Nếu bạn đã từng tìm hiểu về hệ điều hành Linux hay cách để bảo mật cho VPS sử dụng CentOS hoặc Ubuntu, chắc chắn bạn đã nghe về IPTables. IPTables là gì? Cách cấu hình IPTables Ubuntu ra sao sẽ được Tino Group hé lộ trong bài viết nhé!
Giới thiệu về IPTables
IPTables là gì?
IPTables là một chương trình firewall – tường lửa miễn phí được phát triển cho hệ điều hành Linux, chương trình giúp bạn có thể tạo ra những bộ quy tắc để kiểm soát quyền truy cập cũng như gia tăng tính bảo mật cho VPS/ Hosting/ Server của bạn.
Trong quá trình sử dụng máy chủ, việc kiểm soát người truy cập ra vào là một điều cần phải được quan tâm.
Giải thích đơn giản về phương thức hoạt động: Linux kernel sẽ cung cấp các yếu tố cần thiết để có thể lọc các tập tin ra vào bằng cách sử dụng bảng với rất nhiều bộ lọc gói tin. Để có thể thiết lập, duy trì cũng như kiểm tra các bảng, bạn sẽ cần đến IPTables.
Về mặt cơ bản, bạn sẽ không có một phần mềm với giao diện đồ hoạ để thao tác, bạn sẽ sử dụng các dòng lệnh để tương tác với các packet filtering.
Các bảng trong IPTables
- FILTER: đây là bảng mặc định được sử dụng để lọc các gói và bao gồm các chuỗi như: INPUT, OUTPUT và FORWARD.
- NAT: bản có liên quan đến việc dịch địa chỉ mạng.
- MANGLE: bản được sử dụng để thay đổi các gói chuyên biệt
- RAW: dùng để cấu hình không theo dõi các kết nối
- SECURITY: thông thường, SELinux sử dụng để thiết lập chính sách bảo mật.
Target trong IPTables là gì?
Bạn có thể hiểu đơn giản: Target là một hành động sau khi các gói đáp ứng được các điều kiện của rule.
- ACCEPT: chấp nhận gói tin và gói được phép đi vào hệ thống.
- DROP: loại bỏ gói tin
- REJECT: loại bỏ gói tin và chuyển hướng xử lý đến một bảng khác.
- LOG: chấp nhận gói tin và ghi lại nhật ký.
Chains trong IPTables là gì?
Chains hay các chuỗi được tạo ra trong mỗi bảng giúp lọc các gói tin. Chúng ta có 3 dạng cơ bản như sau:
- INPUT: sử dụng để điều khiển các gói tin đến điểm đích hoặc máy chủ. Bạn có thể cho phép hoặc chặn các kết nối bằng nhiều cách như: địa chỉ IP, cổng hoặc giao thức.
- FORWARD: máy chủ sẽ trở thành trung gian để chuyển tiếp các gói đến nơi khác.
- OUTPUT: sử dụng để lọc các gói tin đi ra từ phía máy chủ của bạn.
Người dùng cũng có thể xác định các chuỗi này.
Ngoài ra, còn có 2 chuỗi như sau:
- PREROUTING: dùng để sửa đổi các gói khi chúng đến
- POSTROUTING: dùng để sửa đổi các gói khi chúng đi.
Hướng dẫn cấu hình IPTables cơ bản
Trong phần hướng dẫn này, TinoHost sẽ sử dụng VPS có hệ điều hành Ubuntu. Nếu bạn sử dụng hệ điều hành CentOS, bạn có thể tham khảo thêm tài liệu tại phần FAQs nhé!
Cài đặt IPTables trên Ubuntu và Debian
Trong hầu hết các phiên bản thương mại của Linux, IPTables sẽ được cài đặt sẵn. Tuy nhiên, nếu IPTables vẫn chưa được cài đặt trong hệ thống của bạn, bạn có thể sử dụng lệnh sau đây để cài đặt IPTables nhé!
Cài đặt IPTables trên Ubuntu
Bước 1: nhập lệnh sau để cài IPTables. Lưu ý: bạn nhập từng dòng sudo, không phải copy cùng lúc 2 dòng và dán vào SSH.
sudo apt-get update
sudo apt-get install IPTablesBước 2: kiểm tra trạng thái của IPTables, bạn nhập dòng lệnh như sau vào:
sudo IPTables -L -vTrong đó:
- -L : đây là lệnh dùng để liệt kê tất cả các rule – quy tắc đã được đặt.
- -v : được sử dụng để hiện thêm danh sách bổ trợ.
Lưu ý thêm: cách lệnh sẽ khác nhau khi viết hoa và viết thường. Vì vậy, khi tham khảo các tài liệu trên mạng hoặc trong bài viết này, bạn nên chú ý để tránh bị nhầm lẫn.
Cài đặt IPTables trên Debian
Bước 1: bạn sẽ cần phải tắt các tường lửa khác nếu có trong hệ thống của bạn để có thể cấu hình IPTables.
