Debianはなぜデフォルトでファイアウォールが有効になっていないのですか？

私はDebian 9.1をKDEで使用していますが、なぜデフォルトでファイアウォールがインストールされて有効になっていないのでしょうか？gufwはDVD1のパッケージにも含まれていません。

ファイアウォールを取得する前にインターネットに接続することを期待されていますか？どうして？すべてのポートがデフォルトで閉じられていても、さまざまなインストール、更新、またはダウンロードされたプログラムがそれらを開くことができますか（開かないか？）

編集：だから私はiptablesについて知りましたが、ファイアウォールはほとんど知られていないように見えるため、質問はまだiptablesのままであると思います、デフォルトのルール、アクセス性と使いやすさ、デフォルトですべてのiptable-rulesがリセットされるという事実再起動時。

最初に、Debianはあなたが何をしているのか知っていると仮定しがちであり、あなたのために選択をすることを避けようとします。

Debianのデフォルトのインストールはかなり小さく、安全です—サービスを開始しません。また、インストールに追加される標準のオプションの追加機能（Webサーバー、sshなど）でさえ、通常はかなり保守的で安全です。

したがって、この場合はファイアウォールは必要ありません。Debian（またはその開発者）は、追加のサービスを開始した場合、それらを保護する方法を知っていると想定し、必要に応じてファイアウォールを追加できると想定しています。

さらに重要なことは、おそらく、Debianはどのファイアウォールソフトウェアを使用するかに関してあなたに選択をさせることを避けるでしょう。多数の選択肢がありますが、どれを使用すべきですか？また、基本的なファイアウォール設定に関しても、どの設定を選択する必要がありますか？iptablesそうは言っても、優先度が重要なので、デフォルトでインストールされます。しかし、もちろん、Debianはあなたがどのように設定したいかわからないので、あなたのために設定しません。とにかくiptables、の後継を使用することを好むかもしれませnftablesん。

また、ファイアウォール機能はすでにLinuxカーネルにある程度組み込まれていることに注意してください。例えばnftablesとnetfilter。Debianおよびその他のLinuxディストリビューションは、iptablesその機能を管理するようなユーザースペースツールを提供します。しかし、あなたがそれらをどうするかはあなた次第です。

これらのエンティティには一貫した名前が付けられていないことに注意してください。ウィキペディアのnftablesページを引用するには：

nftablesはユーザー空間ユーティリティnftを介して設定され、netfilterはユーティリティiptables、ip6tables、arptablesおよびebtablesフレームワークを介して設定されます。

まず最初に、すでに言われたことを繰り返します。Debianは、他の多くのメインストリームディストリビューション、特にUbuntuとはかなり異なるユーザーグループに対応しています。Debianは、システムがどのように機能するかを知っており、システムを高度に制御することの見返りとして、時々いじくり回すことを恐れない人々を対象としています。たとえば、Ubuntuは非常に異なるターゲットオーディエンスに対応します。物事を機能させたいだけで、内部で何が起こっているかを（本当に）気にせず、確かに物事を作るためにシステム構成を変更する必要はありません作業。これは、結果のシステムの多くの側面に影響を与えます。そして、ある程度、これはLinuxの美しさの1つです。同じ基本システムを使用して、さまざまなニーズに応える環境を構築できます。UbuntuはDebianの派生物であり、

gufwはDVD1のパッケージにも含まれていません。

最初のディスクには、インストールされたシステムからの匿名統計のオプトイン収集によって決定される、最も一般的なソフトウェアが含まれています。gufwが最初のディスクにないという事実は、これがDebianで（インストールベースに関して）非常に人気のあるパッケージではないことを示しています。また、ネットワークシステムが稼働しているベースシステムがあれば、他のシステムよりも簡単にインストールできます。

ファイアウォールを取得する前にインターネットに接続することを期待されていますか？どうして？

まあ、一つには、Debianはネットワーク経由でのインストールを許可していると思います。（通常のインストール中にネットワークからパッケージをダウンロードするだけでなく、インストールされているホストとは異なるホストから文字通りインストールを開始します。）制限されたルールセットでデフォルトで設定されたファイアウォールは、それを妨げるリスクがあります。インストール中のパッケージの最新バージョンを単にダウンロードする以外の目的で、インストールプロセス中に発信ネットワークアクセスを必要とするインストールでも同じです。

