Ο πυρήνας Linux περιλαμβάνει το υποσύστημα Netfilter, το οποίο χρησιμοποιείται για να χειραγωγεί ή να αποφασίσει τη μοίρα της κίνησης δικτύου που κινείται προς ή μέσω του διακομιστής σας. Όλες οι μοντέρνες λύσεις τείχους προστασίας Linux χρησιμοποιούν αυτό το σύστημα για φιλτράρισμα πακέτων.

Το σύστημα φιλτραρίσματος πακέτων του πυρήνα θα ήταν ελάχιστης χρήσης για τους διαχειριστές χωρίς μια διεπαφή χώρου χρήστη για να το διαχειρίζεται. Αυτός είναι ο σκοπός των πινάκων ip. Όταν ένα πακέτο φτάνει στο διακομιστή σας, θα περαστεί στο υποσύστημα Netfilter για αποδοχή, χειραγώγηση, ή απόρριψη βάση των κανόνων που παραχωρούνται από το χώρο χρήστη μέσω των πινάκων ip. Έτσι, οι πίνακες ip είναι το μόνο που χρειάζεστε για να διαχειριστείτε το τείχος προστασίας εάν είστε εξοικειωμένοι με αυτό, αλλά υπάρχουν και πολλές προσόψεις διαθέσιμες για να απλοποιήσετε το έργο.

Το προεπιλεγμένο εργαλείο διαμόρφωσης του τείχους προστασίας για το Ubuntu είναι το ufw. Αναπτυγμένο για να διευκολύνει τη διαμόρφωση πινάκων ip τείχους προστασίας, το ufw παρέχει έναν φιλικό προς το χρήστη τρόπο να δημιουργήσει ένα IPv4 η IPv6 τείχος προστασίας βασισμένο σε κεντρικό υπολογιστή

Το ufw εξορισμού είναι αρχικά απενεργοποιημένο. Από την κεντρική σελίδα ufw:

“Το ufw δεν προορίζεται για να παρέχει πλήρη λειτουργικότητα του τοίχου προστασίας μέσω της διεπαφής εντολών, αλλά αντίθετα παρέχει έναν εύκολο τρόπο να προσθέτετε ή να αφαιρείται απλούς κανόνες. Προς το παρόν χρησιμοποιείται κυρίως για τείχη προστασίας βασισμένα σε κεντρικό υπολογιστή.”

Τα ακόλουθα είναι κάποια παραδείγματα για το πως να χρησιμοποιήσετε το ufw:

Αυτή είναι μια γρήγορη εισαγωγή για το πως να χρησιμοποιήσετε το ufw. Παρακαλώ αναφερθείτε στη σελίδα ufw για περισσότερες πληροφορίες.

Ο σκοπός της Μεταμφίεσης IP είναι να επιτρέψει σε μηχανές με ιδιωτικές, μη δρομολογήσιμες διευθύνσεις IP του δικτύου σας να έχουν πρόσβαση στο διαδικτύου μέσω μέσω της μηχανής που κάνει τη μεταμφίεση. Η κίνηση από τα ιδιωτικά σας δίκτυα που προορίζεται για το Διαδίκτυο, πρέπει να χειραγωγηθεί ώστε να είναι οι απαντήσεις δρομολογήσιμες πίσω στην μηχανή που έκανε την αίτηση. Για να το κάνετε αυτό, ο πυρήνας πρέπει να τροποποιήσει την πηγαία διεύθυνση IP για κάθε πακέτο ώστε οι απαντήσεις να δρομολογούνται πίσω σε αυτό, και όχι στην ιδιωτική διεύθυνση IP η οποία έκανε το αίτημα, κάτι αδύνατο μέσω του Διαδικτύου. Το Linux χρησιμοποιεί Εντοπισμό Σύνδεσης (conntrack) για να ελέγχει ποιες συνδέσεις ανήκουν σε ποιες μηχανές και να αναδρομολογήσει κάθε πακέτο επιστροφής ανάλογα. Η κίνηση που αφήνει το ιδιωτικό σας δίκτυο είναι γι' αυτό "μεταμφιεσμένη" σαν να προήλθε από μηχανή πυλώνα Ubuntu. Αυτή η διαδικασία αναφέρεται στις βοηθητικές οδηγίες της Microsoft σαν Διαμοιρασμός Διαδικτυακής Σύνδεσης.

Τα ιστορικά του Τείχους Προστασίας είναι σημαντικά για αναγνώριση επιθέσεων, επίλυση προβλημάτων των κανόνων του τείχους προστασίας, και για παρατήρηση ασυνήθιστης δραστηριότητας στο δίκτυό σας. Πρέπει να περιλάβετε κανόνες δημιουργίας ιστορικού στο τείχος προστασίας για να παραχθούν, όμως, οι κανόνες δημιουργίας ιστορικού πρέπει να έρθουν πριν από κάθε εφαρμοστέο κανόνα τερματισμού (ένας κανόνας με στόχο που αποφασίζει την τύχη του πακέτου, όπως ΑΠΟΔΟΧΗ, ΡΗΞΗ, ή ΑΠΟΡΡΙΨΗ).

Εάν χρησιμοποιείτε το ufw, μπορείτε να ενεργοποιήσετε τη δημιουργία ιστορικού πληκτρολογώντας σε ένα τερματικό εντολών:

sudo ufw logging on

Για να απενεργοποιήσετε τη δημιουργία ιστορικού του ufw, απλώς αντικαταστήστε το on με off στην παραπάνω εντολή.

Εάν χρησιμοποιείτε πίνακες ip αντί του ufw, πληκτρολογήστε:

sudo iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j LOG --log-prefix "NEW_HTTP_CONN: "

Ένα αίτημα στη θύρα 80 από την τοπική μηχανή, τότε, θα παρήγαγε ένα ιστορικό στο dmesg που δείχνει έτσι:

[4304885.870000] NEW_HTTP_CONN: IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:08:00 SRC=127.0.0.1 DST=127.0.0.1 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=58288 DF PROTO=TCP SPT=53981 DPT=80 WINDOW=32767 RES=0x00 SYN URGP=0

Το παραπάνω ιστορικό θα εμφανίζεται επίσης στα/var/log/messages, /var/log/syslog, και /var/log/kern.log. Αυτή η συμπεριφορά μπορεί να διαμορφωθεί κάνοντας κατάλληλη επεξεργασία στο /etc/syslog.conf ή εγκαθιστώντας και διαμορφώνοντας το ulogd και χρησιμοποιώντας το στόχο ULOG αντί του LOG. Ο δαίμονας ulogd είναι ένας διακομιστής χώρου χρήστη που ακούει για οδηγίες δημιουργίας ιστορικού από τον πυρήνα ειδικά για τείχη προστασίας, και μπορεί να συνδεθεί σε όποιο αρχείο επιθυμείτε, ή ακόμα και σε βάση δεδομένων PostgreSQL ή MySQL. Η διαδικασία του να καταλάβετε τα ιστορικά σας μπορεί να απλοποιηθεί χρησιμοποιώντας ένα εργαλείο ανάλυσης ιστορικού όπως τα fwanalog, fwlogwatch, ή lire.

Υπάρχουν πολλά διαθέσιμα εργαλεία για να σας βοηθήσουν να κατασκευάσετε ένα πλήρες τείχος προστασίας χωρίς οικεία γνώση πινάκων ip. Για την GUI-κλίση:

Εάν προτιμάτε ένα εργαλείο γραμμής-εντολών με διαμόρφωση αρχείων απλού-κειμένου: