Zobrazit příspěvky
Tato sekce Vám umožňuje zobrazit všechny příspěvky tohoto uživatele. Prosím uvědomte si, že můžete vidět příspěvky pouze z oblastí Vám přístupných.
Děkuji za odpovědi, už jsem to pochopil i z první odpovědi že samotný nat je pravidlo 1Ano.
zbytek je politka povolení/zakázní trafficuAno.
forward pravidla hrají roli jen když je defaultní chování Blokovat traffic.Ne tak docela. Pravidla se procházejí jedno po druhém, když nějaké vyhoví, provede se nastavený cíl a zpracování skončí. Když nevyhoví žádné pravidlo, použije se výchozí chování řetězce. Můžete mít tedy třeba pravidla 1. povol vše z mé IP adresy, 2. zakaž vše příchozí na port 22, výchozí pravidlo je akceptuj. Výchozí chování tedy je akceptace provozu, přesto jste provoz na port 22 z jiných IP adres než z vaší zakázal.
A že vlastně pravidlo s conn_track(#2#) je závislé na #3#, samotné pravidlo #2# by nedávalo smysl, neboť bez odchozího trafficu by žádné otevření spojení nevzniklo.Ano, je to typické nastavení firewallu. Řeknete, že všechny pakety, které souvisí s něčím, co už jste zkoumal, se mají propustit. Tohle pravidlo se nikdy nepoužije hned na začátku komunikace, logické by bylo dávat ho až na konec, ale dává se na první místo, protože mu vyhoví největší počet paketů a už se pak nemusí procházet další pravidla. A teprve za tohle pravidlo dáváte další pravidla, která se aplikují jen na pakety, které navazují spojení. A vycházíte z toho, že když neprojde paket navazující spojení, nemohou přijít ani žádné pakety, které s tím spojením souvisí.
Nedočká se z důvodu rp_filter, která je standardně(nebo to tak někdo předpokládá) zapnutá?Motají se tu dohromady tři věci. Každá z nich může ovlivnit, zda nějaký paket projde a v jaké podobě, ale každé je to něco jiného. NAT jenom překládá adresy. Jako když vám do firmy bude chodit pošta pro slečnu Novákovou, ale na podatelně budou vědět, že se vdala a přepíšou to na obálce na paní Zemanovou. A když si zlý útočník venku zjistí, že se vdala a pošle dopis rovnou paní Zemanové, na podatelně s tím nic dělat nebudou a normálně to pošlou dál. Druhá věc je firewall, ten podle zadaných pravidel blokuje nějaké pakety. Např. že panu řediteli smí posílat dopisy jen pan majitel a nikdo jiný, a údržbář smí posílat dopisy jenom do železářství a do truhlárny a nikam jinam. Třetí je RP filtr, který kontroluje to, že když dopisy do Brna posíláte autem po D1 a dopisy do Plzně autem po D5, tak zase dopisy z Brna musí přijet autem po D1 a dopisy z Plzně autem po D5. A pokud autem po D5 přijede dopis, na kterém je napsáno, že je z Brna, tak ho zahodíte, protože tudy neměl přijet a je něco špatně. To samé se dá nastavit i na firewallu, ale RP filtr je mnohem jednodušší a můžete ho použít i tehdy, když žádný firewall nepoužíváte.
Na natu ji lze taky částečně suplovat - nejen v kombinaci s rp_filter, ale třeba při překladu dovnitř, kdy se specifikují jen otevřené porty.Ne, nemůžete dávat do jednoho textu „pro začátečníky“, „pro jednoduchost“ a „NAT supluje bezpečnost“. Pro začátečníky a pro jednoduchost můžete napsat nanejvýš to, že NAT nezajišťuje vůbec žádné zabezpečení. To, že když víte, co děláte, můžete NATem útočníkovi trochu komplikovat život, začátečníkovi vůbec říkat nemáte, protože ho tím nanejvýš zmatete.
Trochu jinak. Filip psal o podvrhnutí zdrojové IP adresy.Nikoli, routuje se na základě cílové adresy. rp_filter jste do toho zamotal vy, nijak s tím nesouvisí.
Tedy že někdo zvenčí (z internetu) pošle na Váš router packet, který se bude jevit jako (např.) 192.168.0.55 => 192.168.0.68. Ale to jsou interní adresy, správně by takový packet vůbec neměl přijít, ale nešť, stát se to může.Jsou to adresy, které nejsou routovatelné v globálním internetu. V síti ISP klidně putovat můžou, takže na rozhraní vašeho routeru se takový paket klidně může dostat zcela legálně, nemusí to být žádná podvržená adresa.
