefiniowanych reguł serwerów, które bardzo łatwo włączać i wyłączać.
A te usługi, takie jak Nafez i DPD, są już tam w formacie XML.
Wszystko, co musisz zrobić, to dodać te usługi do tabeli firewall D, a reguły omówią to oczywiście w późniejszym
wykładzie, a ja pokażę ci, jak dokładnie działa przykład.
Zapora ma również poniższą tabelę.
Łańcuchy, zasady i cele.
Ustal zasady zmiany tabeli, cele.
Wiecie już, że tabela zawiera wszystkie informacje o regułach zmian i łańcuchach docelowych lub
te, które zawierają informacje o ruchu wychodzącym, przychodzącym lub przesyłanym.
A zasady są powiązane z tymi łańcuchami.
Na przykład, jeśli ruch przychodzący jest zgodny lub pasuje do tej reguły, to co robić?
Potem przychodzi cel.
Tym celem byłoby odrzucenie, odrzucenie lub zaakceptowanie ruchu.
Więc znowu, jak powiedziałem, działa podobnie jak tablice IP.
A jeśli chcesz odświeżyć wszystkie te różne reguły zmiany tabel i informacje o celach, możesz wrócić do tabel
IP, aby znaleźć więcej informacji na ich temat.
OK, więc możesz uruchomić jeden lub drugi, co oznacza tablice IP lub zaporę ogniową.
Nie zaleca się uruchamiania obu.
Jednocześnie upewnij się, że tablice IP są zatrzymane, wyłączone i zamaskowane przed uruchomieniem zapory sieciowej.
I oczywiście, aby to zatrzymać, użyjesz systemowych tablic ctrl stop IP, a następnie systemu ustawionego na wyłączenie go, aby nie
zaczął się od Bhoot i zamaskował go.
Więc nie uruchomisz go przypadkowo ani żadnych innych programów po uruchomieniu, a następnie po jego zatrzymaniu.
Teraz musisz sprawdzić, czy serwery firewall, które próbujesz uruchomić, mają zainstalowany pakiet lub pakiet
wymagany w twoim systemie.
Ale jak powiedziałem, jeśli używasz Centaurusa 7, RedHata 7 lub 4, Fedory 7 i nowszych, domyślnie
będzie miał zainstalowaną zaporę ogniową D.
Przy okazji, właśnie sprawdziłem w trzecim wierszu, widzisz plik, Waldy.
To tylko pomyłka zamiast tego, co powinienem, czy w każdym razie, to tylko mały, szczery błąd, żeby sprawdzić, czy
pakiet jest zainstalowany.
Prowadzisz R. P. M. Wpust Dash i zaporę ogniową.
Jeśli go nie znajdziesz, uruchomisz polecenie Jum Command, aby zainstalować zaporę D, a po jej zainstalowaniu uruchomisz
zaporę D za pomocą polecenia systemowego ctrl start.
A potem zaporą ogniową, następny komentarz będzie włączony, zaporą ogniową, nie można tego wszystkiego uruchomić w jednym
komentarzu, po prostu umieściłem to w jednym, aby zaoszczędzić trochę miejsca, a następnie sprawdzić regułę zapory, co jest w środku
i co jest zdefiniowane.
Uruchomisz firewall, myślnik, cmd, myślnik, myślnik, listę, myślnik wszystko.
Poinformuje Cię, jakie usługi są włączone, jakie reguły obowiązują, jaki rodzaj łańcuchów jest wdrożony, uzyskując
listę wszystkich usług, o których jest świadoma zapora ogniowa.
Są to usługi, o których mówiłem na poprzednim slajdzie, że istnieją usługi predefiniowane przez zaporę
sieciową D i są one napisane w formacie XML i możesz po prostu dodać te usługi
i usunąć je w jednym poleceniu, aby uzyskać listę wszystkich usług uruchamiasz polecenie zapory.
Więc zaporaj to polecenie, zdobądź usługi, aby zrobić zaporę, przeładuj konfigurację, dodaj edytuj, co oznacza, że
jeśli dodałeś regułę w zaporze, zawsze będziesz musiał uruchomić polecenie firewall ACMD, myślnik, myślnik,
przeładuj.
Dzięki temu proces chroniony zaporą sieciową będzie wiedział o nowej regule lub nowych informacjach, które dodałeś
do tabeli.
