Как скрыть неиспользуемые порты на Linux без жесткого кодирования в брандмауэре?

Создание скрытых портов в Linux с использованием iptables

В современных условиях безопасности создание скрытых портов становится актуальным вопросом для администраторов систем. В этой статье мы рассмотрим, как обеспечить скрытую работу портов в Linux, используя iptables, и при этом снизить необходимость частого редактирования брандмауэра.

Зачем скрывать порты?

Скрытие портов — это способ уменьшить риск несанкционированного доступа к вашим услугам. Это особенно важно для серверов, которые обрабатывают чувствительные данные. Однако админам нужно, чтобы существующие службы все еще могли использовать эти порты без постоянного вмешательства.

Как скрыть порты с помощью iptables

Для достижения цели можно использовать правила iptables. Легкий способ скрыть порт заключается в использовании следующей команды:

iptables -I INPUT -p tcp --dport 80 -j DROP

Однако такая настройка просто блокирует трафик на порту 80, и это не всегда достаточно, если на порту, например, работает веб-сервер.

Упрощение работы с сокетами

Чтобы более гибко настраивать входящий трафик, можно использовать модуль socket в iptables. Однако он не позволяет прямо исключить порты, находящиеся в режиме ожидания (т.е. когда служба активно прослушивает порт). Поэтому вам придется создать несколько правил для этой задачи.

Вот пример комбинации правил, которые помогут в этом:

iptables -A INPUT -p tcp --dport 1234 -m socket --nowildcard -j ACCEPT
iptables -A INPUT -p tcp --dport 1234 -j DROP

В данном случае первое правило разрешает пакеты, которые соответствуют критериям, и прекращает обработку дальнейших правил. Важно убедиться, что за этим правилом нет других установленных, которые вы хотите применить.

Использование пользовательских цепочек

Если вы хотите использовать правила более удобно, возможно, вам стоит перенести логику в пользовательскую цепочку. Так вы сможете добавить правило с опцией -j RETURN следующим образом:

iptables -N MYCHAIN
iptables -A INPUT -p tcp --dport 1234 -m socket --nowildcard -j MYCHAIN
iptables -A MYCHAIN -j RETURN

Это позволяет более четко организовать логику и упростить управление правилами.

Заключение

Создание скрытых портов в Linux с помощью iptables может показаться сложной задачей, но с помощью правильных правил и настроек это становится доступным для каждого администратора. Используя предложенные методы, вы сможете скрыть порты, не теряя функциональности при использовании служебного программного обеспечения.

Источник