Не открывайте порты в мир

Преимущества запуска PiHole на Docker

Pi-Hole – это приложение для блокировки рекламы в сети. Если вы не знаете, что такое PiHole, обязательно прочитайте мое предыдущее руководство по PiHole. Docker чрезвычайно упрощает настройку нескольких приложений. В начале этого года я переместил все свои приложения для домашнего сервера, включая Home Assistant, в Docker с обратным прокси-сервером Traefik, и все прошло гладко с автоматическими SSL-сертификатами Let’s Encrypt. Вот некоторые основные преимущества запуска PiHole в Docker:

• Простая, простая в настройке и обслуживании. Docker Compose делает вещи еще проще.
• Долговечность – я говорю это потому, что, если у вас включено ведение журнала запросов, вы можете прожечь свою SD-карту на Raspberry Pi. Это означает, что вам придется все заново настроить. Шансы на что-то подобное на сервере меньше.
• Расширьте свой существующий домашний сервер и устраните необходимость в отдельном устройстве (например, Raspberry Pi).

Но есть еще одно большое преимущество. PiHole требует, чтобы порты 80 и 443 были свободны для использования. Однако эти порты могут требоваться другими приложениями (например, веб-сервером). И если вы следовали моему руководству по обратному прокси-серверу Traefik для настройки вашего сервера Docker Media, то для Traefik требуются порты 80 и 443. Поэтому невозможно установить PiHole непосредственно в системах Ubuntu или Linux. Обратный прокси-сервер – это путь в таких ситуациях, и Docker делает это намного проще. Итак, давайте посмотрим, как запустить PiHole в Docker на сервере Ubuntu с обратным прокси-сервером Traefik.

Как мне правильно защитить порты?

По умолчанию все порты должны быть закрыты, если только вы не используете определенную службу и не должны ее открывать

Очень важно всегда иметь наименьшее количество экспортируемых локальных сервисов, так как поверхность атаки будет меньше. Брандмауэры позволят нам автоматически закрыть все порты и открывать только те, которые нам нужны

Используемое программное обеспечение, открывающее сокет TCP или UDP, важно, чтобы оно было актуальным, мало полезно закрывать все порты, кроме одного, если служба, работающая на этом порту, не обновлена ​​и имеет недостатки безопасности. По этой причине так важно обновлять все программное обеспечение, всегда рекомендуется использовать программное обеспечение, которое все еще поддерживается, для получения различных обновлений

Если для доступа к определенной службе требуется аутентификация, необходимо, чтобы учетные данные были надежными, по возможности используйте цифровые сертификаты или ключи SSH (если вы собираетесь аутентифицироваться на сервере SSH). Например, всегда рекомендуется закрывать порт 23 Telnet, потому что это небезопасный протокол, и поэтому его лучше не использовать ни при каких обстоятельствах.

Настоятельно рекомендуется отслеживать, какие порты TCP и UDP используются, чтобы обнаруживать возможные проблемы вторжений или заражения троянами

Важно исследовать любой странный трафик или порты, которые открыты, хотя этого не должно быть. Также очень важно знать, как определенная служба (прослушивающая определенный порт) ведет себя при нормальном использовании, чтобы идентифицировать необычное поведение

Наконец, в дополнение к использованию брандмауэров для закрытия всех портов, которые мы не используем, также настоятельно рекомендуется использовать IDS / IPS для обнаружения странного поведения на сетевом уровне, и было бы даже целесообразно установить IDS самостоятельно. ПК, чтобы он обнаружил любую аномалию.

Как сделать forwarding и перенаправить порты

Функция forwarding необходима для двух целей: во-первых, чтобы организовать переброс различных ip-адресов и портов и создания туннелей, а во-вторых, агент forwarding позволяет клиенту переходить между серверами. Начнем со второго предназначения агента forwarding – он нужен, если у вас не один сервер и вы не хотите каждый раз проходить авторизацию заново, а желаете используя один и тот же публичный ключ перемещаться с сервера 1 на сервер 2. Чтобы настроить такой forwarding, вам необходимо изменить настройки файла конфигураций – прописать следующую строку в нем: ForwardAgent yes.

Теперь разберемся с туннелями между хостами и тем, как при помощи forwarding настроить переброс с одного ip-хоста с определенным портом на другой. А сделать это весьма просто. К примеру, если вы хотите настроить 2220 порт для переброса ip-адреса 97.86.77.66 на 10.12.11.13 мы вводим следующую строку: ssh -f -N -R 2222:10.12.11.13:22 username@97.86.77.66. Где буква -f это и есть функция forwarding. Теперь, когда пользователь введет запрос для получения доступа к локальному хосту 97.86.77.66, сработает переброс (forwarding) и он будет перемещен на 2222-й порт 10.12.11.13. Аналогично этому принципу можно настроить forwarding для перебрасывания любого ресурса куда угодно, к примеру, для перенаправления в Сеть.

