(Plesk for Linux) Pleskin palomuuri

yhteenveto

Pleskin palomuuri on työkalu, jonka avulla voit parantaa Pleskin Linux-palvelimesi suojausta rajoittamalla verkkoyhteyksiä palvelimelle ja/tai palvelimelta.

Tässä aiheessa opit lisäämään ja poistamaan palomuurisääntöjä ja -käytäntöjä, estämään saapuvat yhteydet tietyistä maista sekä viemään ja tuomaan palomuurisääntöjä, jotta palomuurin määritys on helppo kopioida palvelimien välillä.

Varoitus

Sekä Pleskin palomuuri että firewalld ovat iptables-palomuurin hallintatyökaluja. Molempien työkalujen samanaikainen käyttö voi aiheuttaa ristiriitoja ja sulkea Pleskin toimintaan vaadittavia portteja. Suosittelemme käyttämään vain yhtä työkalua kerrallaan.

Edellytykset

Ennen aloittamista palvelimelle on asennettava ”Palomuuri”-tunniste. Jos sitä ei ole, asenna laajennus Tunnisteluettelosta.

Palomuurisääntöjen ja -käytäntöjen hallinta

Oletuksena Pleskin palomuurin määritys koostuu käytännöistä ja säännöistä:

  • Käytännöt ovat laajoja ja koskevat kaikkia palvelimeen tai palvelimelta tuleviä yhteyksiä riippuen käytännöstä itsestään. Esimerkiksi voit käyttää ”Järjestelmän käytäntö saapuvalle liikenteelle” -käytäntöä estääksesi kaikki palvelimeen saapuvat yhteydet kokonaan.

  • Säännöt ovat kapeampia ja hallitsevat saapuvia yhteyksiä yksittäisiin Pleskin palveluihin, kuten SMTP:hen tai MySQL/MariaDB:hen.

Säännöt ohittavat käytännöt. Jos esimerkiksi yleinen käytäntö on estää kaikki saapuva liikenne, mutta sääntö sallii saapuvan liikenteen tietystä IP-osoitteesta, sääntö on ensisijainen. Tätä mekanismia voit käyttää palvelimen suojauksen kiristämiseen tai lieventämiseen.

Jos esimerkiksi määrität käytännöt kieltämään kaikki yhteydet palvelimelle ja palvelimelta lukuun ottamatta muutamia sallittuja IP-osoitteita tai portteja, suojaus paranee, mutta jotkin sovellukset eivät ehkä toimi verkkorajoitusten vuoksi. Toisaalta, jos sallit oletuksena kaikki yhteydet ja käytät sääntöjä estämään pääsyn yksittäisiin palveluihin tai yksittäisistä IP-osoitteista, palvelimesi on vähemmän turvallinen, mutta et joudu yhteysongelmiin. Kokeile löytääksesi optimaalinen tasapaino käytettävyyden ja turvallisuuden välillä.

image-firewall-landing-page

Palomuuria voi hallita kahdella tavalla:

  • Olemassa olevien käytäntöjen ja sääntöjen muokkaaminen, oletukset mukaan lukien.

  • Mukautettujen sääntöjen luominen ja poistaminen.

Olemassa olevan käytännön tai säännön muokkaaminen:

  1. Kirjaudu Pleskiin.

  2. Siirry kohtaan Työkalut ja asetukset > Palomuuri (kohdassa ”Suojaus”).

  3. Napsauta ”Palomuurisuojaus”-kytkintä, jotta se näyttää ”Käytössä”. Jos palomuurisuojaus on jo käytössä, ohita tämä vaihe.

  4. Napsauta käytäntöä tai sääntöä, jota haluat muokata.

  5. Tee haluamasi muutokset, napsauta Tallentaa, napsauta Ota muutokset käyttöön ja sitten napsauta Ota käyttöön.

Palomuurin määrityksen muutokset ovat nyt voimassa.

Mukautetun säännön luominen:

  1. Kirjaudu Pleskiin.

  2. Siirry kohtaan Työkalut ja asetukset > Palomuuri (kohdassa ”Suojaus”).

  3. Napsauta ”Palomuurisuojaus”-kytkintä, jotta se näyttää ”Käytössä”. Jos palomuurisuojaus on jo käytössä, ohita tämä vaihe.

  4. Napsauta image-plus-icon-painiketta.

  5. (Valinnainen) Anna säännölle nimi.

  6. Määritä sääntö. Esimerkiksi jos haluat estää kaikki palvelun SSH-palveluun tulevat yhteydet IP-osoitteesta 198.51.100.1 (olettaen, että käytetään SSH:n oletusporttia), aseta ”Suuntaus” arvoon ”Saapuva”, aseta ”Toiminto” arvoon ”Estä”, aseta ”Portti” arvoon ”TCP 22” ja kirjoita sitten ”198.51.100.1” ”Lähteet”-kenttään.

