جدار حماية لينكس Shorewall للحد من الهجمات الإلكترونية

اكتسبت جدران الحماية أهمية بسبب العدد المتزايد للهجمات الخبيثة على الشبكات وأجهزة الكمبيوتر، حيث يستخدم (Shorewall)، وهو عرض قوي من عالم (Linux)، بشكل أساسي لحماية الشبكات، حيث تكمن قوته في العمل مع المناطق المختلفة.

ما هو جدار الحماية Shorewall

(Shorewall) عبارة عن أداة تكوين بوابة وجدار حماية لنظام (Linux) وتعتبر أداة عالية المستوى لتكوين (Netfilter)، حيث يتم إدخال جميع متطلبات جدار الحماية بواسطة المستخدمين في ملفات التكوين، وتتم قراءة ملفات التكوين هذه بواسطة (Shorewall)، بدعم من (iptables و iptables -restore و ip و tc)، ويقوم جدار الحماية بتهيئة (Netfilter) في (Linux kernel)، حيث يمكن استخدام (Shorewall) كنظام جدار حماية مخصص أو بوابة أو خادم متعدد الوظائف في نظام (Linux Shorewall).

وظيفة جدار الحماية Shorewall

• يوفر جدار الحماية طبقة دفاع إضافية، ممّا يؤدي إلى عزل الأنظمة الداخلية عن الشبكات الخارجية، تتمثل المهمة الأساسية لجدار الحماية في فحص كل حركة المرور الموجهة بين شبكتين أو أكثر وفقًا لقواعد وسياسات معينة محددة، وفقط إذا تم الإمتثال لشروط القواعد والسياسات، يتم توجيه حركة المرور بين الشبكات، وإلا يتم إسقاط كافة الحزم.

• تمتلك طريقتان لرفض الوصول تتبعهما جدران الحماية، أي السماح بحركة المرور أو رفض أو تقييد حركة المرور، وقد يسمح جدار الحماية بمرور جميع حركات المرور لأنه يفي بمعايير محددة، أو قد يرفض كل حركة المرور ما لم يفي بمعايير معينة، حيث يعتمد نوع المعايير المستخدمة لتحديد ما إذا كانت حركة المرور مسموحًا بها على كيفية تكوين المستخدم لإعدادات جدار الحماية.

• يلعب جدار الحماية دورًا مهمًا في منع الوصول غير المصرح به إلى الأجهزة أو الشبكات وتتمثل مهمتها في فحص البيانات التي تدخل الجهاز أو تخرج منه بعناية، بناءً على تكوينات المستخدم ورفض الوصول إلى البيانات التي تأتي من شبكة مشبوهة، كما يمكن استخدامه أيضًا لتسجيل جميع محاولات الدخول إلى الشبكة الخاصة وتشغيل التنبيهات عند محاولة أي نوع من الدخول غير المصرح به.

إدخالات جدار الحماية Shorewall

يعتمد أمان (Linux) على نظام (Netfilter)، وهو إطار عمل قوي يوفره (Linux kernel) لأداء جميع أنواع عمليات الشبكة مثل: تصفية الحزم و(NAT) وترجمة المنفذ وحظر الحزم من المصادر الخارجية، يتم تنفيذ (Netfilter) عبر تطبيقات مساحة المستخدم و(iptables) إنه قوي، لكنه معقد للعمل معه لذلك، لجعل أنظمة (Linux) أكثر أمانًا، ظهر جدار الحماية (Shorewall) كخيار جيد.

إن الهدف الرئيسي وراء تطوير جدار الحماية (Shorewall) هو إنشاء تجريد في تكوين جدار الحماية بمستوى أعلى  مقارنةً بـ (iptables) القياسي، حيث تتمثل ميزة هذه الآلية في أنها تقسم الواجهات إلى مناطق ذات مستويات وصول مختلفة، بحيث يمكن للمستخدم العمل على مجموعة من أجهزة الكمبيوتر، بدلاً من العناوين، المتصلة بالواجهة وفي نظام (Shorewall)، يمكن للمستخدمين نشر سياسات للمنطقة بطريقة سهلة وشاملة.

(Shorewall) ليس برنامجًا خفيًا يعمل في الخلفية ولكنه معروف بشكل أفضل باسم برنامج (shell) النصي والذي يحول ملفات التكوين إلى أوامر (iptables).

ملاحظة: “NAT” اختصار لـ “Network Address Translation”.

ملفات تكوين جدار الحماية Shorewall

تعمل الملفات التالية على تشغيل جدار حماية (Shorewall) الكلي:

• (/ etc / shorewall /shorewall.conf): يؤدي هذا إلى تكوين معلمات جدار الحماية العامة.

• (/ etc / Shorewall / params): هذا هو الملف الذي يحدد متغيرات (shell) لتتوسع في ملفات أخرى، تتم معالجتها بواسطة (bin / sh) أو بواسطة الغلاف المحدد عبر (SHOREWALL_SHELL).

• ملف (/ etc / shorewall / Shorewall.conf).

• (/ etc / shorewall / zone): يؤدي هذا إلى تقسيم عرض جدار الحماية للعالم إلى مناطق.

• (/ etc / shorewall / policy): يؤسس هذا سياسة المستوى العالي لجدار الحماية.

