امنیت و ریکاوری

تنظیم فایروال سرور: CSF، iptables، ufw و fail2ban

فایروال تعیین می کند چه ترافیکی به سرور شما برسد. تیم فنی پیکوهاست فایروال سرور را با CSF، iptables یا ufw تنظیم می کند و fail2ban و محدودیت درخواست را کنار آن می گذارد، ولی درباره حمله های حجیم DDoS مرز خدمت را روشن می گوید.

در یک نگاه

تنظیم فایروال سرور یعنی فقط پورت ها و آدرس هایی که لازم است باز بمانند. تیم فنی پیکوهاست با CSF، iptables یا ufw فایروال را می چیند، fail2ban و محدودیت درخواست اضافه می کند و درباره DDoS می گوید که فایروال خود سرور برای حمله حجیم کافی نیست.

سطح های خدمت

هر سطح همه ی کارهای سطح قبلی را دارد. قیمت دقیق بعد از بررسی نیاز و حجم کار اعلام می شود.

پکیج پایه

قیمت پس از بررسی

۱۰ کار انجام می شود

  • بررسی اولیه
  • فهرست سرویس ها و پورت های فعلی سرور
  • هماهنگی IPهایی که باید همیشه مجاز باشند
  • انتخاب CSF، ufw یا iptables متناسب با سرور و پنل
  • قوانین ورودی
  • باز گذاشتن فقط پورت های لازم مثل 22، 80 و 443
  • بستن پورت های داخلی مثل دیتابیس از بیرون
  • اعمال قوانین با جلسه SSH باز برای برگشت سریع
  • fail2ban و محدودیت درخواست
  • jail برای SSH با مسدودسازی موقت IPهای مشکوک
  • آزمایش و بازبینی
  • بررسی دسترسی سایت ها و سرویس ها بعد از اعمال قوانین
  • تحویل
  • فهرست قوانین اعمال شده
  • روش غیرفعال کردن موقت فایروال
ثبت سفارش

پکیج استاندارد

قیمت پس از بررسی

۱۸ کار انجام می شود

  • همه موارد پکیج پایه و موارد زیر
  • بررسی اولیه
  • فهرست سرویس ها و پورت های فعلی سرور
  • هماهنگی IPهایی که باید همیشه مجاز باشند
  • بررسی قوانین فایروال موجود و علت قطع های مقطعی
  • هماهنگی با فایروال دیتاسنتر یا پنل سرویس دهنده، اگر فعال است
  • انتخاب CSF، ufw یا iptables متناسب با سرور و پنل
  • قوانین ورودی
  • باز گذاشتن فقط پورت های لازم مثل 22، 80 و 443
  • بستن پورت های داخلی مثل دیتابیس از بیرون
  • اعمال قوانین با جلسه SSH باز برای برگشت سریع
  • محدود کردن SSH و پنل به IPهای مشخص
  • fail2ban و محدودیت درخواست
  • jail برای SSH با مسدودسازی موقت IPهای مشکوک
  • jail برای سرویس های دیگر مثل وب سرور و ایمیل
  • محدود کردن درخواست به مسیرهایی مثل wp-login.php
  • آزمایش و بازبینی
  • بررسی دسترسی سایت ها و سرویس ها بعد از اعمال قوانین
  • آزمایش fail2ban و محدودیت درخواست
  • تحویل
  • فهرست قوانین اعمال شده
  • روش غیرفعال کردن موقت فایروال
  • توضیح قوانینی که ممکن است روی کاربر واقعی اثر بگذارد
  • تنظیمات fail2ban و محدودیت درخواست به صورت فهرست
ثبت سفارش

پکیج کامل

قیمت پس از بررسی

۲۶ کار انجام می شود

  • همه موارد پکیج استاندارد و موارد زیر
  • بررسی اولیه
  • فهرست سرویس ها و پورت های فعلی سرور
  • هماهنگی IPهایی که باید همیشه مجاز باشند
  • بررسی قوانین فایروال موجود و علت قطع های مقطعی
  • هماهنگی با فایروال دیتاسنتر یا پنل سرویس دهنده، اگر فعال است
  • انتخاب CSF، ufw یا iptables متناسب با سرور و پنل
  • قوانین ورودی
  • باز گذاشتن فقط پورت های لازم مثل 22، 80 و 443
  • بستن پورت های داخلی مثل دیتابیس از بیرون
  • اعمال قوانین با جلسه SSH باز برای برگشت سریع
  • محدود کردن SSH و پنل به IPهای مشخص
  • دسترسی مدیریت از طریق VPN، اگر امکانش باشد
  • fail2ban و محدودیت درخواست
  • jail برای SSH با مسدودسازی موقت IPهای مشکوک
  • jail برای سرویس های دیگر مثل وب سرور و ایمیل
  • محدود کردن درخواست به مسیرهایی مثل wp-login.php
  • محدود کردن درخواست به xmlrpc.php و مسیرهای حساس دیگر
  • ModSecurity
  • فعال کردن یا بررسی مجموعه قوانین پایه ModSecurity
  • بررسی خطاهای مثبت کاذب و اصلاح قوانین مشکل ساز
  • آزمایش و بازبینی
  • بررسی دسترسی سایت ها و سرویس ها بعد از اعمال قوانین
  • آزمایش fail2ban و محدودیت درخواست
  • بررسی لاگ فایروال و مسدودسازی ها بعد از چند روز
  • اصلاح قوانین بر اساس لاگ
  • تحویل
  • اعمال قوانین یکسان روی چند سرور
  • فهرست قوانین اعمال شده
  • روش غیرفعال کردن موقت فایروال
  • توضیح قوانینی که ممکن است روی کاربر واقعی اثر بگذارد
  • تنظیمات fail2ban و محدودیت درخواست به صورت فهرست
  • راهنمای محل لاگ فایروال و fail2ban
ثبت سفارش

کدام سطح مناسب شماست

پایه

برای سرور لینوکس که فقط پورت های لازم باز بماند و fail2ban برای SSH و فایروال با قوانین ساده فعال شود.

استاندارد

برای سروری که تلاش ورود یا درخواست زیاد به wp-login.php دارد و محدودیت درخواست و بررسی دسترسی مدیریت هم لازم است.

کامل

برای سرور مهم یا چند سرور که ModSecurity، دسترسی مدیریت از IP یا VPN، بازبینی لاگ و قوانین یکسان را هم می خواهید.

مقایسه کامل پکیج ها

کارپایهاستانداردکامل
بررسی اولیه
فهرست سرویس ها و پورت های فعلی سرور✓✓✓
هماهنگی IPهایی که باید همیشه مجاز باشند✓✓✓
بررسی قوانین فایروال موجود و علت قطع های مقطعی-✓✓
هماهنگی با فایروال دیتاسنتر یا پنل سرویس دهنده، اگر فعال است-✓✓
انتخاب CSF، ufw یا iptables متناسب با سرور و پنل✓✓✓
قوانین ورودی
باز گذاشتن فقط پورت های لازم مثل 22، 80 و 443✓✓✓
بستن پورت های داخلی مثل دیتابیس از بیرون✓✓✓
اعمال قوانین با جلسه SSH باز برای برگشت سریع✓✓✓
محدود کردن SSH و پنل به IPهای مشخص-✓✓
دسترسی مدیریت از طریق VPN، اگر امکانش باشد--✓
fail2ban و محدودیت درخواست
jail برای SSH با مسدودسازی موقت IPهای مشکوک✓✓✓
jail برای سرویس های دیگر مثل وب سرور و ایمیل-✓✓
محدود کردن درخواست به مسیرهایی مثل wp-login.php-✓✓
محدود کردن درخواست به xmlrpc.php و مسیرهای حساس دیگر--✓
ModSecurity
فعال کردن یا بررسی مجموعه قوانین پایه ModSecurity--✓
بررسی خطاهای مثبت کاذب و اصلاح قوانین مشکل ساز--✓
آزمایش و بازبینی
بررسی دسترسی سایت ها و سرویس ها بعد از اعمال قوانین✓✓✓
آزمایش fail2ban و محدودیت درخواست-✓✓
بررسی لاگ فایروال و مسدودسازی ها بعد از چند روز--✓
اصلاح قوانین بر اساس لاگ--✓
تحویل
اعمال قوانین یکسان روی چند سرور--✓
فهرست قوانین اعمال شده✓✓✓
روش غیرفعال کردن موقت فایروال✓✓✓
توضیح قوانینی که ممکن است روی کاربر واقعی اثر بگذارد-✓✓
تنظیمات fail2ban و محدودیت درخواست به صورت فهرست-✓✓
راهنمای محل لاگ فایروال و fail2ban--✓

