NAT bezpečnost nijak nezvyšuje.
Chci se zeptat na odůvodnění této mantry opakované Filepem
Jirsákem Filipa Jirsáka. Myslíš tím čistý NAT ( iptables -I -t nat -j MASQUERADE) bez dodatečného (iptables DROP ctsta te INVALID a/nebo ACCEPT ctstate RELATED,ESTABLISHED ): Trochu jsem to zjednodušil, záleží na relativním pořadí v FORWARD vůči jiným pravidlům (začátek/konec) a POLICY...
Já si myslím, že ji
nezvyšuje dostatečně (lze poslat paket z WAN na vnitřní IP a měl by projít, což může stačit, pokud není cílem odpověď na paket zpět, kdy pujde NATovaně, což nemusí být problém, když je útočník na WAN, tak si opraví src u přijatých paketů ), ale myslím, že každý(?) soudný používá dodatečné pravidlo typu -PREROUTING -i wan -d LAN/24 -jREJECT .
Ale zároveň, že ji zvyšuje, protože se nemůže stát, že někdo z druhého konce internetu(kdo nemá přístup k WAN), kde jde předchozí narativ, se dovolá na otevřenou službu na nějakém PC bez stunů,upnp atd.
Mimochodem, ty nejsou ty 2 (DROP INVALID a ACCEPT EST+REL) jsou nějak komplementární? Protože mám policy drop (v záhlaví
0pkts), na začátku DROP INVALID (11000 pkt za 3měsice/500GB), ke konci ACCEPT NA EST+REL a to pobere vše (Pokud není bug v iptables -vL, že v záhlaví ukazuje nulu, mám tušení, že něco takového bylo)