Cách mở cổng trong Linux

Cần kết nối với PC hoặc máy chủ bên ngoài — hoặc cần một PC hoặc máy chủ khác để kết nối với bạn? Nếu đang chạy Linux, bạn cần đảm bảo rằng cổng bên phải đang mở.

Trong khi các hệ điều hành khác thường có một số công cụ đồ họa cho việc này, thì Linux không đơn giản như vậy. Chúng tôi sẽ hướng dẫn bạn cách mở các cổng trong Linux dưới đây.

Cổng là gì và tại sao tôi cần mở cổng?

Cổng là một điểm cuối trên mạng. Hãy nghĩ về nó giống như một cánh cửa dẫn đến một căn phòng cụ thể hoặc thế giới bên ngoài, nhưng trên máy tính của bạn. Mọi thứ bạn làm trên internet đều sử dụng một cổng cụ thể hoặc một loạt cổng.

Ví dụ: giả sử bạn muốn chạy máy chủ Minecraft của riêng mình. Để làm như vậy, bạn sẽ cần mở một cổng để người dùng kết nối với nó. Điều tương tự cũng sẽ áp dụng cho việc chạy máy chủ web, thư hoặc FTP của riêng bạn.

Các cổng được chuẩn hóa trên tất cả các thiết bị được kết nối mạng. 1.024 cổng đầu tiên (từ 0 đến 1023) được gọi là số cổng nổi tiếng . Chúng được dành riêng cho các dịch vụ được sử dụng phổ biến nhất, chẳng hạn như HTTP và HTTP (cổng 80 và 443, tương ứng) và SSH (cổng 22).

Số cổng trên 1024 được gọi là cổng tạm thời và thường có sẵn để bạn sử dụng cho trò chơi trực tuyến, máy chủ web riêng, v.v. Số cổng từ 1024 đến 49151 được gọi là cổng đã đăng ký hoặc cổng người dùng , trong khi các cổng từ 49152 đến 65535 được gọi là cổng động hoặc cổng riêng .

Liệt kê các cổng mở trên Linux

Trước khi bắt đầu cố gắng mở một cổng trên Linux, bạn nên đảm bảo rằng nó chưa được sử dụng. Bạn có thể thực hiện điều này bằng cách sử dụng lệnh netstat , có trên hầu hết các bản phân phối Linux. Nếu bản phân phối của bạn không có netstat , bạn có thể sử dụng ss để thay thế.

netstat -lntu

Thao tác này sẽ in tất cả các ổ cắm nghe ( -l ), cùng với số cổng ( -n ). Nó bao gồm các cổng TCP ( -t ) cũng như UDP ( -u ). Nếu hệ thống của bạn không có netstat , chỉ cần sử dụng ss có cùng thông số.

ss -lntu

Cách mở cổng trong Linux

Vì lợi ích của ví dụ này, chúng tôi sẽ giả sử chúng tôi muốn mở cổng 4000 thành các kết nối TCP. Trước tiên, chúng tôi cần đảm bảo rằng cổng chưa được sử dụng. Chúng tôi làm điều này thông qua netstat hoặc ss .

netstat -na | grep :4000 ss -na | grep :4000

Giả sử đầu ra trống, chúng ta có thể thêm các quy tắc cổng thích hợp vào tường lửa của hệ thống. Các phương pháp cho việc này sẽ khác nhau tùy thuộc vào bản phân phối của bạn và liệu nó có sử dụng tường lửa ufw hay firewalld mới hơn hay không . Ubuntu ủng hộ ufw , trong khi CentOS thường sử dụng firewalld để thay thế. Tất nhiên, vẫn có một số bản phân phối Linux sử dụng tường lửa iptables cũ hơn .

Đối với người dùng Ubuntu và các hệ thống dựa trên tường lửa ufw khác

Thay vì sử dụng tường lửa iptables cũ hơn , Ubuntu và một số bản phân phối khác sử dụng ufw . Trong các hệ thống này, lệnh sau sẽ mở cổng.

sudo ufw allow 4000

Bỏ qua một vài bước tiếp theo và kiểm tra cổng mới mở của bạn để đảm bảo rằng nó đang hoạt động.

Cách mở cổng trong Linux bằng CentOS và các hệ thống dựa trên firewalld khác

Nếu hệ thống của bạn sử dụng firewalld , tốt nhất bạn nên sử dụng lệnh firewall-cmd để cập nhật các quy tắc.

sudo firewall-cmd --add-port=4000/tcp

Đây sẽ không phải là một thay đổi vĩnh viễn, nhưng chúng tôi sẽ đề cập đến cách làm cho các quy tắc vẫn tồn tại sau khi khởi động lại khi chúng tôi kiểm tra cổng.

Đối với các bản phân phối Linux khác

Nếu hệ thống Linux của bạn không có ufw hoặc firewalld , bạn sẽ cần sử dụng iptables . Nếu nó chưa được cài đặt, hãy tiếp tục và tải nó bằng cách sử dụng trình quản lý gói bạn chọn. Khi nó được cài đặt, các lệnh này sẽ mở cổng 4000:

sudo iptables -A INPUT -p tcp --dport 4000 -j ACCEPT sudo service iptables restart

Nếu hệ thống của bạn sử dụng systemctl , hãy thay thế lệnh thứ hai bằng:

sudo systemctl restart iptables

Kiểm tra các cổng mới mở cho kết nối

Tiếp theo, chúng ta nên kiểm tra cổng để đảm bảo rằng nó chấp nhận các kết nối. Chúng tôi thực hiện việc này bằng cách sử dụng netcat ( nc ) để lắng nghe cổng, sau đó cố gắng chuyển mạng đến đó.

