Стандартные порты для веб-сервера
Я использую Hetzner для сервера, которому нужны только 80/443 и 22, доступные для внешнего мира. Когда я использую шаблон межсетевого экрана Hetzner, он также добавляет:
- протокол icmp, который, я думаю, предназначен для пинга
- порты 32768-65535 открыты с флагом tcp 'ack'
AWS, кажется, закрывает все, включая ping.
- Есть ли причина открывать порты 32768-65535 и что означает «подтверждение»?
- Следует ли запретить протокол icmp?
На сервере Nginx работает https, и 80 перенаправляется на 443. Лучше всего оставить 80 открытым и перенаправить на 443 на случай, если трафик поступает на 80, или же 80 нужно закрыть?
Порт 80: порт 80 должен быть открыт, чтобы Nginx мог перенаправить на порт 443. Если вы заблокируете порт 80, у клиентов, пытающихся подключиться через http, истечет время ожидания.
Есть сайт посвященный утверждению, что ICMP не следует блокировать.
ACK это последний шаг в трехстороннем рукопожатии, которое TCP использует для установления соединения. Диапазон портов 32768-65535 для эфемерные порты. Так что это правило брандмауэра трогать нельзя.
Эти правила отличаются от правил группы безопасности AWS, поскольку правила группы безопасности AWS установлены для входящего или исходящего трафика.