Сеть / Ступень 7 из 14

Разрешить нужное, сохранить запрет

Не запущена Запускается обычно ~20 с

Шаг 7 из 8 · лаба · 25 мин

Межсетевой экран: открыть сайт офису

Сайт сервера должен открываться из офиса и оставаться закрытым для остальных, а офис ждёт до тайм-аута. Найди причину и исправь постоянную настройку nftables.

Ситуация

На сервере работает сайт — nginx на порту 80. Он должен открываться из офиса, с адреса 192.0.2.20, а для остальных адресов сети оставаться закрытым. Офис жалуется: сайт не открывается, запрос висит. На самом сервере curl http://127.0.0.1/ отвечает.

Офис — сетевое пространство lab-client, у его интерфейса два адреса: 192.0.2.20 (офис) и 192.0.2.30 (чужой адрес той же сети). Адрес сервера в этой сети — 192.0.2.10. Запрос с нужного адреса:

sudo ip netns exec lab-client curl -sS --connect-timeout 3 \
  --interface 192.0.2.20 http://192.0.2.10/

Межсетевой экран сервера загружает служба nftables из /etc/nftables.conf.

Задача

С 192.0.2.20 сайт http://192.0.2.10/ отвечает кодом 200.
С 192.0.2.30 сайт не открывается.
Правила в ядре — те, что в /etc/nftables.conf, и служба nftables включена: после перезагрузки всё останется так же.
Политика drop цепочки input и разрешение SSH на порт 22 на месте.

Нужные инструменты уже установлены. Интернета на машине нет.

Лаба · самостоятельно

Команды в этой лабе не даны: набирай их в терминале сам. Цели проверяются на машине после каждой команды.

Цели

0 из 4

С адреса офиса 192.0.2.20 сайт http://192.0.2.10/ отвечает кодом 200 — ещё не выполнена
С адреса 192.0.2.30 сайт не открывается — ещё не выполнена
Правила загружены из /etc/nftables.conf, служба nftables включена — ещё не выполнена
Политика drop и разрешение SSH на месте — ещё не выполнена

Ctrl+Enter

Запустит машину node1 · Ubuntu 24.04

Машина запускается

Подсказки

0 из 3

Сообщить о проблеме

Цели лабы

0 из 4

С адреса офиса 192.0.2.20 сайт http://192.0.2.10/ отвечает кодом 200 — ещё не выполнена
С адреса 192.0.2.30 сайт не открывается — ещё не выполнена
Правила загружены из /etc/nftables.conf, служба nftables включена — ещё не выполнена
Политика drop и разрешение SSH на месте — ещё не выполнена

node1 Ubuntu 24.04

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Цели лабы

0 из 4

С адреса офиса 192.0.2.20 сайт http://192.0.2.10/ отвечает кодом 200 — ещё не выполнена
С адреса 192.0.2.30 сайт не открывается — ещё не выполнена
Правила загружены из /etc/nftables.conf, служба nftables включена — ещё не выполнена
Политика drop и разрешение SSH на месте — ещё не выполнена

Безопасность · подобрано по лабе

Файрвол — nftables / ufw

Шпаргалка

$_ — вставить в терминал

sudo ufw allow 22/tcp СНАЧАЛА SSH
sudo ufw status verbose правила
sudo ufw default deny incoming
sudo nft list ruleset низкий уровень

ufw

bash

sudo ufw status verbose           # текущие правила
sudo ufw allow 22/tcp             # разрешить SSH (СНАЧАЛА!)
sudo ufw allow 80,443/tcp         # веб
sudo ufw allow from 192.168.1.0/24 to any port 5432  # из подсети
sudo ufw deny 23/tcp
sudo ufw delete allow 80/tcp
sudo ufw enable                   # включить, политика по умолчанию
sudo ufw default deny incoming    # запретить входящее по умолчанию

Постоянный набор nftables

Правила из nft add живут до перезагрузки. Постоянный набор — файл /etc/nftables.conf: его загружает служба nftables (ExecStart=/usr/sbin/nft -f /etc/nftables.conf). На учебной машине служба выключена (disabled), а файл из пакета пускает всё: в его цепочках нет ни правил, ни политики.