  7. Kun olet määrittänyt säännön, napsauta Tallentaa, napsauta Ota muutokset käyttöön ja sitten napsauta Ota käyttöön.

Palomuurin määrityksen muutokset ovat nyt voimassa. Kun luot mukautettuja sääntöjä, varo estämästä vahingossa yhteyksiä Pleskin palveluiden käyttämiin portteihin.

Muista

Jos käytät Docker-säiliöitä, Dockerin palomuurisääntöjä ei lisätä Pleskin palomuurin sääntöihin.

Mukautettujen sääntöjen poistaminen:

  1. Kirjaudu Pleskiin.

  2. Siirry kohtaan Työkalut ja asetukset > Palomuuri (kohdassa ”Suojaus”).

  3. Napsauta ”Palomuurisuojaus”-kytkintä, jotta se näyttää ”Käytössä”. Jos palomuurisuojaus on jo käytössä, ohita tämä vaihe.

  4. Valitse yksi tai useampi poistettava mukautettu sääntö. Vain mukautettuja sääntöjä voi poistaa.

  5. Napsauta Poista, napsauta Kyllä, poista, napsauta Ota muutokset käyttöön ja sitten napsauta Ota käyttöön.

Palomuurin määrityksen muutokset ovat nyt voimassa.

Maan esto

Pleskin palomuurin avulla voit estää pääsyn IP-osoitteisiin, jotka kuuluvat tiettyyn maahan, tai pääsyn niistä.

Pääsyn estäminen tietystä maasta:

  1. Kirjaudu Pleskiin.

  2. Siirry kohtaan Työkalut ja asetukset > Palomuuri (kohdassa ”Suojaus”).

  3. Napsauta ”Palomuurisuojaus”-kytkintä, jotta se näyttää ”Käytössä”. Jos palomuurisuojaus on jo käytössä, ohita tämä vaihe.

  4. Napsauta image-plus-icon-painiketta.

  5. (Valinnainen) Anna säännölle nimi.

  6. Aseta ”Toiminto” arvoon ”Estä”.

  7. Kirjoita ”Lähteet”-kenttään maan, jonka haluat estää, kaksikirjaiminen ISO 3166 -maakoodi (esimerkiksi jos haluat estää kaikki saapuvat yhteydet Afganistanista, kirjoita AF).

  8. (Valinnainen) Napsauta ”Lisää yksi” ja toista edellinen vaihe, jos haluat estää lisämaan. Voit estää niin monta maata kuin haluat.

  9. Napsauta Tallentaa, kun olet lisännyt kaikki estettävät maat.

  10. Napsauta Ota muutokset käyttöön ja sitten Ota käyttöön.

Kun palomuurin määritys on otettu käyttöön, kaikki saapuvat yhteydet palvelimeesi estetyistä maista estetään.

Oletuksena Plesk käyttää DB-IP:n ilmaista tietokantaa ”IP to Country Lite”. Voit vaihtoehtoisesti käyttää MaxMindin ilmaista tai maksullista tietokantaa. Ennen kuin voit tehdä niin, sinun on hankittava MaxMindiltä ilmainen tai maksullinen käyttöoikeus ja vastaanotettava käyttöoikeusavaimesi.

Siirtyminen maksulliseen GeoIP2-tietokantaan:

  1. Lisää seuraavat rivit panel.ini-tiedostoon:

    [ext-firewall]
geoipDataSource = maxmind-lite

    käyttääksesi ilmaista GeoLite2-tietokantaa, tai

    [ext-firewall]
geoipDataSource = maxmind

    käyttääksesi maksullista GeoIP2-tietokantaa.

  2. Kirjaudu palvelimeen SSH:n kautta ja suorita sitten seuraava komento:

    LICENSE_KEY=<enter your license key here> plesk sbin modules/firewall/ipsets --configure --data-source maxmind-lite --force

    tai

    LICENSE_KEY=<enter your license key here> plesk sbin modules/firewall/ipsets --configure --data-source maxmind --force

    käyttääksesi MaxMindin ilmaista tai maksullista tietokantaa vastaavasti.

    Muista

    Komento saattaa päättyä varoitukseen Set cannot be destroyed. Varoituksen voi turvallisesti jättää huomiotta.

  3. Kirjaudu Pleskiin.

  4. Siirry kohtaan Työkalut ja asetukset > Palomuuri (kohdassa ”Suojaus”).

  5. Napsauta Ota muutokset käyttöön ja sitten Ota käyttöön.

    Muista

    Jos Ota muutokset käyttöön -painike puuttuu, luo uusi palomuurisääntö, jotta muutosten käyttöönotto mahdollistuu. Voit poistaa tämän säännön myöhemmin.

