سینٹوس 8 پر فائر وال کو کنفیگر اور انتظام کرنے کا طریقہ

آنے والی اور جانے والی نیٹ ورک ٹریفک کی نگرانی اور فلٹرنگ کے ل A فائر وال ایک طریقہ ہے۔ یہ سیکیورٹی کے قواعد کے ایک سیٹ کی وضاحت کرکے کام کرتا ہے جو اس بات کا تعین کرتا ہے کہ آیا مخصوص ٹریفک کی اجازت ہے یا بلاک ہے۔ مناسب طریقے سے تشکیل شدہ فائر وال وال سسٹم کی سکیورٹی کے سب سے اہم پہلوؤں میں سے ایک ہے۔

فائر والڈ نامی فائر وال ڈیمن والے سینٹوس 8 جہاز یہ ایک D- بس انٹرفیس کے ساتھ ایک مکمل حل ہے جو آپ کو نظام کی فائر وال کو متحرک طور پر منظم کرنے کی سہولت دیتا ہے۔

اس ٹیوٹوریل میں ، ہم CentOS 8 پر فائر وال کو ترتیب دینے اور ان کا نظم کرنے کے طریقہ کے بارے میں بات کریں گے۔ ہم فائر وال ڈی کے بنیادی تصورات کی بھی وضاحت کریں گے۔

شرطیں

فائر وال سروس کی تشکیل کے ل، ، آپ کو لازمی طور پر روٹ یا صارف کے طور پر لاگ ان ہونا ضروری ہے جو sudo مراعات کے ساتھ ہے۔

بنیادی فائر والڈ تصورات

فائر والڈ زون اور خدمات کے تصورات کا استعمال کرتا ہے۔ آپ جن زونوں اور خدمات کو تشکیل دیں گے ان کی بنیاد پر ، آپ اس پر قابو پاسکتے ہیں کہ کون سی ٹریفک کی اجازت ہے یا اس سے نظام کو بلاک کیا جاسکتا ہے۔

فائروالڈ کو firewall-cmd کمانڈ لائن افادیت کا استعمال کرکے تشکیل اور انتظام کیا جاسکتا ہے۔

سینٹوس 8 میں ، iptables کو فائر والڈ ڈیمون کیلئے ڈیفالٹ فائر وال بیک اینڈ کے طور پر nftables نے تبدیل کیا ہے۔

فائر والڈ زونز

زونز اصولوں کے طے شدہ سیٹ ہیں جو آپ کے کمپیوٹر سے جڑے ہوئے نیٹ ورکس کے اعتماد کی سطح کی وضاحت کرتے ہیں۔ آپ کسی زون کو نیٹ ورک انٹرفیس اور ذرائع تفویض کرسکتے ہیں۔

ذیل میں فائر والڈ کے ذریعہ فراہم کردہ زونز کو غیر اعتماد سے لے کر بھروسہ مند تک زون کی ٹرسٹ لیول کے مطابق آرڈر دیا گیا ہے۔

