Nftables Eğitimi

Bu eğitim, Nftables Linux güvenlik duvarı ile nasıl çalışılacağını açıklar. Bu içerik hem Linux deneyimli hem de yeni kullanıcılar için optimize edilmiştir.

Nftables, güvenlik duvarı işlevleri sağlayan Linux çekirdeğinin bir bileşenidir. Iptables'ın yerine geçer.

Bu öğreticiyi okuduktan sonra, Nftables'ın kurallarını anlayacaksınız ve güvenlik duvarınızı oluşturabileceksiniz. Iptables hakkında önceden bilgi sahibi olmanıza gerek yok.

Bu eğitimdeki tüm örnekler, bilgi düzeylerinden bağımsız olarak tüm Linux kullanıcılarının bunları anlamasını ve uygulamasını kolaylaştıran ekran görüntüleri içerir.

Nftables'a Başlarken

Başlamadan önce, aşağıdaki örneğe göre ilk Nftables kurallarınızı yazmaya başlamak için nano veya vi gibi bir metin düzenleyici kullanarak bir dosya oluşturun ve açın. Kopyala yapıştır yapmayın; her şeyi yazın.

Bu öğreticideki örnek oldukça basittir ve geri döngü ve belirli bağlantı noktaları dışında tüm IPv4 trafiğinin bırakıldığı kısıtlayıcı bir güvenlik duvarı gösterir.

Önceki ekran görüntüsünde, yerel ağımı (192.168.0.0/16) LinuxHintNet olarak tanımlamak için ilk satırı kullandım.

İkinci satırda bir grup bağlantı noktası tanımlıyorum (80.443 ve 22). Bu grubu AllowPorts olarak adlandırıyorum çünkü bunlar üzerinden trafiğe izin vermeyi planlıyorum. AllowPorts isteğe bağlı bir addır.

Ardından, bir kapsayıcı veya zincirler ve kurallar grubu olan bir tablo ekliyorum; her ikisi de aşağıda açıklanmıştır. Tablolar, kuralların ve zincirlerin düzenlenmesine yardımcı olur. Örnekteki tabloyu kısıtlayıcı bir politika içerdiği ve adı keyfi olduğu için “Kısıtlayıcı” olarak adlandırdım.

Tablo adından önceki IP, que tablosu kurallarının yalnızca IPv4 trafiğine uygulanacağını belirtir. IPv4 ve IPv6 protokollerine kurallar uygulamak için IP yerine inet kullanabilirsiniz. Veya IP'yi yalnızca IPv6 için ip6 ile değiştirebilirsiniz.

Unutmayın, Kısıtlayıcı, keyfi olarak tanımladığım bir isimdir. Tabloya istediğiniz gibi isim verebilirsiniz.

Benim durumumda, aşağıda gösterildiği gibi kuralları yalnızca IPv4'e uygularım.

Her iki protokol için aşağıdakileri kullanın:

Ardından, gelen trafikle ilgili olduğu için keyfi olarak Gelen adını verdiğim ilk temel zinciri ekliyoruz. Ancak istediğiniz gibi adlandırabilirsiniz.

Aşağıdaki temel zincir, varsayılan olarak tüm gelen trafiği bırakır:

• add chain ip Kısıtlayıcı Gelen: Bu bölüm, IPv4'e uygulanacak Kısıtlayıcı Gelen zincirini ekler

• type filter: Bu, trafiği filtreleyeceği için zincir türünü filtre olarak tanımlar. Diğer olası zincir türleri rota veya NAT'tır.

• kanca girişi: Gelen paketleri ifade eder

• öncelik 0: Temel zincir önceliği, temel zincirlerin sırasını tanımlar

• ilke düşüşü: Bırakma ilkesi varsayılan olarak tüm paketleri atar

Aşağıdaki ekran görüntüsünde görebileceğiniz gibi, bir öncekine benzer iki temel zincir daha oluşturdum, Kısıtlayıcı Yönlendirme ve Kısıtlayıcı Giden. Fark, her biri için tanımlanmış kancadır (ileri kanca ve kanca çıkışı). Bunları açıklamak tekrarlayıcıdır.

Üç temel zincirden sonra geri döngü trafiğine izin vermek için Nftables kurallarıyla devam edebiliriz.

Geridöngü arayüzüne gelen ve giden trafik için aşağıdaki satırları ekliyorum.

Şimdi, dosyanın başında tanımlanan $AllowPorts değişkeninde bulunan tüm portlar üzerinden giden ve gelen TCP ve UDP trafiğini kabul eden dört kural ekliyorum.

Aşağıda tam komut dosyasını görebilirsiniz.

Tablolarınızı, zincirlerinizi ve kurallarınızı yazmayı bitirdikten sonra belgeyi kapatın ve değişiklikleri kaydedin.

Güvenlik duvarını etkinleştirmek için aşağıdaki komutu çalıştırın:

Aşağıdaki komutu çalıştırarak kurallarınızı kontrol edebilirsiniz:

Bu, temel bir kısıtlayıcı güvenlik duvarıdır.

Çözüm:

Gördüğünüz gibi Nftables, Iptables'tan çok daha kolay ve kullanıcılar Nftables'ı Iptables'tan daha hızlı öğrenebiliyor. Iptables durdurulduğundan ve birçok dağıtım, Debian dahil olmak üzere varsayılan güvenlik duvarı olarak Nftables'ı kullanıyor. Iptables deneyimli kullanıcıları, Iptables'ı Nftables'a çeviren Iptables-nftables-uyumluluk aracına bakmak isteyebilir. Bu onların farklılıkları anlamalarına yardımcı olabilir.

Sistem yöneticileri gibi profesyonel kullanıcılar, Iptables ile çalışmaya devam etme eğilimindedir; Filtrelemeyi geliştirirken zamandan tasarruf etmek için Nftables'ı göz ardı etmekten kaçının. Umarım bu makale sizi Nftables'ı denemeye ikna edecek kadar basit olmuştur.