Что касается целей создания туннелей, они могут быть самыми разнообразными. Поскольку SSH использует шифрование данных, то туннелирование может понадобится для передачи различных зашифрованных файлов, например, IMAP IRC или VNC. Туннелирование позволит вам принимать на сервер различные типы трафика. Кроме того, часто перенаправление портов и IP-адресов используют для обхода плохо настроенных маршрутиризаторов, сетевых анализаторов трафика и прочих ограничителей. Но учитывайте, что после добавления переадресации, возможно, понадобится изменить настройки некоторых программ, через которые вы осуществляете соединение по SSH каналам.

How to check the status of ufw for DNS port 53

Simply run the following command:
You can also use the iptables command as follows to list all iptables rules and port opened by iptables:

Patreon supporters only guides

• No ads and tracking
• In-depth guides for developers and sysadmins at Opensourceflare
• Join my Patreon to support independent content creators and start reading latest guides:
  • How to set up Redis sentinel cluster on Ubuntu or Debian Linux
  • How To Set Up SSH Keys With YubiKey as two-factor authentication (U2F/FIDO2)
  • How to set up Mariadb Galera cluster on Ubuntu or Debian Linux
  • A podman tutorial for beginners – part I (run Linux containers without Docker and in daemonless mode)

Что такое порты TCP и UDP?

TCP и UDP относятся к протоколу транспортного уровня, используемому для сквозной связи между двумя хостами, порты являются частью сегмента TCP или дейтаграммы UDP для правильной установки связи. Мы могли бы сказать, что «порты» — это что-то вроде «дверей» для определенной службы, независимо от того, используем ли мы TCP или UDP, поскольку оба протокола используют порты

Сами порты не опасны, порт является портом, и не имеет значения, является ли он портом 22 или портом 50505, что наиболее важно, так это использование, которое дается порту, опасно иметь порт, открытый для служба прикладного уровня, которая не защищена, потому что любой может подключиться к этой службе и использовать уязвимости или взломать нас напрямую. Конечно, всегда необходимо, чтобы если мы открыли порт для Интернета, мы контролировали трафик с помощью IDS / IPS для обнаружения возможных атак и обновляли программу, которая прослушивает этот порт

Как в TCP, так и в UDP у нас есть в общей сложности 65535 доступных портов, у нас есть классификация в зависимости от используемого номера порта, поскольку некоторые порты обычно называются «известными», и они зарезервированы для определенных приложений, хотя есть много других портов. Они обычно используются различным программным обеспечением для связи как в локальной сети, так и через Интернет. У нас также есть зарегистрированные порты и временные порты.

Известные порты

Известные порты в диапазоне от порта 0 до 1023 регистрируются и назначаются Управлением по присвоению номеров Интернета (IANA). Например, в этом списке портов есть порт 20 для FTP-Data, порт 21 для FTP-Control, порт 22 для SSH, порт 23 для Telnet, порт 80 и 443 для Интернета (HTTP и HTTPS соответственно), а также почта. port среди многих других протоколов прикладного уровня.

Зарегистрированные порты

Зарегистрированные порты варьируются от порта 1024 до порта 49151. Основное отличие этих портов состоит в том, что разные организации могут делать запросы в IANA, чтобы предоставить им определенный порт по умолчанию, и он будет назначен для использования с определенным приложением. Эти зарегистрированные порты зарезервированы, и никакая другая организация не сможет зарегистрировать их снова, однако они обычно являются «частично зарезервированными», потому что, если организация прекращает их использовать, они могут быть повторно использованы другой компанией. Наглядным примером зарегистрированного порта является 3389, который используется для RDP-подключений к удаленному рабочему столу в Windows.

Эфемерные порты

Диапазон этих портов от 49152 до 65535, этот диапазон портов используется клиентскими программами, и они постоянно используются повторно. Этот диапазон портов обычно используется при передаче на известный или зарезервированный порт с другого устройства, такого как пассивный Интернет или FTP. Например, когда мы посещаем веб-сайт, порт назначения всегда будет 80 или 443, но порт источника (чтобы данные знали, как возвращаться) использует порт эпиметра.

Заключительные мысли о запуске PiHole в Docker

В этом руководстве по PiHole Docker я предполагаю, что у вас есть собственное доменное имя. Вы также можете выполнить то же самое, используя бесплатный динамический DNS. Это было подробно описано в моем предыдущем уроке Traefik.

