{"id":357267,"date":"2024-05-20T23:47:11","date_gmt":"2024-05-20T23:47:11","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=357267"},"modified":"-0001-11-30T00:00:00","modified_gmt":"2024-05-20T23:47:11","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=357267","title":{"rendered":"<span>Firewall \u0438\u0437 RedOS<\/span>"},"content":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<h4>\u0412 \u044d\u0442\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u0445\u043e\u0447\u0443 \u043f\u043e\u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u043e\u043f\u044b\u0442\u043e\u043c \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u044d\u043a\u0440\u0430\u043d\u0430 \u043d\u0430 \u0431\u0430\u0437\u0435 Linux RHEL, \u0432 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438 RedOS.<\/h4>\n<p>\u0427\u0442\u043e \u0436\u0435 \u0438\u0437 \u0441\u0435\u0431\u044f \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 NGFW (Next Generation Firewall)? \u0417\u0430 \u043e\u0441\u043d\u043e\u0432\u0443 \u044f \u0432\u0437\u044f\u043b \u043c\u043e\u0434\u0435\u043b\u044c FW Check Point. \u0410 \u0437\u043d\u0430\u0447\u0438\u0442, \u043a\u0430\u043a \u043c\u0438\u043d\u0438\u043c\u0443\u043c:<\/p>\n<ul>\n<li>\n<p>Firewall Blade &#8212; \u0421\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0441\u0430\u043c \u0431\u0440\u0430\u043d\u0434\u043c\u0430\u0443\u044d\u0440<\/p>\n<\/li>\n<li>\n<p>IPS &#8212; Intruder Prevention System &#8212; \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0438 \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0438 \u0430\u0442\u0430\u043a \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043f\u043e \u0431\u0430\u0437\u0435 \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440<\/p>\n<\/li>\n<li>\n<p>IPSec &#8212; \u043f\u043e\u0441\u0442\u0440\u043e\u0435\u043d\u0438\u0435 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u0435\u0439 (site-2-site, client-2-site)<\/p>\n<\/li>\n<li>\n<p>Application Control \/ URL Filtering &#8212; \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u0438 \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044f \u043f\u043e URL<\/p>\n<\/li>\n<li>\n<p>Antivirus \/ AntiBot &#8212; \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043d\u0430 \u0432\u0438\u0440\u0443\u0441\u044b\/\u0431\u043e\u0442\u044b \u043d\u0430 \u043b\u0435\u0442\u0443, \u0430\u043d\u0430\u043b\u0438\u0437 \u043f\u0430\u043a\u0435\u0442\u043e\u0432<\/p>\n<\/li>\n<li>\n<p>SandBlast &#8212; \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u0430 \u0441 \u043e\u0447\u0438\u0441\u0442\u043a\u043e\u0439 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0432 \u0444\u0430\u0439\u043b\u0430\u0445<\/p>\n<\/li>\n<\/ul>\n<p>\u041d\u0430 \u0442\u0435\u043a\u0443\u0449\u0438\u0439 \u043c\u043e\u043c\u0435\u043d\u0442 \u0438\u0437 \u0432\u0441\u0435\u0433\u043e \u0441\u043f\u0438\u0441\u043a\u0430 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043e \u0442\u043e\u043b\u044c\u043a\u043e FW, IPS, IPSec VPN. \u041d\u0430\u043f\u043e\u043c\u043d\u044e, \u0447\u0442\u043e \u0432\u0441\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b OpenSource, \u0430 \u0441\u0430\u043c\u0430 RedOS \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u0430 \u0434\u043b\u044f \u0434\u043e\u043c\u0430\u0448\u043d\u0435\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f. <\/p>\n<p>\u0412\u0435\u0440\u0441\u0438\u0438 \u041f\u041e:<br \/><em>RedOS Murom 7.3.3 (server-minimal)<br \/>Suricata 7.0.1<br \/>WireGuard 1.0<br \/>OpenVPN 2.6.0<br \/>ShadowSocks 2.9.1<br \/>StrongSwan 5.9.9<\/em><\/p>\n<p>\u0412 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 FW \u0431\u0443\u0434\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c nftables (\u0432 RedOS \u043e\u043d \u0445\u043e\u0442\u044c \u0438 \u0432\u0441\u0442\u0440\u043e\u0435\u043d \u0432 \u044f\u0434\u0440\u043e, \u0441\u0430\u043c\u043e\u0439 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u043d\u0435\u0442, \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u0430\u0434\u043c\u0438\u043d \u0441\u0430\u043c \u0432\u044b\u0431\u0435\u0440\u0435\u0442 \u0443\u0442\u0438\u043b\u0438\u0442\u0443 firewalld, nft, iptables)<\/p>\n<p>\u041f\u0440\u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 \u0432\u0441\u0435\u0445 VPN-\u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u0432\u0430\u0436\u043d\u043e \u0437\u043d\u0430\u0442\u044c, \u0447\u0442\u043e \u0441\u0435\u0442\u0438, \u0432\u044b\u0434\u0430\u0432\u0430\u0435\u043c\u044b\u0435 \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u043c \u043d\u0435 \u0434\u043e\u043b\u0436\u043d\u044b \u043f\u0435\u0440\u0435\u0441\u0435\u043a\u0430\u0442\u044c\u0441\u044f, \u043f\u043e\u0432\u0442\u043e\u0440\u044f\u0442\u044c\u0441\u044f \u0438 \u0442.\u043f.<\/p>\n<p>\u0421\u0440\u0430\u0437\u0443 \u043e\u0433\u043e\u0432\u043e\u0440\u044e, \u0432\u0441\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043b\u0443\u0447\u0448\u0435 \u0434\u0435\u043b\u0430\u0442\u044c \u043f\u043e\u0434 root. \u0421\u0435\u0439\u0447\u0430\u0441 \u0432 \u043c\u0435\u043d\u044f \u043f\u043e\u0441\u044b\u043f\u044f\u0442\u0441\u044f \u0445\u0435\u0439\u0442\u044b, \u043e\u0434\u043d\u0430\u043a\u043e \u0441\u0440\u0430\u0437\u0443 \u0441\u043e\u043e\u0431\u0449\u0443, NGFW &#8212; \u044d\u0442\u043e \u043d\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0430\u044f \u0437\u0430\u0434\u0430\u0447\u0430. \u0418 \u0434\u0430, SSH-\u0434\u043e\u0441\u0442\u0443\u043f \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0442\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u043b\u044f \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0445 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u043e\u0432, \u0441 \u0432\u043d\u0435\u0448\u043d\u0435\u0439 \u0441\u0442\u043e\u0440\u043e\u043d\u044b \u0435\u0433\u043e \u043b\u0443\u0447\u0448\u0435 \u043d\u0435 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0442\u044c. \u0422\u0430\u043a\u0436\u0435 PermitRootLogin \u0441\u0442\u0430\u0432\u0438\u0442\u044c no, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c sudoers \u0438 \u0442.\u043f. \u0438 \u0436\u0435\u043b\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c ssh-\u043a\u043b\u044e\u0447\u0438 \u0441 \u043f\u0430\u0440\u043e\u043b\u0435\u043c. \u0418 \u0434\u0430, \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 Listen \u0432 \/etc\/ssh\/sshd_config \u043b\u0443\u0447\u0448\u0435 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0439 IP \u0438\u0437 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u0441\u0435\u0442\u0438.<\/p>\n<h2>\u0418\u0442\u0430\u043a, \u043f\u0440\u0438\u0441\u0442\u0443\u043f\u0438\u043c. \u042d\u0442\u0430\u043f 1. \u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 FW<\/h2>\n<p>\u0420\u0430\u0437\u0443\u043c\u0435\u0435\u0442\u0441\u044f \u043f\u0435\u0440\u0432\u044b\u043c, \u0430 \u0432\u0435\u0440\u043d\u0435\u0435 \u043d\u0443\u043b\u0435\u0432\u044b\u043c \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435\u043c \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0447\u0438\u0441\u0442\u043e\u0439 \u041e\u0421 \u0435\u0435 \u043d\u0430\u0434\u043e \u043e\u0431\u043d\u043e\u0432\u0438\u0442\u044c.<\/p>\n<pre><code class=\"bash\">dnf update -y reboot<\/code><\/pre>\n<p>\u0412\u043e-\u043f\u0435\u0440\u0432\u044b\u0445 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c \u0438 \u043f\u0440\u0435\u0434\u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c FW, \u0434\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0441\u0442\u0430\u0432\u0438\u043c \u0438 \u043d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c nftables. \u041f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c, \u0447\u0442\u043e \u0436\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043e.<\/p>\n<pre><code class=\"bash\">iptables -V iptables v1.8.9 (nf_tables)<\/code><\/pre>\n<p>\u0412 \u0432\u044b\u0432\u043e\u0434\u0435 nf_tables \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u0432 \u044f\u0434\u0440\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f nftables. \u0412 \u043c\u043e\u0435\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b mininal server \u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0446\u0438\u044e, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043d\u0438\u043a\u0430\u043a\u0438\u0445 &#171;\u043e\u0431\u0432\u0435\u0441\u043e\u0432&#187; \u0443 \u043c\u0435\u043d\u044f \u043d\u0435\u0442. \u041d\u043e \u0434\u043b\u044f \u043e\u0431\u0449\u0435\u0433\u043e \u0441\u043b\u0443\u0447\u0430\u044f \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0438 \u043f\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043b\u0438\u0448\u043d\u0435\u0435<\/p>\n<details class=\"spoiler\">\n<summary>\u0423\u0434\u0430\u043b\u044f\u0435\u043c \u043e\u0431\u0432\u0435\u0441\u044b nftables<\/summary>\n<div class=\"spoiler__content\">\n<pre><code class=\"bash\">systemctl status firewalld systemctl stop firewalld systemctl disable firewalld dnf remove firewalld<\/code><\/pre>\n<\/p>\n<\/div>\n<\/details>\n<p>\u041f\u0440\u043e\u0432\u0435\u0440\u0438\u043c \u0432\u0441\u0435 \u043b\u0438 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0435 \u043c\u043e\u0434\u0443\u043b\u0438 \u044f\u0434\u0440\u0430 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u044b. xt_conntrack \/ nf_conntrack (\u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u044f \u0441\u0435\u0441\u0441\u0438\u0439) \u0438 802.1q (\u0434\u043b\u044f \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 VLAN)<\/p>\n<pre><code>lsmod | grep xt_conntrack lsmod | grep 8021q<\/code><\/pre>\n<p>\u0415\u0441\u043b\u0438 \u0442\u0430\u043a\u043e\u0432\u044b\u0445 \u043d\u0435\u0442, \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c, \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b \u043b\u0438 \u044d\u0442\u0438 \u043c\u043e\u0434\u0443\u043b\u0438<\/p>\n<pre><code>modprobe xt_conntrack modprobe 8021q<\/code><\/pre>\n<p>\u0415\u0441\u043b\u0438 \u043e\u0448\u0438\u0431\u043e\u043a \u043d\u0435\u0442, \u0442\u043e \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u043c \u043c\u043e\u0434\u0443\u043b\u0438 \u0434\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432 boot time. \u0421\u043e\u0437\u0434\u0430\u0435\u043c \u0444\u0430\u0439\u043b \/etc\/modules-load.d\/mymod.conf<\/p>\n<pre><code>xt_conntrack 8021q<\/code><\/pre>\n<p>\u0422\u0435\u043f\u0435\u0440\u044c \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043c \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u0443\u044e \u0443\u0442\u0438\u043b\u0438\u0442\u0443 nft \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u043c \u0437\u0430\u043f\u0443\u0441\u043a \u0441\u043b\u0443\u0436\u0431\u044b<\/p>\n<pre><code class=\"bash\">dnf install nftables systemctl enable nftables --now<\/code><\/pre>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0432 \u0444\u0430\u0439\u043b\u0435 \/etc\/sysconfig\/nftables.conf \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u043c \u043e\u0442\u043a\u0443\u0434\u0430 \u043f\u043e\u0434\u0433\u0440\u0443\u0436\u0430\u0442\u044c \u043a\u043e\u043d\u0444\u0438\u0433 FW<\/p>\n<pre><code class=\"bash\">include \"\/etc\/nftables\/mynetworkfw.nft\"<\/code><\/pre>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0435\u0441\u0442\u044c 2 \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0430 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0444\u0430\u0439\u0440\u0432\u043e\u043b\u043e\u043c, \u0447\u0435\u0440\u0435\u0437 \u043a\u043e\u043d\u0444\u0438\u0433 \u0438 \u0441\u043b\u0443\u0436\u0431\u0443, \u043b\u0438\u0431\u043e \u043f\u0440\u044f\u043c\u044b\u043c\u0438 \u043a\u043e\u043c\u0430\u043d\u0434\u0430\u043c\u0438 nft \u0438 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435\u043c \u043a\u043e\u043d\u0444\u0438\u0433\u0430 nft list ruleset >\/etc\/nftables\/mynetworkfw.nft.\u041f\u0440\u0438\u043d\u0446\u0438\u043f\u0438\u0430\u043b\u044c\u043d\u043e \u0440\u0430\u0437\u043d\u0438\u0446\u044b \u043d\u0435\u0442, \u043e\u0434\u043d\u0430\u043a\u043e \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0435 \u0441\u043b\u0443\u0436\u0431\u044b Handle \u043f\u0440\u0430\u0432\u0438\u043b \u0431\u0443\u0434\u0435\u0442 \u043e\u0431\u043d\u0443\u043b\u044f\u0442\u044c\u0441\u044f (\u0442\u043e \u0436\u0435 \u0441\u0430\u043c\u043e\u0435 \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432 \u0446\u0435\u043b\u043e\u043c). \u041f\u0440\u0438 \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u0440\u0430\u0432\u0438\u043b \u0447\u0435\u0440\u0435\u0437 \u043a\u043e\u043c\u0430\u043d\u0434\u044b nft, Handle \u0431\u0443\u0434\u0435\u0442 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u043c.<\/p>\n<p>\u0422\u0435\u043f\u0435\u0440\u044c \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c \u0434\u0435\u0444\u043e\u043b\u0442\u043e\u0432\u044b\u0439 \u043a\u043e\u043d\u0444\u0438\u0433 nftables. \u0412 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438, input\/output \u0438 \u0441\u0430\u043c\u0430 \u0446\u0435\u043f\u043e\u0447\u043a\u0430 forward. \u041d\u0438\u0436\u0435 \u043f\u0440\u0438\u0432\u0435\u0434\u0443 \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \/etc\/nftables\/mynetworkfw.nft<\/p>\n<pre><code class=\"bash\">table inet fw {         chain incoming {                 type filter hook input priority filter; policy drop;                 ct state established,related accept                 ip saddr { 192.168.10.50, 192.168.20.25 } tcp dport 22 counter accept comment \"SSH_admin\"                 iifname \"lo\" accept comment \"Localhost\"                 # IPSec VPN Clients                 udp port 1194 counter accept comment \"OpenVPN_clients\"                 udp port 51820 counter accept comment \"WireGuard_clients\"                 udp port { 4500,500 } counter accept comment \"IPSec_IKEv2_clients\"                 tcp port 26789 counter accept comment \"ShadowSocks_clients\"         }          chain outgoing {                 type filter hook output priority filter; policy drop;                 ct state established,related accept                 ip daddr 192.168.1.1 udp dport 53 oifname \"ens224.40\" counter accept comment \"DNS_UDP_requests\"                 ip daddr 192.168.1.1 tcp dport 53 oifname \"ens224.40\" counter accept comment \"DNS_TCP_requests\"                 tcp dport { 80, 443, 21 } counter accept comment \"FW_to_Inet\"                 oifname \"lo\" accept comment \"Localhost\"         }          chain forwarding {                 type filter hook forward priority filter; policy drop;                 ct state established,related accept                 counter queue to 0         } }<\/code><\/pre>\n<p>\u041f\u043e\u044f\u0441\u043d\u044e \u043f\u043e \u043a\u043e\u043d\u0444\u0438\u0433\u0443, 192.168.10.50, 192.168.20.25 \u044d\u0442\u043e IP-\u0430\u0434\u0440\u0435\u0441\u0430 \u0430\u0434\u043c\u0438\u043d\u043e\u0432 NGFW. 192.168.1.1 \u044d\u0442\u043e \u043d\u0430\u0448 \u0440\u043e\u0443\u0442\u0435\u0440, \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u044b\u0439 \u0432 \u0438\u043d\u0435\u0442 \u0438 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u044e\u0449\u0438\u0439 NAT \u0438 \u0438\u0433\u0440\u0430\u044e\u0449\u0438\u0439 \u0440\u043e\u043b\u044c DNS-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u0441\u0435\u0442\u0438. \u0420\u0430\u0437\u0443\u043c\u0435\u0435\u0442\u0441\u044f \u044d\u0442\u043e \u043b\u0438\u0448\u044c \u043f\u0440\u0438\u043c\u0435\u0440. \u041e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435, \u0447\u0442\u043e \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044f \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0430 \u0432\u0445\u043e\u0434 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443, \u043d\u043e \u0438 \u043d\u0430 \u0432\u044b\u0445\u043e\u0434. \u041a\u043e\u0433\u0434\u0430 \u0437\u0430\u043a\u043e\u043d\u0447\u0438\u043c \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0443 NGFW \u043e\u0441\u043d\u043e\u0432\u043d\u0430\u044f \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u0431\u0443\u0434\u0435\u0442 \u0438\u043c\u0435\u043d\u043d\u043e forwarding, \u0442\u0443\u0442 \u0431\u0443\u0434\u0443\u0442 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 NGFW. \u0417\u0430\u0431\u0435\u0433\u0430\u044e \u043d\u0430\u043f\u0435\u0440\u0435\u0434, counter queue to 0 &#8212; \u044d\u0442\u043e \u0443\u0436\u0435 IPS-\u043f\u0440\u0430\u0432\u0438\u043b\u043e, \u0435\u0433\u043e \u043d\u0430\u0434\u043e \u0431\u0443\u0434\u0435\u0442 \u0443\u043a\u0430\u0437\u0430\u0442\u044c \u0443\u0436\u0435 \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 Suricata. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u0432 FW \u0443\u0436\u0435 \u043f\u0440\u0435\u0434\u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043d\u044b \u043a\u043b\u0438\u0435\u043d\u0442\u044b VPN \u0441 \u043f\u043e\u0440\u0442\u0430\u043c\u0438 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e. \u0415\u0441\u043b\u0438 \u043f\u043e\u0440\u0442\u044b \u0432 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430\u0445 VPN-\u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0435 \u0434\u0440\u0443\u0433\u0438\u0435, \u0442\u043e \u0438 \u0432 FW \u0438\u0445 \u043d\u0430\u0434\u043e \u0443\u0447\u0435\u0441\u0442\u044c. \u0418\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u044b ens192 (external) \u0438 ens224 (internal), \u043d\u0430 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0438\u0439 \u0438\u0437 \u043d\u0438\u0445 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 trunc (802.1q). \u0412\u0441\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u0432 \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u044e\u0442\u0441\u044f \/etc\/sysconfig\/network-scripts\/, \u0433\u0434\u0435 ifcfg-&lt;interface> &#8212; \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430, route-&lt;interface> \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u043e\u0432 \u0435\u0441\u043b\u0438 \u043d\u0430 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0435 \u0438\u0445 \u043d\u0435 1. \u041f\u0440\u0438\u043c\u0435\u0440\u044b \u0442\u0430\u043a\u0438\u0445 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a \u0432 \u0441\u043f\u043e\u0439\u043b\u0435\u0440\u0435<\/p>\n<details class=\"spoiler\">\n<summary>\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u0432<\/summary>\n<div class=\"spoiler__content\">\n<p>ifcfg-ens192<\/p>\n<pre><code>TYPE=\"Ethernet\" PROXY_METHOD=\"none\" BROWSER_ONLY=\"no\" BOOTPROTO=\"manual\" DEFROUTE=\"yes\" IPV4_FAILURE_FATAL=\"no\" IPV6INIT=\"yes\" IPV6_AUTOCONF=\"yes\" IPV6_DEFROUTE=\"yes\" IPV6_FAILURE_FATAL=\"no\" IPV6_ADDR_GEN_MODE=\"stable-privacy\" NAME=\"ens192\" DEVICE=\"ens192\" ONBOOT=\"yes\" UUID=\"3cec767a-e4ba-3130-839e-5588d3602a81\" IPADDR=\"192.168.1.254\" NETMASK=\"255.255.255.0\" GATEWAY=\"192.168.1.1\" DNS1=\"192.168.1.1\" DNS2=\"8.8.8.8\"<\/code><\/pre>\n<p>\u0443\u0437\u043d\u0430\u0442\u044c UUID \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 \u043c\u043e\u0436\u043d\u043e \u0447\u0435\u0440\u0435\u0437 nmcli con show<\/p>\n<p>\u043e\u0442\u0441\u044e\u0434\u0430 DNS \u043f\u043e\u043f\u0430\u0434\u0443\u0442 \u0432 \/etc\/resolv.conf, \u0430 GATEWAY \u0432 \u0442\u0430\u0431\u043b\u0438\u0446\u0443 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438, DEFROUTE=yes \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u043c\u0430\u0440\u0448\u0440\u0443\u0442 0.0.0.0\/0.0.0.0 \u0431\u0443\u0434\u0435\u0442 \u0447\u0435\u0440\u0435\u0437 GATEWAY<\/p>\n<p>ifcfg-ens224<\/p>\n<pre><code>BOOTPROTO=\"none\" DEVICE=\"ens224\" ONBOOT=\"yes\" TYPE=\"Ethernet\"<\/code><\/pre>\n<p>\u041e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435, \u0447\u0442\u043e \u0437\u0434\u0435\u0441\u044c \u043d\u0435\u0442 \u043e\u0441\u043e\u0431\u043e \u043d\u0438\u043a\u0430\u043a\u0438\u0445 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a. \u042d\u0442\u043e \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044f \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 \u0434\u043b\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0432 802.1q. UUID \u0437\u0434\u0435\u0441\u044c \u0442\u0430\u043a\u0436\u0435 \u043d\u0435 \u0443\u043a\u0430\u0437\u0430\u043d, \u0447\u0442\u043e\u0431\u044b NetworkManager \u043d\u0435 \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u043b \u044d\u0442\u043e\u0439 \u0437\u0430\u0433\u043b\u0443\u0448\u043a\u043e\u0439.