Com instal·lar i configurar Config Server Firewall (CSF) a Ubuntu 18.04

Introducció

Config Server Firewall (CSF) és un tallafoc de codi obert que es pot utilitzar en la majoria dels sistemes operatius basats en Linux per protegir els servidors contra usuaris no autenticats. CSF supervisa contínuament el fitxer de registre del servidor i notifica errors en l'autenticació d'inici de sessió de SSH, SMTP, HTTP, IMAP, POP3 i FTP i molts altres protocols. Aquest tallafoc et permet bloquejar i desbloquejar manualment adreces IP específiques de manera temporal o permanent. A més, proporciona una interfície web per a cPanel, DirectAdmin i Webmin per administrar el tallafoc des del navegador web.

CSF és molt simple, fàcil d'instal·lar, senzill i compatible amb molts sistemes operatius basats en Linux, com ara CentOS, Ubuntu, RedHat, OpenSUSE i Debian. CSF utilitza l'identificador de dimoni d'error d'inici de sessió (LFD), que verifica els registres de LFD a intervals de temps regulars. Detecta intents fallits d'inici de sessió i els bloqueja immediatament.

En aquest tutorial, aprendrem com instal·lar i configurar Config Server Firewall a Ubuntu 18.04.

Requisits

• Un servidor al núvol que executi Ubuntu 18.04.
• Una IP estàtica 192.168.0.4.
• Una contrasenya de root.

Comencem

Primer, recomanem actualitzar el sistema a l'última versió estable. Pots fer-ho amb l'ordre següent:

# apt-get update -y
# apt-get upgrade -y

Un cop s'hagi completat el procés d'actualització, reinicia el sistema per aplicar tots els canvis.

Instal·la CSF

Primer, descarrega l'última versió de CSF del seu lloc web oficial. Pots fer-ho amb l'ordre següent:

# wget https://download.configserver.com/csf.tgz

Un cop s'hagi completat la descàrrega, extreu el fitxer descarregat amb l'ordre següent:

# tar -zxvf csf.tgz

A continuació, canvia al directori csf i instal·la'l amb l'ordre següent:

# cd csf
# sh install.sh

Un cop la instal·lació s'hagi completat correctament, hauries de veure el resultat següent:

Created symlink /etc/systemd/system/firewalld.service → /dev/null.
'csf/LICENSE.txt' -> 'webmin/csf/images/LICENSE.txt'
'csf/bootstrap/js/bootstrap.min.js' -> 'webmin/csf/images/bootstrap/js/bootstrap.min.js'
'csf/bootstrap/css/bootstrap.min.css.map' -> 'webmin/csf/images/bootstrap/css/bootstrap.min.css.map'
'csf/bootstrap/css/bootstrap.min.css' -> 'webmin/csf/images/bootstrap/css/bootstrap.min.css'
'csf/bootstrap/fonts/glyphicons-halflings-regular.eot' -> 'webmin/csf/images/bootstrap/fonts/glyphicons-halflings-regular.eot'
'csf/bootstrap/fonts/glyphicons-halflings-regular.woff2' -> 'webmin/csf/images/bootstrap/fonts/glyphicons-halflings-regular.woff2'
'csf/bootstrap/fonts/glyphicons-halflings-regular.svg' -> 'webmin/csf/images/bootstrap/fonts/glyphicons-halflings-regular.svg'
'csf/bootstrap/fonts/glyphicons-halflings-regular.ttf' -> 'webmin/csf/images/bootstrap/fonts/glyphicons-halflings-regular.ttf'
'csf/bootstrap/fonts/glyphicons-halflings-regular.woff' -> 'webmin/csf/images/bootstrap/fonts/glyphicons-halflings-regular.woff'
'csf/bootstrap-chosen.css' -> 'webmin/csf/images/bootstrap-chosen.css'
'csf/chosen-sprite.png' -> 'webmin/csf/images/chosen-sprite.png'
'csf/chosen-sprite@2x.png' -> 'webmin/csf/images/chosen-sprite@2x.png'
'csf/chosen.min.css' -> 'webmin/csf/images/chosen.min.css'
'csf/chosen.min.js' -> 'webmin/csf/images/chosen.min.js'
'csf/configserver.css' -> 'webmin/csf/images/configserver.css'
'csf/csf-loader.gif' -> 'webmin/csf/images/csf-loader.gif'
'csf/csf.svg' -> 'webmin/csf/images/csf.svg'
'csf/csf_small.png' -> 'webmin/csf/images/csf_small.png'
'csf/jquery.min.js' -> 'webmin/csf/images/jquery.min.js'
'csf/loader.gif' -> 'webmin/csf/images/loader.gif'
'/etc/csf/csfwebmin.tgz' -> '/usr/local/csf/csfwebmin.tgz'

