konkretnie
Mam zestaw reguł iptables zdefiniowany na serwerze z systemem CentOS. Czy mam gwarancję / mogę zagwarantować / w jaki sposób mogę zagwarantować, że kiedy sieć jest w trybie online (podczas uruchamiania komputera lub po ponownym uruchomieniu usługi sieciowej), zestaw reguł iptables jest już zastosowany (a jeśli iptables nie uruchomił się lub nie zastosował zestawu reguł interfejs sieciowy nie pojawi się)?
(Wiem, że jest to pytanie noob, ale nigdy nie uruchomiłem serwera w nic poza zaufanymi sieciami za maskaradującym NAT NAT i zaporą ogniową, więc ... oczekuj pytań od noob.)
15
Naprawdę wcale nie jest to pytanie noob. W ten sposób hakerzy dostali się do sieci PlayStation w 2011 roku, powodując 24 dni przestoju i 15 mln USD w rozliczeniach. Kiedy ich zapory uruchomiły się ponownie (tak jak co miesiąc), zapora otworzyła się na kilka chwil - najwyraźniej wystarczająco długo.
—
Chris S
@ChrisS Najdziwniejszą rzeczą w tym jest dla mnie to, że jestem pewien, że sysadmins odpowiedzialni za tę sieć prawie na pewno byliby na tyle sprytni, by się powstrzymać, gdyby ktoś zaproponował wyłączenie zapory ogniowej, ale nie mrugnął okiem co miesiąc , wyłączając go ... a następnie włączając ponownie. Nie jestem jednak pewien, która z tych kombinacji to wyjaśni.
—
Parthian Shot
Inną opcją jest wyłączenie portu na przełączniku sieciowym, dopóki serwer nie zostanie w pełni uruchomiony - jeśli jesteś na miejscu i masz dostęp do przełącznika. Nie jest to idealne, ale na pewno zadziałałoby, chyba że serwer był zależny od sieci, takiej jak NFS.
—
jftuga
@jftuga Cóż, jasne. Ale wtedy serwer nie byłby podłączony do Internetu, więc rozwiązanie technicznie nie wchodzi w zakres tego pytania. Jeśli jestem na miejscu, mogę po prostu odłączyć kabel Ethernet podczas ponownego uruchamiania. Zresztą podstawowym problemem pozostanie rozwiązanie blokujące porty; że lokalny firewall nie zatrzyma innego komputera atakującego przez sieć. Jeśli router zostanie zhakowany lub ulegnie awarii lub ktoś inny w lokalnej sieci zostanie przejęty, gra jest nadal skończona.
—
Parthian Shot
@jftuga W rzeczywistości problem jest jeszcze gorszy. Zakładając, że ktoś już uruchomił oprogramowanie na komputerze lokalnym, ale moja zapora sieciowa filtruje wyjście, powiedzmy, że wychodzące pakiety są dozwolone tylko wtedy, gdy są ustanowione lub powiązane, a nowe połączenia przychodzące są dozwolone tylko na porcie 80 Zwykle zapobiegałoby to odwróceniu powłoki z nieuprzywilejowanego konta. Ale jeśli połączenie zostanie zainicjowane podczas rozruchu, zostanie podtrzymane poprzez inicjalizację zapory ogniowej. Przypuszczam, że oznacza to również, że reguły zapory powinny się zmienić, ale jest to łatwy błąd do popełnienia.
—
Parthian Shot