Nftables تعليمي

يشرح هذا البرنامج التعليمي كيفية العمل مع جدار حماية Nftables Linux. تم تحسين هذا المحتوى لكل من مستخدمي Linux ذوي الخبرة والجدد.

Nftables هو أحد مكونات نواة Linux التي توفر وظائف جدار الحماية. إنه استبدال Iptables.

بعد قراءة هذا البرنامج التعليمي ، سوف تفهم قواعد Nftables ، وستكون قادرًا على إنشاء جدار الحماية الخاص بك. لا تحتاج إلى معرفة سابقة عن Iptables.

تحتوي جميع الأمثلة في هذا البرنامج التعليمي على لقطات شاشة ، مما يسهل على جميع مستخدمي Linux ، بغض النظر عن مستوى معرفتهم ، فهمها وتنفيذها.

الشروع في العمل مع Nftables

قبل البدء ، أنشئ ملفًا وافتحه باستخدام محرر نصوص مثل nano أو vi لبدء كتابة قواعد Nftables الأولى بناءً على المثال التالي. لا تنسخ ولصق ؛ اكتب كل شيء.

المثال في هذا البرنامج التعليمي بسيط جدًا ويظهر جدار حماية مقيدًا يتم فيه إسقاط كل حركة مرور IPv4 باستثناء الاسترجاع والمنافذ المحددة.

في لقطة الشاشة السابقة ، استخدمت السطر الأول لتعريف شبكتي المحلية (192.168.0.0/16) على أنها LinuxHintNet.

في السطر الثاني ، أحدد مجموعة من المنافذ (80 ، 443 ، و 22). أسمي هذه المجموعة AllowPorts لأنني أخطط للسماح بحركة المرور من خلالها. AllowPorts هو اسم عشوائي.

ثم أقوم بإضافة جدول ، وهو عبارة عن حاوية أو مجموعة من السلاسل والقواعد ؛ كلاهما موضح أدناه. تساعد الجداول في تنظيم القواعد والسلاسل. سميت الجدول في المثال 'مقيّد' لأنه يحتوي على سياسة تقييدية ، واسمه تعسفي.

يشير عنوان IP قبل اسم الجدول إلى أنه سيتم تطبيق قواعد جدول قائمة الانتظار فقط على حركة مرور IPv4. يمكنك استخدام inet بدلاً من IP لتطبيق القواعد على بروتوكولات IPv4 و IPv6. أو يمكنك استبدال IP بـ IP6 لـ IPv6 فقط.

تذكر ، التقييد هو الاسم الذي حددته بشكل تعسفي. يمكنك تسمية الجدول كما تريد.

في حالتي ، أقوم بتطبيق القواعد على IPv4 فقط ، كما هو موضح أدناه.

لكلا البروتوكولين ، استخدم ما يلي:

ثم نضيف السلسلة الأساسية الأولى ، والتي أسميها بشكل تعسفي Incoming لأنها مرتبطة بحركة المرور الواردة. ومع ذلك ، يمكنك تسميته كما تريد.

تُسقط السلسلة الأساسية التالية كل حركة المرور الواردة افتراضيًا:

• add chain ip Restrictive Incoming: يضيف هذا القسم السلسلة المقيدة الواردة ليتم تطبيقها على IPv4

• نوع عامل التصفية: يحدد هذا نوع السلسلة كمرشح لأنه سيقوم بتصفية حركة المرور. أنواع السلاسل المحتملة الأخرى هي المسار أو NAT

• إدخال الخطاف: يشير إلى الحزم الواردة

• الأولوية 0: تحدد أولوية السلسلة الأساسية ترتيب السلاسل الأساسية

• إسقاط السياسة: تتجاهل سياسة الإسقاط جميع الحزم افتراضيًا

كما ترى في لقطة الشاشة التالية ، قمت بإنشاء سلسلتين أساسيتين أخريين مشابهتين للسلسلة السابقة ، إعادة التوجيه التقييدية والصادرة المقيدة. الفرق هو الخطاف المحدد لكل (خطاف للأمام وخرج الخطاف). شرحها متكرر.

بعد السلاسل الأساسية الثلاثة ، يمكننا متابعة قواعد Nftables للسماح بحركة مرور الاسترجاع.

أقوم بإضافة الأسطر التالية لحركة المرور الواردة والصادرة على واجهة الاسترجاع.

الآن ، أضفت أربع قواعد لقبول حركة مرور TCP و UDP الصادرة والواردة عبر جميع المنافذ المضمنة في المتغير AllowPorts $ المحدد في بداية الملف.

يمكنك رؤية النص الكامل أدناه.

بمجرد الانتهاء من كتابة الجداول والسلاسل والقواعد ، أغلق المستند واحفظ التغييرات.

لتنشيط جدار الحماية ، قم بتشغيل الأمر التالي:

يمكنك التحقق من القواعد الخاصة بك عن طريق تشغيل الأمر التالي:

هذا جدار ناري مقيد أساسي.

استنتاج:

كما ترى ، Nftables أكثر ودية من Iptables ، ويمكن للمستخدمين تعلم Nftables بشكل أسرع من Iptables. منذ توقف Iptables ، والعديد من التوزيعات تستخدم Nftables كجدار ناري افتراضي ، بما في ذلك دبيان. قد يرغب المستخدمون المتمرسون في Iptables في إلقاء نظرة على أداة Iptables-nftables-Compatible ، والتي تترجم Iptables إلى Nftables. هذا قد يساعدهم على فهم الاختلافات.

يميل المستخدمون المحترفون مثل مسؤولي النظام إلى الاستمرار في العمل مع Iptables ؛ تجنب تجاهل Nftables لتوفير الوقت أثناء تحسين التصفية. آمل أن يكون هذا المقال بسيطًا بما يكفي لإقناعك بتجربة Nftables.