Безпека серверів Linux
Налаштування брандмауера (CSF та iptables)
Правильно налаштований брандмауер — це периметр сервера хостингу Linux: він вирішує, які IP доходять до SSH, cPanel, пошти та веб-портів, обмежує потік лавини й блокує цілі шкідливі мережі. На серверах cPanel CSF поверх iptables дає фільтрацію зі станом і виявлення невдалих спроб входу в одному керованому пакеті.
Головне
- Ставте типове правило «заборонено вхід» і відкривайте лише 22/2222, 80, 443, 2083/2087, 25/465/587, 53 та 21/990 — за потреби.
- Увімкніть відстеження з'єднань і захист від SYN-лавин із розумними межами частоти.
- Увімкніть правила PORTFLOOD і CONNLIMIT для HTTP/HTTPS та SMTP.
- Блокуйте ворожі ASN і країни без жодного легітимного трафіку через списки deny на основі ipset.
- Додайте до списку дозволених IP офісу, моніторингу й резервних серверів, щоб автоматизацію ніхто не забанив.
- Фільтруйте вихідний трафік, щоб швидко ловити спам-боти й зворотні виклики C2.
- Перевіряйте кожну зміну правил із другої сесії, а для віддалених правок закладайте час на відкат.
- Документуйте набір правил, щоб під час інцидентів кожен адміністратор міг про них розсудити.
Часті запитання
CSF чи звичайний iptables?
CSF керує iptables через зручніші засоби й додає виявлення перебору через LFD. На серверах cPanel це практичний вибір.
Чи можуть правила брандмауера зламати доставку пошти?
Так, якщо заблоковані порти SMTP або резервний MX. Після кожної зміни брандмауера ми перевіряємо, як проходить пошта.
Як ви впораєтеся з динамічними IP в офісі?
Динамічний DNS із дозволом за списком або вихід через VPN зі статичною адресою для адміністративного доступу.
Чи потрібен брандмауер, якщо вже є брандмауер хоста?
Так, це принцип ешелонованої оборони. Правила на рівні хоста й на рівні ОС покривають різні сценарії відмови.
Допомога Kinetikatech: безпека серверів linux
Ось у чому річ: Посилення, моніторинг і захист серверів CloudLinux, Rocky Linux та cPanel від шкідливого ПЗ, перебору й проникнень, цілодобово. Передайте це службі Безпека серверів Linux та Адміністрування серверів, і все буде закрито: грамотна оцінка, чисте впровадження, цілодобовий нагляд.