چه کارهایی انجام می شود

انتخاب ابزار

CSF روی سرورهای cPanel و WHM، ufw روی Ubuntu و Debian ساده، و iptables یا nftables وقتی کنترل دقیق تر لازم باشد

قوانین ورودی

باز بودن فقط پورت های لازم مثل 22، 80 و 443 و پورت های مجاز دیگر، بر اساس سرویس های واقعی سرور

محدود کردن مدیریت

دسترسی به SSH، پنل و دیتابیس فقط از IPهای مشخص یا از طریق VPN، اگر امکانش باشد

fail2ban

مسدود کردن موقت IPهایی که چند بار پشت سر هم ورود ناموفق دارند، برای SSH و سرویس های دیگر

محدودیت درخواست

تعداد درخواست به مسیرهای حساس را در وب سرور یا CSF محدود می کنیم

ModSecurity

فعال کردن یا بررسی مجموعه قوانین پایه، در حد وب سرور شما، و بررسی خطاهای مثبت کاذب

بازبینی

بررسی لاگ فایروال و مسدودسازی ها بعد از چند روز و اصلاح قوانین

چه زمانی به این خدمت نیاز دارید

  • پورت هایی مثل دیتابیس یا پنل مدیریت از بیرون در دسترس است و فقط خودتان به آن نیاز دارید.
  • لاگ SSH یا پنل مدیریت پر از تلاش های ناموفق ورود از IPهای مختلف است.
  • یک IP یا چند IP تعداد زیادی درخواست به یک صفحه، مثلا wp-login.php یا xmlrpc.php، می فرستد و منابع سرور را مصرف می کند.
  • قبلا فایروال نصب شده، ولی نمی دانید چه قوانینی دارد و چرا سرویسی گاهی قطع می شود.
  • بعد از پاکسازی هک سایت می خواهید دسترسی های غیرضروری را ببندید.
  • چند سرور دارید و قوانین یکسان لازم است.

مراحل کار

  1. ۱

    سرویس ها و پورت های فعلی را فهرست می کنیم: چه چیزی گوش می دهد، از کجا لازم است در دسترس باشد و چه چیزی فقط داخلی است.

  2. ۲

    با شما قوانین را هماهنگ می کنیم، به خصوص IPهایی که باید همیشه مجاز باشند.

  3. ۳

    یک جلسه SSH باز نگه می داریم و قوانین را اعمال می کنیم. اگر دسترسی قطع شود، قوانین از همان جلسه برگردانده می شوند.

  4. ۴

    fail2ban و محدودیت درخواست را تنظیم و آزمایش می کنیم. فقط موارد لازم فعال می شود تا کاربر واقعی مسدود نشود.

  5. ۵

    سایت ها و سرویس ها را دوباره بررسی می کنیم و در صورت مشکل قانون را اصلاح می کنیم.

  6. ۶

    فهرست قوانین و روش غیرفعال کردن موقت فایروال را تحویل می دهیم.

چه چیزی از شما لازم داریم

  • نوع سیستم عامل، پنل (cPanel، Plesk یا بدون پنل) و فهرست سرویس هایی که باید از بیرون در دسترس باشند.
  • IPهایی که باید همیشه دسترسی داشته باشند، مثل IP دفتر یا ابزار مانیتورینگ.
  • دسترسی root یا کاربر با sudo. رمز را در متن تیکت ننویسید. دسترسی از طریق فیلدهای خصوصی تیکت یا یک حساب موقت که بعد از پایان کار حذف می شود داده می شود.
  • نشانه هایی که دیده اید: لاگ، زمان مشکل یا IPهای مشکوک، اگر دارید.
  • اگر فایروال دیگری در سطح دیتاسنتر یا پنل سرویس دهنده فعال است، اطلاعات آن، چون با فایروال داخل سرور تداخل پیدا می کند.