W porządku.
Więc teraz przejdę do Linuksa i spróbujemy tego wszystkiego.
Więc pierwszą rzeczą jest upewnienie się, że tablica IP nie ma statusu CTL systemu, tablice IP i widzisz to
jako uruchomione.
Jest teraz aktywny, więc będziesz musiał go zatrzymać.
Uderz w klawisz strzałki i.
Zamień status na stop.
Zatrzymał się teraz, wyłącz go.
Więc nie uruchamia się w czasie budżetowym, a następnie maskuje go, aby nie został uruchomiony przez pomyłkę lub inny program,
można ponownie sprawdzić stan.
I zobaczysz, że teraz jest zamaskowany i nieaktywny.
Idealny.
Teraz czas sprawdzić, czy mamy zainstalowaną zaporę sieciową, więc R. P. M. Desh Kuai i świetne do zapory.
OK, więc ma to pakiet, o który się martwimy, upewnij się, że ten pakiet tam jest, a
jeśli jest więcej zapory ogniowej na poziomie systemu, możesz go również zainstalować.
Ale najprawdopodobniej zostanie z nim zainstalowany, jeśli po prostu wpiszesz JUM install firewall.
OK, więc teraz jest zainstalowany.
Następnym krokiem jest uruchomienie zapory.
Start systemu CTL.
Zapora.
Mówi, że urządzenie to Mascotte, co oznacza, że nie można go uruchomić przez pomyłkę lub przez inny program, więc
musimy go zdemaskować.
Więc zdemaskuj.
W porządku.
Teraz jest zdemaskowany.
Możesz iść dalej i zacząć.
Zaczęło się idealnie.
Teraz idź dalej i zdobądź to.
Więc zaczyna się w czasie rozruchu.
OK, teraz śmiało i sprawdź teraz status.
OK, działa, aktualny stan jest aktywny.
Fajnie, wyczyść ekran, a teraz mam zamiar sprawdzić, co jest w moich regułach zapory, co wychodzi z
pudełka.
I do tego zrobię Dashty List, pędź wszystko, a zobaczysz, że to jest stół.
To stół publiczny.
Jest aktywny i domyślnie ma usługę S. H. , DCPI, sześć Clide.
Te dwie usługi są już włączone, dzięki czemu zapora usługi za każdym razem, gdy uruchamiam, i domyślnie zezwala
się na wejście SSA.
A jeśli widzisz, możesz zdefiniować Boadiceę.
Jakiekolwiek konkretne zasady, które posiadasz, mógłbyś umieścić je w ich rytuałach, które omówimy
w następnym wykładzie.
Jeśli coś dodasz, możesz uruchomić myślnik ACMD zapory ogniowej, a następnie poprawną składnię, aby dodać obsługę usług,
aby uzyskać listę wszystkich usług, o których wie Firewall D.
Wpisz polecenie firewall cmd get.
Usługi.
OK, to jest lista usług, z którymi rozmawiałem wcześniej.
Są to usługi predefiniowane, wszystkie oddzielone spacjami i zapisane w kolejności alfabetycznej.
A więc A, B, C, a jeśli szukasz, powiedzmy, S. H. , zobaczysz w istocie sekcję S.
I widzę tu przerwy, tu jakieś usługi typu.
Jeśli szukasz FTP, przejdź do sekcji F, ponieważ to jest F i zobaczysz FTP.
Tak więc wszystkie te usługi są tam właściwie predefiniowane.
Nie oznacza to, że jest już częścią reguł zapory, że wszystkie te usługi będą
domyślnie włączone.
Nie chodzi o to, że mówi się, że zapora ogniowa, hej, miałeś usługę.
Wszystko, co musisz zrobić, to uruchomić polecenie.
Powiedz mi, że jest to usługa, którą chcesz włączyć, a ja przejdę do jej pliku konfiguracyjnego.
Dowiem się, na jakim porcie działa i włączę to dla ciebie.
Więc omówię ten plik XML w późniejszych wykładach.
Więc na razie upewnij się, że założysz rodzinę.
Jest uruchomiony i ma usługi wymienione tutaj, aby wstępnie zdefiniować dwie usługi.
Przejdźmy do kilku praktycznych przykładów zapory firewall, które miały wiele stref, aby uzyskać listę wszystkich
stref, musisz uruchomić polecenie firewall, myślnik, cmd, myślnik, myślnik, pobierz strefę.
