Cấu Hình iptables Chống Scan Port Hiệu Quả

Giới Thiệu

Trong thế giới mạng ngày nay, việc bảo vệ máy chủ khỏi các mối đe dọa trực tuyến là vô cùng quan trọng. Một trong những kỹ thuật tấn công phổ biến mà kẻ xấu thường sử dụng để tìm kiếm điểm yếu là "quét cổng" (port scanning). Quét cổng giúp kẻ tấn công phát hiện các dịch vụ đang chạy trên máy chủ của bạn, từ đó vạch ra kế hoạch tấn công tiếp theo.

iptables là một firewall mạnh mẽ và linh hoạt có sẵn trên hầu hết các hệ điều hành Linux. Bằng cách cấu hình iptables một cách thông minh, chúng ta có thể phát hiện và chặn các hành vi quét cổng, từ đó tăng cường đáng kể lớp bảo mật đầu tiên cho máy chủ của mình. Bài viết này sẽ hướng dẫn bạn cách cấu hình iptables để chống lại các dạng quét cổng phổ biến.

📋 Thời gian: 20 phút | Độ khó: Trung bình

Yêu Cầu

Để thực hiện theo hướng dẫn này, bạn cần có:

• Một máy chủ Linux (ví dụ: Ubuntu, CentOS, Debian) với quyền truy cập root hoặc sudo.
• Kiến thức cơ bản về Linux command line và khái niệm mạng.
• iptables đã được cài đặt (thường có sẵn theo mặc định trên hầu hết các bản phân phối).

Các Bước Thực Hiện

Bước 1: Chuẩn bị và Kiểm tra iptables

Trước khi thêm các rule mới, hãy kiểm tra trạng thái hiện tại của iptables và đảm bảo rằng nó có thể lưu cấu hình sau khi khởi động lại.

# Kiểm tra trạng thái hiện tại của iptables
sudo iptables -L -n -v

# Cài đặt iptables-persistent (cho Debian/Ubuntu)
# Gói này giúp lưu cấu hình iptables sau khi khởi động lại hệ thống.
sudo apt update
sudo apt install iptables-persistent

# Hoặc cài đặt iptables-services (cho CentOS/RHEL)
# sudo yum install iptables-services
# sudo systemctl enable iptables
# sudo systemctl start iptables

⚠️ Cảnh báo: Nếu bạn đã có các rule iptables tùy chỉnh, hãy sao lưu chúng trước khi thực hiện các thay đổi lớn.

Bước 2: Thiết lập các Rule Cơ bản và Bảo vệ khỏi SYN Flood

Trước tiên, hãy đảm bảo rằng các dịch vụ quan trọng của bạn (như SSH) không bị chặn. Sau đó, chúng ta sẽ thêm rule để chống lại SYN Flood – một dạng tấn công quét cổng/từ chối dịch vụ (DoS) phổ biến.

# ⚠️ Cảnh báo: Luôn đảm bảo bạn có rule cho phép SSH hoặc các dịch vụ quản trị
# trước khi thêm các rule DROP mạnh. Nếu không, bạn có thể tự khóa mình khỏi máy chủ.
# Ví dụ, cho phép SSH trên cổng 22
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# Cho phép các kết nối đã thiết lập và liên quan
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Chặn SYN Flood bằng cách giới hạn số lượng gói tin SYN mới
# Rule này cho phép tư�i đa 5 gói SYN mới mỗi giây, với tối đa 10 gói burst ban đầu.
# Các gói SYN vượt quá giới hạn này sẽ bị DROP.
sudo iptables -A INPUT -p tcp --syn -m limit --limit 5/s --limit-burst 10 -j ACCEPT
sudo iptables -A INPUT -p tcp --syn -j DROP

💡 Tip: Điều chỉnh giá trị --limit và --limit-burst dựa trên lưu lượng truy cập dự kiến của bạn. Quá thấp có thể chặn người dùng hợp lệ, quá cao sẽ giảm hiệu quả chống SYN Flood.