• ڈراپ: آنے والے تمام کنکشن بغیر کسی اطلاع کے چھوڑ دیئے گئے ہیں۔ صرف باہر جانے والے رابطوں کی اجازت ہے۔ بلاک: تمام آنے والے رابطوں کو IPv4 اور IPv4 icmp6-adm-prohibited icmp-host-prohibited IPv4 icmp6-adm-prohibited لئے IPv4 icmp-host-prohibited پیغام کے ساتھ مسترد کردیا گیا ہے۔ صرف باہر جانے والے رابطوں کی اجازت ہے۔ عوامی: عدم اعتماد والے عوامی علاقوں میں استعمال کیلئے۔ آپ کو نیٹ ورک کے دوسرے کمپیوٹرز پر بھروسہ نہیں ہے ، لیکن آپ منتخب آنے والے کنکشن کی اجازت دے سکتے ہیں۔ بیرونی: جب آپ کا سسٹم گیٹ وے یا روٹر کے طور پر کام کرتا ہے تو نیٹ ماسکریڈنگ والے بیرونی نیٹ ورکس پر استعمال کے ل.۔ صرف منتخب کردہ آنے والے رابطوں کی اجازت ہے۔ اندرونی: داخلی نیٹ ورکس پر استعمال کے ل when جب آپ کا سسٹم گیٹ وے یا روٹر کا کام کرتا ہے۔ نیٹ ورک پر موجود دوسرے سسٹم پر عام طور پر اعتماد کیا جاتا ہے۔ صرف منتخب کردہ آنے والے رابطوں کی اجازت ہے۔ ڈی ایم زیڈ: آپ کے غیر عجیب زون میں واقع کمپیوٹرز کے لئے استعمال کیا جاتا ہے جن کے پاس آپ کے بقیہ نیٹ ورک تک محدود رسائی ہے۔ صرف منتخب کردہ آنے والے رابطوں کی اجازت ہے۔ کام: ورک مشینوں کے لئے استعمال کیا جاتا ہے۔ نیٹ ورک پر موجود دوسرے کمپیوٹرز پر عام طور پر اعتماد کیا جاتا ہے۔ صرف منتخب کردہ آنے والے رابطوں کی اجازت ہے۔ گھر: گھریلو مشینوں کے لئے استعمال کیا جاتا ہے۔ نیٹ ورک پر موجود دوسرے کمپیوٹرز پر عام طور پر اعتماد کیا جاتا ہے۔ صرف منتخب کردہ آنے والے رابطوں کی اجازت ہے۔ بھروسہ مند: تمام نیٹ ورک کنکشن قبول ہیں۔ نیٹ ورک میں موجود تمام کمپیوٹرز پر اعتماد کریں۔

فائر وال خدمات

فائر والڈ خدمات پیش وضاحتی اصول ہیں جو ایک زون کے اندر لاگو ہوتے ہیں اور کسی مخصوص خدمت کے ل for آنے والی ٹریفک کی اجازت کے ل the ضروری ترتیبات کی وضاحت کرتے ہیں۔ خدمات آپ کو ایک ہی اقدام میں کئی کام آسانی سے انجام دینے کی اجازت دیتی ہیں۔

مثال کے طور پر ، خدمت میں بندرگاہوں کو کھولنے ، ٹریفک کو آگے بڑھانے اور مزید بہت کچھ کے بارے میں تعریفیں ہوسکتی ہیں۔

فائر والڈ رن ٹائم اور مستقل ترتیبات

فائر والڈ دو الگ الگ ترتیب سیٹ ، رن ٹائم ، اور مستقل تشکیل استعمال کرتا ہے۔

رن ٹائم کنفیگریشن اصل چلانے والی تشکیل ہے اور دوبارہ چلنے پر برقرار نہیں رہتی ہے۔ جب فائر والڈ ڈیمان شروع ہوتا ہے تو ، یہ مستقل ترتیب کو لوڈ کرتا ہے ، جو رن ٹائم کی تشکیل بن جاتا ہے۔

پہلے سے طے شدہ طور پر ، جب firewall-cmd افادیت کا استعمال کرتے ہوئے firewall-cmd ترتیب میں تبدیلیاں کرتے ہیں تو ، تبدیلیوں کا اطلاق رن ٹائم ترتیب پر ہوتا ہے۔ تبدیلیاں مستقل کرنے کے --permanent مستقل آپشن کو کمانڈ میں شامل کریں۔

دونوں ترتیب ترتیبوں میں تبدیلیوں کو لاگو کرنے کے لئے ، آپ مندرجہ ذیل دو طریقوں میں سے ایک استعمال کرسکتے ہیں۔

