Pregledavanje interneta danas je u suštini kao hodanje kroz minsko polje ako ne preduzmete odgovarajuće mjere opreza. Sama povezanost na internet dovoljna je hakerima i zlonamjernom softveru da potraže bilo kakav otvor - bilo da se radi o pogrešnoj konfiguraciji ili ranjivosti sistema - kako bi pokušali da se ušunjaju i preuzmu kontrolu nad vašim privatnim podacima.
Često se misli da korištenje Linux distribucije znači da smo potpuno zaštićeni. I iako je istina da je to vrlo robustan sistem, sigurnost nije statična ; to je aktivan proces. Da bismo imali stvarnu kontrolu nad tim ko ulazi i izlazi iz našeg računara, moramo savladati alate za filtriranje prometa, i tu dolazi do izražaja zaštitni zid (firewall).
Šta je tačno zaštitni zid (firewall) i kako funkcioniše?
Jednostavno rečeno, zaštitni zid (firewall) je kao izbacivač u noćnom klubu: on odlučuje ko ulazi, a ko ostaje vani na osnovu skupa pravila. Njegova misija je zaštita privatnih mreža sprječavanjem neovlaštenog ili neprovjerenog pristupa našem računaru. Iako postoje rješenja zasnovana na hardveru, mi ćemo se fokusirati na softver, odnosno ono što instaliramo direktno na operativni sistem.
Magija se dešava putem filtriranja paketa . Svaki podatak koji putuje mrežom dijeli se na male pakete. Firewall ne čita sadržaj poruke (to bi bila druga priča), već pregledava oznaku ili zaglavlje. Pregledava izvornu i odredišnu IP adresu , port koji će se koristiti (na primjer, 22 za SSH ili 80 za pregledavanje weba) i protokol (TCP, UDP ili ICMP) kako bi odlučio hoće li dozvoliti prolaz paketa (ACCEPT) ili ga odbaciti (DROP/REJECT).
UFW: Zaštitni zid za one koji ne žele komplikacije
Ako koristite Ubuntu ili distribuciju zasnovanu na Debianu, najvjerovatnije ste naišli na UFW, što je skraćenica od Uncomplicated Firewall (Nekomplikovani zaštitni zid) . Da bismo to stavili u kontekst, Linux već ima vrlo moćan ugrađeni sistem pod nazivom iptables, ali njegovo konfigurisanje predstavlja pravu glavobolju za prosječnog korisnika. Zato su ljudi iz Canonicala kreirali UFW, vrstu pojednostavljenog sloja koji nam omogućava upravljanje iptables-ima jednostavnim i direktnim naredbama .
Ovaj softver je besplatan, otvorenog koda i razvijen u Pythonu. Iako često dolazi unaprijed instaliran na mnogim verzijama Ubuntua, obično je podrazumevano onemogućen kako bi se sprečilo zaključavanje korisnika zbog pogrešno konfigurisanog pravila.
Savladavanje UFW-a putem terminala
Ako želimo početi raditi s UFW-om, postoje neke naredbe koje su neophodne. Da bismo provjerili da li sistem radi, koristimo sudo ufw statusAko ga zaista želimo pokrenuti i aktivirati, pokrećemo sudo ufw enablei da ga isključim, sudo ufw disable.
Ali zaštitni zid bez pravila je kao otvorena vrata. Da bismo započeli filtriranje, možemo koristiti naredbu ufw app list da vidimo koje aplikacije već imaju kreirane profile. Na primjer, ako želimo da naš server bude dostupan putem SSH-a, pokrećemo sudo ufw allow 'OpenSSH'Ako imamo i web server sa Apacheom, možemo koristiti sudo ufw allow 'Apache Full' da otvori portove 80 i 443 odjednom.
