Linux Server - IPtables Good Internet 소 속 IDC실 이 름 정명구매니저

Transcription

1 Linux Server - IPtables Good Internet 소 속 IDC실 이 름 정명구매니저 tech@tongkni.co.kr - 1 -

2 INDEX 1. 개요 iptables 설치하기 iptables 설정하기 ( 참고 ) iptables 옵션참고사이트 ( 참고 ) iptables 예제참고사이트 ( 참고 ) Well-Known 포트번호리스트

3 1. 개요. - 리눅스서버에서제공하는기본방화벽인 iptables 를이용해갂단한조작법으로서버의 포트를관리할수있는서비스입니다. - 네트워크구갂에서의방화벽장비나서버에서별도의보안솔루션을통해보안성을강화 시킬수있지만여기서는리눅스에내장된기본보안기능인 iptables 를이용하여보안을 강화하고자합니다. - iptables 는서버로수신및송신하는포트나 IP 를허용또는차단할수있습니다. - 아래는방화벽을구성하는젃차입니다. 1 iptables에허용할포트및 IP 정책을추가. 2 허용된정책외에나머지포트는차단. 3 iptables 서비스재시작. - iptables를사용할경우순서가매우중요하며, 허용할포트정책을먼저추가한후남은모든포트를차단하는것이좋습니다.. 주의 : SSH 접속포트인 22번포트를허용하지않은채남은포트를차단하도록설정하면외부PC에서서버로의원격접속이불가능해집니다. 또한웹서비스등의어떠한서비스가이미운영되고있는서버의경우에도반드시해당서비스들의포트를허용하는예외를추가한후에방화벽을설정하시기바랍니다. - 본매뉴얼은보안을위한방화벽설정방법에대해작성되었습니다

4 2. iptables 설치하기. 1 iptables 서비스가설치되어있는지확인합니다. rpm qa grep iptables 2 만약설치되어있지않은경우 yum 을이용하여설치합니다. yum install y iptables - 4 -

5 3. iptables 설정하기. 1 방화벽구성을보다쉽게하기위해아래스크립트를이용합니다. 아래스크립트를복사하여붙여넣기하시면됩니다 service iptables stop echo "# Firewall configuration written by system-config-firewall" > /etc/sysconfig/iptables echo "# Manual customization of this file is not recommended. " >> /etc/sysconfig/iptables echo "*filter" >> /etc/sysconfig/iptables echo ":INPUT ACCEPT [0:0] " >> /etc/sysconfig/iptables echo ":FORWARD ACCEPT [0:0] " >> /etc/sysconfig/iptables echo ":OUTPUT ACCEPT [0:0] " >> /etc/sysconfig/iptables echo "# ack, syc, icmp_echo_replay 등핸드셰이킹관련패킷허용. " >> /etc/sysconfig/iptables echo "-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT" >> /etc/sysconfig/iptables echo "# icmp 프로토콜허용. " >> /etc/sysconfig/iptables echo "-A INPUT -p icmp -j ACCEPT" >> /etc/sysconfig/iptables echo "# 서버내부패킷허용. " >> /etc/sysconfig/iptables echo "-A INPUT -i lo -j ACCEPT" >> /etc/sysconfig/iptables echo "# SSH - 22 번포트허용. " >> /etc/sysconfig/iptables echo "-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT" >> /etc/sysconfig/iptables echo "# FTP - 20,21번포트허용. " >> /etc/sysconfig/iptables echo "-A INPUT -m state --state NEW -m tcp -p tcp --dport 20 -j ACCEPT" >> /etc/sysconfig/iptables echo "-A INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT" >> /etc/sysconfig/iptables echo "# SMTP - 25 번포트허용. " >> /etc/sysconfig/iptables echo "-A INPUT -m state --state NEW -m tcp -p tcp --dport 25 -j ACCEPT" >> /etc/sysconfig/iptables echo "# HTTP - 80 번포트허용. " >> /etc/sysconfig/iptables echo "-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT" >> /etc/sysconfig/iptables echo "# MYSQL 번포트허용. " >> /etc/sysconfig/iptables echo "-A INPUT -m state --state NEW -m tcp -p tcp --dport j ACCEPT" >> /etc/sysconfig/iptables echo "# DNS - 53 번 " >> /etc/sysconfig/iptables - 5 -

6 echo "-A INPUT -m state --state NEW -m udp -p udp --dport 53 -j ACCEPT" >> /etc/sysconfig/iptables echo "# 위허용정책을제외한나머지패킷은차단.(ICMP 에러패킷포함.)" >> /etc/sysconfig/iptables echo "-A INPUT -j REJECT --reject-with icmp-host-prohibited" >> /etc/sysconfig/iptables echo "# 적용. " >> /etc/sysconfig/iptables echo "COMMIT" >> /etc/sysconfig/iptables service iptables start /etc/sysconfig/iptables 파일을확인합니다. 각정책마다이해하기쉽도록주석을작성해놓았으며, 다른서비스포트허용정책을추가할경우기존문장을참고하여마지막차단정책상단에추가하시면됩니다. vim /etc/sysconfig/iptables iptables 정책에서는먼저선언된정책이우선순위가있으므로, 모든패킷차단정책 하단에허용정책을넣으면적용이되지않으므로항상유의하시기바랍니다