Co udělá router? Předá ho z internet0 na net0 a tam dorazí na počítač .68. Ten na packet odpoví, ale komu odpoví? Odpoví počítači .55, který byl podvržený jako zdrojová adresa. Ta odpověď se už zpět na router vůbec nedostane.To ale pořád předpokládáte zfalšovanou zdrojovou IP adresu. Nevím, proč jste si vymyslel zrovna takovýhle divný případ. Aby paket prolezl tím routerem, musí mít cílovou IP adresu z té domácí sítě. Zdrojovou adresu může mít úplně libovolnou, a odpověď pak půjde na tuhle adresu. Takže jediný problém je jak zařídit, aby paket s tou správnou cílovou adresou dorazil až na rozhraní toho domácího routeru. Obecně v internetu je to samozřejmě problém, protože to je adresa, která není globálně routovatelná. Ale víte, jak přesně se bude chovat síť ISP? Víte, co se stane, když takový paket odešle soused, který je na stejném segmentu sítě nebo na stejném WiFi sektoru?
RP filtr slouží k tomu, že se takový packet vůbec nedostane ze špatného interface dovnitř. Tedy, že 192.168.x.x může přijít jedině z net0. Pro základní použití je RP filtr užitečný, ale jsou situace, kdy je potřeba vypnout - a v tu chvíli už musíte vědět, co děláte a zabezpečit si to na firewallu.RP filtr slouží k tomu, že paket přijde z té samé sítě, kam by měla být odeslána odpověď na něj. Řeší tedy pakety s podivnou zdrojovou IP adresou, přičemž k prostřelení NATu je potřeba naopak vhodná cílová IP adresa.
Tomu brání spoof protection (rp_filter) na Linuxu, ale ano, ta může být vypnuta.Vidíte někde ve svém textu zkratku NAT? Nevidíte, správně. Takže NAT s tím nemá co do činění.
Na takto malformovaný packet se útočník nedočká odpovědi, takže míra rizika dramaticky klesá.
Vysvětluju tím tazateli to, proč v příkladech jsou mnohdy forward pravidla vynechána.Ale vysvětlujete to špatně. FORWARD pravidla jsou při vysvětlování NATu vynechána proto, že s NATem nijak nesouvisí. V Linuxu se NAT konfiguruje stejným příkazem, jako firewall, je to stejný kód jádra, ale jsou to dvě různé věci. NAT provádí překlad adres, firewall filtruje (blokuje) síťový provoz. Každé to má jinou funkci a může to stát zcela samostatně – můžete používat jenom NAT nebo jenom firewall.
protože zvenčí nikdo nemůže poslat do vnitřní sítě požadavek (zvenčí nejde adresovat nic vevnitř)Ale může a jde. Když na rozhraní internet0 přijde paket s cílovou IP adresou z vnitřní sítě, tak ho router prostě přepošle do vnitřní sítě. Ten router neví nic o tom, že vy něčemu říkáte vnější a vnitřní síť, on jenom přeposílá pakety tam, kam podle cílové IP adresy patří.
On jako firewall svým způsobem slouží i ten MASQUERADETakže neslouží.
Ve skutečnosti dobře nastavený firewall má mít o mnoho více pravidel, aby síť fungovala opravdu dobře - ale toto je takový základ, který funguje.Ve skutečnosti síť nejlépe funguje bez firewallu – firewall nemůže fungování sítě zlepšit, protože jenom nějaký provoz blokuje. Dobře nastavený firewall povolí veškerý legitimní provoz a zablokuje ten nežádoucí. Nedá se říci, jestli dobře nastavený firewall má hodně pravidle nebo málo, to záleží na konkrétní situaci. Ona je totiž především nesmyslná představa, že existuje něco jako univerzální nastavení firewallu. Firewall má chránit nějakou konkrétní síť a musí být nastaven na míru tomu, co v té síti je provozované.
Bezpečně to vyřešit nejdeJenom upřesním – bezpečně to nemůžete vyřešit jako správce serveru s dnešními technologiemi. Pokud teda HSTS preload list nepovažujete za bezpečné řešení. Teoreticky to samozřejmě bezpečně vyřešit lze.
Verejnú IP poskytovateľa mám a mám tam otvorené aj nejaké porty ale nemám svoju pridelenú verejnú IP.Přidávám se k názoru Vykrooka – nechte to nakonfigurovat někoho, kdo zná alespoň úplné základy, případně vám vysvětlí, co je z hlediska bezpečnosti rozumné a čím vystavujete své soubory celému světu. Podle toho, co zatím píšete, jste na nejlepší cestě k tomu, že vám stejně nebude fungovat nic z toho, co chcete, ale útočníci k vám budou mít cestu otevřenou.
Root.cz (www.root.cz), informace nejen ze světa Linuxu. ISSN 1212-8309
Copyright © 1998 – 2023 Internet Info, s.r.o. Všechna práva vyhrazena. Powered by Linux.