“การตั้งค่า IPTABLES ทำ Proxy ป้องกัน DDoS สมบูรณ์แบบบน VPS Server”

adminPROXY-SEC

การตั้งค่า IPTABLES ทำ Proxy ป้องกัน DDoS สมบูรณ์แบบบน VPS Server

คุณเคยเจอปัญหา DDoS Attack โจมตีเซิร์ฟเวอร์จนล่มหรือไม่? บทความนี้จะพาคุณเจาะลึกการใช้ iptables เพื่อสร้าง proxy server ที่กรอง DDoS ได้อย่างมีประสิทธิภาพ พร้อมขั้นตอนการตั้งค่าระบบรับส่ง TCP/UDP ระหว่าง VPS ที่ช่วยปกปิด IP ปลายทางได้อย่างสมบูรณ์

ความเข้าใจเบื้องต้นเกี่ยวกับ VPS และ iptables

VPS (Virtual Private Server) คืออะไร?

VPS คือเซิร์ฟเวอร์เสมือนที่แยกทรัพยากรออกมาจากเซิร์ฟเวอร์หลัก ทำให้คุณมีอิสระในการจัดการเสมือนมีเซิร์ฟเวอร์เป็นของตัวเอง แต่ด้วยราคาที่ถูกกว่าการเช่า Dedicated Server มาก การใช้ VPS จึงเป็นตัวเลือกที่ดีสำหรับผู้ที่ต้องการความเสถียรและประสิทธิภาพสูง

ทำไมการใช้ iptables ถึงสำคัญ?

iptables เป็นเครื่องมือจัดการ firewall บน Linux ที่ทรงพลัง ช่วยควบคุมการรับส่งข้อมูลผ่านเครือข่าย โดยสามารถกำหนดกฎต่างๆ เพื่อ:

  • กรองแพ็กเก็ตที่เข้า-ออกเซิร์ฟเวอร์
  • ป้องกันการโจมตีรูปแบบต่างๆ โดยเฉพาะ DDoS
  • ทำหน้าที่เป็น NAT (Network Address Translation) ซึ่งช่วยในการทำ Proxy

การทำงานของ Proxy Server

Proxy Server ทำหน้าที่เป็นตัวกลางระหว่างผู้ใช้กับปลายทาง โดยในบทความนี้ เราจะใช้ VPS Server 1 เป็น Proxy ที่รับการเชื่อมต่อจากภายนอก แล้วส่งต่อไปยัง VPS Server 2 ที่เป็นเซิร์ฟเวอร์ปลายทาง ประโยชน์คือ:

  • ช่วยปกปิด IP ที่แท้จริงของเซิร์ฟเวอร์ปลายทาง
  • กรองทราฟฟิกที่เป็นอันตรายก่อนส่งไปยังเซิร์ฟเวอร์ปลายทาง
  • เพิ่มความปลอดภัยให้กับระบบโดยรวม

การติดตั้งและตั้งค่า iptables บน VPS Server 1

ขั้นตอนการติดตั้ง iptables

  1. ติดตั้ง iptables (หากยังไม่มี):

    sudo apt update
sudo apt install iptables iptables-persistent -y

  2. ตรวจสอบสถานะการติดตั้ง:

    sudo iptables -L -v

การตั้งค่าให้ VPS Server 1 ทำหน้าที่เป็น Proxy

  1. เปิดการทำ IP Forwarding:

    sudo sysctl -w net.ipv4.ip_forward=1
sudo echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sudo sysctl -p

  2. ตั้งค่ากฎพื้นฐาน:
    “`bash

    ล้างกฎทั้งหมด

    sudo iptables -F
    sudo iptables -X
    sudo iptables -t nat -F
    sudo iptables -t nat -X
    sudo iptables -t mangle -F
    sudo iptables -t mangle -X