<\/p>\n<p>ifcfg-ens224.20<\/p>\n<pre><code>DEVICE=ens224.20 BOOTPROTO=none ONBOOT=yes IPADDR=192.168.20.1 PREFIX=24 NETWORK=192.168.20.0 VLAN=yes<\/code><\/pre>\n<p>\u043f\u043e\u0441\u043b\u0435 \u0440\u0430\u0441\u043f\u0438\u0441\u044b\u0432\u0430\u043d\u0438\u044f \u0432\u0441\u0435\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0439, \u0440\u0435\u0441\u0442\u0430\u0440\u0442\u0430\u043d\u0435\u043c NetworkManager<\/p>\n<p><code>systemctl restart NetworkManager<\/code><\/p>\n<\/div>\n<\/details>\n<p>\u0418\u0442\u0430\u043a, \u043f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u043b\u0438 FW. \u043f\u0440\u0430\u0432\u0438\u043b\u0430 FW \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u044e\u0442\u0441\u044f &#171;\u043d\u0430 \u043b\u0435\u0442\u0443&#187;, \u0430 \u0437\u043d\u0430\u0447\u0438\u0442 \u043f\u0440\u0438 \u0440\u0443\u0447\u043d\u043e\u043c \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u0438\u0438 \u043f\u0440\u0430\u0432\u0438\u043b \u0447\u0435\u0440\u0435\u0437 \u043a\u043e\u043c\u0430\u043d\u0434\u0443 nft, \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u044f chain \u0432 \u0442\u0430\u0431\u043b\u0438\u0446\u0435 \u043d\u0435 \u0441\u043f\u0435\u0448\u0438\u0442\u0435 \u0441\u0442\u0430\u0432\u0438\u0442\u044c drop, \u043f\u0435\u0440\u0432\u043e\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e \u043b\u0443\u0447\u0448\u0435 \u0441\u0442\u0430\u0432\u0438\u0442\u044c accept, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u043f\u043e\u0442\u0435\u0440\u044f\u0442\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443.<\/p>\n<h2>\u042d\u0442\u0430\u043f 2. \u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 Suricata.<\/h2>\n<p>\u041f\u043e \u0434\u0435\u0444\u043e\u043b\u0442\u0443, \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 Fedora Extra (epel) \u0435\u0441\u0442\u044c \u043f\u0430\u043a\u0435\u0442 Suricata, \u043e\u0434\u043d\u0430\u043a\u043e \u043e\u043d \u0441\u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u043d \u0441 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f\u043c\u0438, \u0434\u0430 \u0438 \u0432\u0435\u0440\u0441\u0438\u044f Python \u043d\u0430\u0441 \u043d\u0435 \u0443\u0441\u0442\u0440\u043e\u0438\u0442, \u0442\u0430\u043a \u0447\u0442\u043e \u043f\u0440\u0438\u0434\u0435\u0442\u0441\u044f \u0441\u043e\u0431\u0438\u0440\u0430\u0442\u044c \u0438\u0437 \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a\u043e\u0432. \u0423\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043c \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0439 epel, \u0441\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a Suricata \u0438 \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c \u043d\u0443\u0436\u043d\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u0434\u043b\u044f \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438.<\/p>\n<pre><code class=\"bash\">wget https:\/\/dl.fedoraproject.org\/pub\/epel\/epel-release-latest-7.noarch.rpm yum localinstall epel-release-latest-7.noarch.rpm cd \/usr\/src wget https:\/\/www.openinfosecfoundation.org\/download\/suricata-7.0.1.tar.gz tar xzvf suricata-7.0.1.tar.gz rm -f suricata-7.0.1.tar.gz cd suricata-7.0.1\/ dnf groupinstall \"Development Tools\" dnf install -y pcre2-devel libyaml-devel jansson-devel libpcap-devel pcapy python3-pcapy libcap-ng-devel file-devel lz4-devel rustc cargo dnf install -y libunwind libunwind-devel GeoIP-devel zlib zlib-devel libnetfilter_queue-devel libnetfilter_log-devel .\/configure --enable-nfqueue --enable-nflog --prefix=\/usr\/ --sysconfdir=\/etc\/ --localstatedir=\/var\/ curl https:\/\/bootstrap.pypa.io\/get-pip.py -o get-pip.py python get-pip.py python -m pip install pyyaml make make install-full<\/code><\/pre>\n<p>\u0414\u0430\u043b\u044c\u0448\u0435 \u043d\u0430\u043c \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043f\u043e\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043c\u043e\u043c\u0435\u043d\u0442\u043e\u0432. \u0412\u043e-\u043f\u0435\u0440\u0432\u044b\u0445, \u043d\u0430\u0434\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u0437\u0430\u043f\u0443\u0441\u043a \u0441\u043b\u0443\u0436\u0431\u044b suricata. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0441\u043e\u0437\u0434\u0430\u0435\u043c \u0444\u0430\u0439\u043b \/usr\/lib\/systemd\/system\/suricata.service<\/p>\n<pre><code>[Unit] Description=Suricata IDS\/IDP daemon After=network.target Requires=network.target Documentation=man:suricata(8) man:suricatasc(8) Documentation=https:\/\/redmine.openinfosecfoundation.org\/projects\/suricata\/wiki  [Service] Type=forking Environment=LD_PREDLOAD=\/usr\/lib\/libtcmalloc_minimal.so.4 Environment=CFG=\/etc\/suricata\/suricata.yaml PID=\/var\/run\/suricata\/suricata.pid CapabilityBoundingSet=CAP_NET_ADMIN PIDFile=\/var\/run\/suricata\/suricata.pid ExecStart=\/usr\/bin\/suricata -D -q 0 -q 1 -c $CFG --pidfile $PID -D ExecReload=\/bin\/kill -HUP $MAINPID ExecStop=\/bin\/kill $MAINPID PrivateTmp=yes InaccessibleDirectories=\/home \/root ReadOnlyDirectories=\/boot \/usr \/etc  [Install] WantedBy=multi-user.target<\/code><\/pre>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0434\u0435\u043b\u0430\u0435\u043c <code>chmod 755 \/usr\/lib\/systemd\/system\/suricata.service<\/code> \u0438 <code>systemctl daemon-reload<\/code>. \u041f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u043f\u0440\u0430\u0432\u0430 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a \u0441\u043e\u0437\u0434\u0430\u043d\u043d\u044b\u043c \u043f\u0430\u043f\u043a\u0430\u043c, \u0444\u0430\u0439\u043b\u0430\u043c, \u0438 \u0442.\u0434. \/var\/run\/suricata, \/etc\/suricata\/, \/var\/log\/suricata. \u0415\u0441\u043b\u0438 \u0432\u0441\u0435 \u043f\u0440\u0430\u0432\u0430 \u0432\u044b\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u0432\u0435\u0440\u043d\u043e, \u0437\u043d\u0430\u0447\u0438\u0442 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0441 \u0437\u0430\u043f\u0443\u0441\u043a\u043e\u043c \u043d\u0435 \u0432\u043e\u0437\u043d\u0438\u043a\u043d\u0435\u0442. \u0417\u0430\u043f\u0443\u0441\u043a\u0430\u043c \u0441\u043b\u0443\u0436\u0431\u0443 \u0438 \u0441\u0442\u0430\u0432\u0438\u043c \u0432 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a. <code>systemctl enable suricata --now<\/code><\/p>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0432 cron \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u043c \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u0431\u0430\u0437 \u0438 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u044d\u0442\u0438\u0445 \u043f\u0440\u0430\u0432\u0438\u043b. <code>crontab -e<\/code><\/p>\n<pre><code>0 0 * * * \/usr\/lib\/suricata-update >>\/var\/log\/suricata\/update.log 5 0 * * * \/usr\/lib\/suricatasc -c reload-rules<\/code><\/pre>\n<h2>\u042d\u0442\u0430\u043f 3. \u0427\u0430\u0441\u0442\u044c 1. \u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 WireGuard<\/h2>\n<p>\u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 WireGuard \u0432 RedOS \u0437\u0430\u0434\u0430\u0447\u0430 \u043d\u0435 \u0442\u0440\u0438\u0432\u0438\u0430\u043b\u044c\u043d\u0430\u044f.<\/p>\n<p>\u0414\u043b\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0435 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438. \u0412 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438, \u043e\u0442 Oracle Linux 7.<\/p>\n<pre><code class=\"bash\">cd wget https:\/\/yum.oracle.com\/repo\/OracleLinux\/OL7\/latest\/x86_64\/getPackage\/oraclelinux-release-el7-1.0-17.el7.x86_64.rpm wget https:\/\/yum.oracle.com\/repo\/OracleLinux\/OL7\/latest\/x86_64\/getPackage\/oraclelinux-developer-release-el7-1.0-6.el7.x86_64.rpm yum localinstall oraclelinux-release-el7-1.0-17.el7.x86_64.rpm yum localinstall oraclelinux-developer-release-el7-1.0-6.el7.x86_64.rpm<\/code><\/pre>\n<p>\u041f\u043e\u0442\u043e\u043c \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043f\u0440\u0435\u043a\u043e\u043d\u0444\u0438\u0433 \u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u0432 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0438\u0438 \u0441 <a href=\"https:\/\/www.wireguard.com\/install\/#oracle-linux-7-uek6-tools\" rel=\"noopener noreferrer nofollow\">Installation manual WireGuard<\/a><\/p>\n<pre><code class=\"bash\">yum-config-manager --disable ol7_developer yum-config-manager --enable ol7_developer_UEKR6 yum-config-manager --save --setopt=ol7_developer_UEKR6.includepkgs='wireguard-tools*' dnf install wireguard-tools<\/code><\/pre>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e, \u044d\u0442\u0438 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 \u043c\u043e\u0436\u043d\u043e \u043e\u0442\u043a\u043b\u044e\u0447\u0438\u0442\u044c\/\u0443\u0434\u0430\u043b\u0438\u0442\u044c \u0438 \u0442.\u043f. \u0411\u043e\u043b\u044c\u0448\u0435 \u043e\u043d\u0438 \u043d\u0435 \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u044e\u0442\u0441\u044f, \u043d\u043e \u043c\u043e\u0433\u0443\u0442 \u043c\u0435\u0448\u0430\u0442\u044c. \u041b\u0443\u0447\u0448\u0435 \u043e\u0442\u043a\u043b\u044e\u0447\u0430\u0442\u044c \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u043e\u0447\u0438\u0441\u0442\u043a\u0443 <code>dnf clean packages<\/code><\/p>\n<pre><code class=\"bash\">yum-config-manager --disable ol7_developer yum-config-manager --disable ol7_developer_UEKR6 # \u0438 \u0434.