Nếu bạn sử dụng Debian, dùng lệnh như sau:
systemctl disable --now ufwNếu bạn sử dụng RedHat, dùng lệnh như sau:
systemctl disable --now firewalldBước 2: kiểm tra lại các cài đặt tường lửa hiện tại, bạn sử dụng lệnh:
IPTables -L -n -v --line-numbersTrong đó:
- -n để kết quả OUTPUT của bạn sẽ là số, không phân giải thành tên để tăng tốc ra thông tin.
- –line-numbers: số dòng
Hướng dẫn cấu hình chi tiết IPTables trên Ubuntu
Cấu trúc câu lệnh để cấu hình chain rule
Cấu trúc cơ bản như sau:
sudo IPTables -A -i <interface> -p <protocol (tcp/udp)> -s <source> --dport <port no.> -j <target>Trong đó:
- -A: được dùng để thêm chain rule
- -i: là interface bạn cần lọc các gói tin
- -p: là protocol – giao thức mạng để thực hiện lọc như TCP hoặc UDP.
Sau khi bạn gõ một câu lệnh, sau đó bạn cần gõ 2 lệnh sau để lưu và khởi động lại IPTables:
service IPTables save
service IPTables restartLệnh cho phép giao tiếp trên localhost
Nếu bạn đang sử dụng localhost, bạn sẽ cần phải cho phép server có thể giao tiếp thoải mái:
sudo IPTables -A INPUT -i lo -j ACCEPTVí dụ, bạn có thể chặn các gói bằng các cổng giao tiếp như sau:
Cho phép cổng HTTP:
sudo IPTables -A INPUT -p tcp --dport 80 -j ACCEPTCho phép cổng SSH:
sudo IPTables -A INPUT -p tcp --dport 22 -j ACCEPTCho phép cổng HTTPS:
sudo IPTables -A INPUT -p tcp --dport 443 -j ACCEPTLệnh chặn toàn bộ truy cập
Nếu bạn chỉ cho phép một số cổng, phương thức hoặc địa chỉ IP nhất định và bạn muốn chặn tất cả những truy cập khác, bạn thực hiện lệnh:
sudo IPTables -A INPUT -j DROPLệnh để xóa chain rule
Trong trường hợp bạn muốn thay đổi các rule bằng cách xóa, bạn thực hiện như sau:
Cách xóa từng rule, bạn sử dụng lệnh:
Bước 1: hiện các rule đang có:
sudo IPTables -L --line-numbersBước 2: bạn sử dụng lệnh như sau để xóa rule:
sudo IPTables -D INPUT --line-numbers bạn muốn xóa.Lệnh tắt tường lửa
Để tắt tường lửa, bạn sử dụng lệnh như sau:
Bước 1: lệnh tắt tường lửa:
sudo IPTables -FBước 2: lệnh để lưu lại thay đổi:
sudo /sbin/IPTables-saveĐến đây, Tino Group đã giải đáp được cho bạn IPTables là gì cũng như hướng dẫn bạn cách để cấu hình IPTables Ubuntu. Hi vọng rằng, những kiến thức này có thể giúp ích cho bạn trong công việc bảo vệ server của mình!
Bài viết có tham khảo nội dung của Oskar Andreasson, IPTables HowTo của Ubuntu và một số bài viết khác.
Những câu hỏi thường gặp
Tài liệu hướng dẫn về IPTables trên CentOS ở đâu?
Để xem tài liệu chính thức IPTables trên CentOS về: hướng dẫn cài đặt, hướng dẫn đặt một số rule cơ bản, cách sử dụng các Port, các giao thức cũng như những thông tin khác, bạn có thể tham khảo Wiki IPTables CentOS.
Có tài liệu chính thức về IPTables của Ubuntu hay không?
Có, bạn có thể tham khảo tài liệu IPTables HowTo của Ubuntu để có thể: tham khảo và chạy những lệnh cơ bản trên Ubuntu. Nếu như bạn muốn có bộ tài liệu đầy đủ hơn, bạn có thể xem hướng dẫn IPTables Tutorial 1.2.2 của Oskar Andreasson rất đầy đủ, chi tiết và rất đầy đủ!
SSH là gì?
SSH hay còn được biến đến với tên gọi là Secure Shell. Đây là một giao thức điều khiển từ xa giúp người dùng có thể cài đặt, kiểm soát cũng như chỉnh sửa server của mình từ xa thông qua một thiết bị có kết nối với internet. Để hiểu sâu hơn về SSH, bạn có thể tham khảo bài viết đầy đủ về: SSH là gì và cách sử dụng SSH cho người mới bắt đầu.
Làm sao để tạo tường lửa chặn dịch vụ trên một số quốc gia?
Có rất nhiều dịch vụ phát hành ra và họ chặn các IP đến từ những quốc gia nhất định ví dụ như: DisneyPlus, HBO max hay AnimeLab đều chặn tại khu vực Việt Nam. Nếu bạn cũng muốn chặn người dùng tại những quốc gia tương tự, bạn có thể tham khảo trang Block Visitors by Country Using Firewall của IP2Location nhé!