Я использовал только один экземпляр PiHole в своей сети, и это был Raspberry Pi. Теперь я установил второй экземпляр PiHole в Docker. На моем маршрутизаторе я указал IP-адреса моего сервера Raspberry Pi и Ubuntu в качестве IP-адресов для DNS-серверов имен. Обычно рекомендуется минимум 2 DNS-сервера. С моей установкой Docker PiHole, выступающей в качестве второго сервера PiHole, я теперь могу предоставить два DNS-сервера для распределения нагрузки.

Если вы хотите запустить PiHole в докере, зайдите и сделайте это. Вы будете удивлены, насколько легко это сделать, если вы это сделаете. И вы решили подключиться, надеюсь, это руководство по настройке PiHole Docker окажется полезным.

Источник записи: https://www.smarthomebeginner.com

Проброс

Открытие дверей и порты пересылки — это разные вещи, хотя некоторые их путают. Когда вы открываете какой-то «ввод», вы делаете это на определенном устройстве, например на своем компьютере. Перенаправление портов обычно выполняется на сетевом шлюзе, который получает какой-то пользовательский запрос из внешней сети. Более того, он либо разрешает этот запрос, либо отклоняет его. Очень часто, если порт не перенаправлен, происходит точный бан, и пользователь не получает ответа.

Например, у вас есть домашняя система видеонаблюдения. Сеть камер, подключенных к видеорегистратору, который, в свою очередь, подключен к Интернету через маршрутизатор. Кстати, камера вообще может быть одна и подключаться напрямую к роутеру.

Чтобы просматривать камеру в Интернете во время отпуска на Бали или во Вьетнаме, вам нужно открыть дверь. После переадресации, чтобы получить доступ к камере, вам нужно будет войти в браузер, ввести внешний IP-адрес вместе с переадресованным номером, после чего вы сможете увидеть изображение с камеры.

По переадресации у нас уже есть отдельные инструкции на сайте:

• ASUS
• Штора
• ZyXEL Keenetic
• D-Link
• Upvel
• TP-Link

WireGuard

Самый новый и неизведанный протокол VPN — WireGuard. Позиционируется разработчиками как замена IPsec и OpenVPN для большинства случаев их использования, будучи при этом более безопасным, более производительным и простым в использовании.

Все IP-пакеты, приходящие на WireGuard интерфейс, инкапсулируются в UDP и безопасно доставляются другим пирам. WireGuard использует современную криптографию:

• Curve25519 для обмена ключами,
• ChaCha20 для шифрования,
• Poly1305 для аутентификации данных,
• SipHash для ключей хеш-таблицы,
• BLAKE2 для хеширования.

Код WireGuard выглядит куда скромнее и проще, чем код OpenVPN, в результате чего его проще исследовать на уязвимости (4 тысячи строк кода против нескольких сотен тысяч). Также многие отмечают, что его гораздо легче развернуть и настроить.

Результаты тестов производительности можно увидеть на официальном сайте (как не сложно догадаться, они хороши). Стоит отметить, что лучшие результаты WireGuard покажет на Linux системах, т.к. там он реализован в виде модуля ядра.

Совсем недавно был представлен WireGuard 1.0.0, который отметил собой поставку компонентов WireGuard в основном составе ядра Linux 5.6. Включенный в состав ядра Linux код прошел дополнительный аудит безопасности, выполненный независимой фирмой, который не выявил каких-либо проблем. Для многих это отличные новости, но сможет ли WireGuard стать достойной заменой IPsec и OpenVPN покажет время и независимые исследования безопасности.

Мы постарались охарактеризовать самые популярные VPN протоколы, надеемся, обзор был для вас полезен. В качестве резюме приводим сравнительную таблицу, где еще раз обозначены важные, на наш взгляд, показатели.

Зачем всё это и для чего?

У нас было: 10 самых простых конфигураций серверов на DigitalOcean, мобильные устройства на базе iOS, сервер для сбора статистики, никакого опыта в настройке VPN-серверов, а также неукротимое желание сделать быстрый, надёжный и простой в использовании VPN-сервис, которым будет приятно пользоваться. Не то, чтобы всё это было категорически необходимо, но если уж начали, то к делу надо подходить серьёзно.

В этой статье кратко опишу, как мы выбирали VPN-протокол, как настраивали сервер и как организовали сбор статистики с каждого VPN-сервера. Не стоит рассчитывать на подробную пошаговую инструкцию. В статье я буду приводить отрывки из файлов конфигураций с краткими комментариями.