Installation Completed

A continuació, hauràs de verificar els mòduls Iptables necessaris al sistema. Pots comprovar-ho amb l'ordre següent:

# perl /usr/local/csf/bin/csftest.pl

Hauries de veure el resultat següent:

Testing ip_tables/iptable_filter...OK
Testing ipt_LOG...OK
Testing ipt_multiport/xt_multiport...OK
Testing ipt_REJECT...OK
Testing ipt_state/xt_state...OK
Testing ipt_limit/xt_limit...OK
Testing ipt_recent...OK
Testing xt_connlimit...OK
Testing ipt_owner/xt_owner...OK
Testing iptable_nat/ipt_REDIRECT...OK
Testing iptable_nat/ipt_DNAT...OK

RESULT: csf should function on this server

Configura CSF

El fitxer de configuració predeterminat de CSF es troba al directori / etc / csf. Pots configurar els paràmetres necessaris per a CSF amb l'ordre següent:

# nano /etc/csf/csf.conf

Fes els canvis següents:

#Per a l'entorn de proves, el valor ha de ser TESTING = "1" i, per a l'entorn de producció, el valor ha de ser TESTING = "0".
TESTING = "0"

#Per habilitar el registre 
RESTRICT_SYSLOG = "3"

# Permet els ports TCP d'entrada
TCP_IN = "20,21,22,25,53,80,110,143,443,465,587,993,995"

# Permet els ports TCP de sortida
TCP_OUT = "20,21,22,25,53,80,110,113,443,587,993,995"

# Permet els ports UDP d'entrada
UDP_IN = "20,21,53"

# Permet els ports UDP de sortida
# Per permetre traceroute de sortida, afegeix 33434:33523 a aquesta llista 
UDP_OUT = "20,21,53,113,123"

Desa i tanca el fitxer quan hagis acabat. Després, inicia el tallafoc CSF amb l'ordre següent:

# systemctl start csf

També pots verificar l'estat de CSF amb l'ordre següent:

# systemctl status csf

Hauries de veure el resultat següent:

● csf.service - ConfigServer Firewall & Security - csf
   Loaded: loaded (/usr/lib/systemd/system/csf.service; enabled; vendor preset: enabled)
   Active: active (exited) since Wed 2019-07-03 06:22:01 UTC; 3s ago
  Process: 2618 ExecStart=/usr/sbin/csf --initup (code=exited, status=0/SUCCESS)
 Main PID: 2618 (code=exited, status=0/SUCCESS)

Jul 03 06:22:01 ubuntu1804 csf[2618]: ACCEPT  all opt    in * out lo  ::/0  -> ::/0
Jul 03 06:22:01 ubuntu1804 csf[2618]: LOGDROPOUT  all opt    in * out !lo  ::/0  -> ::/0
Jul 03 06:22:01 ubuntu1804 csf[2618]: LOGDROPIN  all opt    in !lo out *  ::/0  -> ::/0
Jul 03 06:22:01 ubuntu1804 csf[2618]: csf: FASTSTART loading DNS (IPv4)
Jul 03 06:22:01 ubuntu1804 csf[2618]: csf: FASTSTART loading DNS (IPv6)
Jul 03 06:22:01 ubuntu1804 csf[2618]: LOCALOUTPUT  all opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0
Jul 03 06:22:01 ubuntu1804 csf[2618]: LOCALINPUT  all opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0
Jul 03 06:22:01 ubuntu1804 csf[2618]: LOCALOUTPUT  all opt    in * out !lo  ::/0  -> ::/0
Jul 03 06:22:01 ubuntu1804 csf[2618]: LOCALINPUT  all opt    in !lo out *  ::/0  -> ::/0
Jul 03 06:22:01 ubuntu1804 systemd[1]: Started ConfigServer Firewall & Security - csf.