Kada nam treba nešto konkretnije, možemo otvoriti raspone portova. Zamislite da koristite torrent klijente; mogli biste pokrenuti sudo ufw allow 50000:53000/tcp da dozvolimo taj promet. Ako želimo učiniti suprotno i zatvoriti port, jednostavno promijenimo "allow" u "deny". Također je moguće ograničiti pristup određenoj IP adresi na našoj lokalnoj mreži pomoću naredbi poput sudo ufw allow from 192.168.1.100/24 to any port 8080.
Ako nas zbuni toliko pravila, možemo pogledati numerisanu listu sa sudo ufw status numbered i izbrišemo onu koja nam smeta korištenjem sudo ufw delete numeroA ako stvari izmaknu kontroli, sudo ufw reset Ostavite sve kako je bilo u fabrici.
GUFW: Vizuelna alternativa
Za one koji ne žele koristiti terminal, tu je GUFW. To je intuitivno grafičko sučelje koje upravljanje zaštitnim zidom čini jednostavnim za nekoliko klikova. Odavde možete aktivirati ili deaktivirati sistem, kreirati korisničke profile i dodavati pravila pomoću dugmeta "+".
U GUFW-u možemo definirati četiri glavna stanja za promet: Dozvoli (propušta), Zabrani (blokira bez upozorenja), Odbij (blokira, ali upozorava pošiljatelja) i Ograniči , što je vrlo korisno protiv napada jer ako IP adresa pokuša uspostaviti vezu previše puta u kratkom vremenu, zaštitni zid je automatski prekida.
Firewalld: Snaga za profesionalna okruženja
U svijetu Red Hata, Fedore ili CentOS-a, Firewalld suvereno vlada. Za razliku od UFW-a, to nije jednostavan sloj, već dinamički upravljački demon koji se oslanja na iptables, ebtables i ipset. Njegova ključna razlika leži u konceptu pouzdanih zona.
Umjesto pojedinačnih pravila, mrežni interfejs dodjeljujete zoni (kao što je javna, kućna ili interna). Svaka zona ima svoja unaprijed definirana pravila. Za dodavanje usluge koristimo sudo firewall-cmd --zone=public --add-service=ssh --permanent a zatim izvršavamo sudo firewall-cmd --reload kako bi promjene stupile na snagu. Najbolja stvar kod Firewalld-a je to što Omogućava promjene u realnom vremenu bez potrebe za ponovnim pokretanjem komplikovanih servisa.
Brza usporedba: Koji odabrati?
- UFW: Idealan je za kućne korisnike ili administratore koji traže brzinu. Praktično nema krivulju učenja i savršen je za Debian i Ubuntu.
- Zaštitni zid: To je opcija za složene servere i profesionalna okruženja. Nudi mnogo veću fleksibilnost zahvaljujući svojim zonama, iako je potrebno više vremena za učenje.
Dodatni savjeti i mitovi o sigurnosti Linuxa
Prije zatvaranja zaštitnog zida (firewall-a), toplo se preporučuje skeniranje otvorenih portova kako biste izbjegli iznenađenja. Odličan alat za ovo je Netcat , koji vam omogućava skeniranje portova i provjeru da li, na primjer, SSH port 22 zaista radi i da nije greškom blokiran.
Što se tiče tekuće debate o tome da li je Linux sigurniji od Windowsa, budimo realni. Nije stvar u tome da je kod magično neranjiv, već zato što Windows ima mnogo veći tržišni udio, kreatori zlonamjernog softvera usmjeravaju svoje napore tamo jer je to profitabilnije. Dok Linux doživljava manje napada, konfiguriranje zaštitnog zida ostaje ključno za smanjenje površine napada i zaštitu naših podataka.
Održavanje zaštićenog servera uključuje odabir pravog alata za distribuciju, bilo da se radi o jednostavnosti UFW-a ili snazi Firewalld-a, uvijek uspostavljajući jasna zadana pravila odbijanja i dozvoljavajući samo promet koji je strogo potreban za sprječavanje neželjenog upada.
