Firewall nftables параметрлері (firewall.toml)

[[ports]]
numbers = [22]
directions = ["in", "out"]
protocols = ["tcp"]
action = "accept"

[[ports]]
numbers = [80,443]
directions = ["in", "out"]
protocols = ["tcp"]
action = "accept"

[[ports]]
numbers = [53]
directions = ["in", "out"]
protocols = ["tcp", "udp"]
action = "accept"

[[ports]]
numbers = [22]
directions = ["in", "out"]
protocols = ["tcp"]
action = "accept"

[[ports]]
numbers = [22]
directions = ["in"]
protocols = ["tcp"]
action = "drop"

[[ports]]
numbers = [22]
directions = ["out"]
protocols = ["tcp"]
action = "accept"

[[ports]]
numbers = [80,443]
directions = ["in", "out"]
protocols = ["tcp"]
action = "accept"
limit_rate = "10/second"

IP Рұқсат етілетін немесе тыйым салынатын мекен-жайларды көрсетіңіз. [[ips]] топтардың шексіз санын көрсетуге болады.

[[ips]]
ips - IP мекенжайларының тізімі (міндетті өріс)
directions - Кіріс (in), шығыс трафик (out) (міндетті өріс)
action - Әрекет: accept, drop немесе reject (міндетті өріс)
ports - Порт нөмірлері (міндетті өріс емес)
protocols - Хаттама: tcp, udp (міндетті өріс емес)
limit_rate - Қажет болса, шектеулерді көрсетіңіз (міндетті өріс емес)

ips - бір немесе бірнеше IP мекенжайларын көрсетуге болады, бірақ ережелер әр мекен-жай үшін бөлек жасалады.
ports - бір немесе бірнеше портты көрсетуге болады, бірақ ережелер әр порт үшін бөлек жасалады.
directions - егер біз көрсетсек in out, онда әр ереже өз тізбегінде бөлек жасалады.
protocols - егер көрсетілсе tcp және udpәрбір ереже әрбір хаттама үшін бөлек жасалады.

Назар аударыңыз:
protocols Егер көрсетілмесе, бірақ көрсетілсе ports, онда ережелер хаттамамен бірге қосылады TCP. protocols бірге жұмыс істейді ports protocols , егер ол көрсетілсе ports және көрсетілмесе, онда осы өрістерді есепке алмай ереже қосылады.

action:
accept - рұқсат етіңіз
drop - үнсіз блоктау
reject - кері байланысты бұғаттау

limit_rate - оны құжаттамаға сәйкес орнатыңыз nftables (limit rate).

[[ips]]
ips = ["192.168.1.1", "fe80::260:8ff:fe52:f9d8"]
action = "accept"
directions = ["in", "out"]
protocols = ["tcp", "udp"]
ports = ["80"]
limit_rate = "10/second"

[[ips]]
ips = ["192.168.1.2"]
action = "drop"
directions = ["in"]

[[ips]]
ips = ["192.168.1.2"]
action = "drop"
directions = ["in"]

icmp_in = true

icmp_in = false

icmp_in_rate = "1/second"

icmp_in_rate = "0"

icmp_in_rate = "3/second"

icmp_out = true

icmp_out = false

icmp_out_rate = "1/second"

icmp_out_rate = "0"

icmp_out_rate = "3/second"

icmp_timestamp_drop = true

icmp_timestamp_drop = false

enable = true

enable = false

icmp_strict = true

icmp_strict = false

cache = true

cache = false

Брандмауэрді тазалау режимін ауыстыру nftables. Егер көрсетілсе "own", ережелерде жанжал туындауы мүмкін. Қауіпсіздік мәселесін тудыруы мүмкін. Көрсетіңіз "own" егер сіз өз әрекеттеріңізге сенімді болсаңыз.

global - барлық ережелерді толығымен тазартады
own - параметрде көрсетілген кестеден ережелерді ғана тазартады table_name

clear_mode = global

clear_mode = own

saves_rules = true

saves_rules = false

saves_rules_path = "/etc/nftables.conf"

dns_strict = true

dns_strict = false

dns_strict_ns = true

dns_strict_ns = false

packet_filter = true

packet_filter = false

default_allow_input = true

default_allow_input = false

default_allow_output = true

default_allow_output = false

default_allow_forward = true

default_allow_forward = false

input_drop = "drop"

input_drop = "reject"

input_priority = -10

input_priority = 0

output_drop = "drop"

output_drop = "reject"

output_priority = -10

output_priority = 0

forward_drop = "drop"

forward_drop = "reject"

forward_priority = -10

forward_priority = 0

Бұл параметрлер тобы Port knocking. [[portKnocking]] топтардың шексіз санын көрсетуге болады.

[[portKnocking]]
name - Атау бірегей болуы керек және таңбаларға рұқсат етіледі: a-z, A-Z, -, _
port - Барлық соққылардан кейін ашылатын порт нөмірі
protocol - Хаттама: tcp, udp
ip_version - Нұсқа IP: ip4, ip6
[[portKnocking.knock]] - қағу
port - Қағу порты
protocol - Қағу ХАТТАМАСЫ: tcp, udp
timeout - Соғу жұмыс істейтін секундтардағы уақыт
action - Қағу кезінде қандай жауап беру керек: accept, return, drop немесе reject

[[portKnocking]]
name = "ssh"
port = 22
protocol = "tcp"
ip_version = "ip4"
[[portKnocking.knock]]
port = 2222
protocol = "tcp"
timeout = 30
action = "drop"
[[portKnocking.knock]]
port = 2225
protocol = "tcp"
timeout = 30
action = "drop"

[[portKnocking]]
name = "ftp"
port = 21
protocol = "tcp"
ip_version = "ip4"
[[portKnocking.knock]]
port = 2121
protocol = "tcp"
timeout = 30
action = "drop"

[[portKnocking]]
name = "ssh"
port = 22
protocol = "tcp"
ip_version = "ip4"
[[portKnocking.knock]]
port = 2222
protocol = "tcp"
timeout = 10
action = "drop"

[[portKnocking]]
name = "ssh"
port = 22
protocol = "tcp"
ip_version = "ip4"
[[portKnocking.knock]]
port = 2222
protocol = "tcp"
timeout = 30
action = "drop"
[[portKnocking.knock]]
port = 2225
protocol = "tcp"
timeout = 30
action = "drop"

[[portKnocking]]
name = "ftp"
port = 21
protocol = "tcp"
ip_version = "ip4"
[[portKnocking.knock]]
port = 2121
protocol = "tcp"
timeout = 30
action = "drop"
[[portKnocking.knock]]
port = 2122
protocol = "tcp"
timeout = 30
action = "drop"
[[portKnocking.knock]]
port = 2221
protocol = "tcp"
timeout = 30
action = "drop"

table_name = "shield"

chain_input_name = "input"

chain_output_name = "output"

chain_forward_name = "forward"

enabled = true

enabled = false

notifications = true

notifications = false

recovery = true

recovery = false

interval = 3600

interval = 600