利用Linux防火墙隔离本地欺骗地址的方法详解
前言
即便是被入侵检测和隔离系统所保护的远程网络，黑客们也在寻找各种精巧的方法入侵。IDS/IPS不能停止或者减少那些想要接管你的网络控制权的黑客攻击。不恰当的配置允许攻击者绕过所有部署的安全措施。
在这篇文章中，我将会解释安全工程师或者系统管理员该怎样避免这些攻击。
几乎所有的Linux发行版都带着一个内建的防火墙来保护运行在Linux主机上的进程和应用程序。大多数防火墙都按照IDS/IPS解决方案设计，这样的设计的主要目的是检测和避免恶意包获取网络的进入权。
Linux防火墙通常有两种接口：iptables和ipchains程序（LCTT译注：在支持systemd的系统上，采用的是更新的接口firewalld）。大多数人将这些接口称作iptables防火墙或者ipchains防火墙。这两个接口都被设计成包过滤器。iptables是有状态防火墙，其基于先前的包做出决定。ipchains不会基于先前的包做出决定，它被设计为无状态防火墙。
在这篇文章中，我们将会专注于内核2.4之后出现的iptables防火墙。
有了iptables防火墙，你可以创建策略或者有序的规则集，规则集可以告诉内核该如何对待特定的数据包。在内核中的是Netfilter框架。Netfilter既是框架也是iptables防火墙的项目名称。作为一个框架，Netfilter允许iptables勾连被设计来操作数据包的功能。概括地说，iptables依靠Netfilter框架构筑诸如过滤数据包数据的功能。
每个iptables规则都被应用到一个表中的链上。一个iptables链就是一个比较包中相似特征的规则集合。而表（例如nat或者mangle）则描述不同的功能目录。例如，mangle表用于修改包数据。因此，特定的修改包数据的规则被应用到这里；而过滤规则被应用到filter表，因为filter表过滤包数据。
iptables规则有一个匹配集，以及一个诸如Drop或者Deny的目标，这可以告诉iptables对一个包做什么以符合规则。因此，没有目标和匹配集，iptables就不能有效地处理包。如果一个包匹配了一条规则，目标会指向一个将要采取的特定措施。另一方面，为了让iptables处理，每个数据包必须匹配才能被处理。
现在我们已经知道iptables防火墙如何工作，让我们着眼于如何使用iptables防火墙检测并拒绝或丢弃欺骗地址吧。
打开源地址验证
作为一个安全工程师，在处理远程的欺骗地址的时候，我采取的第一步是在内核打开源地址验证。
源地址验证是一种内核层级的特性，这种特性丢弃那些伪装成来自你的网络的包。这种特性使用反向路径过滤器方法来检查收到的包的源地址是否可以通过包到达的接口可以到达。（LCTT译注：到达的包的源地址应该可以从它到达的网络接口反向到达，只需反转源地址和目的地址就可以达到这样的效果）
利用下面简单的脚本可以打开源地址验证而不用手工操作：
#!/bin/sh #作者:MichaelKAboagye #程序目标:打开反向路径过滤 #日期:7/02/18 #在屏幕上显示“enablingsourceaddressverification” echo-n"Enablingsourceaddressverification…" #将值0覆盖为1来打开源地址验证 echo1>/proc/sys/net/ipv4/conf/default/rp_filter echo"completed"
上面的脚本在执行的时候只显示了Enablingsourceaddressverification这条信息而不会换行。默认的反向路径过滤的值是0，0表示没有源验证。因此，第二行简单地将默认值0覆盖为1。1表示内核将会通过确认反向路径来验证源地址。
最后，你可以使用下面的命令通过选择DROP或者REJECT目标之一来丢弃或者拒绝来自远端主机的欺骗地址。但是，处于安全原因的考虑，我建议使用DROP目标。
像下面这样，用你自己的IP地址代替IP-address占位符。另外，你必须选择使用REJECT或者DROP中的一个，这两个目标不能同时使用。
iptables-AINPUT-iinternal_interface-sIP_address-jREJECT/DROP iptables-AINPUT-iinternal_interface-s192.168.0.0/16-jREJECT/DROP
这篇文章只提供了如何使用iptables防火墙来避免远端欺骗攻击的基础知识。
via:https://opensource.com/article/18/2/block-local-spoofed-addresses-using-linux-firewall
总结
以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作具有一定的参考学习价值，如果有疑问大家可以留言交流，谢谢大家对毛票票的支持。