もう1つは、上記で説明したものです。原則として、Debianはあなたが何をしているかを知っていることを期待しています。ファイアウォールが必要な場合は、自分でファイアウォールを設定できることが期待されており、Debianのメンテナーよりもあなたの特定のニーズをよく知っていることが期待されます。Debianはその点でOpenBSDに少し似ていますが、極端ではありません。（ベースシステムをもう少し安全にするか、少し使いやすくするかを選択すると、OpenBSDのメンテナーは事実上常にセキュリティを重視します。これはベースシステムのセキュリティ脆弱性統計に示されていますが、ユーザビリティに大きな影響を与えます。）

そしてもちろん、技術的：ファイアウォールのサポートは基本システムに含まれています。カーネルによってデフォルトで設定されたすべてを許容するルールに設定されているだけで、ベースのDebianインストールはそれを変更するために何もしません。いくつかのコマンドを実行して、トラフィックフローを制限できます。

すべてのポートがデフォルトで閉じられていても、さまざまなインストール、更新、またはダウンロードされたプログラムがそれらを開くことができますか（開かないか？）、許可なくマシンを1ビットでも残さないことを望みます。

まず、ファイアウォールは通常、着信トラフィックを制限するために使用されます。発信を制限する場合交通、それは魚のやや異なるやかんです。確かに実行可能ですが、あなたの特定の状況により多くの調整が必要です。一般的に使用されるポートを開いたままにするデフォルトブロックの発信トラフィックファイアウォール（一般的に使用されるポートはftp / 20 + 21、ssh / 22、smtp / 25、http / 80、https / 443、pop3 / 110、imap / 143および他のバンドル）に加えて、確立されたセッションに関連するトラフィックを許可することは、デフォルト許可ファイアウォールよりもはるかに安全ではありません。基本システムによってインストールされるパッケージのセットは、十分に理解され、配信されたパッケージとして安全に構成されたセットに制限され、それ以上の保護が必要な場合、管理者が適切なファイアウォールルールを設定できるようにすることをお勧めします。

第二に、閉じたポート（TCP RST / ACKでTCP SYNに応答するポート）、通常「接続拒否」として報告されます-これは、通常、TCP / IPをサポートするライブシステム上のTCPポートのデフォルトの状態であり、反対の設定がないか、ソフトウェアがリッスンしている場合）、重大な脆弱性ではありません。別のファイアウォールを介して接続されていないシステム上でも。カーネルのTCP / IPスタックの実装に脆弱性がある場合、全閉構成で唯一の重大な脆弱性があります。しかし、パケットはすでにカーネルのnetfilter（iptables）コードを通過しているため、バグも潜んでいる可能性があります。反対側で「接続が拒否された」という結果で応答するためのロジックは、セキュリティ関連のバグはもちろんのこと、バグの主要な原因になると信じるのに苦労するほど単純です。

第三に、パッケージは通常rootとしてインストールされ、そこから（パッケージは）知らないうちにiptablesルールを変更できます。そのため、人間の管理者が手動でホストファイアウォールを通過するトラフィックを許可することを要求するようなものを得ることとは異なります。そのような分離が必要な場合は、最初に保護するホストとは別のファイアウォールを用意する必要があります。

だから私はiptablesについて知りましたが、ファイアウォールはほとんどの場合、デフォルトのルールとアクセシビリティと使いやすさについてかなり知られていないようであるため、質問はまだiptablesのままです。

私は実際に反対が真実だと言うでしょう。ファイアウォールとしてのiptablesはよく知られています。また、出くわす可能性のあるほぼすべてのLinuxシステムでも使用できます。（2000年頃のLinuxカーネルバージョン2.4につながった開発中にipchainsを置き換えました。物事を正しく思い出せば、ファイアウォールの一般的なユースケースの2つの間のユーザーに見える最大の変更は、組み込みルールチェーンはINPUT、小文字の代わりに、のように大文字で命名されましたinput。

どちらかといえば、iptablesのは、物事を行うことができ、他の広く使われているか理解されていないファイアウォール以上を。たとえば、ファイアウォールを通過する前にIPパケットを書き換えるために使用できます。

