нужен ли firewall?
Всем привет.
Как вы считаете, нужен ли на сервере фаервол, если на нем запущено
всего четыре сервиса, предположим, что это ftp, http, mail, dns и
осуществляется доступ по ssh для админа. Т.е. буквально, на всех остальных портах
ничего не висит.
Кирилл
-*Информационный канал Subscribe.Ru
Подписан адрес:
Код этой рассылки: comp.soft.bsd.all
Написать в лист: mailto:comp.soft.bsd.all-list@subscribe.ru
Отписаться: mailto:comp.soft.bsd.all--unsub@subscribe.ru?subject=comp.soft.bsd.all
http://subscribe.ru/ http://subscribe.ru/feedback
On Wed, Nov 17, 2004 at 11:40 +0300, kash wrote:
Если не быть параноиком, то можно и не делать.
Но некоторые фичи некоторых файерволов, положительно отразятся
даже на вашей конфигурации. Я не знаю как Вы, но вот я у себя
на сервере (cvs.hnet.spb.ru) использую IP-based spam filtering,
который без файервола не умеет работать в принципе.
Потом нормализация трафика... нефиг нагружать стэк проверкой
всяких вшивых SYN-FIN и прочего дерьма... Там же можно и
фрагменты пересобрать и MSS указать, а то не фиг слать кривые
пакеты на правильные серваки ;-)
Затем нефига давать даже возможности коннектится к портам >1023,
ибо ничего там у меня нету, а то, что есть то в стейтах...
Ping'и порезать тоже иногда полезно, но это уже на любителя...
Так же можно дать доступ по SSH с так скажем ``административных
IP'', правда это уже не мой случай, у нас там CVS через SSH
работает, но при желании тоже можно сделать...
В вашем случае могут быть уязвимы разные сервисы... Скажем если
вы используете BIND, то тут надо подходить не только с точки
зрения файервола, но и общей безопасности системы... Сделать
ему chroot, пускать не от root и так далее...
Кстати вот для затравки еще такое высказывание:
Следует закрыть доступ ото всех с портов меньше 1023 и
на порты больше 1023.
(Если конечно у Вас нету сервисов, слушающих где-то еще, но это
уже отдельно разрешается).
Почему такой подход имеет место быть? Да просто потому что не
приветствуется всячекие извращения типа работы BIND 4 (с 53/udp
на 53/udp). ``Нормальное'' соединение должно иметь порт
оправителя из числа эфимерных и порт сервера из числа ``well-
known''. В таком случае меньше вероятность попасть в просак.
И напоследок напомню: не забывайте, что наиболее правильно
использовать ``block all by default'' политику. Гораздо проще
сначала все закрыть, а потом ``сверлить дырки'' только для
того, что действительно нужно. Запомните это золотое правило
и применяйте на практике.
cu, your paranoid friend ;)