1. رن ٹائم کی تشکیل تبدیل کریں اور مستقل کریں:

   sudo firewall-cmd sudo firewall-cmd --runtime-to-permanent

   مستقل ترتیب تبدیل کریں اور فائر والڈ ڈیمون کو دوبارہ لوڈ کریں۔

   sudo firewall-cmd --permanent sudo firewall-cmd --reload

فائر وال ڈی کو چالو کرنا

سینٹوس 8 پر ، فائر والڈ انسٹال اور بطور ڈیفالٹ فعال ہے۔ اگر کسی وجہ سے یہ آپ کے سسٹم پر انسٹال نہیں ہوا ہے تو ، آپ ٹائپ کرکے ڈیمون انسٹال اور شروع کرسکتے ہیں۔

sudo dnf install firewalld sudo systemctl enable firewalld --now

آپ فائر وال سروس کی حیثیت کو اس کے ساتھ چیک کرسکتے ہیں:

sudo firewall-cmd --state

اگر فائر وال قابل ہے تو ، کمانڈ running پرنٹ کرنی چاہئے۔ بصورت دیگر ، آپ not running دیکھیں گے۔

فائر والڈ زونز

پہلے سے طے شدہ زون وہ ہوتا ہے جو ہر اس چیز کے لئے استعمال ہوتا ہے جو کسی دوسرے زون کو واضح طور پر تفویض نہیں کیا جاتا ہے۔

ٹائپ کرکے آپ پہلے سے طے شدہ زون دیکھ سکتے ہیں۔

sudo firewall-cmd --get-default-zone

public

تمام دستیاب زون کی فہرست حاصل کرنے کے لئے ، ٹائپ کریں:

sudo firewall-cmd --get-zones

block dmz drop external home internal public trusted work

ان کو تفویض کردہ فعال زون اور نیٹ ورک انٹرفیس دیکھنے کے لئے:

sudo firewall-cmd --get-active-zones

ذیل میں آؤٹ پٹ سے پتہ چلتا ہے کہ انٹرفیسز eth0 اور eth1 کو public زون کے لئے تفویض کیا گیا ہے۔

public interfaces: eth0 eth1

آپ اس کے ساتھ زون ترتیب کی ترتیبات پرنٹ کرسکتے ہیں:

sudo firewall-cmd --zone=public --list-all

public (active) target: default icmp-block-inversion: no interfaces: eth0 eth1 sources: services: ssh dhcpv6-client ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules:

مندرجہ بالا آؤٹ پٹ سے ، ہم دیکھ سکتے ہیں کہ عوامی زون سرگرم ہے اور پہلے سے طے شدہ ہدف کا استعمال کرتا ہے ، جو REJECT ہوتا ہے۔ آؤٹ پٹ سے یہ بھی پتہ چلتا ہے کہ زون کو eth0 اور eth1 انٹرفیس کے ذریعہ استعمال کیا جاتا ہے اور DHCP کلائنٹ اور SSH ٹریفک کی اجازت دیتا ہے۔

sudo firewall-cmd --list-all-zones

کمانڈ تمام دستیاب زون کی ترتیب کے ساتھ ایک بہت بڑی فہرست پرنٹ کرتا ہے۔

زون کا ہدف تبدیل کرنا

ہدف زون میں آنے والی ٹریفک کے لئے پہلے سے طے شدہ طرز عمل کی وضاحت کرتا ہے جو متعین نہیں ہے۔ اسے مندرجہ ذیل اختیارات میں سے ایک پر سیٹ کیا جاسکتا ہے: default ، ACCEPT ، REJECT ، اور DROP ۔

زون کا ہدف مقرر کرنے کے لئے ، - زون زون کے اختیارات کے ساتھ زون کی --zone ۔

مثال کے طور پر ، public زون کے ہدف کو DROP تبدیل کرنے کے لئے آپ چلائیں گے:

sudo firewall-cmd --zone=public --set-target=DROP

کسی مختلف زون کو انٹرفیس تفویض کرنا

آپ مختلف زون کے لئے اصولوں کے مخصوص سیٹ تشکیل دے سکتے ہیں اور انہیں مختلف انٹرفیس تفویض کرسکتے ہیں۔ یہ خاص طور پر مفید ہے جب آپ اپنی مشین پر متعدد انٹرفیس رکھتے ہیں۔

کسی مختلف زون کو انٹرفیس تفویض کرنے کے لئے ، زون کو --zone آپشن اور انٹرفیس --change-interface اختیارات کے ساتھ مخصوص کریں۔

