Cách kiểm tra tường lửa Linux-Distro của bạn

Gần đây, tôi đã viết một bài báo về“Cách quét Linux-Distro của bạn để tìm Bộ dụng cụ gốc”.
Bây giờ máy …lau dọn! Tôi nghĩ, một điều tốt CẦN LÀM làkiểm tra Tường lửa của tôi (LẠI!)
CácTin tốtlà chúng ta có thể sử dụngcông cụ miễn phíFTester.
Cáctin xấuFTester có cần được định cấu hình đúng không …
Vì vậy … Hãy bắt tay vào công việc!

FTester là gì?
Firewall Tester (FTester) là một công cụ được thiết kế để kiểm tra các chính sách lọc tường lửa và khả năng của Hệ thống phát hiện xâm nhập (IDS).

Công cụ này bao gồm hai tập lệnh perl,một bộ tiêm gói (ftest)vàtrình nghe lén (ftestd).
Tập lệnh đầu tiên đưa các gói tùy chỉnh, được định nghĩa trongftest.conf, với một chữ ký trong phần dữ liệu trong khi trình đánh giá lắng nghe các gói được đánh dấu như vậy.
Cả hai tập lệnh đều ghi một tệp nhật ký ở cùng một dạng cho cả hai tập lệnh.
Một khác biệt của hai tệp đã tạo(ftest.log và ftestd.log)hiển thị các gói không thể tiếp cận trình đánh giá do các quy tắc lọc nếu hai tập lệnh này được chạy trên các máy chủ được đặt ở hai phía khác nhau của tường lửa.
Tường lửa kiểm tra trạng thái được xử lý với‘giả mạo kết nối’quyền mua.
Một tập lệnh được gọi làfreportcũng có sẵn để tự động phân tích cú pháp các tệp nhật ký.

CácIDS (Hệ thống phát hiện xâm nhập)Tính năng kiểm tra chỉ có thể được sử dụng với ftest
hoặc với sự hỗ trợ bổ sung của ftestd để xử lý IDS kiểm tra trạng thái, ftest cũng có thể sử dụng các kỹ thuật trốn IDS phổ biến.
Thay vì sử dụng cú pháp cấu hình hiện tại, tập lệnh cũng có thể xử lý tệp định nghĩa quy tắc snort.

Đặc trưng:

– thử nghiệm tường lửa
– Kiểm tra IDS
– mô phỏng các kết nối tcp thực cho tường lửa kiểm tra trạng thái và IDS
– giả mạo kết nối
– Phân mảnh IP / phân đoạn TCP
– Kỹ thuật trốn IDS

Yêu cầu:

Saumô-đun perlđược yêu cầu:Net :: RawIP,Net :: PcapUtils,NetPacket

Vì vậy … chúng ta sẽ cầnNet :: RawIP,Net :: PcapUtils, vàNetPacketCác mô-đun Perl.
Chúng tôi cũng có thể cầnNet :: Pcapnếu nó chưa được cài đặt, bởi vìNet :: PcapUtilsmô-đun phụ thuộc vào nó.
Nếu chúng ta cóMô-đun CPAN Perl, chúng tôi có thể cài đặt các mô-đun này bằng các lệnh sau từvỏ bọc:

# perl -MCPAN -e “cài đặt Net :: RawIP”

# perl -MCPAN -e “cài đặt Net :: Pcap”

# perl -MCPAN -e “cài đặt Net :: PcapUtils”

# perl -MCPAN -e “cài đặt NetPacket”

… và chúng tôi đã hoàn thành vớimô-đun perl.

Tải xuống:

Bản phát hành gần đây nhất là ftester-1.0.tar.gz (2006-Tháng Hai-13). Từvỏ bọcchạy…

Tất cả các bản phát hành có sẵn tại http://dev.inversepath.com/ftester.

Trích xuất:

Sử dụng tar để … giải nén trước nguồn. Từvỏ bọcchạy…

# tar -xzf ftester-1.0.tar.gz

Cho đến nay…

Chúng tôi đã cài đặt một vài mô-đun perl được yêu cầu, chúng tôi đã tải xuống ftester-1.0.tar.gz (2006-Tháng Hai-13)
và chúng tôi đã giải nén tệp và tạo thư mụcftester-1.0.
Tốt lắm !!!