Przejdźmy więc do maszyny z Linuksem, uruchomimy ją tutaj i zobaczymy, ile stref i listę stref
możemy uzyskać, aby wpisać firewall.
Kamdesz Desz.
Strefy, a zobaczysz, że poda ci listę stref, zablokuj DMC, usuń zewnętrzny dom i
wewnętrzną zaufaną pracę publiczną, możesz użyć dowolnej strefy, która jest wymagana przez twoją firmę lub twoje zasady.
Przez większość czasu, jaki widziałem, publiczność jest wypierana.
To jest używane przez większość czasu.
Tak więc nasza uwaga skupiona na tym wykładzie pozostanie publiczna.
W ten sposób otrzymujesz listę stref, aby uzyskać listę aktywnych stref, aby
zobaczyć, że mamy wszystkie te strefy, w których jedna jest aktywna, a do tego uruchomimy Command Firewall ACMD i uzyskamy aktywne strefy
kreski Dasch.
To jest lista, która strefa jest aktywna i jest aktywna pod względem zapory, w której zapora otrzymuje wszystkie
swoje reguły.
Konfiguracja jest publiczna, a interfejs dołączony do tej strefy jest naszym domyślnym interfejsem.
Możesz mieć inny, jeśli używasz innego typu Linuksa, gdzie fizyczny
wirtualny, o którym będziemy mówić, to jak uzyskać reguły zapory dla strefy publicznej.
Więc teraz wiesz, że my jesteśmy społeczeństwem, to strefa, która jest aktywna.
Teraz jak zdobyć listę tej strefy.
Możesz uruchomić zaporę poleceń, która wydawała się być strefą równą publicznej kreski tej strefie listy.
Ale jeśli zauważysz, że po uruchomieniu polecenia uzyskasz aktywne strefy, dano nam tylko strefę publiczną.
Jeśli więc masz aktywną tylko jedną strefę, tak naprawdę nie musisz określać nazwy strefy.
Ale żeby poćwiczyć, jeśli załóżmy, że masz wiele stref, musisz określić strefę.
Stajesz się publiczny.
Zobaczmy.
W takim razie zrobimy.
Dlaczego mile widziane Dashty Zone są równe?
Publiczne i lista wszystkich.
Jest to strefa, która domyślnie jest po wyjęciu z pudełka, jeśli uruchamiasz swoją zaporę ogniową
po raz pierwszy, to właśnie zobaczysz, a główną rzeczą, którą zobaczysz, jest ta
strefa jest publiczne i aktywne.
A usługi, które domyślnie otrzymujesz, to S. H. , DCPI sześć i Kline.
Są to usługi, które są domyślnie włączone.
Ponownie, miałem na myśli to, że jeśli Twoja strefa publiczna jest już aktywna i jest
to jedyna, której nie musisz określać, możesz po prostu uruchomić polecenie bez określania strefy i uzyskać ten sam
wynik.
Teraz mógłbyś również, jak powiedziałem, obejść się również bez Strefy.
Tak więc wszystkie usługi są predefiniowane przez zaporę.
Jak wyjaśniono wcześniej, masz listę wszystkich usług.
Teraz pytanie brzmi, mam listę wszystkich usług, do których mogę wejść, włączyć i wyłączyć
i włączyć.
Ale co, jeśli w tym przypadku chcę dodać usługę innej firmy?
Weźmy przykład.
Powiedzmy, że jeśli chcesz, aby zainstalować aplikację SFP na serwerze Linux i chcesz, aby
ta aplikacja była włączana i wyłączana, musisz przejść do disservices zapory usr lib i wszystkie te usługi, które są predefiniowane,
znajdują się w tym katalogu.
Wystarczy skopiować dowolny plik XML z kropką i zmienić usługę oraz jej numer portu.
Teraz, kiedy otworzysz ten plik, ten plik XML, tak to będzie wyglądać.
Nawiasem mówiąc, to mniejsza wersja.
W tym katalogu znajduje się wiele plików, plików XML, które mają dłuższy opis.
Więc krótsze opisy są testowe.
Pokazuję ci to, że kiedy plik katab w którymkolwiek z upadków w tym katalogu, który kończy się na XML,
zobaczysz jego wersję na pierwszym i drugim.
