Załóżmy, że mam serwer z interfejsem prywatnym i interfejsem publicznym. Publiczne mogą mieć takie serwery jak HTTP (S), prywatne mogą mieć MySQL i SSH.
Oczywiście Nagios przydaje się do sprawdzenia, czy usługi działają na odpowiednich interfejsach. Ale czy warto budować kontrole, które jawnie sprawdzają, czy porty MySQL i SSH nie są otwarte w interfejsie publicznym? Chodzi o to, aby wyłapać przypadkowe błędne konfiguracje, które otworzyły usługi, które powinny być prywatne i odpowiednio ostrzec.
Część mnie ma pomysł, że nie skalowałoby się to zbyt dobrze - wyobraź sobie, że istnieje reguła DROP iptables, na przykład czek musiałby poczekać, aż upłynie limit czasu czekania, zanim będzie można go ukończyć i przejść dalej. Ale ten limit czasu musiałby być wystarczająco długi, aby móc odróżnić zablokowaną usługę od otwartej, która naprawdę utknęła w martwym punkcie.
Czy to praktyczny pomysł? Czy Nagios jest właściwym narzędziem? Nawet nie zastanawiałem się nad wykonalnością negowania wyniku z wtyczek sprawdzania TCP, ale jestem pewien, że jest to wykonalne ...
DROPnie jest to właściwy cel do tego celu, użycie-j REJECT --reject-with tcp-resetgo rozwiązałoby ten konkretny problem. Dla mnie twoje pytanie brzmi jak kolejny powód do użyciaREJECTzamiastDROP.