ตั้งค่านโยบายเริ่มต้น (Default Policy)

sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT


3. **ตั้งค่าการส่งต่อแพ็กเก็ต TCP/UDP ไปยัง VPS Server 2**:
```bash
# แทนที่ SERVER2_IP ด้วย IP ของ VPS Server 2
SERVER2_IP="192.168.1.2"

# ตัวอย่างการส่งต่อ Port 80 (HTTP)
sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination ${SERVER2_IP}:80
sudo iptables -t nat -A POSTROUTING -p tcp -d ${SERVER2_IP} --dport 80 -j MASQUERADE
sudo iptables -A FORWARD -p tcp -d ${SERVER2_IP} --dport 80 -j ACCEPT

# สำหรับ Port 443 (HTTPS)
sudo iptables -t nat -A PREROUTING -p tcp --dport 443 -j DNAT --to-destination ${SERVER2_IP}:443
sudo iptables -t nat -A POSTROUTING -p tcp -d ${SERVER2_IP} --dport 443 -j MASQUERADE
sudo iptables -A FORWARD -p tcp -d ${SERVER2_IP} --dport 443 -j ACCEPT

# ตัวอย่างการส่งต่อ UDP (เช่น สำหรับ DNS)
sudo iptables -t nat -A PREROUTING -p udp --dport 53 -j DNAT --to-destination ${SERVER2_IP}:53
sudo iptables -t nat -A POSTROUTING -p udp -d ${SERVER2_IP} --dport 53 -j MASQUERADE
sudo iptables -A FORWARD -p udp -d ${SERVER2_IP} --dport 53 -j ACCEPT

การอนุญาต Port 22 สำหรับ SSH

  1. เปิด Port 22 สำหรับ SSH บน VPS Server 1:

    # อนุญาตให้เชื่อมต่อ SSH เข้ามาที่ VPS Server 1
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
sudo iptables -A INPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

  2. อนุญาตให้ VPS Server 1 SSH ไปยัง VPS Server 2:
    “`bash

    แทนที่ SERVER2_IP ด้วย IP ของ VPS Server 2

    SERVER2_IP="192.168.1.2"

sudo iptables -A OUTPUT -p tcp -d ${SERVER2_IP} –dport 22 -j ACCEPT
sudo iptables -A INPUT -p tcp -s ${SERVER2_IP} –sport 22 -m state –state ESTABLISHED -j ACCEPT


## การตั้งค่ากรอง DDoS ด้วย iptables

### การกรอง TCP Flood

```bash
# จำกัดจำนวน Connection สำหรับ SYN
sudo iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 20 --connlimit-mask 32 -j DROP

# จำกัดจำนวน SYN Packets โดยใช้ limit module
sudo iptables -A INPUT -p tcp --syn -m limit --limit 2/s --limit-burst 5 -j ACCEPT
sudo iptables -A INPUT -p tcp --syn -j DROP

# ป้องกัน SYN-FLOOD
sudo iptables -A INPUT -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT

การกรอง UDP Flood

# จำกัดจำนวน UDP Packets
sudo iptables -A INPUT -p udp -m limit --limit 10/s --limit-burst 20 -j ACCEPT
sudo iptables -A INPUT -p udp -j DROP

# ถ้ามี Service ที่ใช้ UDP (เช่น DNS) ให้เพิ่มกฎเฉพาะ
sudo iptables -A INPUT -p udp --dport 53 -j ACCEPT

การกรอง DNS Amplification

# ป้องกัน DNS Amplification
sudo iptables -A INPUT -p udp --sport 53 -m limit --limit 5/s --limit-burst 10 -j ACCEPT
sudo iptables -A INPUT -p udp --sport 53 -j DROP

# จำกัดขนาดแพ็กเก็ต DNS
sudo iptables -A INPUT -p udp --sport 53 -m length --length 512: -j DROP

การกรอง TCP Connection Attack

# ป้องกัน TCP Connection Abuse
sudo iptables -A INPUT -p tcp -m conntrack --ctstate NEW -m limit --limit 60/s --limit-burst 100 -j ACCEPT
sudo iptables -A INPUT -p tcp -m conntrack --ctstate NEW -j DROP

# ป้องกัน Port Scanning
sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
sudo iptables -A INPUT -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j DROP
sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,RST FIN,RST -j DROP
sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,ACK FIN -j DROP
sudo iptables -A INPUT -p tcp -m tcp --tcp-flags PSH,ACK PSH -j DROP
sudo iptables -A INPUT -p tcp -m tcp --tcp-flags ACK,URG URG -j DROP