Zobaczysz tę usługę i wpiszesz informacje o usłudze, a zobaczysz, że usługa, rodzaj
usługi, którą zobaczysz, to S. H. a jaki opis chcesz umieścić, co dokładnie
ta usługa zrobi.
I oczywiście informacje o porcie oraz usługa i nazwa, która jest w tym miejscu jako TCP,
a numer portu to 22.
Tak to wygląda.
Ale na następnym slajdzie zamierzamy stworzyć dostosowaną usługę, o której właśnie wspomniałem, SJP, ten XML,
a pokażę ci, jak możesz sprawić, by zaporę sieciową Awaya.
Przejdźmy więc do następnego slajdu i zobaczmy, czy chcesz dodać usługę.
Powiedzmy, że HTP w Twojej zaporze.
W tym celu musisz uruchomić polecenie firewall ACMD dash dash dodaj dash service równy HTP.
Więc teraz, gdy uruchomisz to polecenie, zobaczysz, że w usługach nie ma usługi HTP.
Więc jeśli masz Firefoksa i możesz go otworzyć i możesz spróbować uzyskać dostęp do usługi HTTP, zobaczysz, że
nie będzie on dostępny.
Ale oczywiście, aby to najpierw sprawdzić, musisz upewnić się, że Twoja usługa DPD jest uruchomiona.
Zobaczmy więc status CTL systemu HTP.
OK, mówi, że ta maska jest nieaktywna, więc musimy ją aktywować, aby przetestować nasze reguły zapory, gdy
je dodamy.
Więc zrobimy to przede wszystkim na Mascotte.
Wtedy zacznę usługę.
Usługi zostały uruchomione, sprawdźmy status, jest teraz aktywny, otworzę przeglądarkę, aby upewnić się, że
mogę uzyskać dostęp do mojego serwera party za pomocą protokołu lub usługi EDP.
Więc moje.
OK, więc teraz mój adres IP mojego komputera, łącza, których używam, to jeden osiem jeden sześćdziesiąt jeden przecinek sześćdziesiąt
dwa.
Więc kiedy przeładuję, zobaczysz, że mówi problem z ładowaniem strony i się kręci.
Oznacza to, że połączenie powie, że upłynął limit czasu, ponieważ widzisz, że trwa to zbyt długo.
To jest wiadomość, którą otrzymasz.
Więc aby dostać się do serwera przez tę usługę HTP, musisz ją włączyć.
Więc przejdźmy do.
Nasz.
Firewalled i dodajmy to, więc wyczyśćmy zaporę ekranu, reklamę ACMD dash dash, jaką usługę
chcesz dodać HTP?
OK, ta usługa została dodana, a kiedy ponownie wystawisz.
Zobaczysz w dziale usług.
Jest to ostatnie słowo, które zostało dodane, teraz przejdźmy dalej i zweryfikuj je, przechodząc do
naszego komputera Firefoksa, a następnie odśwież ekran i masz stronę powitalną, co oznacza, że możemy dostać się do naszej
strony powitalnej i działa idealnie.
Dobry.
Teraz jeszcze jedna rzecz, jeśli chcesz to usunąć, możesz po prostu nacisnąć klawisz perłowy lub wrócić do tego samego
polecenia i wpisać remove, a usunie to.
Możesz sprawdzić status, niezależnie od tego, czy zniknął, czy nie, przeglądając całą listę, a zobaczysz, że teraz
zniknął.
Więc o to chodzi w usunięciu usługi, a następnie o przeładowaniu konfiguracji zapory, co oznacza, że
jeśli dodałeś jakąś usługę, a teraz chcesz tylko wyczyścić całą konfigurację zapory, cokolwiek
dodałeś.
A do tego musisz wpisać firewalled reload.
Więc zanim to zrobię, pokażę ci najpierw, kiedy dodaliśmy.
To usługi HP dodały.
Teraz, jeśli zrobisz listę, zobaczysz, że tam jest, ale teraz, kiedy wejdziesz i przeładujesz.
Załaduj ponownie i sprawdź.
Ta zapora ogniowa, zobaczysz tę usługę HTP, każda zmiana, którą chroni, jest swego rodzaju sposobem zapory
ogniowej, która usuwa wszelkie tymczasowe reguły.