実際、Debian開発者やメンテナーの世代の頭にいなくても推測できたら、これは次のようになります。

Debianは主にサーバーオペレーティングシステムとして設計されており、sidブランチとテストブランチの両方が主な目的として次の安定ブランチの作成を行い、フリーズ時にフリーズし、新しい安定がテストから取得されます。ストレッチで起こりました。

これを考えると、システム管理者の友人にこれを確認する必要があります。データセンターのファイアウォールは外部デバイスであり、セキュリティが非常に高い（少なくとも1つはそうであると期待されます）。ファイアウォールタスク。ルーターを備えた小さなLANでも、これは事実です。ルーターはファイアウォールです。どのシステムでもローカルファイアウォールルールを使用しません。なぜですか。

おそらく、人々はデスクトップDebianのローカルインストールまたはオフィスや自宅の単一ファイルサーバーを、実際の使用に焦点を当てたDebianに関連する実際の作業と混同していると思います。

これについては確信がありませんが、Debianを10年以上使用してきた後、それは多くの点でDebianの開発者であり支持者であると感じています。

これは実際には良い質問なので確認できますが、実際のネットワークは、マシンごとではなく、ネットワークへの入り口でファイアウォールで保護されている、または少なくとも、それはおそらく駆動する基本的な考え方ですDebian。さらに、もちろん、そうでない場合、システム管理者は、デフォルトのインストールに依存せず、Chefのようなものを使用して、マシンごとにファイアウォールルールを設定することになります。たとえば、デフォルトのDebian ssh設定は、デフォルトで個人的に使用するものではありません。たとえば、デフォルトでrootログインを許可します。それが悪い習慣であると判断した場合、それを修正するのはsysadminの責任です。

つまり、Debianに関しては他のいくつかのディストリビューションにはないかもしれないと思う能力があるという仮定があります。同様に、変更したいものを変更したり、イメージを作成したり、サイト管理ソフトウェアでそれらを管理したりします。これらはほんの数例です。たとえば、DVDを使用して新しいサーバーを作成することはありません。少なくとも運用環境では、最小限のnetinstallのようなものを使用するでしょう。これは、私がいつも使用しているものです（たとえば、 、しかし、彼らはそれを中止しました）。その基本インストールに含まれているものを見ると、Debianが重要であると考えているものとそうでないものの適切な感覚が得られます。たとえば、sshがあります。Xorgはそうではなく、Sambaはそうではない。

また、なぜデフォルトのデスクトップとしてGNOMEに戻ったのかを尋ねることもできますが、これらはユーザーが下した決定に過ぎず、ユーザーがシステムを思い通りに（つまり、Xfceデスクトップを取得するために、 （Xubuntuのように）Xdebianをインストールせず、Debianコア、Xorg、およびXfceをインストールするだけです。同様に、ファイアウォールが必要な場合は設定し、入出力を学習しますが、Debianがそれを有効にして出荷することを個人的に期待することはありません。 。これについての私の見解は、Debianの内部でも見られるようなコンセンサスを反映しているのかもしれません。

加えて、Debianのようなものは実際にはありません。さまざまなインストールイメージ、ネットインストール、フルインストールがあり、これらはすべてベアボーン、CLIのみ、合理的な完全なユーザーデスクトップまでさまざまです。実稼働ユーザーは、おそらくユーザーが望むように構成されたイメージを作成するでしょう。Debianサーバーをセットアップしている場合、生の基本から始めて、望みどおりになるまでビルドします。

次に、まったく異なる種類のワックスであるWebサーバーの世界があり、それらは非常に異なるセキュリティの質問を持っています。サーバーがクラッカーに所有されている人とも呼ばれます。

一般的な考え方は、複雑なセットアップを除き、ほとんどのシステムでファイアウォールを必要としないことです。

サーバーをインストールしたときに、SSHが実行されています。他には何も聞いてはならないので、おそらくsshに接続できるようにしたいでしょう。

Webサーバーをインストールすると、Webサーバーが使用可能になることが期待されますか？また、基本的な調整のために、0.0.0.0（すべてのIP）ではなく、192.168.172.42（ローカルLAN IP）などのプライベートLANインターフェイスのみにWebサーバーをバインドできます。まだファイアウォールは必要ありません。