การกรอง ICMP Flood

# จำกัด ICMP (Ping) Packets
sudo iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 4 -j ACCEPT
sudo iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

# อนุญาตบาง ICMP ที่จำเป็น
sudo iptables -A INPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
sudo iptables -A INPUT -p icmp --icmp-type time-exceeded -j ACCEPT

การส่งข้อมูลไปยัง VPS Server 2

วิธีการเชื่อมต่อและส่งข้อมูล

เราต้องทำให้การสื่อสารทั้งหมดระหว่าง Client กับ VPS Server 2 ต้องผ่าน VPS Server 1 โดยใช้ NAT (Network Address Translation):

# สมมติ IP ของ VPS Server 2 คือ 192.168.1.2

# ส่งต่อ HTTP
sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.2:80

# ส่งต่อ HTTPS
sudo iptables -t nat -A PREROUTING -p tcp --dport 443 -j DNAT --to-destination 192.168.1.2:443

# สำหรับ Port อื่นๆ ตามที่ต้องการ
sudo iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.2:8080

# ตั้งค่า SNAT ให้แพ็กเก็ตที่ส่งออกไปใช้ IP ของ VPS Server 1
sudo iptables -t nat -A POSTROUTING -j MASQUERADE

การตั้งค่า iptables เพื่อป้องกันการเปิดเผย IP ของ VPS Server 2

# ป้องกันไม่ให้แพ็กเก็ตจาก VPS Server 2 ออกสู่ภายนอกโดยตรง
# (ต้องตั้งค่านี้บน VPS Server 2)
sudo iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source

# ป้องกันการเข้าถึงโดยตรงจากภายนอกไปยัง VPS Server 2
# (ต้องตั้งค่านี้บน VPS Server 2)
sudo iptables -A INPUT -p tcp -s -j ACCEPT
sudo iptables -A INPUT -p tcp -j DROP

วิธีป้องกันไม่ให้ Client หา IP ของ VPS Server 2

แนวทางการทำให้ Client ส่งคำขอผ่าน VPS Server 1

  1. ตั้งค่า DNS Record:
  2. ชี้ Domain ไปที่ IP ของ VPS Server 1 เท่านั้น

  3. ไม่มีการเปิดเผย IP ของ VPS Server 2 ในบันทึก DNS ใดๆ

  4. ตั้งค่าการสื่อสารเฉพาะภายใน:

    # ตั้งค่าบน VPS Server 2
sudo iptables -A INPUT -p tcp -s -j ACCEPT # อนุญาตเฉพาะการเชื่อมต่อจาก VPS Server 1
sudo iptables -A INPUT -p tcp -j DROP # ปฏิเสธการเชื่อมต่อจากที่อื่น

  5. ปกปิดข้อมูลในเนื้อหาเว็บ:

  6. ตรวจสอบว่าไม่มีข้อมูล IP ของ VPS Server 2 ในเนื้อหาเว็บ
  7. ใช้ mod_security หรือเครื่องมือจัดการ Content ที่อาจเปิดเผย IP

การจัดการ Firewall เพื่อความปลอดภัย

  1. ตั้งค่า Firewall แบบเข้มงวดบน VPS Server 2:
    “`bash

    เปิดเฉพาะ Port ที่จำเป็น

    sudo iptables -A INPUT -i lo -j ACCEPT # อนุญาต localhost
    sudo iptables -A INPUT -p tcp -s –dport 22 -j ACCEPT # SSH จาก VPS Server 1
    sudo iptables -A INPUT -p tcp -s –dport 80 -j ACCEPT # HTTP จาก VPS Server 1
    sudo iptables -A INPUT -p tcp -s –dport 443 -j ACCEPT # HTTPS จาก VPS Server 1