Więc jeśli chcesz dodać jakąkolwiek regułę na stałe, musisz na końcu określić permanent.
Tak więc, aby na stałe dodać lub usunąć usługę, uruchomisz zaporę ogniową, która wydawała się dodawać
do usługi jako równa stała i która doda ją na stałe do tej strefy, która jest publiczna.
Więc oczywiście, aby usunąć go na stałe.
Byłeś na tej samej komendzie ze stałą opcją Romo i Dash Dash.
Porozmawiajmy teraz o aplikacji innej firmy, o której mówiliśmy na ostatnim slajdzie.
Co zrobić, jeśli są usługi, które chciałbyś dodać?
To nie jest.
Czy to nie było predefiniowane, czy jako domyślna usługa w firewallu.
Więc to, co musimy zrobić, to najpierw wejść do tego katalogu, w którym usługi zostały objęte
zaporą ogniową.
Możesz po prostu skopiować dowolny plik XML z kropką i nadać nazwę temu nowemu plikowi usługi i zmienić
numer importu usługi w tym pliku.
Następnie musisz ponownie uruchomić zaporę ogniową, a następnie po prostu dodać zaporę, a następnie po prostu uzyskać listę tych usług,
aby potwierdzić, aby sprawdzić, czy usługa jest dostępna.
A jeśli tam jest, to działa, możesz uruchomić polecenie zapory, aby dodać tę usługę.
Więc pójdziemy, przejdziemy teraz przez to ćwiczenie i zobaczmy.
I jak powiedziałem, użyjemy tego jako przykładu.
Korzystamy z usługi SFP, która moim zdaniem działa na porcie 32.
Więc przejdę do usług firewall D usr lib.
A tak przy okazji, jeśli robisz to po raz pierwszy, radzę zrobić migawkę maszyny wirtualnej na wypadek,
gdyby coś poszło nie tak.
OK, teraz w usługach jest kilka usług.
Jeśli skończysz jako mysel, zobaczysz wszystkie te usługi, które otrzymasz po uruchomieniu,
polecenie wyda polecenie, uruchomisz kreskę zapory.
Wyglądało na to, że usługi dash get, wszystkie te usługi, które widzisz, są w rzeczywistości zaporą ogniową, pobierają je z tych
plików.
Teraz znowu chcemy zająć się SFP.
Pójdę dalej i upadnę, albo w tym przypadku zrobię kopię S. H. Plik XML i
skopiuję go do SFP, ExxonMobil, OK, zweryfikowałem, że tam jest.
Sam to zrobię.
TIAR, jest tam do samego końca.
Teraz przejdę dalej i zmodyfikuję ten plik przez Skype XML.
I widzisz, ma tę usługę wersji, krótki opis to Sustagen, usunę go do SFP.
OK, teraz jest to opis wszystkiego, co jest wymienione w opisie usługi SNH, i umieszczę ten
opis strony trzeciej, cokolwiek ta usługa zrobi.
To jest trzecia strona.
Serwis aplikacji.
Ok dobrze.
Teraz protokołem jest TCP lub cokolwiek, co chcesz określić i możesz użyć portu.
Więc oczywiście musisz wiedzieć te rzeczy, czy jest to TCP, UDP czy port, nie, to jest
usługa.
Teraz możesz iść dalej i zapisać ten plik.
Ojciec powiedział, że możemy zweryfikować ASSP Zemel i widzisz, że jest tam z wszystkimi określonymi przez ciebie poszukiwaniami.
Teraz, jeśli chcesz zobaczyć ten SFP na swoim listingu, czyli po uruchomieniu tego polecenia i
chcesz go tam zobaczyć, będziesz musiał ponownie uruchomić zaporę ogniową, cały system.
Ctrl uruchom ponownie zaporę.
Jest teraz ponownie uruchamiany, gdy zamierzasz uruchomić usługi pobierania, powinieneś być w stanie zobaczyć swoją usługę
SJP.
Więc, um, ja zrobię to, że zapory sieciowej ACMD pobierają usługi.
Po prostu zrobię naleśniki.
ASSP.
I proszę bardzo, więc zobacz to dla nas podświetlone, łatwiej nam będzie wiedzieć, gdzie dokładnie to się skończyło.
Więc teraz ta usługa SFP jest tam.
Miły.
