پایه
قیمت پس از بررسی
- انتخاب ابزار
- قوانین ورودی
- محدود کردن مدیریت
امنیت و ریکاوری
تنظیم فایروال سرور: CSF، iptables، ufw و fail2ban
فایروال تعیین می کند چه ترافیکی به سرور شما برسد. تیم فنی پیکوهاست فایروال سرور را با CSF، iptables یا ufw تنظیم می کند و fail2ban و محدودیت درخواست را کنار آن می گذارد، ولی درباره حمله های حجیم DDoS مرز خدمت را روشن می گوید.
در یک نگاه
تنظیم فایروال سرور یعنی فقط پورت ها و آدرس هایی که لازم است باز بمانند. تیم فنی پیکوهاست با CSF، iptables یا ufw فایروال را می چیند، fail2ban و محدودیت درخواست اضافه می کند و درباره DDoS می گوید که فایروال خود سرور برای حمله حجیم کافی نیست.
سطح های خدمت
دامنه کار را با توجه به وضعیت سرور شما انتخاب می کنیم؛ قیمت هر سطح بعد از بررسی گفته می شود.
استاندارد
قیمت پس از بررسی
- انتخاب ابزار
- قوانین ورودی
- محدود کردن مدیریت
- fail2ban
- محدودیت درخواست
کامل
قیمت پس از بررسی
- انتخاب ابزار
- قوانین ورودی
- محدود کردن مدیریت
- fail2ban
- محدودیت درخواست
- ModSecurity
- بازبینی
چه کارهایی انجام می شود
انتخاب ابزار
CSF روی سرورهای cPanel و WHM، ufw روی Ubuntu و Debian ساده، و iptables یا nftables وقتی کنترل دقیق تر لازم باشد
قوانین ورودی
باز بودن فقط پورت های لازم مثل 22، 80 و 443 و پورت های مجاز دیگر، بر اساس سرویس های واقعی سرور
محدود کردن مدیریت
دسترسی به SSH، پنل و دیتابیس فقط از IPهای مشخص یا از طریق VPN، اگر امکانش باشد
fail2ban
مسدود کردن موقت IPهایی که چند بار پشت سر هم ورود ناموفق دارند، برای SSH و سرویس های دیگر
محدودیت درخواست
تعداد درخواست به مسیرهای حساس را در وب سرور یا CSF محدود می کنیم
ModSecurity
فعال کردن یا بررسی مجموعه قوانین پایه، در حد وب سرور شما، و بررسی خطاهای مثبت کاذب
بازبینی
بررسی لاگ فایروال و مسدودسازی ها بعد از چند روز و اصلاح قوانین
چه زمانی به این خدمت نیاز دارید
- پورت هایی مثل دیتابیس یا پنل مدیریت از بیرون در دسترس است و فقط خودتان به آن نیاز دارید.
- لاگ SSH یا پنل مدیریت پر از تلاش های ناموفق ورود از IPهای مختلف است.
- یک IP یا چند IP تعداد زیادی درخواست به یک صفحه، مثلا
wp-login.phpیاxmlrpc.php، می فرستد و منابع سرور را مصرف می کند. - قبلا فایروال نصب شده، ولی نمی دانید چه قوانینی دارد و چرا سرویسی گاهی قطع می شود.
- بعد از پاکسازی هک سایت می خواهید دسترسی های غیرضروری را ببندید.
- چند سرور دارید و قوانین یکسان لازم است.
مراحل کار
- ۱
سرویس ها و پورت های فعلی را فهرست می کنیم: چه چیزی گوش می دهد، از کجا لازم است در دسترس باشد و چه چیزی فقط داخلی است.
- ۲
با شما قوانین را هماهنگ می کنیم، به خصوص IPهایی که باید همیشه مجاز باشند.
- ۳
یک جلسه SSH باز نگه می داریم و قوانین را اعمال می کنیم. اگر دسترسی قطع شود، قوانین از همان جلسه برگردانده می شوند.
- ۴
fail2ban و محدودیت درخواست را تنظیم و آزمایش می کنیم. فقط موارد لازم فعال می شود تا کاربر واقعی مسدود نشود.