\u0440. \u043f\u0430\u043a\u0435\u0442\u044b \u043e\u0442 Oracle Linux. \u043b\u0438\u0431\u043e \u0432\u0440\u0443\u0447\u043d\u0443\u044e \u0432 \u0444\u0430\u0439\u043b\u0430\u0445 \/etc\/yum.repos.d\/.repo # \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 enable=0 # oraclelinux-developer-ol7.repo # oracle-linux-ol7.repo # uek-ol7.repo # virt-ol7.repo<\/code><\/pre>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u0442\u0430\u043a\u0436\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u043c\u043e\u0434\u0443\u043b\u044f \u044f\u0434\u0440\u0430, \u0435\u0433\u043e \u0430\u0432\u0442\u043e\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0438 \u0442.\u043f.<\/p>\n<pre><code>lsmod | grep wireguard modprobe wireguard echo wireguard >>\/etc\/modules-load.d\/mymod.conf<\/code><\/pre>\n<p>\u0421\u043e\u0437\u0434\u0430\u0435\u043c \u043a\u043b\u044e\u0447\u0438. \u041f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0439 \u043a\u043b\u044e\u0447 \u0431\u0443\u0434\u0435\u0442 \u043d\u0443\u0436\u0435\u043d \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u043c, \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a \u043d\u0430\u0448\u0435\u043c\u0443 \u0441\u0435\u0440\u0432\u0435\u0440\u0443. \u041f\u0440\u0438\u0432\u0430\u0442\u043d\u044b\u0439 \u043a\u043b\u044e\u0447 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0435 \u0442\u0443\u043d\u043d\u0435\u043b\u044f.<\/p>\n<pre><code class=\"bash\">cd \/etc\/wireguard wg genkey | tee priv.key | wg pubkey > pub.key chmod 600 *.key<\/code><\/pre>\n<p>\u041d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 wireguard. \u0421\u043e\u0437\u0434\u0430\u0435\u043c \u0444\u0430\u0439\u043b \/etc\/wireguard\/wgtun.conf<\/p>\n<pre><code>[Interface] PrivateKey = 8Kfqf4QdHL1pBKxT1NknbC7k9JCjyRj6hO1Mj+a4yU8= Address = 172.16.0.1\/23 ListenPort = 51820  # \u0414\u0430\u043b\u0435\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043a\u043b\u0438\u0435\u043d\u0442\u0430 # \u041a\u043b\u0438\u0435\u043d\u0442 1 [Peer] PublicKey = OIhY7IdxElaDH0amgCiZnLXx22sFn8QV8t40iihLaz8= AllowedIPs = 172.16.0.2\/30  # \u041a\u043b\u0438\u0435\u043d\u0442 2 [Peer] PublicKey = QKqUuHDAtSw\/xYs2AywdqiRHvcr1UzBwrKY7nphU8xg= AllowedIPs = 172.16.0.5\/30<\/code><\/pre>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u0435\u0433\u043e, \u0435\u0441\u043b\u0438 \u043e\u0448\u0438\u0431\u043e\u043a \u043d\u0435\u0442, \u0442\u043e \u0432\u043a\u043b\u044e\u0447\u0430\u0435\u043c \u0441\u043b\u0443\u0436\u0431\u0443<\/p>\n<pre><code>wg-quick up wgtun systemctl enable wg-quick@wgtun.service<\/code><\/pre>\n<h2>\u042d\u0442\u0430\u043f 3. \u0427\u0430\u0441\u0442\u044c 2. \u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 OpenVPN \/ ShadowSocks<\/h2>\n<p>\u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 OpenVPN \u043f\u0440\u043e\u0441\u0442\u0430\u044f, \u0443 RedOS \u0435\u0441\u0442\u044c 2 \u0432\u0435\u0440\u0441\u0438\u0438 OpenVPN \u0438 OpenVPN-\u0413\u043e\u0441\u0442. \u041a\u043e\u043c\u0443 \u043a\u0430\u043a\u043e\u0439 \u043d\u0440\u0430\u0432\u0438\u0442\u0441\u044f. \u041c\u043d\u0435 \u0413\u041e\u0421\u0422 \u043d\u0435 \u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0442\u0443\u0442 \u0432\u0441\u0435 \u043f\u0440\u043e\u0441\u0442\u043e. <code>dnf install openvpn -y<\/code><\/p>\n<p>\u041f\u0440\u0438\u043c\u0435\u0440 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 OpenVPN. \u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 CA \u043e\u043f\u0438\u0448\u0443 \u043d\u0438\u0436\u0435. \u042d\u0442\u043e\u0442 CA \u043c\u044b \u0431\u0443\u0434\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0434\u043b\u044f OpenVPN \/ StrongSwan. \u041e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435, \u0447\u0442\u043e \u043a\u0440\u0438\u0442\u0438\u0447\u043d\u043e \u0434\u043b\u044f \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0439 OpenVPN &#8212; \u044d\u0442\u043e \u0440\u0430\u0437\u043c\u0435\u0449\u0435\u043d\u0438\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u043e\u0432 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u0430. \u0412 \u043e\u0431\u0449\u0438\u0445 \u0447\u0435\u0440\u0442\u0430\u0445, \u0443\u043a\u0430\u0437\u0430\u043d\u0438\u0435 port \u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u0434\u043b\u044f server \u0438 \u043d\u0435\u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u0434\u043b\u044f client. \u0417\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u0441\u043b\u0443\u0436\u0431\u0443 OpenVPN \u0431\u0443\u0434\u0435\u043c \u0442\u0430\u043a: systemctl start openvpn@config.service (\u0434\u043b\u044f \u0444\u0430\u0439\u043b\u0430 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \/etc\/openvpn\/config.conf), systemctl start openvpn-client@config.service (\u0434\u043b\u044f \u0444\u0430\u0439\u043b\u0430 \/etc\/openvpn\/client\/config.conf) \u0438\u043b\u0438 systemctl start openvpn-server@config.service (\u0434\u043b\u044f \u0444\u0430\u0439\u043b\u0430 \/etc\/openvpn\/server\/config.conf). \u0412 \u043d\u0430\u0448\u0435\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u044d\u0442\u043e \u0444\u0430\u0439\u043b \/etc\/openvpn\/server\/myvpnserver.conf<\/p>\n<pre><code>port 1194 proto udp dev tun0  ca \/etc\/openvpn\/server\/myvpnserver\/ca.crt cert \/etc\/openvpn\/server\/myvpnserver\/server.crt key \/etc\/openvpn\/server\/myvpnserver\/server.key crl-verify \/etc\/openvpn\/server\/myvpnserver\/crl.pem dh \/etc\/openvpn\/server\/myvpnserver\/dh.pem  tls-server tls-timeout 120 tls-auth \/etc\/openvpn\/server\/myvpnserver\/ta-srv.key 0  server 172.16.2.0 255.255.254.0 route 172.16.2.0 255.255.254.0  ;routes ;see DEFAULT in CCD  ;DHCP-Option ;see DEFAULT in CCD  ifconfig-pool-persist \/etc\/openvpn\/server\/00-universal\/cips client-config-dir \/etc\/openvpn\/server\/00-universal\/ccd  management localhost 7510 \/etc\/openvpn\/server\/myvpnserver\/pwd keepalive 10 120 comp-lzo  persist-key persist-tun  status \/var\/log\/openvpn\/myvpnserver-status.log log \/var\/log\/openvpn\/myvpnserver-log.log<\/code><\/pre>\n<p>\u0422\u0435\u043f\u0435\u0440\u044c \u043f\u0435\u0440\u0435\u0434 \u0437\u0430\u043f\u0443\u0441\u043a\u043e\u043c \u0441\u0435\u0440\u0432\u0438\u0441\u0430 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0441\u043e\u0437\u0434\u0430\u0442\u044c \u0432\u0441\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0435 \u0444\u0430\u0439\u043b\u044b \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c SELinux<\/p>\n<pre><code>dnf install libsemanage libsemanage-python semanage port -a -t openvpn_port_t -p tcp 7510 mkdir \/etc\/openvpn\/server\/myvpnserver mkdir \/etc\/openvpn\/server\/myvpnserver\/ccd mkdir \/var\/log\/openvpn echo \"superhiddenpassword\" >\/etc\/openvpn\/server\/myvpnserver\/pwd chmod 700 \/etc\/openvpn\/server\/myvpnserver\/pwd openvpn --genkey --secret \/etc\/openvpn\/server\/myvpnserver\/ta-srv.key<\/code><\/pre>\n<p>\u0424\u0430\u0439\u043b cips OpenVPN \u0441\u043e\u0437\u0434\u0430\u0441\u0442 \u0441\u0430\u043c, \u0432 \u043d\u0435\u043c \u0431\u0443\u0434\u0435\u0442 \u0445\u0440\u0430\u043d\u0438\u0442\u044c \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u043d\u044b\u0435 \u0437\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c\u0438\/\u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c\u0438 IP-\u0430\u0434\u0440\u0435\u0441\u0430. \u041f\u0440\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b, \u043a\u043b\u044e\u0447\u0438 Diffie-Hellman, \u0441\u043f\u0438\u0441\u043a\u0438 \u043e\u0442\u0437\u044b\u0432\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043d\u0438\u0436\u0435, \u0432\u00a0\u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u043f\u0440\u043e\u00a0StrongSwan. \u0410 \u043f\u043e\u043a\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u043c \u0437\u0430\u043f\u0443\u0441\u043a OpenVPN (\u0431\u0443\u0434\u0443\u0442 \u043e\u0448\u0438\u0431\u043a\u0438 \u0438\u0437-\u0437\u0430 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0445 \u0444\u0430\u0439\u043b\u043e\u0432)<\/p>\n<pre><code>systemctl start openvpn-server@myvpnserver.service # \u0443\u0432\u0438\u0434\u0435\u043b\u0438 \u043e\u0448\u0438\u0431\u043a\u0443, \u0442\u0435\u043f\u0435\u0440\u044c \u0434\u043e\u0431\u0430\u0432\u0438\u043c \u0432 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0443, \u043d\u043e \u0431\u0435\u0437 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 systemctl enable openvpn-server@myvpnserver.service<\/code><\/pre>\n<p>\u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 \u0436\u0435 ShadowSocks \u043d\u0435 \u0442\u0440\u0438\u0432\u0438\u0430\u043b\u044c\u043d\u0430 \u0438 \u0441\u043d\u043e\u0432\u0430 \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u0435\u0442 \u0441\u0431\u043e\u0440\u043a\u0438 \u0438 \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438<\/p>\n<pre><code>dnf install git pcre-devel asciidoc xmlto mbedtls-devel libsodium-devel libcares-devel libev-devel cd \/usr\/src git clone https:\/\/github.com\/shadowsocks\/shadowsocks-libev.git cd shadowsocks-libev\/ git submodule update --init --recursive .\/autogen.sh .