タグ付けされた質問 「firewall」

ファイアウォールは、ネットワークトラフィックの検査とフィルタリングに使用されるアプリケーションまたはハードウェアデバイスです。

11
Fail2BanでIPを適切に禁止解除する方法
サーバーでFail2Banを使用していますが、IPを適切に禁止解除する方法について疑問に思っています。 IPTablesを直接操作できることは知っています。 iptables -D fail2ban-ssh <number> しかし、それを行う方法はありませんfail2ban-clientか? マニュアルでは、次のように記載されていますfail2ban-client get ssh actionunban <IP>。しかし、それは機能しません。 また、/etc/init.d/fail2ban restartリスト内のすべての禁止が失われるため、私はしたくありません。



20
サーバーをファイアウォールする必要があるのはなぜですか?
注意してください:私はこれを火炎戦争にすることに興味はありません!ファイアウォールソリューションに多大な労力を費やし、必要性を信じるように教え込まれているため、多くの人がこの主題について強く信じていることを理解しています。 ただし、セキュリティの専門家である人々からの回答を探しています。これは重要な質問であり、答えは自分自身や私が働く会社以上のものに役立つと信じています。何年もの間、妥協することなく、ファイアウォールなしでサーバーネットワークを運用してきました。私たちが経験したセキュリティ侵害は、ファイアウォールで防ぐことはできませんでした。 私が「サーバー」と言うとき、私は常に「秘密の内部請求データベース」ではなく、「一般に提供されるサービス」を意味するので、私はここであまりにも長く働いてきたと思います。そのため、ファイアウォールで使用するルールでは、インターネット全体へのアクセスを許可する必要があります。また、パブリックアクセスサーバーはすべて、オフィスとは別の専用データセンターにあります。 他の誰かが同様の質問をし、私の答えは負の数に投票されました。これは、投票する人々が私の答えを本当に理解しなかったか、または私が現在していることをするのに十分なセキュリティを理解していないかのいずれかを信じさせます。 これがサーバーセキュリティへの私のアプローチです。 サーバーをインターネットに接続する前に、オペレーティングシステムのセキュリティガイドライン に従ってください。 TCPラッパーを使用して、SSH(およびその他の管理サービス)へのアクセスを少数のIPアドレスに制限します。 Muninでこのサーバーの状態を監視します。そして、Munin-node固有の重大なセキュリティ問題をデフォルト構成で修正します。 新しいサーバーをNmapします(サーバーをインターネットに接続する前にも)。このサーバーをファイアウォールする場合、これは着信接続が制限されるポートの正確なセットである必要があります。 サーバーをサーバールームにインストールし、パブリックIPアドレスを付与します。 オペレーティングシステムのセキュリティ更新機能を使用して、システムを安全に保ちます。 私の哲学(および質問の根拠)は、強力なホストベースのセキュリティによってファイアウォールが不要になるというものです。全体的なセキュリティ哲学では、ファイアウォールがある場合でも、強力なホストベースのセキュリティが依然として必要であるとされています(セキュリティガイドラインを参照)。これは、パブリックサービスをサーバーに転送するファイアウォールにより、ファイアウォールがまったくないのと同じくらい攻撃者が有効になるためです。脆弱なのはサービス自体であり、そのサービスをインターネット全体に提供することはその操作の要件であるため、サービスへのアクセスを制限することは重要ではありません。 そこならばあるインターネット全体でアクセスする必要のないサーバーで使用可能なポートは、そのソフトウェアは、ステップ1でシャットダウンする必要があり、攻撃者が脆弱なソフトウェアを介してサーバーに侵入べきステップ4で確認しました攻撃者は自分でポートを開くと、代わりにランダムなポートでアウトバウンド接続を行うことで、ファイアウォールを簡単に破ることができます(そして実行します)。セキュリティのポイントは、攻撃が成功した後に自分自身を守ることではありません-それはすでに不可能であることがすでに証明されています-そもそも攻撃者を締め出すことです。 オープンポート以外にもセキュリティに関する考慮事項があることが示唆されていますが、私にとっては、自分の信仰を守るように思えます。オペレーティングシステム/ TCPスタックの脆弱性は、ポートがそのオペレーティングシステム/ TCPスタックに直接転送されているという事実に基づいて、ファイアウォールが存在するかどうかにかかわらず、同様に脆弱である必要があります。同様に、ルーター上にファイアウォールを設置するのではなく、サーバー自体でファイアウォールを実行すると(さらに悪いことに、両方の場所で)、不要な複雑なレイヤーが追加されるようです。「セキュリティは層になっている」という哲学は理解していますが、X層のベニヤ板を重ねて屋根を作り、それらすべてに穴を開けるような点があります。別の層の合板は、その穴からの漏れを止めません 正直に言うと、ファイアウォールをサーバーに使用する唯一の方法は、既知の攻撃者からのすべてのサーバーへのすべての接続を防止する動的ルールがある場合です-スパムのRBL(偶然にも、メールサーバーの機能とほぼ同じです) 。残念ながら、それを行うファイアウォールは見つかりません。次善の策はIDSサーバーですが、それは、攻撃者が最初に実サーバーを攻撃せず、攻撃者が攻撃する前にネットワーク全体を調べることを迷惑をかけることを前提としています。また、これらは多数の誤検知を引き起こすことが知られています。
104 security  firewall 