چه چیزی تحویل می دهید و چه چیزی تضمین نمی شود؟

فایروال تنظیم شده، فهرست قوانین، تنظیمات fail2ban و محدودیت درخواست و راهنمای برگرداندن را دریافت می کنید. هر قانونی را که ممکن است روی کاربر واقعی اثر بگذارد با شما در میان می گذاریم.

درباره محدودیت ها صریح می گوییم:

  • فایروال سرور جلوی هر حمله ای را نمی گیرد. حمله ای که از طریق افزونه یا کد آسیب پذیر سایت و روی پورت 80 یا 443 می آید، از فایروال معمولی عبور می کند.
  • در برابر DDoS حجیم، فایروال داخل سرور کمک محدودی می کند، چون وقتی ترافیک به سرور می رسد پهنای باند یا منابع قبلا پر شده اند. کاهش اثر این حمله معمولا نیاز به سرویس بالادستی مثل ارائه دهنده شبکه یا CDN دارد که خارج از دسترس تنظیمات سرور است. ما قوانین محلی را بهینه می کنیم و درخواست های ساده را محدود می کنیم، ولی نمی توانیم قول بدهیم سایت زیر حمله حجیم در دسترس بماند.
  • ModSecurity ممکن است درخواست های درست را مسدود کند. بعد از فعال شدن باید لاگ بررسی و قانون های مشکل ساز تنظیم شوند.
  • fail2ban IPهای مهاجم را فقط به صورت موقت مسدود می کند و برای مهاجمی که IP عوض می کند، کافی نیست.

سوالات پرتکرار

CSF بهتر است یا iptables؟
CSF روی iptables ساخته شده و مدیریت آن را ساده می کند، به خصوص روی cPanel و WHM. اگر پنل ندارید، ufw یا iptables هم کافی است. انتخاب به سرور و نیاز شما بستگی دارد.
آیا فایروال جلوی DDoS را می گیرد؟
برای حمله های کوچک و درخواست های ساده می تواند کمک کند. برای حمله حجیم که پهنای باند را پر می کند، فایروال داخل سرور کافی نیست و به راه حل در سطح شبکه نیاز دارید.
ممکن است فایروال سایت را از دسترس خارج کند؟
اگر قانون اشتباه باشد، بله. به همین دلیل با جلسه باز و آزمایش بعد از هر تغییر کار می کنیم و فهرست IPهای مجاز را از شما می گیریم. مستندات رسمی fail2ban و ابزارهای دیگر در سایت fail2ban هست.
روی هاست اشتراکی می شود فایروال تنظیم کرد؟
خیر. فایروال سرور به دسترسی root نیاز دارد و روی هاست اشتراکی فقط هاستینگ آن را مدیریت می کند. در هاست اشتراکی بیشتر کارها به تنظیمات سایت و افزونه محدود می شود.
بعد از تنظیم، کجا لاگ مسدودسازی ها را ببینم؟
مسیر لاگ به ابزار بستگی دارد. برای مثال fail2ban معمولا در /var/log/fail2ban.log می نویسد و CSF لاگ خودش را در WHM نشان می دهد. روش دقیق را در تحویل کار می نویسیم.

خدمات مرتبط

امنیت و ریکاوریسفارش از تیکت یا فروشگاهامن سازی سرور لینوکس: SSH، فایروال، fail2ban و به روزرسانی

امن سازی سرور لینوکس توسط تیم فنی پیکوهاست: کلید SSH، بستن ورود root، فایروال، fail2ban، به روزرسانی و بررسی سرویس ها در Ubuntu، Debian و cPanel.

مشاهده خدمتDevOpsسفارش از تیکت یا فروشگاهراه اندازی Nginx و لودبالانس برای وب سایت و API

راه اندازی Nginx و لودبالانس با reverse proxy، upstream، health check، TLS و کش پایه، همراه با reload بدون قطعی توسط تیم فنی پیکوهاست.

مشاهده خدمتامنیت و ریکاوریسفارش از تیکت یا فروشگاهپاکسازی هک سایت وردپرس و PHP، حذف بدافزار و بک دور

پاکسازی هک سایت وردپرس و PHP توسط تیم فنی پیکوهاست: حذف بدافزار و بک دور، رفع هشدار گوگل و بلک لیست، و سخت سازی سایت بعد از پاکسازی.

مشاهده خدمت