\/configure make make install<\/code><\/pre>\n<p>\u0421\u043e\u0437\u0434\u0430\u0435\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u043f\u0430\u043f\u043a\u0443 \u043a\u043e\u043d\u0444\u0438\u0433\u043e\u0432 \u0438 \u0441\u0435\u0440\u0432\u0438\u0441 (\u0434\u043b\u044f \u0443\u0434\u043e\u0431\u0441\u0442\u0432\u0430 openvpn-like \u0441\u0435\u0440\u0432\u0438\u0441)<\/p>\n<pre><code>adduser --system --no-create-home -s \/sbin\/nologin shadowsocks mkdir -p \/etc\/shadowsocks<\/code><\/pre>\n<p>\u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u0430 \/usr\/lib\/systemd\/system\/shadowsocks@.service<\/p>\n<pre><code>[Unit] Description=Shadowsocks proxy server  [Service] User=root Group=root Type=simple ExecStart=\/usr\/local\/bin\/ss-server -c \/etc\/shadowsocks\/%i.json -a shadowsocks -v start ExecStop=\/usr\/local\/bin\/ss-server -c \/etc\/shadowsocks\/%i.json -a shadowsocks -v stop  [Install] WantedBy=multi-user.target<\/code><\/pre>\n<p>\u041f\u0440\u0438\u043c\u0435\u0440\u043d\u043e\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0430 ss (\/etc\/shadowsocks\/main.json)<\/p>\n<pre><code class=\"bash\">{     \"server\":\"178.128.122.54\",     \"server_port\": 26789,     \"password\":\"your_password\",     \"timeout\": 300,     \"method\": \"aes-256-gcm\",     \"fast_open\": true }<\/code><\/pre>\n<p>\u041f\u0440\u0430\u0432\u0430 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a \u0441\u043b\u0443\u0436\u0431\u044b<\/p>\n<pre><code class=\"bash\">chmod 755 \/etc\/systemd\/system\/shadowsocks@.service systemctl daemon-reload systemctl enable shadowsocks@main.service --now<\/code><\/pre>\n<h2>\u042d\u0442\u0430\u043f 3. \u0427\u0430\u0441\u0442\u044c 3. \u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 StrongSwan (IPSec IKEv2)<\/h2>\n<p>\u0423\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u043c<\/p>\n<pre><code class=\"bash\">dnf install strongswan systemctl enable strongswan --now<\/code><\/pre>\n<p><strong>\u0421\u043e\u0437\u0434\u0430\u0435\u043c CA<\/strong> (\u0431\u0435\u0437 \u043d\u0435\u0433\u043e \u043d\u0435 \u043f\u043e\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u0442\u0443\u043d\u043d\u0435\u043b\u0438 \u043d\u0430 \u0431\u0430\u0437\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432). \u041b\u0443\u0447\u0448\u0435 \u0442\u0430\u043a\u043e\u0439 CA \u043d\u0435 \u0434\u0435\u0440\u0436\u0430\u0442\u044c \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u0432 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u043e\u0439 \u0441\u0435\u0442\u0438, \u043f\u043e \u043a\u0440\u0430\u0439\u043d\u0435\u0439 \u043c\u0435\u0440\u0435 \u0435\u0433\u043e <u>\u043f\u0440\u0438\u0432\u0430\u0442\u043d\u044b\u0439 \u043a\u043b\u044e\u0447<\/u>. \u0414\u043b\u044f \u044d\u0442\u043e\u0439 \u0437\u0430\u0434\u0430\u0447\u0438 \u0448\u0442\u0430\u0442\u043d\u043e \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c strongswan pki, openssl, \u043b\u0438\u0431\u043e \u0433\u043e\u0442\u043e\u0432\u044b\u0439 \u0441\u043a\u0440\u0438\u043f\u0442 easy-rsa. \u041c\u044b \u0432\u043e\u0437\u044c\u043c\u0435\u043c \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0438\u0439, \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u0431\u0443\u0434\u0435\u043c \u0434\u0435\u043b\u0430\u0442\u044c \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0430\u043b\u044c\u043d\u044b\u0439 CA \u0434\u043b\u044f \u0441\u043b\u0443\u0436\u0431 OpenVPN \u0438 StrongSwan.<\/p>\n<pre><code class=\"bash\">dnf install easy-rsa # \u0437\u0430\u0431\u0438\u0440\u0430\u0435\u043c \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u043d\u0430\u0431\u043e\u0440 \u0432 \u043f\u0430\u043f\u043a\u0443 mkdir \/usr\/ca chmod 700 \/usr\/ca cd \/usr\/ca cp -Rv \/usr\/share\/easy-rsa\/3.0.8\/ .\/ # \u0418\u043d\u0438\u0446\u0438\u0438\u0440\u0443\u0435\u043c CA .\/easyrsa init-pki .\/easyrsa build-ca .\/easyrsa gen-dh # \u0421\u043e\u0437\u0434\u0430\u0435\u043c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0434\u043b\u044f OpenVPN \u0441\u0435\u0440\u0432\u0435\u0440\u0430 .\/easyrsa gen-req ovpn nopass .\/easyrsa sign-req server ovpn .\/easyrsa gen-crl # \u041a\u043e\u043f\u0438\u0440\u0443\u0435\u043c \u043d\u0443\u0436\u043d\u044b\u0435 \u043a\u043b\u044e\u0447\u0438 \u0434\u043b\u044f OpenVPN cp .\/pki\/ca.crt \/etc\/openvpn\/server\/myvpnserver\/ cp .\/pki\/issued\/ovpn.crt \/etc\/openvpn\/server\/myvpnserver\/server.crt cp .\/pki\/private\/ovpn.key \/etc\/openvpn\/server\/myvpnserver\/server.key cp .\/pki\/dh.pem \/etc\/openvpn\/server\/myvpnserver\/ cp .\/pki\/crl.pem \/etc\/openvpn\/server\/myvpnserver\/ # \u041c\u043e\u0436\u043d\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u043d\u0430\u0448 OpenVPN systemctl start openvpn-server@myvpnserver.service<\/code><\/pre>\n<p>\u0418\u043d\u0438\u0446\u0438\u0438\u0440\u043e\u0432\u0430\u043b\u0438 CA, \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442, \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b\u0438 OpenVPN. \u0427\u0442\u043e \u0434\u0430\u043b\u044c\u0448\u0435? \u041d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c strongswan.<\/p>\n<pre><code class=\"bash\"># \u0421\u043e\u0437\u0434\u0430\u0435\u043c \u043d\u043e\u0432\u044b\u0439 \u0442\u0438\u043f \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 IPSec cp .\/x509-types\/serverClient .\/x509-types\/ipsec # \u0417\u0430\u043c\u0435\u043d\u044f\u0435\u043c \u0441\u0442\u0440\u043e\u043a\u0443 extendedKeyUsage = serverAuth,clientAuth # \u043d\u0430 extendedKeyUsage = serverAuth, clientAuth, 1.3.6.1.5.5.7.3.17 # \u0438 \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u043c Subject Alternative Names. \u0412\u0430\u0436\u043d\u043e \u0443\u043a\u0430\u0437\u0430\u0442\u044c \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0435 IP \u0438 \u043f\u0440\u0438\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0435 \u043f\u0440\u0438 \u043d\u0430\u043b\u0438\u0447\u0438\u0438 DNS subjectAltName=DNS:vpn.example.com,DNS:localhost,IP:127.0.0.1,IP:185.185.101.23,DNS:185.185.101.23 # \u0412 \u0444\u0430\u0439\u043b.\/vars \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u043c \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 set_var EASYRSA_CERT_EXPIRE     3650 set_var EASYRSA_EXTRA_EXTS      \"DNS:vpn.example.com,DNS:localhost,IP:127.0.0.1,IP:185.185.101.23,DNS:185.185.101.23\" # \u0412\u0441\u0435 \u0433\u043e\u0442\u043e\u0432\u043e, \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u0435\u043c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 .\/easyrsa gen-req swan nopass .\/easyrsa sign-req ipsec swan # \u041f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u043d\u0430\u0448\u0438 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b openssl x509 -noout -text -in .\/pki\/issued\/swan.crt # \u0414\u043e\u043b\u0436\u043d\u044b \u0431\u044b\u0442\u044c \u0443\u043a\u0430\u0437\u0430\u043d\u044b \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b: X509v3 Extended Key Usage:                 TLS Web Server Authentication, TLS Web Client Authentication, 1.3.6.1.5.5.7.3.17 X509v3 Subject Alternative Name:                 DNS:vpn.example.com, DNS:localhost, IP Address: 127.0.0.1, IP Address:185.185.101.23, DNS:185.185.101.23 # \u0422\u0435\u043f\u0435\u0440\u044c \u043a\u043e\u043f\u0438\u0440\u0443\u0435\u043c \u0432\u0441\u0435 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0435 cp .\/pki\/ca.crt \/etc\/strongswan\/ipsec.d\/cacerts\/ca.pem cp .\/pki\/issued\/swan.crt \/etc\/strongswan\/ipsec.d\/certs\/swan.pem cp .\/pki\/private\/swan.key \/etc\/strongswan\/ipsec.d\/private\/swan.pem # \u041f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u043c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442, \u0432 \u0444\u0430\u0439\u043b \/etc\/strongswan\/ipsec.secrets \u0432\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u043c \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u044b\u0439 \u043a\u043b\u044e\u0447 : RSA swan.pem<\/code><\/pre>\n<p>\u0422\u0435\u043f\u0435\u0440\u044c \u043f\u0438\u0448\u0435\u043c \u043a\u043e\u043d\u0444\u0438\u0433 \/etc\/strongswan\/ipsec.conf<\/p>\n<pre><code>config setup     charondebug=\"ike 2, knl 2, cfg 2, net 2, esp 2, dmn 2,  mgr 2\"  conn %default     keyexchange=ikev2     ike=aes128-sha256-ecp256,aes256-sha384-ecp384,aes128-sha256-modp2048,aes128-sha1-modp2048,aes256-sha384-modp4096,aes256-sha256-modp4096,aes256-sha1-modp4096,aes128-sha256-modp1536,aes128-sha1-modp1536,aes256-sha384-modp2048,aes256-sha256-modp2048,aes256-sha1-modp2048,aes128-sha256-modp1024,aes128-sha1-modp1024,aes256-sha384-modp1536,aes256-sha256-modp1536,aes256-sha1-modp1536,aes256-sha384-modp1024,aes256-sha256-modp1024,aes256-sha1-modp1024!     esp=aes128gcm16-ecp256,aes256gcm16-ecp384,aes128-sha256-ecp256,aes256-sha384-ecp384,aes128-sha256-modp2048,aes128-sha1-modp2048,aes256-sha384-modp4096,aes256-sha256-modp4096,aes256-sha1-modp4096,aes128-sha256-modp1536,aes128-sha1-modp1536,aes256-sha384-modp2048,aes256-sha256-modp2048,aes256-sha1-modp2048,aes128-sha256-modp1024,aes128-sha1-modp1024,aes256-sha384-modp1536,aes256-sha256-modp1536,aes256-sha1-modp1536,aes256-sha384-modp1024,aes256-sha256-modp1024,aes256-sha1-modp1024,aes128gcm16,aes256gcm16,aes128-sha256,aes128-sha1,aes256-sha384,aes256-sha256,aes256-sha1!     dpdaction=clear     dpddelay=300s     rekey=no     left=%any     leftsubnet=0.0.0.0\/0     leftcert=swan.pem     right=%any     rightdns=8.8.8.8,8.8.4.4     rightsourceip=172.16.4.0\/23  conn IPSec-IKEv2     keyexchange=ikev2     auto=add  conn IPSec-IKEv2-EAP     also=\"IPSec-IKEv2\"     rightauth=eap-mschapv2     rightauthby2=pubkey     rightsendcert=never     eap_identity=%any  conn CiscoIPSec     keyexchange=ikev1     forceencaps=yes     authby=xauthrsasig     xauth=server     auto=add<\/code><\/pre>\n<p>\u041a\u043b\u0438\u0435\u043d\u0442\u0430\u043c StrongSwan \u043d\u0443\u0436\u043d\u044b \u0431\u0443\u0434\u0443\u0442 \u0441\u0432\u043e\u0438 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u0432 P12. \u0414\u043b\u044f OpenVPN \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c pem, \u043b\u0438\u0431\u043e \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 eToken,ruToken,JaCarta \u0438 \u043f\u0440. &#8212; pfx \u0441 \u043f\u0430\u0440\u043e\u043b\u0435\u043c. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0432\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0435 \u0432 easyrsa \u043a\u043e\u043c\u0430\u043d\u0434\u043b\u0435\u0442\u044b. export-p7, export-p12.