Đầu tiên, hãy mở một cửa sổ dòng lệnh và sử dụng lệnh này:

sudo ls | nc -l -p 4000

Để nó chạy (đang nghe) và mở cửa sổ thiết bị đầu cuối thứ hai. Trong cửa sổ đó, bạn sẽ sử dụng telnet để kiểm tra kết nối. Nếu telnet chưa được cài đặt, hãy sử dụng trình quản lý gói của bạn.

telnet [hostname/IP address] [port number]

Thay thế [tên máy chủ / địa chỉ IP] bằng địa chỉ IP hệ thống của bạn và [số cổng] bằng số cổng bạn đã mở.

telnet localhost 4000

Bạn sẽ thấy đầu ra như thế bên dưới, cho biết kết nối mở với nc .

Chúng tôi cũng có thể hiển thị cổng đang mở bằng cách sử dụng nmap . Một lần nữa, nếu lệnh chưa được cài đặt, hãy sử dụng trình quản lý gói của bạn để truy xuất nó.

nmap localhost -p 4000

Lưu ý rằng nmap sẽ chỉ liệt kê các cổng đang mở đang lắng nghe các kết nối. Đó là lý do tại sao chúng tôi sử dụng netcat để thử nghiệm, để lắng nghe trên cổng đó. Nếu không, cổng sẽ không đăng ký là đang mở.

Tôi không thể kết nối với cổng mà tôi vừa mở, bây giờ phải làm sao?

Nếu bạn thực hiện tất cả các bước ở trên và không thể kết nối với cổng, hãy kiểm tra kỹ cách nhập của bạn. Nếu bạn chắc chắn rằng mình đã nhập mọi thứ một cách chính xác, rất có thể bạn sẽ cần phải định cấu hình lại bộ định tuyến mạng của mình để cho phép lưu lượng truy cập.

Vì mỗi bộ định tuyến mạng có màn hình cấu hình khác nhau, bạn nên tham khảo các trang hỗ trợ hoặc hướng dẫn sử dụng cho thiết bị cụ thể của mình. Bạn sẽ cần kiểm tra cài đặt chuyển tiếp cổng hoặc ánh xạ cổng, cũng như bất kỳ tường lửa tích hợp nào mà bộ định tuyến có thể sử dụng.

Cách mở vĩnh viễn một cổng trong Linux

Khi bạn đã kiểm tra cổng mở của mình và đảm bảo rằng nó đang hoạt động, có thể bạn sẽ muốn thực hiện thay đổi vĩnh viễn. Nếu không, các thay đổi có thể không tồn tại sau khi khởi động lại. Nếu bạn là người dùng Ubuntu hoặc sử dụng tường lửa ufw , bạn không phải lo lắng về điều này. Các quy tắc ufw không đặt lại khi khởi động lại.

Đối với người dùng firewalld

Dễ dàng thực hiện quy tắc cổng sau khi khởi động lại với firewalld . Chỉ cần thêm — cờ vĩnh viễn vào lệnh ban đầu của bạn và nó sẽ được đưa vào các quy tắc tường lửa của hệ thống Linux của bạn khi khởi động.

sudo firewall-cmd --add-port=4000/tcp --permanent

Nếu bạn vẫn sử dụng iptables

Tường lửa iptables rắc rối hơn nhiều (có thể là một lý do chính đáng để nâng cấp lên firewalld hoặc ufw ). Để mở "vĩnh viễn" một cổng trong iptables , bạn có thể cài đặt gói iptables-dai dẳng để trợ giúp.

Khi bạn lần đầu tiên cài đặt iptables-dai dẳng trên hệ thống dựa trên Debian, nó sẽ lưu các quy tắc hiện tại của bạn vào /etc/iptables/rules.v4 hoặc /etc/iptables/rules.v6 . Để thêm các quy tắc mới, bạn sẽ đưa ra lệnh sau:

sudo iptables-save > /etc/iptables/rules.v4

HOẶC

sudo iptables-save > /etc/iptables/rules.v6

Đối với những người chạy các bản phân phối Linux dựa trên RPM, nó có một chút khác biệt. Gói này được gọi là iptables-services và các tệp lưu là / etc / sysconfig / iptables và / etc / sysconfig / ip6tables .

Trên các bản phân phối dựa trên RPM, cũng có một lệnh khác được sử dụng cho các cổng IPv6. Việc lưu các quy tắc của bạn được thực hiện bằng một trong hai lệnh sau:

sudo iptables-save > /etc/sysconfig/iptables sudo ip6tables-save > /etc/sysconfig/iptables

Đảm bảo giám sát việc sử dụng cổng của bạn

Theo thời gian, nhu cầu máy chủ của bạn có thể thay đổi. Cũng như bạn nên theo dõi các tài khoản người dùng trên máy Linux của mình, bạn cũng nên kiểm tra các cổng đang mở của mình thường xuyên. Đóng bất kỳ cổng đang mở nào không còn cần thiết. Cùng với việc thường xuyên thay đổi mật khẩu , đây là một phương pháp bảo mật tốt sẽ giúp bạn tránh được các hành vi xâm nhập hệ thống và khai thác bảo mật.