Tường lửa chống mẫu?

Một số cách phổ biến nhất và sai để cấu hình tường lửa là gì? Tôi sẽ bắt đầu danh sách với những điều sau đây:

Chặn mù ICMP . Đây là thực tế phổ biến vào năm 1998 khi các cuộc tấn công smurf là ​​tất cả các cơn thịnh nộ. Hôm nay bạn có nguy cơ tạo ra lỗ đen PMTU và làm cho việc chẩn đoán các vấn đề trở nên khó khăn. Nếu bạn phải chặn ICMP, ít nhất là cho phép phân mảnh cần thiết và phản hồi yêu cầu / trả lời thông qua.

Quy tắc cũ . Thật tệ khi chúng ta không thể đặt ngày hết hạn theo quy định. Khi tôi di chuyển một dịch vụ, tôi thường quên xóa các quy tắc cho dịch vụ cũ.

Mở nó ra để làm cho nó hoạt động ... sau đó không bao giờ quay lại và khóa bất cứ thứ gì.

Tiếp theo ví dụ của John - không sử dụng nhận xét chống lại quy tắc nếu tường lửa của bạn hỗ trợ chúng.

Không có gì tệ hơn là lần đầu tiên nhìn thấy tường lửa và nhìn thấy tất cả các loại quy tắc kỳ lạ không có ý nghĩa gì với mắt thường, và các bình luận đều trống và không có tài liệu.

Về vấn đề quy tắc cũ, theo ví dụ của bạn - Tài liệu và quy trình phù hợp SILL loại bỏ các vấn đề đó. Tôi đề nghị rằng vấn đề của bạn không phải ở tường lửa.

Cá nhân tôi coi việc chia các quy tắc trong và ngoài nước thành hai nhóm chính là một mô hình chống. Phải đối phó với hai nhóm lớn là một cơn ác mộng. Tôi thích nhóm quy tắc cho lưu lượng đến và đi có liên quan đến một giao thức / ứng dụng nhất định. Cách này dễ dàng hơn nhiều để quản lý chúng.

Di chuyển vấn đề đi nơi khác.

ví dụ. Tường lửa PC cục bộ đang dừng một số dịch vụ hoặc ứng dụng hoạt động, vì vậy hãy tắt nó hoàn toàn và nói "tường lửa trên bộ định tuyến biên sẽ ổn để bảo vệ tất cả các PC".

Thủ công và duy trì chúng.

Các tập lệnh của bên thứ 3 cổ đại "hoạt động đủ tốt để chúng tôi không bận tâm thay thế chúng", yêu cầu chỉnh sửa thủ công thay vì sử dụng tệp cấu hình và hoàn toàn không thể hiểu được đối với những người chưa đọc luận án mô tả cách họ làm việc.