Базовый набор «всё, что не разрешено, — drop»:

text

#!/usr/sbin/nft -f
flush ruleset

table inet filter {
	chain input {
		type filter hook input priority filter; policy drop;
		iif lo accept
		ct state established,related accept
		meta l4proto { icmp, ipv6-icmp } accept
		tcp dport { 22, 80 } accept
		counter
	}
}

Строка	Зачем
`policy drop`	всё, что не разрешено ниже, отбрасывается
`iif lo accept`	машина говорит сама с собой: база и админка на 127.0.0.1 работают
`ct state established,related accept`	ответы на соединения, которые машина открыла сама
`meta l4proto { icmp, ipv6-icmp } accept`	ping и служебные сообщения ICMP
`tcp dport { 22, 80 } accept`	порты, открытые наружу, списком
`counter`	сколько пакетов дошло до политики drop

bash

sudo nft -c -f /etc/nftables.conf      # проверить, не применяя
sudo systemctl enable --now nftables   # загрузить сейчас и при загрузке
sudo nft list ruleset

nft -c печатает ошибку с местом в строке и кодом 1:

text

/tmp/bad.nft:1:54-54: Error: syntax error, unexpected '}'
table inet filter { chain input { tcp dport 22 acept } }
                                                     ^

Снаружи — из другого пространства имён или с другой машины — закрытые порты видны как filtered: пакет отброшен без ответа (см. nmap):

text

PORT     STATE    SERVICE
22/tcp   open     ssh
80/tcp   open     http
5432/tcp filtered postgresql
8080/tcp filtered http-proxy

flush ruleset в начале файла удаляет все таблицы, и чужие тоже: таблица, созданная руками, после systemctl enable --now nftables пропала. Таблицы fail2ban и Docker после restart nftables вернутся только с перезапуском этих служб.

Закрыл себе SSH

Зайди через консоль гипервизора/serial; ufw disable или поправь набор и перезагрузи правила.

Правило не действует

Порядок важен: в nftables до policy drop нужен accept для нужного трафика.
ufw и ручной nft могут конфликтовать — используй что-то одно.
Проверь, что трафик вообще доходит: ss -tlnp (служба слушает?) до выводов о файрволе.

Снаружи не доступен порт, хотя служба слушает

sudo ufw status / nft list ruleset — разрешён ли порт; не забудь про внешний NAT/маршрутизатор.

С самой машины порт открыт, хотя его закрыли

curl http://192.0.2.1:8080/ на самой машине отвечает 200, хотя порт закрыт политикой drop. Пакет на свой же адрес идёт через интерфейс lo, и его пропускает iif lo accept. Проверяй фильтр снаружи: с другой машины или из отдельного сетевого пространства (ip netns exec … nmap).

`ufw default deny incoming` / `enable` без правила для SSH

Обе команды применяются сразу, разрывая уже открытую сессию, если для неё нет разрешающего правила. На удалённой машине без консоли гипервизора это означает полную потерю доступа до физического/консольного вмешательства. Порядок обязателен: сначала ufw allow 22/tcp, потом default deny incoming и enable.

Замена всего набора `nftables` (`nft -f`)

sudo nft -f /etc/nftables.conf загружает файл как есть, не спрашивая подтверждения. Ошибка в файле (например, policy drop без accept для SSH-порта) применится немедленно и оборвёт удалённую сессию так же, как ufw.

Разрешить нужное, сохранить запрет

Ситуация

Задача

Для запуска машины нужен вход

ufw

Постоянный набор nftables

Закрыл себе SSH

Правило не действует

Снаружи не доступен порт, хотя служба слушает

С самой машины порт открыт, хотя его закрыли

ufw default deny incoming / enable без правила для SSH

Замена всего набора nftables (nft -f)

`ufw default deny incoming` / `enable` без правила для SSH

Замена всего набора `nftables` (`nft -f`)