مثال کے طور پر ، درج ذیل کمانڈ eth1 انٹرفیس کو work زون میں تفویض work ہے۔

sudo firewall-cmd --zone=work --change-interface=eth1

ٹائپ کرکے تبدیلیوں کی تصدیق کریں:

sudo firewall-cmd --get-active-zones

work interfaces: eth1 public interfaces: eth0

ڈیفالٹ زون کو تبدیل کرنا

پہلے سے طے شدہ زون کو تبدیل کرنے کے لئے ، --set-default-zone آپشن کا استعمال کریں جس کے بعد آپ اس زون کا نام لیں جو آپ ڈیفالٹ بنانا چاہتے ہیں۔

مثال کے طور پر ، پہلے سے طے شدہ زون کو home تبدیل کرنے کے لئے آپ مندرجہ ذیل کمانڈ کو چلائیں گے۔

sudo firewall-cmd --set-default-zone=home

تبدیلیوں کی تصدیق اس کے ساتھ کریں:

sudo firewall-cmd --get-default-zone

home

نئے زون بنانا

فائر والڈ آپ کو اپنے زون بنانے کی بھی اجازت دیتا ہے۔ جب آپ فی اطلاق کے مطابق اصول بنانا چاہتے ہیں تو یہ کارگر ہے۔

درج ذیل مثال میں ہم ایک نیا زون تیار کریں گے جس کا نام memcached ، بندرگاہ 11211 کھولیں گے اور صرف 192.168.100.30 IP پتے سے رسائی کی اجازت دیں گے۔

1. زون بنائیں:

   sudo firewall-cmd --new-zone=memcached --permanent

   زون میں قواعد شامل کریں:

   sudo firewall-cmd --zone=memcached --add-port=11211/udp --permanent sudo firewall-cmd --zone=memcached --add-port=11211/tcp --permanent sudo firewall-cmd --zone=memcached --add-source=192.168.100.30/32 --permanent

   تبدیلیاں چالو کرنے کے لئے فائر والیلڈ ڈیمون دوبارہ لوڈ کریں:

   sudo firewall-cmd --reload

فائر والیلڈ خدمات

فائر والڈ کے ذریعہ آپ مخصوص بندرگاہوں اور / یا ماخذوں کو خدمات کے نام سے متعین اصولوں پر مبنی ذرائع کے لئے ٹریفک کی اجازت دے سکتے ہیں۔

سبھی ڈیفالٹ دستیاب سروسز کی فہرست حاصل کرنے کے لئے:

sudo firewall-cmd --get-services

آپ /usr/lib/firewalld/services ڈائرکٹری کے اندر وابستہ.xML فائل کھول کر ہر خدمت کے بارے میں مزید معلومات حاصل کرسکتے ہیں۔ مثال کے طور پر ، HTTP سروس کی تعریف اس طرح کی گئی ہے:

/usr/lib/firewalld/services/http.xml

WWW (HTTP) HTTP is the protocol used to serve Web pages. If you plan to make your Web server publicly available, enable this option. This option is not required for viewing pages locally or developing Web pages. WWW (HTTP) HTTP is the protocol used to serve Web pages. If you plan to make your Web server publicly available, enable this option. This option is not required for viewing pages locally or developing Web pages.

عوامی زون میں انٹرفیس کے لئے آنے والی HTTP ٹریفک (پورٹ 80) کی اجازت دینے کے لئے ، صرف موجودہ سیشن کے لئے (رن ٹائم تشکیل) قسم:

sudo firewall-cmd --zone=public --add-service=http اگر آپ ڈیفالٹ زون میں ترمیم کر رہے ہیں تو آپ - زون آپشن چھوڑ سکتے ہیں۔