7 ( 참고 ) iptables 옵션참고사이트. ( 참고 ) iptables 예제참고사이트. ( 참고 ) Well-Known 포트번호리스트. 참고하셔서서비스에필요한포트번호가있다면방화벽허용정책에추가하시기바랍니다. 포트프로토콜응용프로그램프로토콜시스템서비스이름 7 TCP Echo 단순 TCP/IP 서비스 7 UDP Echo 단순 TCP/IP 서비스 9 TCP Discard 단순 TCP/IP 서비스 9 UDP Discard 단순 TCP/IP 서비스 13 TCP Daytime 단순 TCP/IP 서비스 13 UDP Daytime 단순 TCP/IP 서비스 17 TCP Quotd 단순 TCP/IP 서비스 17 UDP Quotd 단순 TCP/IP 서비스 19 TCP Chargen 단순 TCP/IP 서비스 19 UDP Chargen 단순 TCP/IP 서비스 20 TCP FTP 기본데이터 FTP 게시서비스 21 TCP FTP 제어 FTP 게시서비스 21 TCP FTP 제어응용프로그램계층게이트웨이서비스 23 TCP 텔넷텔넷 25 TCP SMTP Simple Mail Transfer Protocol 25 TCP SMTP Exchange Server 42 TCP WINS 복제 Windows Internet Name Service 42 UDP WINS 복제 Windows Internet Name Service 53 TCP DNS DNS 서버 53 UDP DNS DNS 서버 53 TCP DNS 인터넷연결방화벽 / 인터넷연결공유 53 UDP DNS 인터넷연결방화벽 / 인터넷연결공유 67 UDP DHCP 서버 DHCP 서버 67 UDP DHCP 서버인터넷연결방화벽 / 인터넷연결공유 69 UDP TFTP Trivial FTP 데몬서비스 80 TCP HTTP Windows Media 서비스 80 TCP HTTP World Wide Web 게시서비스 - 7 -

8 80 TCP HTTP SharePoint Portal Server 88 TCP Kerberos Kerberos 키배포센터 88 UDP Kerberos Kerberos 키배포센터 102 TCP X.400 Microsoft Exchange MTA 스택 110 TCP POP3 Microsoft POP3 서비스 110 TCP POP3 Exchange Server 119 TCP NNTP Network News Transfer Protocol 123 UDP NTP Windows 시갂 123 UDP SNTP Windows 시갂 135 TCP RPC 메시지대기열 135 TCP RPC 원격프로시저호출 135 TCP RPC Exchange Server 135 TCP RPC 인증서서비스 135 TCP RPC 클러스터서비스 135 TCP RPC 분산파일시스템 135 TCP RPC 분산링크추적 135 TCP RPC Distributed Transaction Coordinator 135 TCP RPC 분산파일복제서비스 135 TCP RPC 팩스서비스 135 TCP RPC Microsoft Exchange Server 135 TCP RPC 파일복제서비스 135 TCP RPC 그룹정책 135 TCP RPC 로컬보안기관 135 TCP RPC 원격저장소알림 135 TCP RPC 원격저장소서버 135 TCP RPC Systems Management Server TCP RPC 터미널서비스라이선스 135 TCP RPC 터미널서비스세션디렉터리 137 UDP NetBIOS 이름확인컴퓨터브라우저 137 UDP NetBIOS 이름확인서버 137 UDP NetBIOS 이름확인 Windows Internet Name Service 137 UDP NetBIOS 이름확인 Net Logon 137 UDP NetBIOS 이름확인 Systems Management Server UDP NetBIOS 데이터그램서비스컴퓨터브라우저 138 UDP NetBIOS 데이터그램서비스메신저 138 UDP NetBIOS 데이터그램서비스서버 138 UDP NetBIOS 데이터그램서비스 Net Logon 138 UDP NetBIOS 데이터그램서비스분산파일시스템 138 UDP NetBIOS 데이터그램서비스 Systems Management Server UDP NetBIOS 데이터그램서비스라이선스로깅서비스 139 TCP NetBIOS 세션서비스컴퓨터브라우저 139 TCP NetBIOS 세션서비스팩스서비스 139 TCP NetBIOS 세션서비스성능로그및경고 139 TCP NetBIOS 세션서비스인쇄스풀러 - 8 -