Kun palomuurin määritys on otettu käyttöön, GeoIP2-tietokantaa käytetään GeoLite2:n sijaan.

Jos haluat vaihtaa takaisin DB-IP:n ilmaiseen tietokantaan, poista rivi geoipDataSource = maxmind-lite tai geoipDataSource = maxmind tiedostosta panel.ini ja ota sitten palomuurin määritys uudelleen käyttöön.

Palomuurin määrityksen tuominen ja vieminen

Haluat ehkä kopioida yhden Pleskin Linux-palvelimen palomuurin määrityksen muille Pleskin Linux-palvelimille. Helpoin tapa on viedä palomuurin määritys tiedostoon ja tuoda se sitten kullekin näistä Pleskin Linux-palvelimista. Voit tuoda ja viedä palomuurin määrityksen sekä graafisen käyttöliittymän että komentorivin kautta.

Palomuurin määrityksen vieminen graafisen käyttöliittymän kautta:

  1. Kirjaudu Pleskiin palvelimella, jonka palomuurin määrityksen haluat kopioida.

  2. Siirry kohtaan Työkalut ja asetukset > Palomuuri (kohdassa ”Suojaus”).

  3. Napsauta ”Palomuurisuojaus”-kytkintä, jotta se näyttää ”Käytössä”, ja napsauta sitten Ota käyttöön. Jos palomuurisuojaus on jo käytössä, ohita tämä vaihe.

  4. Napsauta Vie.

Palomuurin määritys tallennetaan .json-tiedostoon. Löydät sen selaimesi latausten hakemistosta.

Palomuurin määrityksen tuominen graafisen käyttöliittymän kautta:

  1. Kirjaudu Pleskiin palvelimella, jolle haluat kopioida toisen palvelimen palomuurin määrityksen.

  2. Siirry kohtaan Työkalut ja asetukset > Palomuuri (kohdassa ”Suojaus”).

  3. Napsauta ”Palomuurisuojaus”-kytkintä, jotta se näyttää ”Käytössä”, ja napsauta sitten Ota käyttöön. Jos palomuurisuojaus on jo käytössä, ohita tämä vaihe.

  4. Napsauta Tuominen ja etsi sen palvelimen viemä .json-tiedosto, jonka palomuurin määrityksen haluat kopioida.

Tiedostossa oleva palomuurin määritys otetaan käyttöön.

Palomuurin määrityksen vieminen komentorivin kautta:

  1. Kirjaudu SSH:n kautta palvelimelle, jonka palomuurin määrityksen haluat kopioida.

  2. Vie palomuurin määritys suorittamalla seuraava komento:

    plesk ext firewall --export > rules.json

    Voit antaa tiedostolle minkä tahansa nimen, ”rules.json” on vain esimerkki.

Palomuurin määritys tallennetaan määritettyyn tiedostoon.

Palomuurin määrityksen tuominen komentorivin kautta:

  1. Kirjaudu SSH:n kautta palvelimelle, jolle haluat kopioida toisen palvelimen palomuurin määrityksen. Palomuurin määrityksen tuomiseksi sinun on avattava kaksi erillistä SSH-istuntoa.

  2. Suorita ensimmäisessä SSH-istunnossa seuraava komento palomuurisuojauksen ottamiseksi käyttöön. Jos palomuurisuojaus on jo käytössä, ohita tämä vaihe.

    plesk ext firewall --enable

  3. Suorita toisessa SSH-istunnossa seuraava komento palomuurisuojauksen vahvistamiseksi. Jos palomuurisuojaus on jo käytössä, ohita tämä vaihe.

    plesk ext firewall --confirm

  4. Suorita ensimmäisessä SSH-istunnossa seuraava komento palomuurin määrityksen tuomiseksi ja ottamiseksi käyttöön:

    plesk ext firewall --import -config <tiedoston URL-osoite tai paikallinen polku> && plesk ext firewall --apply

    Esimerkiksi

    plesk ext firewall --import -config https://example.com/rules.json && plesk ext firewall --apply

    tai

    plesk ext firewall --import -config /tmp/rules.json && plesk ext firewall --apply

  5. Tarkista, että voit muodostaa yhteyden palvelimeen SSH:n kautta uuden palomuurin määrityksen ottamisen jälkeen. Jos voit, suorita toisessa SSH-istunnossa seuraava komento tuodun palomuurin määrityksen vahvistamiseksi.

    plesk ext firewall --confirm

    Muista

    Jos et vahvista tuotua palomuurin määritystä 60 sekunnin kuluessa plesk ext firewall --apply -komennon suorittamisesta, tekemäsi muutokset palautetaan automaattisesti ja edellinen palomuurin määritys palautetaan.

Tiedostossa oleva palomuurin määritys otetaan käyttöön palvelimella.