اس کی توثیق کرنے کے لئے کہ خدمت کو کامیابی کے ساتھ شامل کیا گیا ہے --list-services آپشن کا استعمال کریں۔

sudo firewall-cmd --zone=public --list-services

ssh dhcpv6-client

دوبارہ شروع ہونے کے بعد پورٹ 80 کو کھلا رکھنے کے لئے ایک بار پھر وہی کمانڈ چلائیں - --permanent آپشن کے ساتھ ، یا اس پر عمل کریں:

sudo firewall-cmd --runtime-to-permanent

اپنی تبدیلیوں کی تصدیق کے --permanent --list-services کے ساتھ --list-services --permanent آپشن کا استعمال کریں۔

sudo firewall-cmd --permanent --zone=public --list-services

ssh dhcpv6-client

خدمت کو ہٹانے کے لئے نحو وہی ہے جو کسی کو شامل کرتے وقت ہوتا ہے۔ --add-service پرچم کی بجائے صرف - ختم کرنے --remove-service کا استعمال کریں۔

sudo firewall-cmd --zone=public --remove-service=http --permanent

مذکورہ کمانڈ عوامی زون مستقل تشکیل سے http سروس کو ہٹا دیتی ہے۔

ایک نئی فائر والڈ سروس کی تشکیل

جیسا کہ ہم نے پہلے ہی بتایا ہے ، پہلے سے طے شدہ خدمات /usr/lib/firewalld/services ڈائریکٹری میں محفوظ کی جاتی ہیں۔ نئی سروس تخلیق کرنے کا سب سے آسان طریقہ یہ ہے کہ موجودہ سروس فائل کو /etc/firewalld/services ڈائرکٹری میں کاپی کرنا ہے ، جو صارف کے ذریعہ تیار کردہ خدمات کے ل location محل وقوع ہے اور فائل کی ترتیبات میں ترمیم کرنا ہے۔

مثال کے طور پر ، پلیکس میڈیا سرور کے لئے خدمت کی تعریف بنانے کے لئے ، آپ SSH سروس فائل استعمال کرسکتے ہیں۔

sudo cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/plexmediaserver.xml

نئی تخلیق شدہ plexmediaserver.xml فائل کھولیں اور کے اندر خدمت کے لئے مختصر نام اور تفصیل کو تبدیل کریں اور ٹیگز آپ کو تبدیل کرنے کے لئے سب سے اہم ٹیگ port ٹیگ ہے ، جو پورٹ نمبر اور پروٹوکول کی وضاحت کرتا ہے جسے آپ کھولنا چاہتے ہیں۔

مندرجہ ذیل مثال میں ، ہم بندرگاہیں کھول رہے ہیں 1900 یو ڈی پی اور 32400 ٹی سی پی۔

/etc/firewalld/services/plexmediaserver.xml

plexmediaserver Plex is a streaming media server that brings all your video, music and photo collections together and stream them to your devices at anytime and from anywhere. plexmediaserver Plex is a streaming media server that brings all your video, music and photo collections together and stream them to your devices at anytime and from anywhere.

فائل کو محفوظ کریں اور فائر والڈ سروس کو دوبارہ لوڈ کریں:

sudo firewall-cmd --reload

اب آپ اپنے علاقوں میں plexmediaserver سروس کو کسی دوسری سروس کی طرح استعمال کرسکتے ہیں۔

افتتاحی بندرگاہیں اور سورس آئی پی

فائر والڈ آپ کو کسی قابل تعریف IP ایڈریس سے یا کسی مخصوص پورٹ پر بغیر سروس کی تعریف بنائے تمام ٹریفک کو جلدی سے قابل بنانے کی بھی اجازت دیتا ہے۔

سورس IP کھولنا

کسی مخصوص IP پتے (یا رینج) سے آنے والی ٹریفک کی اجازت کے --zone ، زون کو --zone آپشن کے ساتھ اور ماخذ IP کو --add-source آپشن کے ساتھ --zone ۔