Teraz możemy śmiało dodać go jako usługę do konfiguracji zapory.
Więc dodać to po prostu zaporę ogniową.
Achmed.
Dodaj myślnik.
Usługa jest równa nazwie dodanej usługi, którą dodajesz, i kiedy robisz listę.
Zobaczysz, że dodał tę usługę SFP.
Teraz, jeśli próbujesz dodać inne usługi, których nie ma w tym pliku XML, po prostu się nie powiedzie,
nie zadziała.
Na przykład, jeśli próbuję dodać usługę, zadzwoń do Emraana.
Mówi Invalid's Service Emran, ponieważ wszedł do katalogu disservices zapory usr lib, szukał
pliku XML Emrana, i to zrobił i nie istnieje.
Dlatego nie jest w stanie dodać.
Jest to więc dobra funkcja zapory ogniowej, w której wystarczy po prostu dodać lub usunąć
usługi zdefiniowane w tym katalogu.
W porządku.
Więc ruszaj dalej.
Przy okazji pozwolę sobie usunąć Multiservice.
W ten sposób mam wszystko posprzątane lub mogę po prostu zrobić co, przeładować, jeśli
nie dodałem tego na stałe.
Zweryfikujmy to.
Jest tam.
Odeszło.
Dobry.
Idziemy dalej.
A co jeśli chcesz dodać port do konfiguracji firewalla? Po prostu jesteś pod dowództwem,
którym jest firewall.
ACMD kreska kreska ad kreska port jest równy.
Wybrałem ten jeden jeden zero jeden jeden jeden zero jako losowy port.
Możesz wybrać lotnisko, które chcesz otworzyć i protokół.
Wejdź, sprawdź to, a zobaczysz, że pojawi się w portach, TCAP, dodany przez Tennanta.
Teraz znowu, jeśli nie określisz dash permanent.
Potem zniknie w momencie, gdy zrobisz firewall, smd, dash, dash, przeładuj.
OK, więc w ten sposób dodajesz port i oczywiście, aby usunąć port, musisz usunąć port.
Więc chodźmy dalej i usuńmy port.
W porcie usunę.
Port.
Tsipi Zero Dash.
Nie ma go, zweryfikujmy go i już go nie ma.
Piękny.
OK, teraz odrzucam ruch przychodzący z adresu IP.
Więc znowu, jest to rodzaj scenariusza, w którym ktoś wchodzi do twojego komputera z adresem IP i nie lubisz tej
osoby lub nie lubisz tej maszyny.
Niezależnie od powodu, chcesz po prostu zablokować ruch przychodzący z tego adresu IP.
Więc z reguły będziesz to uruchamiał.
To długa zasada, ale dodana do bogatych, przestrzeń zasad na samym dole.
Przejdźmy więc do reguły.
Widzisz, kiedy uruchamiasz zapory i łączysz wszystko, widzisz bogate reguły na samym dole.
Tutaj musisz dodać tę regułę.
Więc zrobię to, że zmniejszę to, abym mógł to chwycić i przeczytać całe polecenie, że
po prostu też to zwiększę.
Więc mógłbym być w stanie wpisać wszystko w jednym wierszu.
Więc zapora.
ACMD.
Myślnik, myślnik, dodaj dodając bogatą regułę, a ta zasada mówi równa, do czego służy zasada dotycząca
rodziny w ramach IPV?
I które ja. P. adres, który próbujesz zablokować, jest to źródło i adres tego źródła,
równy kod.
Jedna 92, jedna 68 Dodge Dart.
Dwadzieścia pięć.
A potem co chcesz zrobić?
Pamiętasz kierowanie, o którym rozmawialiśmy?
Chcesz odrzucić?
I płaszcz blisko.
Udało się, sprawdźmy, czy tam jest, a zobaczysz, że ta reguła jest dodawana jako bogata reguła na samym
dole, która odrzuca cały ruch przychodzący, jeśli pasuje do tego adresu IP.
Teraz możesz blokować i odblokowywać ruch ICMP.
Co zrobić, jeśli nie chcesz, aby ludzie Penghu mogli uruchomić po prostu to polecenie?
Więc pozwól mi wrócić i iść dalej i usunąć ten rytuał, który dodałem.
Więc zamiast po prostu dodać, usunę lub będę musiał po prostu przeładować ACMD.