També pots iniciar i tornar a carregar les regles del tallafoc amb l'ordre següent:

# csf -s
# csf -r

Configura la interfície web de CSF

CSF també proporciona una interfície web per administrar el tallafoc des de la interfície web. Per habilitar la interfície web de CSF, hauràs d'instal·lar alguns mòduls de Perl al sistema. Pots instal·lar tots els mòduls necessaris amb l'ordre següent:

# apt-get install libio-socket-ssl-perl libnet-libidn-perl libio-socket-inet6-perl libsocket6-perl libcrypt-ssleay-perl -y

Després d'instal·lar tots els mòduls, hauràs d'habilitar la interfície d'usuari web de CSF editant el fitxer csf.conf.

Pots fer-ho amb l'ordre següent:

# nano /etc/csf/csf.conf

Fes els canvis següents:

RESTRICT_UI = "1"
UI = "1"
UI_PORT = "8080"
UI_IP = ""
UI_USER = "admin"
UI_PASS = "admin@123456
# Per motius de seguretat, sempre hauries de mantenir aquesta opció amb un valor baix (és a dir, 0-10)
UI_RETRY = "5"
#Aquesta opció afegirà l'adreça IP que es connecta al fitxer /etc/csf/ui/ui.ban després de UI_RETRY intents fallits d'inici de sessió.

Desa i tanca el fitxer quan hagis acabat. Després, permet l'accés a la teva adreça IP amb l'ordre següent:

# nano /etc/csf/ui/ui.allow

Afegeix la línia següent:

192.168.0.4

Desa i tanca el fitxer. Després, reinicia el servei LFD per aplicar aquests canvis:

# service lfd restart

Ara pots verificar l'estat de LFD amb l'ordre següent:

# service lfd status

Hauries de veure el resultat següent:

● lfd.service - ConfigServer Firewall & Security - lfd
 Loaded: loaded (/usr/lib/systemd/system/lfd.service; enabled; vendor preset: enabled)
 Active: active (running) since Wed 2019-07-03 06:26:13 UTC; 3s ago
 Process: 3291 ExecStart=/usr/sbin/lfd (code=exited, status=0/SUCCESS)
 Main PID: 3318 (lfd - sleeping)
 Tasks: 4 (limit: 1114)
 CGroup: /system.slice/lfd.service
 ├─3318 lfd - sleeping
 ├─3329 lfd - checking system integrity
 ├─3331 sh -c /usr/bin/md5sum /usr/bin/* /usr/sbin/* /bin/* /sbin/* /usr/local/bin/* /usr/local/sbin/* /etc/init.d/* /etc/xinetd.d/*
 └─3332 /usr/bin/md5sum /usr/bin/NF /usr/bin/VGAuthService /usr/bin/[ /usr/bin/aa-enabled /usr/bin/aa-exec /usr/bin/acpi_listen /usr/

Jul 03 06:26:12 ubuntu1804 systemd[1]: Starting ConfigServer Firewall & Security - lfd...
Jul 03 06:26:13 ubuntu1804 systemd[1]: Started ConfigServer Firewall & Security - lfd.

Accedeix a CSF UI

Ara obre el navegador web i escriu l'URL http://192.168.0.4:8080. Se't redirigirà a la pàgina següent:

Introdueix el nom d'usuari i la contrasenya d'administrador que has especificat al fitxer de configuració i fes clic al botó ‘Entrar’. Hauries de veure el tauler de control predeterminat de CSF a la pàgina següent:

Ara fes clic al menú csf. Hauries de veure la pàgina següent:

Des d'aquí, pots permetre, denegar i desbloquejar adreces IP específiques ràpidament. També pots cercar adreces IP, permetre i denegar adreces IP, reiniciar i activar tallafocs i permetre/denegar temporalment adreces IP.

Enhorabona! Has instal·lat correctament Config Server Firewall.

Si tens cap pregunta, no dubtis a contactar amb nosaltres a soporte@clouding.io.