- ۵
سایت ها و سرویس ها را دوباره بررسی می کنیم و در صورت مشکل قانون را اصلاح می کنیم.
- ۶
فهرست قوانین و روش غیرفعال کردن موقت فایروال را تحویل می دهیم.
چه چیزی از شما لازم داریم
- نوع سیستم عامل، پنل (cPanel، Plesk یا بدون پنل) و فهرست سرویس هایی که باید از بیرون در دسترس باشند.
- IPهایی که باید همیشه دسترسی داشته باشند، مثل IP دفتر یا ابزار مانیتورینگ.
- دسترسی root یا کاربر با sudo. رمز را در متن تیکت ننویسید. دسترسی از طریق فیلدهای خصوصی تیکت یا یک حساب موقت که بعد از پایان کار حذف می شود داده می شود.
- نشانه هایی که دیده اید: لاگ، زمان مشکل یا IPهای مشکوک، اگر دارید.
- اگر فایروال دیگری در سطح دیتاسنتر یا پنل سرویس دهنده فعال است، اطلاعات آن، چون با فایروال داخل سرور تداخل پیدا می کند.
چه چیزی تحویل می دهید و چه چیزی تضمین نمی شود؟
فایروال تنظیم شده، فهرست قوانین، تنظیمات fail2ban و محدودیت درخواست و راهنمای برگرداندن را دریافت می کنید. هر قانونی را که ممکن است روی کاربر واقعی اثر بگذارد با شما در میان می گذاریم.
درباره محدودیت ها صریح می گوییم:
- فایروال سرور جلوی هر حمله ای را نمی گیرد. حمله ای که از طریق افزونه یا کد آسیب پذیر سایت و روی پورت 80 یا 443 می آید، از فایروال معمولی عبور می کند.
- در برابر DDoS حجیم، فایروال داخل سرور کمک محدودی می کند، چون وقتی ترافیک به سرور می رسد پهنای باند یا منابع قبلا پر شده اند. کاهش اثر این حمله معمولا نیاز به سرویس بالادستی مثل ارائه دهنده شبکه یا CDN دارد که خارج از دسترس تنظیمات سرور است. ما قوانین محلی را بهینه می کنیم و درخواست های ساده را محدود می کنیم، ولی نمی توانیم قول بدهیم سایت زیر حمله حجیم در دسترس بماند.
- ModSecurity ممکن است درخواست های درست را مسدود کند. بعد از فعال شدن باید لاگ بررسی و قانون های مشکل ساز تنظیم شوند.
- fail2ban IPهای مهاجم را فقط به صورت موقت مسدود می کند و برای مهاجمی که IP عوض می کند، کافی نیست.
سوالات پرتکرار
CSF بهتر است یا iptables؟
CSF روی iptables ساخته شده و مدیریت آن را ساده می کند، به خصوص روی cPanel و WHM. اگر پنل ندارید، ufw یا iptables هم کافی است. انتخاب به سرور و نیاز شما بستگی دارد.
آیا فایروال جلوی DDoS را می گیرد؟
برای حمله های کوچک و درخواست های ساده می تواند کمک کند. برای حمله حجیم که پهنای باند را پر می کند، فایروال داخل سرور کافی نیست و به راه حل در سطح شبکه نیاز دارید.
ممکن است فایروال سایت را از دسترس خارج کند؟
اگر قانون اشتباه باشد، بله. به همین دلیل با جلسه باز و آزمایش بعد از هر تغییر کار می کنیم و فهرست IPهای مجاز را از شما می گیریم. مستندات رسمی fail2ban و ابزارهای دیگر در سایت fail2ban هست.
روی هاست اشتراکی می شود فایروال تنظیم کرد؟
خیر. فایروال سرور به دسترسی root نیاز دارد و روی هاست اشتراکی فقط هاستینگ آن را مدیریت می کند. در هاست اشتراکی بیشتر کارها به تنظیمات سایت و افزونه محدود می شود.
بعد از تنظیم، کجا لاگ مسدودسازی ها را ببینم؟
مسیر لاگ به ابزار بستگی دارد. برای مثال fail2ban معمولا در /var/log/fail2ban.log می نویسد و CSF لاگ خودش را در WHM نشان می دهد. روش دقیق را در تحویل کار می نویسیم.