У меня есть несколько общих вопросов о брандмауэрах, и я подумал, что сообщество здесь может мне помочь.
1) Итак, я недавно установил баребоны для серверов Ubuntu. Я проверил наличие открытых портов, ни один из них не был открыт, и это было здорово. Это потому, что был установлен брандмауэр, или потому что не было установленных приложений?
2) Я установил несколько приложений (Apache, postgres, ssh, приложение Java и некоторые другие). Между ними я открыл несколько портов (~ 10). Теперь у меня есть список всех портов, которые мне нужно открыть. Итак, как мне их защитить? [Это правильный вопрос? процесс идет следующим образом: Установить брандмауэр -> Разрешить указанные необходимые порты -> запретить отдых, используя правила IPtables]
Это будет открыто для Интернета. Размещение сайтов электронной коммерции с низким трафиком.
3) Как вы думаете, какой для меня самый простой способ квази-защиты сервера [низкие затраты на обслуживание / простота. Любое «программное обеспечение» с открытым исходным кодом, которое может облегчить мне жизнь?]
4) Наконец, из указанных открытых портов [2] у меня есть 2 порта, которые мне нужно закрыть, потому что они являются портами Telnet. Могу ли я закрыть эти порты без установки "межсетевого экрана"
Спасибо всем за помощь и с Рождеством !!!!!!!
Моя обычная настройка брандмауэра Shorewall начинается с примера конфигурации количества интерфейсов на сервере (или зон доступа: NET, LAN, DMZ). Обратите внимание, что если зоны совместно используют интерфейсы и / или маршрутизаторы, это может быть менее безопасно, чем могло бы быть. Затем я корректирую правила по мере необходимости.
Я часто отключаю любые политики исходящего доступа по умолчанию. Они заменяются правилами, разрешающими исходящий доступ на требуемых портах (DNS, NTP, SMTP и т. Д.).
1.) вы всегда можете проверить это с помощью iptables -L этот вывод означает отсутствие брандмауэра:
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
2.) Да, просто разрешите порты в цепочке ввода на вашем интерфейсе (например, eth0) и отбросьте все остальное.
вам также следует сделать некоторые другие вещи, например:
и не забудьте установить важные параметры sysctl
3.) простые способы:
4.) введите следующую команду
root@host:~# netstat -npl | grep LISTEN
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1417/telnet
Интересное число - 1417 (номер процесса) после telnet. убить его убить -9 1417
но будь осторожен с тем, что убиваешь!
если вы не хотите его убивать, вы можете просто использовать брандмауэр, чтобы запретить использование этого порта ...
1) Вы можете (проверить себя) установить ssh и попытаться увидеть, показывает ли на другом компьютере с nmap порт 22 как открытый. 2) Это большой ответ. Вы должны точно знать, какую защиту вы хотите предоставить своим услугам ... 3)? 4) закройте службу inetd