Sikkerhedsspørgsmål
Jeg har for længe siden smidt en CentOS direkte på linjen lige efter modemet. Den er konfigureret med iptables, som kun tillader yderst nødvendige porte åbne.
Så kom den her windowsmand og sagde til mig, st det måtte jeg ikke. Linux er hullet som en si og du bør nok sætte en router på inden maskinen.
Så kørte diskutionen i lang tid....
Bør man sætte en router foran eller kan jeg være tilfreds med min iptables config?
Så kom den her windowsmand og sagde til mig, st det måtte jeg ikke. Linux er hullet som en si og du bør nok sætte en router på inden maskinen.
Så kørte diskutionen i lang tid....
Bør man sætte en router foran eller kan jeg være tilfreds med min iptables config?
Kommentarer4
Re: Sikkerhedsspørgsmål
#1:
manden ved jo tydeligvis
manden ved jo tydeligvis ikke specielt meget...
der er med garanti allerede flere routere "bag" din server, ved din isp, han tænker nok på at der skal sættes NAT foran din server - og btw, så kan du jo forklare ham at formentlig de fleste af de NAT/Router bokse han kan købe i detailhandlen formentlig kører linux....
ydermere gør det at "blokere" port jo intet i sig selv.
porte er ikke et eller andet magisk, der hvis er åbent, tillader folk at bryde ind i dit system. Forestil dig du har en linux installation, hvor de ENESTE services du kører er ssh og ftp. Det er port 21 og 22, så er det 1000000% ligegyldigt om du har alle porte åbne i din firewall, da der rent faktisk kun lyttes på port 21 og 22, det gør absolut ingen forskel i normal forstand - det kan dog argumenteres hvorvidt det er smart alligevel, i tilfælde af man ved fejl får startet noget usikkert der prøver at lytte... Anyway, forestil dig nu at det er en fejl i din ftp server der er en fejl der kan udnyttes til at bryde ind i computeren - såfremt du gør som du gør nu, vil du jo selvfølgelig have åbent for port 21, og folk kan så udnytte fejlen - til trods du kører iptables, fordi du åbner jo for porten. Hvis du følger hans foreslag, og sætter en NAT boks op foran din server, vil du jo stadig åbne for port 21, i form af at forwarde porten, og så vil du have præcis den samme sikkerhed som nu.
Forvent ikke at den spasser der har rådgivet dig kan fatte noget af det her, men kort sagt, han fatter ikke en skid af hvad han snakker om, det du gør nu er helt fint.
Re: Sikkerhedsspørgsmål
Re: Sikkerhedsspørgsmål
Jeg ville stadigvæk foretrække en dedikeret firewall fordi et x frit system er ca 100x gange mindre komplekst og bugfrit end din desktop, X-windows miljøet står for 90-98% af alle bugs i linux/unix. om ikke andet så får at få nogle logs du kan stole på efter at du er inficeret via en fejl i adobe flash(http traffik).