ยกระดับความปลอดภัยให้ Linux ด้วย nftables: สร้างไฟร์วอลล์สุดแกร่งได้ด้วยตัวเอง

เคยสงสัยไหมว่าคอมพิวเตอร์ Linux ของเราปลอดภัยจากภัยคุกคามบนอินเทอร์เน็ตแค่ไหน? หนึ่งในเครื่องมือสำคัญที่จะช่วยป้องกันระบบจากการโจมตีภายนอกได้ดีที่สุดก็คือ ไฟร์วอลล์ นี่แหละ และในโลกของ Linux ยุคใหม่ nftables คือชื่อที่คุณต้องรู้จัก! มันคือระบบไฟร์วอลล์ที่ทรงพลังและยืดหยุ่นกว่าเดิมมาก มาทำความเข้าใจและสร้างไฟร์วอลล์แรกของเราด้วย nftables กัน

ทำไมต้อง nftables?

nftables เข้ามาแทนที่ iptables ที่เป็นระบบเก่า ซึ่ง nftables ถูกออกแบบมาให้ใช้งานง่ายขึ้น มีประสิทธิภาพสูงขึ้น และที่สำคัญคือจัดการกฎเกณฑ์ต่าง ๆ ได้อย่างเป็นหนึ่งเดียว ไม่ว่าจะเป็น IPv4, IPv6, NAT หรือการเชื่อมต่อแบบ Bridge ทุกอย่างรวมอยู่ในกรอบเดียวกัน ทำให้การตั้งค่าและการบำรุงรักษาไฟร์วอลล์เป็นเรื่องที่ง่ายและมีประสิทธิภาพกว่าที่เคย

ข้อดีที่เห็นได้ชัดของ nftables:

ไวยากรณ์เข้าใจง่าย: แม้จะดูซับซ้อนในตอนแรก แต่เมื่อคุ้นเคยแล้วจะพบว่าการเขียนกฎง่ายกว่ามาก
ประสิทธิภาพสูง: ทำงานได้เร็วกว่า โดยเฉพาะเมื่อมีกฎเยอะๆ
ความยืดหยุ่น: ปรับแต่งได้หลากหลาย รองรับการใช้งานที่ซับซ้อนได้ดี
รวมศูนย์: จัดการโปรโตคอลและประเภทการเชื่อมต่อได้ในที่เดียว

ทำความเข้าใจพื้นฐานของ nftables

ก่อนจะไปลงมือสร้างไฟร์วอลล์ ต้องรู้จักองค์ประกอบหลัก ๆ ของ nftables ก่อน ซึ่งมีอยู่ไม่กี่อย่าง:

Table (ตาราง): เปรียบเสมือนกล่องใหญ่ที่เก็บกฎไฟร์วอลล์ต่าง ๆ ไว้ มักจะแบ่งตามประเภทการใช้งาน เช่น filter, nat เป็นต้น

Chain (เชน): คือกลุ่มของกฎที่เรียงลำดับกัน เชนจะกำหนดว่าข้อมูลที่เข้ามาหรือออกไปจากระบบจะถูกตรวจสอบด้วยกฎอะไรบ้าง เชนหลักๆ ที่เราใช้กันบ่อยคือ input (ข้อมูลที่เข้ามาหาเครื่อง), output (ข้อมูลที่ออกจากเครื่อง) และ forward (ข้อมูลที่ส่งผ่านเครื่องไปยังเครือข่ายอื่น)

Rule (กฎ): คือคำสั่งที่บอกให้ไฟร์วอลล์ทำอะไรกับข้อมูลที่ตรงตามเงื่อนไข เช่น ยอมรับ (accept), ทิ้งไป (drop) หรือปฏิเสธ (reject)