Я думаю, что в IT сфере уже не найти человека, который не знал бы, что такое VPN и зачем он нужен.

Но если тезисно объяснять, зачем нужен VPN современному человеку, то получится примерно следующее:

• Если у вас есть какие-то внутренние (приватные) ресурсы, доступ к которым должен быть ограничен из глобальной сети интернет.
• Если вам необходимо организовать защищенное соединение между двумя сетями.
• Если вам нужно получить доступ к ресурсам, которые по тем или иным причинам недоступны из вашей страны (меняется ваше местоположение относительно вашего IP-адреса).

И не совсем очевидный момент: скорость интернет-соединения может быть выше через vpn, т.к. ваш провайдер может отправить ваш трафик по более короткому маршруту, а значит более оптимальному маршруту, из-за этого вы и можете получить прирост в скорости. Но это может сработать и в обратную сторону, если вы выберете не очень удачное расположение сервера относительно вас (об этом немного позже).

Как открыть порты на роутере самостоятельно

Как уже говорилось выше, в заводских настройках любого роутера нет никаких настроек портов и все исходящие запросы блокируются. Чтобы открыть порт (один или несколько), нужно через веб-интерфейс маршрутизатора произвести нужные настройки.

Следует отметить, что открытие того или иного порта настраивается не для маршрутизатора, а для клиента (компьютера), который к роутеру подключён. Если в вашей домашней сети пятеро пользователей, которым нужно открыть порт №20 (к примеру), в соответствующем разделе веб-интерфейса надо будет внести пять записей с настройками, отдельно для каждого компьютера.

Для TP-Link

На роутерах семейства TP-Link открыть и настроить порт, можно при помощи простой пошаговой инструкции.

1. Откройте интернет-браузер, в строке адреса введите сетевой адрес роутера. Выше в статье рассматривалось, как этот адрес узнать.
2. Введите логин и пароль пользователя. По умолчанию парольная пара — admin/admin.

3. Откроется веб-интерфейс роутера, меню управления в нём находится в левой колонке.

4. Откройте Переадресация->Виртуальные серверы, затем нажмите кнопку «Добавить….», чтобы вызвать диалог добавления и настройки нового порта.

5. Введите номер порта, который нужно добавить в поле «Порт сервиса». В поле IP-адрес вводится адрес компьютера, который должен получить к порту доступ. Поле «Протокол» определяет типа данных, которыми будет обмениваться порт: TCP, UDP или ALL. Поле «Статус» выставляете в «Включено», чтобы порт стал активным.

6. Кнопкой «Сохранить» применяете изменения.

Видео: открытие портов на роутере TP-Link

Порт не открывается — что делать?

Возможность открыть тот или иной порт зависит также от политики интернет-провайдера, услуг, доступных в рамках вашего тарифного плана, а также инфраструктуры сети. Особенно это касается абонентов, живущих в многоквартирных домах. С целью снижения расходов на прокладку сети в рамках дома/подъезда, провайдер устанавливает в них недорогие маршрутизаторы, а чтобы такие устройства могли стабильно работать с большим количеством подключённых пользователей — существенно ограничивает возможности.

Наивно ожидать от такого «железа» приличного быстродействия

В частности — блокируются порты, используемые торрент-трекерами, IP-адреса выделяются «серые» (из адресного пространства внутридомового маршрутизатора). Таким образом, чтобы настроить проброс портов, пользователю нужно настроить не свой, домашний роутер, а внутриподъездный, что на практике — неосуществимо.

Решением проблемы будет переход на более дорогой тарифный план, где ограничений не будет либо подключение услуги постоянного (статического) IP-адреса, что сделает возможным конфигурирование портов с домашнего маршрутизатора.

Убедитесь также, что установленные на клиентских компьютерах программы-брандмауэры или антивирусные пакеты, которые защищают интернет-соединение в реальном времени не блокируют обращение к портам извне.

Как поменять или добавить порт в роутер

Все изменения в конфигурации портов вносятся через веб-интерфейс роутера. Возможно также конфигурировать роутер через Telnet, но умеющий такое делать пользователь эту статью читать не станет. Рассмотрим добавление порта на примере веб-интерфейса роутера семейства TP-Link.

1. Откройте интернет-браузер, в строке адреса введите сетевой адрес роутера.
2. Введите логин и пароль пользователя. По умолчанию парольная пара — admin/admin.
3. Откроется веб-интерфейс роутера, меню управления в нём находится в левой колонке.