Stateful Firewall

sudo iptables -A INPUT -m conntrack –ctstate ESTABLISHED,RELATED -j ACCEPT

ปฏิเสธการเชื่อมต่ออื่นๆ

sudo iptables -A INPUT -j DROP
“`

  1. ใช้เครือข่ายส่วนตัว:
  2. หากเป็นไปได้ ให้ใช้ Private Network ระหว่าง VPS Server 1 และ VPS Server 2 (ตรวจสอบว่าผู้ให้บริการ VPS อย่าง jvh.co.th รองรับหรือไม่)

สรุป

ข้อดีของการใช้ iptables ในการจัดการ Proxy

  1. ป้องกัน DDoS อย่างมีประสิทธิภาพ: iptables ช่วยกรองทราฟฟิกที่เป็นอันตรายก่อนถึง Server ปลายทาง
  2. ปกปิด IP จริง: เพิ่มความปลอดภัยโดยซ่อน IP ของ Server ปลายทาง
  3. ยืดหยุ่นสูง: สามารถปรับแต่งกฎตามความต้องการเฉพาะของแต่ละระบบ
  4. ไม่มีค่าใช้จ่ายเพิ่มเติม: iptables เป็น Open-source ไม่มีค่าใช้จ่าย

คำแนะนำสุดท้ายสำหรับผู้ใช้งาน VPS

  1. อัพเดทระบบอยู่เสมอ: เพื่อรักษาความปลอดภัยและประสิทธิภาพสูงสุด
  2. บันทึกกฎ iptables: ใช้คำสั่ง sudo iptables-save > /etc/iptables/rules.v4 เพื่อบันทึกกฎให้คงอยู่หลังรีสตาร์ท
  3. ตรวจสอบ Log อยู่เสมอ: สังเกตความผิดปกติและปรับแต่งกฎเพิ่มเติมตามความเหมาะสม
  4. ทดสอบการโจมตี: ทดสอบระบบป้องกันเป็นระยะเพื่อให้มั่นใจว่าทำงานได้อย่างถูกต้อง

คำถามที่พบบ่อย (FAQ)

VPS กับ Dedicated Server มีความต่างกันอย่างไร?

VPS คือเซิร์ฟเวอร์เสมือนที่แบ่งทรัพยากรจากเครื่องเซิร์ฟเวอร์ทางกายภาพ ในขณะที่ Dedicated Server คือเซิร์ฟเวอร์ทางกายภาพทั้งเครื่องที่คุณเช่าใช้คนเดียว VPS มีราคาถูกกว่าและจัดการง่ายกว่า เหมาะสำหรับธุรกิจขนาดเล็กถึงกลาง ส่วน Dedicated Server ให้ประสิทธิภาพสูงสุดแต่ราคาสูงกว่า

การกรอง DDoS ช่วยให้ระบบปลอดภัยมากน้อยเพียงใด?

การกรอง DDoS ด้วย iptables ช่วยป้องกันการโจมตีขนาดเล็กถึงปานกลางได้ดี แต่อาจไม่เพียงพอสำหรับการโจมตีขนาดใหญ่ ในกรณีของการโจมตีขนาดใหญ่ คุณอาจต้องพิจารณาบริการป้องกัน DDoS จากผู้ให้บริการเครือข่ายเพิ่มเติม

มีเครื่องมือหรือวิธีการอื่นในการป้องกัน DDoS หรือไม่?

นอกจาก iptables แล้ว ยังมีเครื่องมืออื่นๆ เช่น:

  • Fail2ban: ช่วยบล็อก IP ที่พยายามเข้าถึงระบบผิดพลาดหลายครั้ง
  • ModSecurity: Web Application Firewall สำหรับ Apache
  • Cloudflare: บริการ CDN ที่มีการป้องกัน DDoS ในตัว
  • DDoS Protection Services: บริการเฉพาะทางสำหรับการป้องกัน DDoS

อย่ารอช้า! เริ่มป้องกันเซิร์ฟเวอร์ของคุณด้วย iptables วันนี้ เพื่อรับมือกับภัยคุกคามออนไลน์ได้อย่างมีประสิทธิภาพ หากต้องการ VPS ที่มีคุณภาพ ลองพิจารณาบริการจาก jvh.co.th ที่มีทีมงานคอยช่วยเหลือคุณตลอด 24 ชั่วโมง!