สร้างไฟร์วอลล์ nftables ตัวแรกของคุณ

มาเริ่มสร้างไฟร์วอลล์แบบง่าย ๆ แต่ปลอดภัยกัน! แนวคิดหลักคือ “บล็อกทุกอย่างก่อน แล้วค่อยอนุญาตเฉพาะที่จำเป็น”

ก่อนอื่นเลย ควรล้างกฎเก่าที่อาจมีอยู่ เพื่อให้เริ่มต้นใหม่ได้อย่างสะอาด:

sudo nft flush ruleset

จากนั้น เราจะสร้างตารางและเชนที่จำเป็น พร้อมกับตั้งค่า Default Policy ให้เป็น Drop สำหรับเชน input และ forward ซึ่งหมายความว่าทุกอย่างที่เข้ามาหรือพยายามจะผ่านเครื่องจะถูกบล็อกทั้งหมด เว้นแต่จะมีกฎที่อนุญาตไว้ชัดเจน

นี่คือกฎเบื้องต้นที่เราควรมี:

1. อนุญาต Loopback Traffic:
อนุญาตการสื่อสารภายในเครื่องเอง (localhost) ซึ่งจำเป็นต่อการทำงานของระบบ:

nft add rule inet filter input iif "lo" accept

2. อนุญาตการเชื่อมต่อที่สร้างขึ้นแล้ว (Established/Related):
สิ่งนี้สำคัญมาก เพราะจะทำให้การเชื่อมต่อที่คุณเริ่มจากเครื่องออกไปยังภายนอกทำงานได้ และรับการตอบกลับเข้ามาได้โดยไม่ถูกบล็อก:

nft add rule inet filter input ct state { established, related } accept

3. อนุญาตบริการที่จำเป็น:
ตอนนี้แหละที่เราจะเปิดช่องทางให้กับการสื่อสารที่ต้องการจริง ๆ เช่น:

SSH (Secure Shell): สำหรับการเข้าถึงเครื่องจากระยะไกล (พอร์ต 22)
nft add rule inet filter input tcp dport 22 accept
HTTP/HTTPS: สำหรับการให้บริการเว็บไซต์ (พอร์ต 80 และ 443)
nft add rule inet filter input tcp dport { 80, 443 } accept
DNS: สำหรับการแปลงชื่อโดเมนเป็น IP Address (พอร์ต 53 ทั้ง TCP และ UDP)
nft add rule inet filter input udp dport 53 accept
nft add rule inet filter input tcp dport 53 accept

4. ตั้ง Default Policy เป็น Drop:
ขั้นตอนนี้สำคัญที่สุด เพื่อป้องกันการเข้าถึงที่ไม่ได้รับอนุญาต:

nft add chain inet filter input { type filter hook input priority 0; policy drop; }
nft add chain inet filter forward { type filter hook forward priority 0; policy drop; }

5. บันทึกกฎ:
เมื่อตั้งค่าเสร็จแล้ว อย่าลืม บันทึกกฎ เพื่อให้ไฟร์วอลล์ทำงานได้หลังจากรีบูตเครื่อง (วิธีการบันทึกจะแตกต่างกันไปตามแต่ละ Linux Distribution แต่มักจะใช้ nft list ruleset เพื่อดูโครงสร้างกฎ แล้วบันทึกใส่ไฟล์ .nft เพื่อโหลดตอนบูต)

การสร้างไฟร์วอลล์ด้วย nftables ไม่ใช่เรื่องยากอย่างที่คิด ด้วยแนวคิดที่ชัดเจนและกฎพื้นฐานเหล่านี้ ก็สามารถยกระดับความปลอดภัยของระบบ Linux ได้อย่างมีประสิทธิภาพ ช่วยป้องกันภัยคุกคามและทำให้ระบบของคุณทำงานได้อย่างมั่นใจยิ่งขึ้น การทำความเข้าใจและใช้งาน nftables จึงเป็นทักษะสำคัญสำหรับผู้ดูแลระบบ Linux ทุกคนในยุคปัจจุบัน