4. Откройте Переадресация->Виртуальные серверы. Откроется окно со списком уже открытых портов. Возле каждого элемента есть кнопки «изменить» и «удалить», с помощью которых можно либо изменить конфигурацию добавленного порта, либо удалить его из списка.

5. Нажатием кнопки «Добавить новый» откроется уже рассмотренный выше диалог добавления порта. После ввода информации и подтверждения порт добавится к списку уже имеющихся.

Ошибка конфигурации

Наиболее типичная и опасная ситуация. Как это бывает. Разработчику надо быстро проверить гипотезу, он поднимает временный сервер с mysql/redis/mongodb/elastic. Пароль, конечно, сложный, он везде его использует. Открывает сервис в мир — ему удобно со своего ПК гуём коннектиться без этих ваших VPN. А синтаксис iptables вспоминать лень, все равно сервер временный. Еще пару дней разработки — получилось отлично, можно показывать заказчику. Заказчику нравится, переделывать некогда, запускаем в ПРОД!

Пример намеренно утрированный с целью пройтись по всем граблям:

1. Ничего нет более постоянного, чем временное — не люблю эту фразу, но по субъективным ощущениям, 20-40% таких временных серверов остаются надолго.
2. Сложный универсальный пароль, который используется во многих сервисах — зло. Потому что, один из сервисов, где использовался этот пароль, мог быть взломан. Так или иначе базы взломанных сервисов стекаются в одну, которая используется для *.
   Стоит добавить, что redis, mongodb и elastic после установки вообще доступны без аутентификации, и часто пополняют коллекцию открытых баз.
3. Может показаться, что за пару дней никто не насканит ваш 3306 порт. Это заблуждение! Masscan — отличный сканер, и может сканировать со скоростью 10М портов в секунду. А в интернете всего 4 миллиарда IPv4. Соответственно, все 3306-ые порты в интернете находятся за 7 минут. Карл!!! Семь минут!
   «Да кому это надо?» — возразите вы. Вот и я удивляюсь, глядя в статистику дропнутых пакетов. Откуда за сутки 40 тысяч попыток скана с 3-х тысяч уникальных IP? Сейчас сканят все кому не лень, от мамкиных хакеров до правительств. Проверить очень просто — возьмите любую VPS’ку за $3-5 у любого** лоукостера, включите логирование дропнутых пакетов и загляните в лог через сутки.

Как запретить systemd-resolved использовать порт 53 в Ubuntu

Стоит отметить, что вы можете освободить порт 53, просто раскомментировав  DNSStubListener и установив для него значение no в /etc/systemd/resolved.conf. Остальные шаги предназначены для включения DNS-сервера – без него ваша система не сможет разрешать какие-либо доменные имена, поэтому вы не сможете посещать веб-сайты в веб-браузере и т. д.

1. Отредактируйте /etc/systemd/resolved.conf с помощью текстового редактора (как root), например, откройте его с помощью текстового редактора консоли Nano:

sudo nano /etc/systemd/resolved.conf

И раскомментируйте (удалите #с начала строки) строку DNS= и строку DNSStubListener=. Затем измените значение DNS= в этом файле на DNS-сервер, который вы хотите использовать (например, 127.0.0.1 для использования локального прокси, 1.1.1.1 для использования Cloudflare DNS и т. д.), А также измените значение DNSStubListener= с yes на no.

Вот как должен выглядеть файл после того, как вы внесли эти изменения (мы используем 1.1.1.1 в качестве DNS-сервера здесь, то есть Cloudflare DNS):

DNS=1.1.1.1
#FallbackDNS=
#Domains=
#LLMNR=no
#MulticastDNS=no
#DNSSEC=no
#DNSOverTLS=no
#Cache=no
DNSStubListener=no
#ReadEtcHosts=yes

Чтобы сохранить файл с помощью текстового редактора Nano, нажмите Ctrl + x, затем введите y и нажмите Enter.

2. Создание символической ссылки для /run/systemd/resolve/resolv.conf на /etc/resolv.conf в качестве пункта назначения:

sudo ln -sf /run/systemd/resolve/resolv.conf /etc/resolv.conf

Здесь параметр -s предназначен для создания символической, а не жесткой ссылки и -f предназначен для удаления любых существующих файлов назначения (поэтому он удаляется, /etc/resolv.conf если она существует).

3. Перезагрузите вашу систему.

Порт 53 теперь должен быть свободен в вашей системе Ubuntu, и вы больше не должны получать таких ошибок, как “listen tcp 127.0.0.1:53: bind: address already in use”.

Вы можете проверить, используется ли порт 53 или нет, запустив его sudo lsof -i :53- если порт 53 не используется, эта команда не должна показывать никаких выходных данных.