مثال کے طور پر ، public زون میں 192.168.1.10 سے آنے والی ٹریفک کی اجازت کے لئے ، چلائیں:

sudo firewall-cmd --zone=public --add-source=192.168.1.10

نیا اصول مستقل بنائیں:

sudo firewall-cmd --runtime-to-permanent

درج ذیل کمانڈ کا استعمال کرتے ہوئے تبدیلیوں کی تصدیق کریں:

sudo firewall-cmd --zone=public --list-sources

192.168.1.10

سورس آئی پی کو ہٹانے کے لئے نحو وہی ہے جو کسی کو شامل کرتے وقت ہوتا ہے۔ --remove-source --add-source اختیار کے بجائے صرف حذف کریں۔

sudo firewall-cmd --zone=public --remove-source=192.168.1.10

سورس پورٹ کھولنا

کسی دی گئی بندرگاہ پر آنے والی تمام ٹریفک کی اجازت دینے کے لئے ، - زون کے اختیارات کے ساتھ زون اور پورٹ اور --add-port آپشن کے ساتھ پروٹوکول کی --zone ۔

مثال کے طور پر ، موجودہ سیشن کے لئے عوامی زون میں 8080 پورٹ کھولنے کے لئے جو آپ چلاتے ہیں:

sudo firewall-cmd --zone=public --add-port=8080/tcp

پروٹوکول یا تو tcp ، udp ، dccp ، یا dccp ۔

تبدیلیوں کی تصدیق کریں:

sudo firewall-cmd --zone=public --list-ports

8080

ربوٹ کے بعد بندرگاہ کو کھلا رکھنے کے --permanent command ، مستقل ترتیبات میں قاعدہ شامل کریں - مستقل پرچم کا استعمال کرکے یا اسی پر عمل درآمد کرکے:

sudo firewall-cmd --runtime-to-permanent

بندرگاہ کو ہٹانے کے لئے نحو جیسا ہی ہے جب بندرگاہ شامل کرتے وقت۔ --remove-port آپشن کے بجائے --remove-port --add-port کا استعمال کریں۔

sudo firewall-cmd --zone=public --remove-port=8080/tcp

فارورڈنگ پورٹس

ایک بندرگاہ سے دوسری بندرگاہ پر ٹریفک کو آگے بڑھانے کے لئے ، پہلے --add-masquerade آپشن کا استعمال کرکے مطلوبہ زون کے لئے --add-masquerade کو فعال کریں۔ مثال کے طور پر ، external زون کے لئے ماسکریڈنگ کو اہل بنانے کے ل type ، ٹائپ کریں:

sudo firewall-cmd --zone=external --add-masquerade

IP پتے پر ایک بندرگاہ سے دوسری بندرگاہ تک ٹریفک آگے بڑھیں

مندرجہ ذیل مثال میں ہم اسی سرور پر ٹریفک کو پورٹ 80 سے پورٹ 8080 بھیج رہے ہیں۔

sudo firewall-cmd --zone=external --add-forward-port=port=80:proto=tcp:toport=8080

دوسرے آئی پی پتے پر ٹریفک آگے بھیجیں

مندرجہ ذیل مثال میں ہم IP 10.10.10.2 سرور پر پورٹ 80 سے پورٹ 80 تک ٹریفک آگے بھیج رہے ہیں۔

sudo firewall-cmd --zone=external --add-forward-port=port=80:proto=tcp:toaddr=10.10.10.2

مختلف پورٹ پر دوسرے سرور پر ٹریفک آگے بھیجیں

مندرجہ ذیل مثال میں ہم IP 10.10.10.2 سرور پر پورٹ 80 سے پورٹ 8080 تک ٹریفک آگے بھیج رہے ہیں۔

sudo firewall-cmd --zone=external --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=10.10.10.2

فارورڈ رول کو مستقل بنانے کیلئے ، استعمال کریں:

sudo firewall-cmd --runtime-to-permanent

نتیجہ اخذ کرنا

آپ نے اپنے سینٹوس 8 سسٹم پر فائر واللڈ سروس کو تشکیل اور انتظام کرنے کا طریقہ سیکھا ہے۔

اس بات کو یقینی بنائیں کہ آنے والے سبھی رابطوں کی اجازت دیں جو آپ کے سسٹم کے صحیح کام کے ل necessary ضروری ہیں ، اور تمام غیر ضروری رابطوں کو محدود کرتے ہوئے۔

فائر والڈ فائر وال سنٹیوس سیکیورٹی