Bước 3: Chặn các Dạng Scan Lén Lút (Stealth Scans)

Các dạng scan như NULL, XMAS, và FIN scan lợi dụng các cờ TCP bất thường để cố gắng thăm dò các cổng mà không kích hoạt các phản hồi TCP tiêu chuẩn.

# Chặn NULL Scan: Các gói TCP không có cờ nào được bật
sudo iptables -A INPUT -p tcp --tcp-flags ALL NONE -j LOG --log-prefix "IPTABLES NULL Scan: "
sudo iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP

# Chặn XMAS Scan: Các gói TCP có cờ FIN, PSH, URG được bật cùng lúc
sudo iptables -A INPUT -p tcp --tcp-flags ALL FIN,PSH,URG -j LOG --log-prefix "IPTABLES XMAS Scan: "
sudo iptables -A INPUT -p tcp --tcp-flags ALL FIN,PSH,URG -j DROP

# Chặn FIN Scan: Các gói TCP chỉ có cờ FIN được bật (không có SYN hoặc ACK)
# Rule này nhắm vào các gói FIN không mong muốn.
sudo iptables -A INPUT -p tcp --tcp-flags SYN,RST,ACK,FIN,URG FIN -j LOG --log-prefix "IPTABLES FIN Scan: "
sudo iptables -A INPUT -p tcp --tcp-flags SYN,RST,ACK,FIN,URG FIN -j DROP

# Chặn các gói TCP có cờ SYN và FIN cùng một lúc (thường là bất hợp lệ và được dùng trong scan)
sudo iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j LOG --log-prefix "IPTABLES SYN/FIN Scan: "
sudo iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP

Bước 4: Sử dụng Module recent để Chặn IP Quét Cổng Liên Tục

Module recent là một công cụ mạnh mẽ giúp iptables ghi nhớ các địa chỉ IP và thực hiện hành động dựa trên hành vi gần đây của chúng. Chúng ta sẽ sử dụng nó để tự động chặn các IP có hành vi quét cổng tích cực.

# Tạo một chain mới để xử lý các hành vi quét cổng
sudo iptables -N PORT_SCAN_DROP

# Ghi nhận IP nguồn của các kết nối mới vào danh sách 'portscan_src'.
# Mỗi khi một IP gửi một gói tin TCP NEW (kết nối mới), nó sẽ được thêm vào danh sách.
sudo iptables -A INPUT -p tcp -m state --state NEW -m recent --set --name portscan_src --rsource

# Nếu một IP gửi nhiều hơn 20 kết nối mới trong vòng 60 giây,
# coi đó là hành vi quét cổng. Ghi log và chuyển IP đó đến chain PORT_SCAN_DROP.
sudo iptables -A INPUT -p tcp -m state --state NEW -m recent --update --seconds 60 --hitcount 20 --name portscan_src --rsource -j LOG --log-prefix "IPTABLES Portscan Block: "
sudo iptables -A INPUT -p tcp -m state --state NEW -m recent --update --seconds 60 --hitcount 20 --name portscan_src --rsource -j PORT_SCAN_DROP

# Trong chain PORT_SCAN_DROP, chúng ta sẽ DROP tất cả các gói tin từ IP đó.
sudo iptables -A PORT_SCAN_DROP -j DROP

⚠️ Cảnh báo: Luôn kiểm tra kỹ các rule này. Giá trị hitcount (số lần truy cập) và seconds (thời gian) cần được điều chỉnh cẩn thận để tránh chặn nhầm người dùng hợp lệ. Môi trường production có thể yêu cầu giá trị cao hơn.

Bước 5: Lưu Cấu Hình và Kiểm tra

Sau khi đã thêm tất cả các rule, điều quan trọng là phải lưu chúng lại để chúng không bị mất khi máy chủ khởi động lại. Cuối cùng, hãy kiểm tra xem các rule đã hoạt động như mong đợi hay chưa.

