Jacob Saaby Nielsen wrote:
>
> - Er der bedre alternativer end Shorewall ? Det jeg leder efter, skal
> være gratis, gerne med UI af en art, og rimeligt nemt at konfigurere.
Jeg bruger selv iptables, der findes vist nok grafiske brugerflader
til at generere regelsæt. Men jeg foretrækker nu at lave mit regelsæt
med en teksteditor, hvor jeg har fuldstændigt kontrol over resultatet.
Du kunne evt. tage et kig på denne side:
http://www.linuxsecurity.com/docs/colsfaq.html
>
> - Kender nogen en god liste over porte der bruges som standard (kendte
> og mindre kendte), samt porte der absolut intet har at gøre åbne ?
Jeg har som udgangspunkt lukket for alle porte, så har jeg åbnet dem
efterhånden som jeg fik brug for dem. Dette gælder både indgående og
udgående pakker.
>
> Nu har jeg ikke rodet specielt meget med firewalls før, og har derfor
> ikke så meget erfaring med det endnu (hverken specifikke produkter eller
> konceptet). Så, hvis I derudover har nogle gode råd jeg kan få med på
> vejen, er det selvfølgelig også velkomment
Du skal sørge for at bruge en firewall med en vis grad af statefull
inspection. Som minimum skal den kunne lave statefull inspection af
protokollerne: IP, ICMP, UDP og TCP. Dermed kan der foretages meget
mere fornuftig filtrering af pakkerne.
Der kan sikkert hurtigt opstå en vældig diskution om, hvorvidt det er
bedst at bruge DROP eller REJECT til pakker, du ikke vil lukke ind/ud.
Jeg går ind for REJECT, fordi det så er meget nemmere at debugge
problemer. Man kan evt. sætte en begrænsning på hvor mange pakker, der
REJECTes og så bruge DROP til resten, så du ikke spilder for meget
båndbredde i tilfælde af flooding/scanning.
Her er et par regler, jeg selv bruger i mit iptables setup:
-A LOGDROP -m limit --limit 1/minute --limit-burst 42 -j LOG --log-prefix "iptables DROP: "
-A LOGDROP -j DROP
-A LOGREJECT -m limit --limit 1/minute --limit-burst 42 -j LOG --log-prefix "iptables REJECT: "
-A LOGREJECT -p tcp -j REJECT --reject-with tcp-reset
-A LOGREJECT -p udp -j REJECT --reject-with icmp-port-unreachable
-A LOGREJECT -j REJECT --reject-with icmp-host-unreachable
-A SLOWLOGREJECT -m limit --limit 15/minute --limit-burst 10 -j LOGREJECT
-A SLOWLOGREJECT -j LOGDROP
-A LOGACCEPT -j LOG --log-prefix "iptables ACCEPT: "
-A LOGACCEPT -j ACCEPT
--
Kasper Dupont -- der bruger for meget tid på usenet.
For sending spam use mailto:razrep@daimi.au.dk
or mailto:mcxumhvenwblvtl@skrammel.yaboo.dk