7
すべてのiptablesルールをクリアする最良の方法
私は現在このスニペットを持っています: # flush all chains iptables -F iptables -t nat -F iptables -t mangle -F # delete all chains iptables -X これを実行した後、いくつかの不浸透性のルールが生き続ける可能性はありますか? アイデアは、完全にクリーンなiptables構成を持つことです。これは、新しいルールセットで簡単に置き換えることができます(routes / ifconfigのパラメーターは使用しないでください)。


8
Debianサーバーを保護するためにどのような手順を取りますか?[閉まっている]
インターネットに直接接続されているDebianサーバーをインストールしています。可能な限り安全にしたいのは明らかです。あなたとあなたのアイデアを追加して、それを保護するためのアイデアとあなたがそれのために使用するプログラムをお願いします。 この質問の一部で、ファイアウォールとして何を使用していますか?手動で設定されたiptablesだけか、何らかのソフトウェアを使用して支援しますか?最善の方法は何ですか?すべてをブロックし、必要なものだけを許可しますか?このトピックの初心者向けの良いチュートリアルはありますか? SSHポートを変更しますか?ブルートフォース攻撃を防ぐためにFail2Banなどのソフトウェアを使用していますか?

4
iptablesを使用してAPPENDではなくルールをPREPENDする方法は?
かなり基本的な質問:追加するのではなく、IPTABLESにルールを追加する方法は? 私が持っているDROP私のルールの下に文を。新しいルールを追加するソフトウェアを持っていますが、DROPステートメントの後にルールを追加するのはよくありません。新しいルールを追加するたびに、テーブルをフラッシュする必要があります(非効率的です)。 ルールを追加する方法はありますか。つまり、ルールをテーブルの一番下ではなく一番上に追加しますか? どうもありがとう。

5
リモートサーバーへのSSH接続を誤って禁止しています...次は何ですか?
もう一度言いましょう、私たちは皆、間違いを犯します。 簡単な歴史:私がレンタルしているVPS(Debian)で何かしらのことをしていたとき、奇妙な振る舞いに気づきました。netstatコマンドを使用して、SSHを介した許可されていない接続を見ました。私は何をすべきかわからなかったので、次を使用して彼の接続を閉じることにしましたiptables: iptables -A INPUT -p tcp --dport ssh -s IP -j DROP しかし、私は疲れている、と書いた iptables -A INPUT -p tcp --dport ssh -j DROP そして私は自分自身(そして他のみんな)を追い出しました... どうすれば修正できますか?

18
iptablesのヒントとコツ[終了]
Linuxのシステム管理者はiptables、netfilterパケットフィルタリングフレームワークへのユーザーランドインターフェイスに精通していると確信しています。 さて、この「質問」は、さまざまな知恵の断片を集めるためのコミュニティWikiを意図していますiptables。あまりにも一般的またはあまりにも曖昧なものはありません。他の人が最大限に活用するのを助けるあなたが知っている何でも投稿してくださいiptables。

8
サーバーが適切に構成されている場合、なぜファイアウォールが必要なのですか?
私は、勤務している会社のクラウドベース(VPS)サーバーをいくつか管理しています。 サーバーは、LAMPスタックのビット/インバウンドデータ収集(rsync)を実行する最小限のUbuntuインストールです。データは大きいが、個人的、財務的、またはそのようなものではない(つまり、それほど面白くない) ここで明らかに、人々はファイアウォールなどの設定について永遠に尋ねています。 たとえば、サーバーを保護するために多くのアプローチを使用します(ただし、これらに限定されません) 非標準ポートのssh。パスワード入力なし、ログインなどの既知のIPからの既知のsshキーのみ https、および一般に既知のキー/ IPからのみの制限付きシェル(rssh) サーバーは最小限で、最新であり、定期的にパッチが適用されます rkhunter、cfengine、lynis denyhostsなどを監視に使用します UNIXシステム管理者の豊富な経験があります。私は自分のセットアップで何をしているかを知っていると確信しています。/ etcファイルを構成します。ファイアウォールのようなもの、iptablesなどをインストールする必要があると感じたことがありません。 VPSの物理的なセキュリティの問題については、しばらくの間脇に置いておきます。 Q?私が素朴であるか、fwが提供する増分保護がサーバーでの学習/インストールと追加の複雑さ(パッケージ、構成ファイル、可能なサポートなど)の努力に値するかどうかは判断できません。 これまで(木材に触れる)セキュリティに問題はありませんでしたが、満足しているわけでもありません。

7
Bの秘密鍵を使用して、AからBを介してCへのSSH
ローカルマシンAからプロキシBを経由して宛先ホストCにSSHで接続する簡単な方法を探しています。Cの公開キーに付随する秘密キーはBにあり、できません。ローカルマシンにそのキーを置きます。任意のヒント? また、〜/ .ssh / configを使用してこれを実行できるようにしたいと思います。 ありがとう!
59 linux  ssh  firewall  bash  proxy 

4
Windowsでiptablesに相当しますか?
愚かな質問: Windowsにiptablesに相当するものはありますか?cygwin経由でインストールできますか? 本当の質問:iptablesを介して達成できることをWindowsでどのように達成できますか?基本的なファイアウォール機能を探している(特定のIPアドレスをブロックするなど)

弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.