• (/ etc / shorewall / initdone): هذا نص برل اختياري، يتم تنفيذه بواسطة مترجم قواعد (Shorewall) بعد إنهاء التثبيت.

• (/ etc / shorewall / interfaces): يشرح هذا الواجهات على نظام جدار الحماية.

• (/ etc / shorewall / hosts): يساعد هذا الملف المستخدمين على تحديد المناطق من حيث المضيفين الفرديين والشبكات الفرعية.

• (/ etc / shorewall / masq): يوجه هذا الملف جدار الحماية عند استخدام (NAT) متعدد إلى واحد ديناميكي و(SNAT).

• (/ etc / shorewall / mangle): يحتوي هذا الملف على قواعد لوضع علامات على الحزم و(TTL) والوكلاء وما إلى ذلك.

ملاحظة: “TTL” اختصار لـ “Transistor Transistor Logic”.

ميزات جدار الحماية Shorewall

• المحاسبة، يقوم (Shorewall) بحساب الحزم والبايت بشكل مناسب، باستخدام الفئات والقواعد المحددة من قبل مسؤولي الشبكة، إنه قوي جدًا ويوفر جميع أنواع المعلومات حول حركة المرور الواردة والصادرة.

• يدعم العديد من أنواع تطبيقات جهاز التوجيه، يتميز (Shorewall) بكفاءة عالية في تخصيص جميع تفضيلات المستخدمين عبر ملفات التكوين، ولا توجد قيود في واجهات الشبكة، كما يسمح للمسؤولين بتقسيم الشبكة إلى مناطق ويوفر تحكمًا إداريًا كاملاً على الاتصالات، وهو ما يسمح به كل زوج من المناطق.

• الاتصال النفقي، (Shorewall) فعال في إنشاء أنفاق لشبكات (VPN)، مثل: (IPSec و PPTP و GRE و IPIP و OpenVPN و IPv6-over-IPv4 و IPv4-over-IPv4) وغيرها.

ملاحظة: “VPN” اختصار لـ “Virtual Private Network”. 

• الإدارة المركزية، يمكن مراقبتها وإدارتها عبر أي نظام متصل بالشبكة، وهو يدعم نظام التشغيل (Windows) وحتى نظام التشغيل (Mac OS X).

• دعم إدارة العنوان والتوجيه، إنه مجهز بالعديد من الميزات التي تتيح التنكر وإعادة توجيه المنفذ و(NAT) واحد لواحد و(proxy ARP) و(NETMAP) ودعم (ISP) المتعدد، وما إلى ذلك.

ملاحظة: “ISP” اختصار لـ “Internet Service Provider“. 

• دعم المحاكاة الإفتراضية، يمكن لـ (Shorewall) العمل بكفاءة مع مجموعة من برامج المحاكاة الإفتراضية مثل: (KVM و XEN و Linux-VServer و VirtualBox و LXC وحتى Docker) التي تمت إضافة الدعم لها مؤخرًا.

كيف يعمل جدار الحماية Shorewall

يعمل (Shorewall) من خلال ملفات التكوين الموجودة في (/ etc / shorewall) ومن أجل العمل بشكل فعال، يتم استخدام الملفات التالية:

• الواجهات، توفر معلومات مفصلة عن الواجهة المادية المستخدمة لتصفية حركة المرور الواردة والصادرة.

•  السياسة، تحدد سياسات الاتصالات بين المناطق.

• القواعد، تحدد إنشاء الاتصال عبر استثناءات ملف السياسة الرئيسي.

•  المناطق، يتم تحديد جميع مناطق الشبكة، حبث تعمل عمليات (Shorewall) في الخلفية ويمكنها التعامل مع عناوين (IP) متعددة في وقت واحد.

ملاحظة: “IP” اختصار لـ “Internet Protocol”. 

حزم جدار الحماية Shorewall

• (Shorewall-Core)، إنها الحزمة الأساسية لتثبيت (Shorewall أو Shorewall6 أو Shorewall-lite أو Shorewall6).

• (Shorewall) شامل، تتكون هذه الحزمة من كل ما يلزم لإنشاء جدار حماية (IPv4).

• (Shorewall6) شامل تتكون هذه الحزمة من كل ما يلزم لإنشاء جدار حماية (IPv6).

• (Shorewall-lite)، هذا إصدار (Shorewall) خفيف الوزن لتشغيل البرامج النصية لجدار الحماية التي تم إنشاؤها عبر النظام الذي يقوم بتشغيل (Shorewall) بالفعل.

• (Shorewall6-lite)، هذا إصدار خفيف الوزن من (Shorewall6) لتشغيل البرامج النصية لجدار الحماية التي تم إنشاؤها عبر نظام يعمل بالفعل باستخدام (Shorewall6).

• (Shorewall-init)، يُستخدم لوضع جدار الحماية في الوضع الآمن قبل تشغيل واجهة الشبكة.

يدعم (Shorewall) مراقبة الحالة بإنذار مسموع عندما يتم اكتشاف حزمة مثيرة للاهتمام، يتميز بمجموعة متنوعة من الأوامر المعلوماتية، كما أنه قابل للتخصيص بالكامل باستخدام ملفات التكوين.