9 139 TCP NetBIOS 세션서비스서버 139 TCP NetBIOS 세션서비스 Net Logon 139 TCP NetBIOS 세션서비스원격프로시저호출로케이터 139 TCP NetBIOS 세션서비스분산파일시스템 139 TCP NetBIOS 세션서비스 Systems Management Server TCP NetBIOS 세션서비스라이선스로깅서비스 143 TCP IMAP Exchange Server 161 UDP SNMP SNMP 서비스 162 UDP SNMP 트랩아웃바운드 SNMP 트랩서비스 389 TCP LDAP 서버로컬보안기관 389 UDP LDAP 서버로컬보안기관 389 TCP LDAP 서버분산파일시스템 389 UDP LDAP 서버분산파일시스템 443 TCP HTTPS HTTP SSL 443 TCP HTTPS World Wide Web 게시서비스 443 TCP HTTPS SharePoint Portal Server 443 TCP RPC over HTTPS Exchange Server TCP SMB 팩스서비스 445 TCP SMB 인쇄스풀러 445 TCP SMB 서버 445 TCP SMB 원격프로시저호출로케이터 445 TCP SMB 분산파일시스템 445 TCP SMB 라이선스로깅서비스 445 TCP SMB Net Logon 464 UDP Kerberos Password V5 Kerberos 키배포센터 464 TCP Kerberos Password V5 Kerberos 키배포센터 500 UDP IPsec ISAKMP 로컬보안기관 515 TCP LPD TCP/IP 인쇄서버 548 TCP Macintosh용파일서버 Macintosh용파일서버 554 TCP RTSP Windows Media 서비스 563 TCP SSL을통한 NNTP Network News Transfer Protocol 593 TCP RPC over HTTPS 끝점매퍼원격프로시저호출 593 TCP RPC over HTTPS Exchange Server 636 TCP LDAP SSL 로컬보안기관 636 UDP LDAP SSL 로컬보안기관 993 TCP SSL을통한 IMAP Exchange Server 995 TCP SSL을통한 POP3 Exchange Server 1067 TCP 설치부트스트랩서비스설치부트스트랩프로토콜서버 1068 TCP 설치부트스트랩서비스설치부트스트랩프로토콜클라이언트 1270 TCP MOM-Encrypted Microsoft Operations Manager TCP SQL over TCP Microsoft SQL Server 1433 TCP SQL over TCP MSSQL$UDDI 1434 UDP SQL Probe Microsoft SQL Server 1434 UDP SQL Probe MSSQL$UDDI - 9 -

10 1645 UDP 레거시 RADIUS 인터넷인증서비스 1646 UDP 레거시 RADIUS 인터넷인증서비스 1701 UDP L2TP 라우팅및원격액세스 1723 TCP PPTP 라우팅및원격액세스 1755 TCP MMS Windows Media 서비스 1755 UDP MMS Windows Media 서비스 1801 TCP MSMQ 메시지대기열 1801 UDP MSMQ 메시지대기열 1812 UDP RADIUS 인증인터넷인증서비스 1813 UDP RADIUS 계정인터넷인증서비스 1900 UDP SSDP SSDP 검색서비스 2101 TCP MSMQ-DC 메시지대기열 2103 TCP MSMQ-RPC 메시지대기열 2105 TCP MSMQ-RPC 메시지대기열 2107 TCP MSMQ-Mgmt 메시지대기열 2393 TCP OLAP Services 7.0 SQL Server: 하위수준 OLAP 클라이언트지원 2394 TCP OLAP Services 7.0 SQL Server: 하위수준 OLAP 클라이언트지원 2460 UDP MS Theater Windows Media 서비스 2535 UDP MADCAP DHCP 서버 2701 TCP SMS 원격제어 ( 제어 ) SMS 원격제어에이젂트 2701 UDP SMS 원격제어 ( 제어 ) SMS 원격제어에이젂트 2702 TCP SMS 원격제어 ( 데이터 ) SMS 원격제어에이젂트 2702 UDP SMS 원격제어 ( 데이터 ) SMS 원격제어에이젂트 2703 TCP SMS 원격채팅 SMS 원격제어에이젂트 2703 UPD SMS 원격채팅 SMS 원격제어에이젂트 2704 TCP SMS 원격파일젂송 SMS 원격제어에이젂트 2704 UDP SMS 원격파일젂송 SMS 원격제어에이젂트 2725 TCP SQL Analysis Services SQL Analysis Server 2869 TCP UPNP 범용플러그앤플레이장치호스트 2869 TCP SSDP 이벤트알림 SSDP 검색서비스 3268 TCP 글로벌카탈로그서버로컬보안기관 3269 TCP 글로벌카탈로그서버로컬보안기관 3343 UDP 클러스터서비스클러스터서비스 3389 TCP 터미널서비스 NetMeeting 원격데스크톱공유 3389 TCP 터미널서비스터미널서비스 3527 UDP MSMQ-Ping 메시지대기열 4011 UDP BINL 원격설치 감사합니다