استخدام iptables كفيرول (جميل) ولكن كيف نستخدم نفس القوانين على 100 سيرفر؟

حسناً، الجدير بالذكر هنا انك لن تتعرض لهجوم من 127.0.0.1 ابداً :)

اما iptables فهو kernel module لنسخة الايبيات 4 فقط، يوجد عدة موديلات اخرى مثل ip6tables الخاصة بنسخة الايبيات 6.

iptables يعتبر low-level program وهو للاستخدام الداخلي، وهناك برامج تستخدم كـ Front-end مثل APF, CSF وهي تعتمد بالاصل على موديولات الكرنل مثل iptables و ip6tables ، لتوفير User-Friendly CLI للمستخدم.

حبيت اوضح هذه النقطة لان الكثير يفصل بين iptables و البرامج المبسطة مثل csf ويعتبرهم ان كل واحد منهم قائم على نفسه، وهذا الامر غير صحيح.

اما بخصوص ما ذكرت بالتحكم ب iptables لعدد معين من السيرفرات، فهذا الامر لا يمكن بالاعتماد على iptables فقط، لانه للاستخدام الداخلي فقط، ولا بد من استخدام اداة اضافية ان كانت جاهزة او تقوم انت ببرمجتها وان كانت معقدة وفيها الكثيرة من الخصائص والمزايا او مجرد وسيلة لتمرير امر قابل للتنفيذ لمجموعة من السيرفرات.

يمكن تنفيذ ماذكرت بكتابة اداة جداً بسيطة مستخدم bash او python ، وكتابة اداة مثل هذه لن ياخذ اكثر من 30 دقيقة عمل!

بل ويمكن الذهاب لابعد من ذلك وجعل الاداة هذه من مجرد وسيلة لتمرير اوامر لل iptables إلى وحدة تحكم كاملة بالسيرفرات من واجهة CLI واحدة، بحيث تقوم بتنفيذ اي امر كان لاي سيرفر كان او مجموعة السيرفرات كلها، ومن ثم تاتيك المخرجات من كل سيرفر لتعرف ماتم في كل سيرفر وهل العملية نجحت في جميع السيرفرات ام لا، وهي وسيلة جيدة لادارة مجموعة من السيرفرات بدل من الدخول إلى جميع السيرفرات واحد واحد بالطريقة المتعارف عليها.

اما اذا كنت تبحث عن حل جاهز وفوري فيمكنك الاطلاع على csf حيث يوفر خاصية Centralized Firewall Management Unit.

iptables ليس للمهام الخطيرة

بمعنى ان iptables يعتمد على موارد النظام، واي فلود قوي اقوى من قدرة تحمل السيرفر لن يكون iptables قادر على التعامل معه، سوف يتوقف السيرفر عن الاستجابة سريعاً. يفضل في المهام الخطرة استخدام Network HW Equipments لقدرتها وتخصصها في التعامل مع الحالات الخطرة.

لا أعلم مدى خبرتك بمجال ادارة مجموعة خوادم، لكن ما تطلبه سهل و لا يتطلب أي برمجية و لا عتاد. يلزم معرفة بـ ssh. لم أستخدم apf لأني شخص أفضل الأدوات الموجودة في النظام أو ببرمجة شئ خاص بيدي

• انشئ ملف باسم ips.list، كل سطر فيه IP لخادم

• احفظ [iptables-blockall](https://gist.github.com/cen... و [iptables-unblockall](https://gist.github.com/cen... في نفس المجلد مع قائمة الخوادم (اختياري) و أعطهم تصريح x لك

• اختياري لو أحببت، أضف رابط السكربتات في PATH

• لا تنسى restart للخدمة

في هذه الحالة، سيكون لديك سكربتين لإضافة و حذف IP في ضغطة زي. ما عليك إلا كتابة اسم الأمر و تمرير IP المراد حجبه أو فك حجبه

لو مثلا خوادمك في ازدياد مستمر، تستطيع مثلا إضافة جميع الـ IPs الحوادم في ملف اسمه ips.list و ملف اسمه blocked_ips.list يحوي جميع الـ IPs المراد حجبها، بنسخ [هذا السكريبت](https://gist.github.com/cen... على جميع الخوادم و بتنفيذ [هذا السكريبت](https://gist.github.com/cen... بيكون لديك برمجية صغيرة لإضافة و حذف مجموعة IPs بسرعة و لأي عدد من الخوادم

أعتذر لعدم اجابتي لسؤالك عن apf بسبب جهلي به :). لكن الطرق كثيرة و لا حصر لها.

أظن أن خبرتي الأمنية سيئة جداً لكن لي إقتراح وإستحملني لو كان غبياً ولكن ألا يمكنك تعريف مزود واحد كمنفذ رئيسي (gateway) لبقية المزودات وتقوم بتطبيق قوانين الـ iptables عليه فقط؟

لدي اضافة فيما يخص مشاركة القائمة السوداء من الافضل ان تستخدم git لمشاركتها و في كل commit يقوم بها احد الخوادم تضع في الرسالة الخادم + السبب

بهذه الطريقة سوف تربح الكثير من الامور و المعلومات التي تفيدك في معرفت ماحصل + تقلل من المعلومات التي تنقل في الشبكة لانك سوف تشارك فقط التحديثات و ليس الملف الكامل

و لهذه النقطة اذا لم تعجبك فكرة استخدام git من الممكن استخدام rsync