もちろん、すべてが1024を超えるポートを開くことができますが、信頼できないソフトウェア（または信頼できないユーザー）がいる場合は、ファイアウォールをインストールするだけでは不十分です。何かを信じる必要がある瞬間には、ソフトウェアだけでなくセキュリティの概念が必要です。そのため、ファイアウォールソリューションについて積極的に考える必要がある場合に便利です。

もちろん、もっと複雑なシナリオもあります。ただし、実際にこれらのいずれかを使用している場合は、ファイアウォールを自分で微調整する必要があり、ufwのような半自動システムにそれを行わせないでください。または、ufwを使用することもできますが、オペレーティングシステムのデフォルトではなく、決定しました。

人々は以前にインターネットに接続することを期待されていますか

はい

ファイアウォールを取得しますか？

すべてのポートがデフォルトで閉じられている場合でも

申し訳ありませんが、そうではありません。rpcbindデフォルトでインストールされ、有効にされ、ネットワークでリッスンしているようです。

編集：これは最新のインストーラー、つまりDebian 9（Stretch）で修正されたと思います。しかし、Debianの以前のバージョンでは、公共のwifiネットワークにそれらをインストール（そして更新）することはあまり安全ではないと感じました。

どうして？

人々には次のような仮定があると思う

1. ローカルネットワークはネットワークサービスを攻撃しません
2. ローカルネットワークとより広いインターネットの間に既にファイアウォールがあります。

後者は一般的な慣例ですが、たとえば消費者向けルーターなどでは、保証されているとは思いません。当然、前者の仮定は文書化されていません。賢明なものでもありません。

私の意見では、rpcbindの問題はより一般的なポイントの例です。人々はDebianの宣伝を試みることができ、多くの素晴らしい機能があります。しかし、Debianは、洗練されていて友好的であるという点でUbuntuに遅れをとっており、そのような詳細を学びたい人にとっては間違いなく信頼性も劣っています。

ダウンロードされたプログラムはそれらを開くことができますか（開かないのでしょうか？）、許可なく私のマシンを離れることが1ビットもないことを望みます。

ファイアウォールが何をするのかわからないランダムなソフトウェアのダウンロードと実行を開始する前に、ファイアウォールをインストールすることは確かに自由です:-p。

Linuxをインストールし、非常によく知られているセキュリティレイヤー用に設定されたインターフェイスを見つけられないのは不安です。個人的には、デフォルトのWindowsファイアウォールがどのように設定されているかを理解することが有用だと感じました。ホームネットワークを「信頼」できるようにしたいと考えています。最近のバージョンでは、エクスプレスインストールは、現在のネットワークを信頼するかどうかの確認をスキップします。主な目標は、ホームネットワーク、直接接続されたモデムなどの保護されていない接続、およびパブリックWiFiネットワークを区別することです。とにかくUFWはこれをサポートしていないことに注意してください。

Fedora Linux単独で、このようなものを提供しようとしましたfirewalld。（パッケージはDebianでも利用できるようです...）。それのGUIは、GUFWほど「フレンドリー」ではありません。

Unixの伝統的な哲学は、常にKISSであり、最小限のサービスを実行/公開することです。

いくつかのサービスも明示的にインストールする必要があり、一部はlocalhostにバインドされており、ローカルネットワーク/インターネット（MySQL、MongoDB、snmpd、ntpd、xorg ...）で表示できるようにする必要があります。これは、デフォルトでファイアウォールを有効にするよりも賢明なアプローチです。

ファイアウォールが特定のポイントからもたらす複雑さだけが必要であり、その必要性は企業のルーターや家庭用デバイスの背後にあることで減少する可能性があるため、ユーザーにその決定を任せるのが賢明に思えます。ファイアウォールは、他の多くのセキュリティソフトウェアと同様に、適切に管理されていない場合、誤ったセキュリティを提供する可能性があります。

Debianのオリエンテーションは、常にiptablesが何であるかを知っている、より技術志向の人々です。また、簡単にインストールできるいくつかのよく知られたラッパー、テキストまたはグラフィカルモードインターフェイスもあります。

それに加えて、インストールされているソフトウェアが多すぎても少なすぎても、意見の問題になります。長年のベテランにとって、特にサーバーモードでは、デフォルトでインストールされるソフトウェアとサービスが多すぎます。