<\/p>\n<h2>\u042d\u0442\u0430\u043f 4. \u0412\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438<\/h2>\n<p>\u0414\u043b\u044f \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438 \u0432\u043d\u043e\u0441\u0438\u043c \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0432 sysctl. \/etc\/sysctl.d\/10-forward.conf<\/p>\n<pre><code>net.ipv4.ip_forward=1 net.ipv6.conf.all.forwarding=1 # \u0412\u043a\u043b\u044e\u0447\u0430\u0435\u043c \"\u043d\u0430 \u043b\u0435\u0442\u0443\". \u041f\u043e\u0441\u043b\u0435 \u043f\u0435\u0440\u0435\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u041e\u0421 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u043f\u043e\u0434\u0442\u044f\u043d\u0443\u0442\u0441\u044f \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438. sysctl -p \/etc\/sysctl.d\/10-forward.conf<\/code><\/pre>\n<h2>\u041f\u043e\u0441\u043b\u0435\u0441\u043b\u043e\u0432\u0438\u0435<\/h2>\n<p>\u041d\u0443 \u0438 \u0432 \u043a\u043e\u043d\u0446\u0435, \u043f\u043e\u0441\u043b\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0445 VPN-\u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u043d\u0435 \u0437\u0430\u0431\u044b\u0432\u0430\u0439\u0442\u0435 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0442\u044c \u0434\u043b\u044f \u043d\u0438\u0445 \u0432\u0445\u043e\u0434\u044f\u0449\u0438\u0435 \u0438 \u0438\u0441\u0445\u043e\u0434\u044f\u0449\u0438\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043d\u0430 FW. \u0422\u0430\u043a\u0436\u0435 \u0434\u043b\u044f \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438 \u0438 NAT \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043f\u0440\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0442\u044c \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u041c\u042d.<\/p>\n<h2>\u041f\u043e\u043b\u0435\u0437\u043d\u044b\u0435 \u0441\u0441\u044b\u043b\u043a\u0438<\/h2>\n<ul>\n<li>\n<p><a href=\"https:\/\/docs.suricata.io\/\" rel=\"noopener noreferrer nofollow\">\u041e\u0444.\u0441\u0430\u0439\u0442 Suricata.<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/bogachev.biz\/2015\/09\/29\/ustanovka-i-nastroika-ipsec-vpn-servera-s-strongswan-centos-7\/\" rel=\"noopener noreferrer nofollow\">\u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 StrongSwan \u043d\u0430 Centos 7<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/easy-rsa.readthedocs.io\/en\/latest\/\" rel=\"noopener noreferrer nofollow\">\u0423\u0442\u0438\u043b\u0438\u0442\u0430 easyrsa<\/a><\/p>\n<\/li>\n<\/ul>\n<\/div>\n<\/div>\n<\/div>\n<p><!----><!----><\/div>\n<p><!----><!----><br \/> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/766862\/\"> https:\/\/habr.com\/ru\/articles\/766862\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<h4>\u0412 \u044d\u0442\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u0445\u043e\u0447\u0443 \u043f\u043e\u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u043e\u043f\u044b\u0442\u043e\u043c \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u044d\u043a\u0440\u0430\u043d\u0430 \u043d\u0430 \u0431\u0430\u0437\u0435 Linux RHEL, \u0432 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438 RedOS.<\/h4>\n<p>\u0427\u0442\u043e \u0436\u0435 \u0438\u0437 \u0441\u0435\u0431\u044f \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 NGFW (Next Generation Firewall)? \u0417\u0430 \u043e\u0441\u043d\u043e\u0432\u0443 \u044f \u0432\u0437\u044f\u043b \u043c\u043e\u0434\u0435\u043b\u044c FW Check Point. \u0410 \u0437\u043d\u0430\u0447\u0438\u0442, \u043a\u0430\u043a \u043c\u0438\u043d\u0438\u043c\u0443\u043c:<\/p>\n<ul>\n<li>\n<p>Firewall Blade &#8212; \u0421\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0441\u0430\u043c \u0431\u0440\u0430\u043d\u0434\u043c\u0430\u0443\u044d\u0440<\/p>\n<\/li>\n<li>\n<p>IPS &#8212; Intruder Prevention System &#8212; \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0438 \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0438 \u0430\u0442\u0430\u043a \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043f\u043e \u0431\u0430\u0437\u0435 \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440<\/p>\n<\/li>\n<li>\n<p>IPSec &#8212; \u043f\u043e\u0441\u0442\u0440\u043e\u0435\u043d\u0438\u0435 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u0435\u0439 (site-2-site, client-2-site)<\/p>\n<\/li>\n<li>\n<p>Application Control \/ URL Filtering &#8212; \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u0438 \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044f \u043f\u043e URL<\/p>\n<\/li>\n<li>\n<p>Antivirus \/ AntiBot &#8212; \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043d\u0430 \u0432\u0438\u0440\u0443\u0441\u044b\/\u0431\u043e\u0442\u044b \u043d\u0430 \u043b\u0435\u0442\u0443, \u0430\u043d\u0430\u043b\u0438\u0437 \u043f\u0430\u043a\u0435\u0442\u043e\u0432<\/p>\n<\/li>\n<li>\n<p>SandBlast &#8212; \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u0430 \u0441 \u043e\u0447\u0438\u0441\u0442\u043a\u043e\u0439 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0432 \u0444\u0430\u0439\u043b\u0430\u0445<\/p>\n<\/li>\n<\/ul>\n<p>\u041d\u0430 \u0442\u0435\u043a\u0443\u0449\u0438\u0439 \u043c\u043e\u043c\u0435\u043d\u0442 \u0438\u0437 \u0432\u0441\u0435\u0433\u043e \u0441\u043f\u0438\u0441\u043a\u0430 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043e \u0442\u043e\u043b\u044c\u043a\u043e FW, IPS, IPSec VPN. \u041d\u0430\u043f\u043e\u043c\u043d\u044e, \u0447\u0442\u043e \u0432\u0441\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b OpenSource, \u0430 \u0441\u0430\u043c\u0430 RedOS \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u0430 \u0434\u043b\u044f \u0434\u043e\u043c\u0430\u0448\u043d\u0435\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f. <\/p>\n<p>\u0412\u0435\u0440\u0441\u0438\u0438 \u041f\u041e:<br \/><em>RedOS Murom 7.3.3 (server-minimal)<br \/>Suricata 7.0.1<br \/>WireGuard 1.0<br \/>OpenVPN 2.6.0<br \/>ShadowSocks 2.9.1<br \/>StrongSwan 5.9.9<\/em><\/p>\n<p>\u0412 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 FW \u0431\u0443\u0434\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c nftables (\u0432 RedOS \u043e\u043d \u0445\u043e\u0442\u044c \u0438 \u0432\u0441\u0442\u0440\u043e\u0435\u043d \u0432 \u044f\u0434\u0440\u043e, \u0441\u0430\u043c\u043e\u0439 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u043d\u0435\u0442, \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u0430\u0434\u043c\u0438\u043d \u0441\u0430\u043c \u0432\u044b\u0431\u0435\u0440\u0435\u0442 \u0443\u0442\u0438\u043b\u0438\u0442\u0443 firewalld, nft, iptables)<\/p>\n<p>\u041f\u0440\u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 \u0432\u0441\u0435\u0445 VPN-\u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u0432\u0430\u0436\u043d\u043e \u0437\u043d\u0430\u0442\u044c, \u0447\u0442\u043e \u0441\u0435\u0442\u0438, \u0432\u044b\u0434\u0430\u0432\u0430\u0435\u043c\u044b\u0435 \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u043c \u043d\u0435 \u0434\u043e\u043b\u0436\u043d\u044b \u043f\u0435\u0440\u0435\u0441\u0435\u043a\u0430\u0442\u044c\u0441\u044f, \u043f\u043e\u0432\u0442\u043e\u0440\u044f\u0442\u044c\u0441\u044f \u0438 \u0442.\u043f.<\/p>\n<p>\u0421\u0440\u0430\u0437\u0443 \u043e\u0433\u043e\u0432\u043e\u0440\u044e, \u0432\u0441\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043b\u0443\u0447\u0448\u0435 \u0434\u0435\u043b\u0430\u0442\u044c \u043f\u043e\u0434 root. \u0421\u0435\u0439\u0447\u0430\u0441 \u0432 \u043c\u0435\u043d\u044f \u043f\u043e\u0441\u044b\u043f\u044f\u0442\u0441\u044f \u0445\u0435\u0439\u0442\u044b, \u043e\u0434\u043d\u0430\u043a\u043e \u0441\u0440\u0430\u0437\u0443 \u0441\u043e\u043e\u0431\u0449\u0443, NGFW &#8212; \u044d\u0442\u043e \u043d\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0430\u044f \u0437\u0430\u0434\u0430\u0447\u0430. \u0418 \u0434\u0430, SSH-\u0434\u043e\u0441\u0442\u0443\u043f \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0442\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u043b\u044f \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0445 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u043e\u0432, \u0441 \u0432\u043d\u0435\u0448\u043d\u0435\u0439 \u0441\u0442\u043e\u0440\u043e\u043d\u044b \u0435\u0433\u043e \u043b\u0443\u0447\u0448\u0435 \u043d\u0435 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0442\u044c. \u0422\u0430\u043a\u0436\u0435 PermitRootLogin \u0441\u0442\u0430\u0432\u0438\u0442\u044c no, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c sudoers \u0438 \u0442.\u043f. \u0438 \u0436\u0435\u043b\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c ssh-\u043a\u043b\u044e\u0447\u0438 \u0441 \u043f\u0430\u0440\u043e\u043b\u0435\u043c. \u0418 \u0434\u0430, \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 Listen \u0432 \/etc\/ssh\/sshd_config \u043b\u0443\u0447\u0448\u0435 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0439 IP \u0438\u0437 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u0441\u0435\u0442\u0438.<\/p>\n<h2>\u0418\u0442\u0430\u043a, \u043f\u0440\u0438\u0441\u0442\u0443\u043f\u0438\u043c. \u042d\u0442\u0430\u043f 1. \u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 FW<\/h2>\n<p>\u0420\u0430\u0437\u0443\u043c\u0435\u0435\u0442\u0441\u044f \u043f\u0435\u0440\u0432\u044b\u043c, \u0430 \u0432\u0435\u0440\u043d\u0435\u0435 \u043d\u0443\u043b\u0435\u0432\u044b\u043c \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435\u043c \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0447\u0438\u0441\u0442\u043e\u0439 \u041e\u0421 \u0435\u0435 \u043d\u0430\u0434\u043e \u043e\u0431\u043d\u043e\u0432\u0438\u0442\u044c.<\/p>\n<pre><code class=\"bash\">dnf update -y reboot<\/code><\/pre>\n<p>\u0412\u043e-\u043f\u0435\u0440\u0432\u044b\u0445 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c \u0438 \u043f\u0440\u0435\u0434\u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c FW, \u0434\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0441\u0442\u0430\u0432\u0438\u043c \u0438 \u043d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c nftables. \u041f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c, \u0447\u0442\u043e \u0436\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043e.