Cấu hình:

Chúng tôi sẽ cần tạo một tệp cấu hình để nóikhó nhấtnhững gói nào nó sẽ tạo ra.
Định nghĩa về các gói mà chúng tôi muốn gửi để kiểm tra xem chúng có thể vượt qua tường lửa hay không chủ yếu được chỉ định trong tệp cấu hình(ftest.conf), cú pháp chính là:

Địa chỉ nguồn: Cổng nguồn: Địa chỉ đích: Cổng đích: Cờ: Giao thức: Loại dịch vụ

vìTCPvàUDPgói tin,

Địa chỉ nguồn: Cổng nguồn: Địa chỉ đích: Cổng đích: Cờ: ICMP: icmp_type: icmp_pre

vìICMPgói tin.

một vài ví dụ:

# Gói SYN đến 10.1.7.1 cổng 80 
192.168.0.10:1024:10.1.7.1:80:S:TCP:0
# PSH, ACK trả lời từ 192.168.0.10
192.168.0.10:20:10.1.7.1:1022:AP:TCP:22
# Gói UDP
192.168.0.10:53:10.1.7.1:53::UDP:0
# Gói ICMP loại 3 trước 5
192.168.0.10::10.1.7.1:::ICMP:3:5
# phạm vi được phép cho địa chỉ nguồn, cổng nguồn, cổng đích
# địa chỉ nguồn cũng có thể được chỉ định trong biểu mẫu CIDR
192.168.0.1-255: 1024: 10.1.7.1: 22: S: TCP: 0
192.168.0.1:1024:10.1.7.1:1-65535:S:TCP:0
192.168.0.1:1-1024:10.7.0.1:20-25:S:TCP:22
192.168.3.0/24:1-1024:10.7.0.1:20-25:S:TCP:0
192.168.0.0/22:1024:10.7.0.1:80:S:TCP:0

Một tín hiệu dừng là cần thiết để thông báo cho ftestd rằng quá trình kiểm tra của chúng tôi đã hoàn thành, vì vậy hãy sử dụng cú pháp sau:

stop_signal = 192.168.0.1: 666: 10.1.7.1: 666: S: TCP:

stop_signal có thể là mộtTCP,UDPhoặcICMPgói, gói này sẽ gây ra
kết thúc trình đánh giá để mọi gói được chỉ định sau stop_signal
ftestd sẽ không nhìn thấy chỉ thị.

Bây giờ từvỏ bọc…

Bạn sẽ thấy rất nhiều thứ trong đó … Chỉ cần bình luận bất cứ điều gì bạn không cần !!!Tôi đã sử dụng …

# kiểm tra các cổng đặc quyền (<1025)
192.168.0.10:1025:10.1.7.1:1-1025:S:TCP:0
# kiểm tra cổng proxy
192.168.0.10:1025:10.1.7.1:3128:S:TCP:0
stop_signal = 192.168.0.10: 80: 10.1.7.1: 1025: AP: TCP: 0

Trước khi bắt đầukhó nhất, chúng ta nênnguồn gốcvà sau đó bắt đầuftestd, từvỏ bọc:

Chạykhó nhấttừvỏ bọc:

Cuối cùng, chúng tôi sao chép hai tệp nhật ký trên cùng một máy chủ và chúng tôi so sánh chúng bằng cách sử dụngfreporttừvỏ bọc:

Bạn sẽ thấy một cái gì đó giống như …

Các gói được ủy quyền:
-------------------
21 - 192.168.0.10:1025> 10.1.7.1:21 S TCP 0
22 - 192.168.0.10:1025> 10.1.7.1:22 S TCP 0
23 - 192.168.0.10:1025> 10.1.7.1:23 S TCP 0
25 - 192.168.0.10:1025> 10.1.7.1:25 S TCP 0
80 - 192.168.0.10:1025> 10.1.7.1:80 S TCP 0
110 - 192.168.0.10:1025> 10.1.7.1:110 S TCP 0
113 - 192.168.0.10:1025> 10.1.7.1:113 S TCP 0
1027 - 192.168.0.10:80> 10.1.7.1:1025 PA TCP 0


Các gói đã sửa đổi (có thể là NAT):
--------------------------------
443 - 192.168.0.10:1025> 10.1.7.1:443 S TCP 0
443 - 192.168.0.10:1025> 10.1.7.5:443 S TCP 0


Các gói được lọc hoặc loại bỏ:
----------------------------
1 - 192.168.0.10:1025> 10.1.7.1:1 S TCP 0
2 - 192.168.0.10:1025> 10.1.7.1:2 S TCP 0
3 - 192.168.0.10:1025> 10.1.7.1:3 S TCP 0
...
...
...
1026 - 192.168.0.10:1025> 10.1.7.1:3128 S TCP 0

Đó là tất cả mọi người.
Một ý tưởng hay là chạykhó nhấtmỗi khi bạn thực hiện các thay đổi đối với tường lửa của mình,
hoặc theo thời gian chỉ để đảm bảo rằng tường lửa của bạn hoạt động !!!

Đọc thêm:

Trang người đàn ông (ftester.8)
ĐỌC SÁCH

Tái bút:

Tôi không nghĩ là nên đăng kết quả bài kiểm tra của mình !!!
😉