Jesper Lund wrote:
>
> Hej
>
> Jeg har læst gruppens OSS, især argumenterne for ikke at bruge en software
> firewall. Men hvad med NAT routers?
En hardware løsning har nogle klare fordele fremfor
en software firewall. Jeg vil mene en korrekt
konfigureret NAT router kan dække de fleste
privatbrugeres firewall behov.
>
> Hvilken ekstra sikkerhed opnås der ved at installere en NAT router på en
> computer til privatbrug? Her er en kort systembeskrivelse: ADSL med modem
> (TDC bredbånd), ingen software firewall, operativsystem Win98 SE (på længere
> sigt: XP), kun en bruger. Jeg har ikke planer om at køre webservers,
> fildelingstjenester, el.lign. (altså ren arbejdsstation).
En NAT router kan forhindre adgang udefra til åbne
porte på maskiner bagved. Hvis du ved en fejl har
en usikker service kørende, så kan NAT routeren
rede dig.
NAT routeren kan til gengæld på ingen måde hjælpe
dig, hvis der er sikkerhedshuller i de klient
programmer, du kører bagved. Altså webbrowser,
mailklient, P2P klienter, mm. Her vil hverken
firewall eller antivirus hjælpe dig. Den eneste
løsning er at kun køre programmer fra pålidelige
kilder og installere alle sikkerhedsopdateringer.
>
> Ved at læse OSSen har jeg fået følgende opfattelse: NAT vil afvise
> indkommende trafik fra IP adresser, som jeg ikke selv har kontaktet. Hvis
> jeg ikke har NAT, ryger trafikken videre til operativsystemet, der vil
> afvise den medmindre jeg kører en service på den pågældende port. Er det
> korrekt forstået?
Næsten. En NAT router arbejder normalt ikke med
IP adresser, men med socket adresser. Altså et
par bestående af IP og port adresse.
En del af formålet med NAT routeren er at kunne
bruge flere maskiner end man har IP adresser. Da
hver maskine sjældent vil bruge alle sine port
adresser, kan NAT routeren ved at ændre port og
IP adresserne få et antal maskiner til at deles
om én IP adresse.
Når der bruges TCP kan en NAT router faktisk
bruger samme IP+portadresse til mere end en
forbindelse hvis bare de ikke snakker med samme
peer.
Med UDP bliver det lidt mere kompliceret, da svar
på dine udgående pakker ikke nødvendigvis vil
komme fra den IP adresse du selv sendte en pakke
til.
Man kan sagtens lave en UDP baseret protokol, hvor
klienten sender en pakke til en server, som sender
den videre til en anden server som sender svar
tilbage til klienten. Nogle NAT routere vil
tillade det andre vil ikke.
Så med UDP kan du faktisk modtage pakker fra en
afsender IP som du ikke selv har kontaktet. Men
de kan kun sendes til porte du selv har sendt noget
fra. Så en server bagved NAT routeren, der lytter
på en UDP port vil altså ikke modtage nogen pakker
udefra.
>
> Jeg er klar over at hverken NAT routers eller software firewalls er en
> sovepude
Godt. Du skal stadig lukke alle unødvendige
services og installere sikkerhedsopdateringerne.
Maskinen skal være så sikker at den kan sættes på
nettet uden firewall. En firewall er kun for dem,
der vil gå med livrem og seler.
--
Kasper Dupont -- der bruger for meget tid paa usenet.
For sending spam use mailto:aaarep@daimi.au.dk
/* Would you like fries with that? */