<\/p>\n<pre><code class=\"bash\">iptables -V iptables v1.8.9 (nf_tables)<\/code><\/pre>\n<p>\u0412 \u0432\u044b\u0432\u043e\u0434\u0435 nf_tables \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u0432 \u044f\u0434\u0440\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f nftables. \u0412 \u043c\u043e\u0435\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b mininal server \u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0446\u0438\u044e, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043d\u0438\u043a\u0430\u043a\u0438\u0445 &#171;\u043e\u0431\u0432\u0435\u0441\u043e\u0432&#187; \u0443 \u043c\u0435\u043d\u044f \u043d\u0435\u0442. \u041d\u043e \u0434\u043b\u044f \u043e\u0431\u0449\u0435\u0433\u043e \u0441\u043b\u0443\u0447\u0430\u044f \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0438 \u043f\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043b\u0438\u0448\u043d\u0435\u0435<\/p>\n<details class=\"spoiler\">\n<summary>\u0423\u0434\u0430\u043b\u044f\u0435\u043c \u043e\u0431\u0432\u0435\u0441\u044b nftables<\/summary>\n<div class=\"spoiler__content\">\n<pre><code class=\"bash\">systemctl status firewalld systemctl stop firewalld systemctl disable firewalld dnf remove firewalld<\/code><\/pre>\n<\/p>\n<\/div>\n<\/details>\n<p>\u041f\u0440\u043e\u0432\u0435\u0440\u0438\u043c \u0432\u0441\u0435 \u043b\u0438 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0435 \u043c\u043e\u0434\u0443\u043b\u0438 \u044f\u0434\u0440\u0430 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u044b. xt_conntrack \/ nf_conntrack (\u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u044f \u0441\u0435\u0441\u0441\u0438\u0439) \u0438 802.1q (\u0434\u043b\u044f \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 VLAN)<\/p>\n<pre><code>lsmod | grep xt_conntrack lsmod | grep 8021q<\/code><\/pre>\n<p>\u0415\u0441\u043b\u0438 \u0442\u0430\u043a\u043e\u0432\u044b\u0445 \u043d\u0435\u0442, \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c, \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b \u043b\u0438 \u044d\u0442\u0438 \u043c\u043e\u0434\u0443\u043b\u0438<\/p>\n<pre><code>modprobe xt_conntrack modprobe 8021q<\/code><\/pre>\n<p>\u0415\u0441\u043b\u0438 \u043e\u0448\u0438\u0431\u043e\u043a \u043d\u0435\u0442, \u0442\u043e \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u043c \u043c\u043e\u0434\u0443\u043b\u0438 \u0434\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432 boot time. \u0421\u043e\u0437\u0434\u0430\u0435\u043c \u0444\u0430\u0439\u043b \/etc\/modules-load.d\/mymod.conf<\/p>\n<pre><code>xt_conntrack 8021q<\/code><\/pre>\n<p>\u0422\u0435\u043f\u0435\u0440\u044c \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043c \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u0443\u044e \u0443\u0442\u0438\u043b\u0438\u0442\u0443 nft \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u043c \u0437\u0430\u043f\u0443\u0441\u043a \u0441\u043b\u0443\u0436\u0431\u044b<\/p>\n<pre><code class=\"bash\">dnf install nftables systemctl enable nftables --now<\/code><\/pre>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0432 \u0444\u0430\u0439\u043b\u0435 \/etc\/sysconfig\/nftables.conf \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u043c \u043e\u0442\u043a\u0443\u0434\u0430 \u043f\u043e\u0434\u0433\u0440\u0443\u0436\u0430\u0442\u044c \u043a\u043e\u043d\u0444\u0438\u0433 FW<\/p>\n<pre><code class=\"bash\">include \"\/etc\/nftables\/mynetworkfw.nft\"<\/code><\/pre>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0435\u0441\u0442\u044c 2 \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0430 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0444\u0430\u0439\u0440\u0432\u043e\u043b\u043e\u043c, \u0447\u0435\u0440\u0435\u0437 \u043a\u043e\u043d\u0444\u0438\u0433 \u0438 \u0441\u043b\u0443\u0436\u0431\u0443, \u043b\u0438\u0431\u043e \u043f\u0440\u044f\u043c\u044b\u043c\u0438 \u043a\u043e\u043c\u0430\u043d\u0434\u0430\u043c\u0438 nft \u0438 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435\u043c \u043a\u043e\u043d\u0444\u0438\u0433\u0430 nft list ruleset >\/etc\/nftables\/mynetworkfw.nft.\u041f\u0440\u0438\u043d\u0446\u0438\u043f\u0438\u0430\u043b\u044c\u043d\u043e \u0440\u0430\u0437\u043d\u0438\u0446\u044b \u043d\u0435\u0442, \u043e\u0434\u043d\u0430\u043a\u043e \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0435 \u0441\u043b\u0443\u0436\u0431\u044b Handle \u043f\u0440\u0430\u0432\u0438\u043b \u0431\u0443\u0434\u0435\u0442 \u043e\u0431\u043d\u0443\u043b\u044f\u0442\u044c\u0441\u044f (\u0442\u043e \u0436\u0435 \u0441\u0430\u043c\u043e\u0435 \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432 \u0446\u0435\u043b\u043e\u043c). \u041f\u0440\u0438 \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u0440\u0430\u0432\u0438\u043b \u0447\u0435\u0440\u0435\u0437 \u043a\u043e\u043c\u0430\u043d\u0434\u044b nft, Handle \u0431\u0443\u0434\u0435\u0442 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u043c.<\/p>\n<p>\u0422\u0435\u043f\u0435\u0440\u044c \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c \u0434\u0435\u0444\u043e\u043b\u0442\u043e\u0432\u044b\u0439 \u043a\u043e\u043d\u0444\u0438\u0433 nftables. \u0412 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438, input\/output \u0438 \u0441\u0430\u043c\u0430 \u0446\u0435\u043f\u043e\u0447\u043a\u0430 forward. \u041d\u0438\u0436\u0435 \u043f\u0440\u0438\u0432\u0435\u0434\u0443 \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \/etc\/nftables\/mynetworkfw.nft<\/p>\n<pre><code class=\"bash\">table inet fw {         chain incoming {                 type filter hook input priority filter; policy drop;                 ct state established,related accept                 ip saddr { 192.168.10.50, 192.168.20.25 } tcp dport 22 counter accept comment \"SSH_admin\"                 iifname \"lo\" accept comment \"Localhost\"                 # IPSec VPN Clients                 udp port 1194 counter accept comment \"OpenVPN_clients\"                 udp port 51820 counter accept comment \"WireGuard_clients\"                 udp port { 4500,500 } counter accept comment \"IPSec_IKEv2_clients\"                 tcp port 26789 counter accept comment \"ShadowSocks_clients\"         }          chain outgoing {                 type filter hook output priority filter; policy drop;                 ct state established,related accept                 ip daddr 192.168.1.1 udp dport 53 oifname \"ens224.40\" counter accept comment \"DNS_UDP_requests\"                 ip daddr 192.168.1.1 tcp dport 53 oifname \"ens224.40\" counter accept comment \"DNS_TCP_requests\"                 tcp dport { 80, 443, 21 } counter accept comment \"FW_to_Inet\"                 oifname \"lo\" accept comment \"Localhost\"         }          chain forwarding {                 type filter hook forward priority filter; policy drop;                 ct state established,related accept                 counter queue to 0         } }<\/code><\/pre>\n<p>\u041f\u043e\u044f\u0441\u043d\u044e \u043f\u043e \u043a\u043e\u043d\u0444\u0438\u0433\u0443, 192.168.10.50, 192.168.20.25 \u044d\u0442\u043e IP-\u0430\u0434\u0440\u0435\u0441\u0430 \u0430\u0434\u043c\u0438\u043d\u043e\u0432 NGFW. 192.168.1.1 \u044d\u0442\u043e \u043d\u0430\u0448 \u0440\u043e\u0443\u0442\u0435\u0440, \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u044b\u0439 \u0432 \u0438\u043d\u0435\u0442 \u0438 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u044e\u0449\u0438\u0439 NAT \u0438 \u0438\u0433\u0440\u0430\u044e\u0449\u0438\u0439 \u0440\u043e\u043b\u044c DNS-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u0441\u0435\u0442\u0438. \u0420\u0430\u0437\u0443\u043c\u0435\u0435\u0442\u0441\u044f \u044d\u0442\u043e \u043b\u0438\u0448\u044c \u043f\u0440\u0438\u043c\u0435\u0440. \u041e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435, \u0447\u0442\u043e \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044f \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0430 \u0432\u0445\u043e\u0434 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443, \u043d\u043e \u0438 \u043d\u0430 \u0432\u044b\u0445\u043e\u0434. \u041a\u043e\u0433\u0434\u0430 \u0437\u0430\u043a\u043e\u043d\u0447\u0438\u043c \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0443 NGFW \u043e\u0441\u043d\u043e\u0432\u043d\u0430\u044f \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u0431\u0443\u0434\u0435\u0442 \u0438\u043c\u0435\u043d\u043d\u043e forwarding, \u0442\u0443\u0442 \u0431\u0443\u0434\u0443\u0442 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 NGFW. \u0417\u0430\u0431\u0435\u0433\u0430\u044e \u043d\u0430\u043f\u0435\u0440\u0435\u0434, counter queue to 0 &#8212; \u044d\u0442\u043e \u0443\u0436\u0435 IPS-\u043f\u0440\u0430\u0432\u0438\u043b\u043e, \u0435\u0433\u043e \u043d\u0430\u0434\u043e \u0431\u0443\u0434\u0435\u0442 \u0443\u043a\u0430\u0437\u0430\u0442\u044c \u0443\u0436\u0435 \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 Suricata. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u0432 FW \u0443\u0436\u0435 \u043f\u0440\u0435\u0434\u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043d\u044b \u043a\u043b\u0438\u0435\u043d\u0442\u044b VPN \u0441 \u043f\u043e\u0440\u0442\u0430\u043c\u0438 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e. \u0415\u0441\u043b\u0438 \u043f\u043e\u0440\u0442\u044b \u0432 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430\u0445 VPN-\u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0435 \u0434\u0440\u0443\u0433\u0438\u0435, \u0442\u043e \u0438 \u0432 FW \u0438\u0445 \u043d\u0430\u0434\u043e \u0443\u0447\u0435\u0441\u0442\u044c. \u0418\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u044b ens192 (external) \u0438 ens224 (internal), \u043d\u0430 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0438\u0439 \u0438\u0437 \u043d\u0438\u0445 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 trunc (802.1q). \u0412\u0441\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u0432 \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u044e\u0442\u0441\u044f \/etc\/sysconfig\/network-scripts\/, \u0433\u0434\u0435 ifcfg-&lt;interface> &#8212; \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430, route-&lt;interface> \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u043e\u0432 \u0435\u0441\u043b\u0438 \u043d\u0430 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0435 \u0438\u0445 \u043d\u0435 1. \u041f\u0440\u0438\u043c\u0435\u0440\u044b \u0442\u0430\u043a\u0438\u0445 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a \u0432 \u0441\u043f\u043e\u0439\u043b\u0435\u0440\u0435<\/p>\n<details class=\"spoiler\">\n<summary>\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u0432<\/summary>\n<div class=\"spoiler__content\">\n<p>ifcfg-ens192<\/p>\n<pre><code>TYPE=\"Ethernet\" PROXY_METHOD=\"none\" BROWSER_ONLY=\"no\" BOOTPROTO=\"manual\" DEFROUTE=\"yes\" IPV4_FAILURE_FATAL=\"no\" IPV6INIT=\"yes\" IPV6_AUTOCONF=\"yes\" IPV6_DEFROUTE=\"yes\" IPV6_FAILURE_FATAL=\"no\" IPV6_ADDR_GEN_MODE=\"stable-privacy\" NAME=\"ens192\" DEVICE=\"ens192\" ONBOOT=\"yes\" UUID=\"3cec767a-e4ba-3130-839e-5588d3602a81\" IPADDR=\"192.168.1.254\" NETMASK=\"255.255.255.0\" GATEWAY=\"192.168.1.1\" DNS1=\"192.168.1.1\" DNS2=\"8.8.8.8\"<\/code><\/pre>\n<p>\u0443\u0437\u043d\u0430\u0442\u044c UUID \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 \u043c\u043e\u0436\u043d\u043e \u0447\u0435\u0440\u0435\u0437 nmcli con show<\/p>\n<p>\u043e\u0442\u0441\u044e\u0434\u0430 DNS \u043f\u043e\u043f\u0430\u0434\u0443\u0442 \u0432 \/etc\/resolv.conf, \u0430 GATEWAY \u0432 \u0442\u0430\u0431\u043b\u0438\u0446\u0443 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438, DEFROUTE=yes \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u043c\u0430\u0440\u0448\u0440\u0443\u0442 0.0.0.0\/0.0.0.0 \u0431\u0443\u0434\u0435\u0442 \u0447\u0435\u0440\u0435\u0437 GATEWAY<\/p>\n<p>ifcfg-ens224<\/p>\n<pre><code>BOOTPROTO=\"none\" DEVICE=\"ens224\" ONBOOT=\"yes\" TYPE=\"Ethernet\"<\/code><\/pre>\n<p>\u041e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435, \u0447\u0442\u043e \u0437\u0434\u0435\u0441\u044c \u043d\u0435\u0442 \u043e\u0441\u043e\u0431\u043e \u043d\u0438\u043a\u0430\u043a\u0438\u0445 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a. \u042d\u0442\u043e \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044f \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 \u0434\u043b\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0432 802.1q. UUID \u0437\u0434\u0435\u0441\u044c \u0442\u0430\u043a\u0436\u0435 \u043d\u0435 \u0443\u043a\u0430\u0437\u0430\u043d, \u0447\u0442\u043e\u0431\u044b NetworkManager \u043d\u0435 \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u043b \u044d\u0442\u043e\u0439 \u0437\u0430\u0433\u043b\u0443\u0448\u043a\u043e\u0439.<\/p>\n<p>ifcfg-ens224.20<\/p>\n<pre><code>DEVICE=ens224.20 BOOTPROTO=none ONBOOT=yes IPADDR=192.168.20.1 PREFIX=24 NETWORK=192.168.20.0 VLAN=yes<\/code><\/pre>\n<p>\u043f\u043e\u0441\u043b\u0435 \u0440\u0430\u0441\u043f\u0438\u0441\u044b\u0432\u0430\u043d\u0438\u044f \u0432\u0441\u0435\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0439, \u0440\u0435\u0441\u0442\u0430\u0440\u0442\u0430\u043d\u0435\u043c NetworkManager<\/p>\n<p><code>systemctl restart NetworkManager<\/code><\/p>\n<\/div>\n<\/details>\n<p>\u0418\u0442\u0430\u043a, \u043f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u043b\u0438 FW. \u043f\u0440\u0430\u0432\u0438\u043b\u0430 FW \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u044e\u0442\u0441\u044f &#171;\u043d\u0430 \u043b\u0435\u0442\u0443&#187;, \u0430 \u0437\u043d\u0430\u0447\u0438\u0442 \u043f\u0440\u0438 \u0440\u0443\u0447\u043d\u043e\u043c \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u0438\u0438 \u043f\u0440\u0430\u0432\u0438\u043b \u0447\u0435\u0440\u0435\u0437 \u043a\u043e\u043c\u0430\u043d\u0434\u0443 nft, \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u044f chain \u0432 \u0442\u0430\u0431\u043b\u0438\u0446\u0435 \u043d\u0435 \u0441\u043f\u0435\u0448\u0438\u0442\u0435 \u0441\u0442\u0430\u0432\u0438\u0442\u044c drop, \u043f\u0435\u0440\u0432\u043e\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e \u043b\u0443\u0447\u0448\u0435 \u0441\u0442\u0430\u0432\u0438\u0442\u044c accept, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u043f\u043e\u0442\u0435\u0440\u044f\u0442\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443.<\/p>\n<h2>\u042d\u0442\u0430\u043f 2. \u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 Suricata.<\/h2>\n<p>\u041f\u043e \u0434\u0435\u0444\u043e\u043b\u0442\u0443, \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 Fedora Extra (epel) \u0435\u0441\u0442\u044c \u043f\u0430\u043a\u0435\u0442 Suricata, \u043e\u0434\u043d\u0430\u043a\u043e \u043e\u043d \u0441\u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u043d \u0441 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f\u043c\u0438, \u0434\u0430 \u0438 \u0432\u0435\u0440\u0441\u0438\u044f Python \u043d\u0430\u0441 \u043d\u0435 \u0443\u0441\u0442\u0440\u043e\u0438\u0442, \u0442\u0430\u043a \u0447\u0442\u043e \u043f\u0440\u0438\u0434\u0435\u0442\u0441\u044f \u0441\u043e\u0431\u0438\u0440\u0430\u0442\u044c \u0438\u0437 \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a\u043e\u0432. \u0423\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043c \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0439 epel, \u0441\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a Suricata \u0438 \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c \u043d\u0443\u0436\u043d\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u0434\u043b\u044f \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438.<\/p>\n<pre><code class=\"bash\">wget https:\/\/dl.fedoraproject.org\/pub\/epel\/epel-release-latest-7.noarch.rpm yum localinstall epel-release-latest-7.noarch.rpm cd \/usr\/src wget https:\/\/www.openinfosecfoundation.org\/download\/suricata-7.0.1.tar.gz tar xzvf suricata-7.0.1.tar.gz rm -f suricata-7.0.1.tar.gz cd suricata-7.0.1\/ dnf groupinstall \"Development Tools\" dnf install -y pcre2-devel libyaml-devel jansson-devel libpcap-devel pcapy python3-pcapy libcap-ng-devel file-devel lz4-devel rustc cargo dnf install -y libunwind libunwind-devel GeoIP-devel zlib zlib-devel libnetfilter_queue-devel libnetfilter_log-devel .\/configure --enable-nfqueue --enable-nflog --prefix=\/usr\/ --sysconfdir=\/etc\/ --localstatedir=\/var\/ curl https:\/\/bootstrap.pypa.io\/get-pip.py -o get-pip.py python get-pip.py python -m pip install pyyaml make make install-full<\/code><\/pre>\n<p>\u0414\u0430\u043b\u044c\u0448\u0435 \u043d\u0430\u043c \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043f\u043e\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043c\u043e\u043c\u0435\u043d\u0442\u043e\u0432. \u0412\u043e-\u043f\u0435\u0440\u0432\u044b\u0445, \u043d\u0430\u0434\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u0437\u0430\u043f\u0443\u0441\u043a \u0441\u043b\u0443\u0436\u0431\u044b suricata. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0441\u043e\u0437\u0434\u0430\u0435\u043c \u0444\u0430\u0439\u043b \/usr\/lib\/systemd\/system\/suricata.service<\/p>\n<pre><code>[Unit] Description=Suricata IDS\/IDP daemon After=network.target Requires=network.target Documentation=man:suricata(8) man:suricatasc(8) Documentation=https:\/\/redmine.openinfosecfoundation.org\/projects\/suricata\/wiki  [Service] Type=forking Environment=LD_PREDLOAD=\/usr\/lib\/libtcmalloc_minimal.so.4 Environment=CFG=\/etc\/suricata\/suricata.yaml PID=\/var\/run\/suricata\/suricata.pid CapabilityBoundingSet=CAP_NET_ADMIN PIDFile=\/var\/run\/suricata\/suricata.pid ExecStart=\/usr\/bin\/suricata -D -q 0 -q 1 -c $CFG --pidfile $PID -D ExecReload=\/bin\/kill -HUP $MAINPID ExecStop=\/bin\/kill $MAINPID PrivateTmp=yes InaccessibleDirectories=\/home \/root ReadOnlyDirectories=\/boot \/usr \/etc  [Install] WantedBy=multi-user.target<\/code><\/pre>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0434\u0435\u043b\u0430\u0435\u043c <code>chmod 755 \/usr\/lib\/systemd\/system\/suricata.service<\/code> \u0438 <code>systemctl daemon-reload<\/code>. \u041f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u043f\u0440\u0430\u0432\u0430 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a \u0441\u043e\u0437\u0434\u0430\u043d\u043d\u044b\u043c \u043f\u0430\u043f\u043a\u0430\u043c, \u0444\u0430\u0439\u043b\u0430\u043c, \u0438 \u0442.\u0434. \/var\/run\/suricata, \/etc\/suricata\/, \/var\/log\/suricata. \u0415\u0441\u043b\u0438 \u0432\u0441\u0435 \u043f\u0440\u0430\u0432\u0430 \u0432\u044b\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u0432\u0435\u0440\u043d\u043e, \u0437\u043d\u0430\u0447\u0438\u0442 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0441 \u0437\u0430\u043f\u0443\u0441\u043a\u043e\u043c \u043d\u0435 \u0432\u043e\u0437\u043d\u0438\u043a\u043d\u0435\u0442. \u0417\u0430\u043f\u0443\u0441\u043a\u0430\u043c \u0441\u043b\u0443\u0436\u0431\u0443 \u0438 \u0441\u0442\u0430\u0432\u0438\u043c \u0432 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a. <code>systemctl enable suricata --now<\/code><\/p>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0432 cron \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u043c \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u0431\u0430\u0437 \u0438 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u044d\u0442\u0438\u0445 \u043f\u0440\u0430\u0432\u0438\u043b. <code>crontab -e<\/code><\/p>\n<pre><code>0 0 * * * \/usr\/lib\/suricata-update >>\/var\/log\/suricata\/update.log 5 0 * * * \/usr\/lib\/suricatasc -c reload-rules<\/code><\/pre>\n<h2>\u042d\u0442\u0430\u043f 3. \u0427\u0430\u0441\u0442\u044c 1. \u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 WireGuard<\/h2>\n<p>\u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 WireGuard \u0432 RedOS \u0437\u0430\u0434\u0430\u0447\u0430 \u043d\u0435 \u0442\u0440\u0438\u0432\u0438\u0430\u043b\u044c\u043d\u0430\u044f.<\/p>\n<p>\u0414\u043b\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-357267","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/357267","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=357267"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/357267\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=357267"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=357267"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=357267"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}