W każdym razie go nie ma.
Tam odpowiedziałem.
Tak, już go nie ma.
Chcę zablokować całą zaporę ruchu przychodzącego.
ACMD, mam na myśli cały przychodzący różowy ruch, a nie cały ruch i ICMP z kreską, jak wiecie, ból
pojawia się w bloku kreskowym ICMP i inwersji protokołu.
To jest dodane, mniej zweryfikowane, i zobaczysz.
Odwrócenie bloku ICMP jest ustawione na tak, teraz jeśli wejdę do mojego i drugiego komputera, powiedzmy, że wchodzę do mojego komputera
z systemem Windows i mam otwarty monit DOS i próbuję pingować mój komputer z systemem Linux, na
którym włączyłem tę regułę, poszedłem do jednego 162.
To jest adres IP mojej maszyny i zobaczysz go, mówi Horst Unbreachable.
Teraz, jeśli pójdę dalej i usunę tę regułę, to znaczy zamiast dodawać, po prostu usunę.
A teraz, jeśli spróbuję pingować, powinienem móc pingować.
W ten sposób blokujesz lub odblokowujesz, a ruch ICMP teraz ma być przenoszony teraz, aby zablokować ruch wychodzący do określonej witryny sieci Web
z ukośnym adresem IP.
Jako przykład użyję tego przykładu ponownie.
A co, jeśli chcesz zablokować cały ruch wychodzący na Facebooka, po prostu nie chcesz mieć swoich dzieci
ani kogokolwiek, z kim masz do czynienia.
Po prostu nie chcesz, aby ta osoba wyszła na zewnątrz na stronę na Facebooku lub jakąkolwiek stronę, jeśli o to chodzi.
Ale w tym celu musisz dowiedzieć się, jaki jest adres IP tej strony.
Aby to znaleźć, musisz uruchomić post Dashty, a następnie, że wszyscy znajdziecie ten adres IP.
Znalazłem już ten adres IP, a adres IP to 31, 13, 1736.
Aby zablokować ruch wychodzący, użyjesz tego polecenia.
Uruchommy więc to polecenie.
Więc mam to.
Maszyna Linux tutaj i znowu, aby znaleźć nazwę hosta, a więc znaleźć adres IP.
Dub, dub, dub dub, Facebook, dotcom, zobaczysz, że adres IP jest już tam potwierdzony.
Teraz muszę zablokować tę zaporę, ale zanim tam zablokuję, pozwól mi na razie pingować ten adres IP.
Tylko upewnij się, że mogę wyjść.
Tak, mógłbym wyjść, mógłbym otrzymać odpowiedź, teraz zamierzam iść dalej i to zablokować.
Bezpośredni.
Dodaj regułę IPV dla filtra.
Wyjście, pamiętaj, wyjście jest takie, że ruch wychodzący jest wyłączony, aby przejść do źródła trzy trzydzieści
jeden, trzynaście siedemdziesiąt jeden i trzydzieści sześć to adres IP.
Co chcesz robić?
Chcesz po prostu zrobić cel, którym jest drop.
Udało się teraz, możesz iść dalej i pingować ten adres IP, a zobaczysz, że powie ci, że operacja
nie jest dozwolona, ponieważ nie możesz wyjść na zewnątrz.
Teraz, jeśli pójdę dalej i przeładuję mój.
Cała zapora sieciowa.
A teraz, jeśli to zrobię.
Nadal nie mogę pingować.
Sprawdzę, co jest na mojej liście?
Reguła nadal tam jest.
Nie ma go tam, ale nie mogę tego sprawdzić.
Myślę, że muszę ponownie uruchomić usługę tutaj.
To byłby restart systemu ctrl.
Zapora.
De.
Uruchomiłem ponownie striping i teraz jestem w stanie pinkert, może został zbuforowany, musimy po prostu zrestartować cały
świat, ale to OK.
W ten sposób możesz zablokować wychodzący ruch przychodzący.
A oto kilka poleceń, które omówiliśmy.
A to jest bardzo zbliżone do poleceń, które uruchamialiśmy w tablicach IP.
Mam nadzieję, że cały ten wykład zabezpieczony zaporą ogniową, podzielony na dwie części, rzeczywiście spełnił swoje zadanie.
I jesteś w stanie zrozumieć, jak działa firewall.