# Lưu cấu hình iptables (cho Debian/Ubuntu)
sudo netfilter-persistent save

# Hoặc cho CentOS/RHEL
# sudo service iptables save
# sudo systemctl enable iptables

# Kiểm tra lại tất cả các rule đã được áp dụng và thứ tự của chúng
sudo iptables -L -n -v

# ✅ Sau khi cấu hình, hãy kiểm tra từ một máy khác bằng công cụ nmap:
# nmap -sS -p 1-1000 YOUR_SERVER_IP  # Kiểm tra SYN scan
# nmap -sF -p 1-1000 YOUR_SERVER_IP  # Kiểm tra FIN scan
# nmap -sX -p 1-1000 YOUR_SERVER_IP  # Kiểm tra XMAS scan
# nmap -sN -p 1-1000 YOUR_SERVER_IP  # Kiểm tra NULL scan
# nmap -T4 -p 1-65535 YOUR_SERVER_IP # Kiểm tra quét cổng tổng quát
# Bạn sẽ thấy các loại scan này bị chặn hoặc có phản hồi khác thường tùy thuộc vào cách bạn cấu hình.

Troubleshooting

• Chặn nhầm IP hợp lệ:
  • Kiểm tra log hệ thống (thường là /var/log/syslog hoặc dmesg) để xem IP nào đã bị chặn bởi các rule LOG.
  • Bạn có thể xem danh sách các IP đang bị chặn bởi module recent bằng cách kiểm tra file /proc/net/xt_recent/portscan_src.
  • Để xóa một IP khỏi danh sách chặn của recent: echo -e "IP_ADDRESS" > /proc/net/xt_recent/portscan_src/remove.
  • Điều chỉnh các giá trị hitcount và seconds trong rule recent để giảm độ nhạy nếu cần.
• Hiệu suất giảm:
  • Quá nhiều rule phức tạp hoặc không tối ưu có thể ảnh hưởng đến hiệu suất. Đảm bảo các rule ACCEPT cho lưu lượng truy cập hợp lệ được đặt ở đầu chuỗi INPUT để xử lý nhanh chóng.
  • Các rule chống scan nên nằm sau các rule cho phép lưu lượng truy cập quan trọng.
• Cấu hình không được lưu sau khi reboot:
  • Hãy chắc chắn rằng bạn đã sử dụng sudo netfilter-persistent save (Debian/Ubuntu) hoặc sudo service iptables save (CentOS/RHEL) và systemctl enable iptables để iptables tự khởi động cùng hệ thống.

Kết Luận

Việc cấu hình iptables để chống quét cổng là một bước quan trọng trong việc bảo vệ máy chủ Linux của bạn. Bằng cách triển khai các rule đã hướng dẫn, bạn có thể giảm thiểu đáng kể nguy cơ bị thăm dò và tấn công.

Best practices:

• Thường xuyên kiểm tra log: Theo dõi các log do iptables tạo ra để phát hiện các hành vi đáng ngờ và điều chỉnh rule nếu cần.
• Điều chỉnh linh hoạt: Các giá trị limit, hitcount, và seconds cần được điều chỉnh cho phù hợp với môi trường và lưu lượng truy cập cụ thể của bạn.
• Kết hợp với các công cụ khác: iptables là m�ất firewall mạnh mẽ, nhưng nó hiệu quả nhất khi được kết hợp với các công cụ bảo mật khác như Fail2Ban (để chặn tấn công brute-force), hệ thống phát hiện xâm nhập (IDS) như Snort hoặc Suricata, và các giải pháp bảo mật cấp ứng dụng.
• Luôn có rule ACCEPT cho SSH: Đảm bảo bạn không tự khóa mình khỏi máy chủ khi triển khai các rule mới.

Với iptables, bạn có một công cụ mạnh mẽ để bảo vệ máy chủ của mình khỏi những mối đe dọa từ bên ngoài. Hãy chủ động trong việc cấu hình và duy trì firewall của bạn để đảm bảo an toàn cho hệ thống.