Khi tôi cố gắng telnet đến một cổng trên máy chủ và nếu không có chương trình nào nghe trên cổng đó thì telnet sẽ chết với lỗi "Không thể kết nối ...". Tôi hiểu điều đó. Nhưng, tại sao chúng ta cần tường lửa nếu không có chương trình nghe trên bất kỳ cổng nào?
Câu trả lời:
Có thể không có một dịch vụ chạy ngay bây giờ, nhưng ngày mai thì sao? Bạn đã tắt tất cả, nhưng người dùng của bạn thì sao? Bất cứ ai trên hệ thống unix / windows / mac đều có thể mở một cổng> 1024 trên bất kỳ máy nào họ có quyền truy cập. Còn phần mềm độc hại thì sao? Thế còn virus? Họ cũng có thể mở các cổng và bắt đầu cung cấp thông tin cho thế giới hoặc bắt đầu lắng nghe các kết nối từ mạng.
Mục đích chính của tường lửa không phải là chặn các cổng cho các dịch vụ mà bạn biết bị vô hiệu hóa, đó là chặn các cổng trên các dịch vụ mà bạn có thể không biết. Hãy coi nó như một sự từ chối mặc định chỉ với một số lỗ hổng nhất định đối với các dịch vụ mà bạn ủy quyền. Bất kỳ người dùng hoặc chương trình nào được bắt đầu bởi người dùng đều có thể khởi động máy chủ trên hệ thống mà họ có quyền truy cập, tường lửa ngăn người khác kết nối với dịch vụ đó.
Một quản trị viên giỏi biết những dịch vụ nào cần được tiếp xúc và có thể kích hoạt chúng. Tường lửa chủ yếu là để giảm thiểu rủi ro từ các máy chủ không xác định đang chạy trên hệ thống hoặc mạng của bạn, cũng như để quản lý những gì được phép vào mạng từ một vị trí trung tâm.
Điều quan trọng là phải biết những gì đang chạy trên máy / máy chủ của bạn và chỉ kích hoạt những gì bạn cần, nhưng tường lửa cung cấp thêm một chút bảo vệ chống lại những điều bạn không biết.
hg servekhởi động máy chủ web trên máy của bạn. Vấn đề là, việc khởi động một máy chủ trên bất kỳ máy nào là không quan trọng cho dù nó được sử dụng như một 'máy tính để bàn' hay 'máy chủ' không thành vấn đề. Và một khi máy chủ đó được khởi động, và bạn không biết về nó ... tốt, đó là khi niềm vui bắt đầu.
NẾU không có chương trình nghe trên bất kỳ cổng nào, bạn không cần tường lửa, nhưng bạn cũng không thể kết nối với máy chủ của mình vì nó được 'niêm phong' từ phần còn lại của thế giới.
Mặt khác ... giả sử máy chủ của bạn không có chương trình chạy cục bộ nào nghe trên bất kỳ cổng nào, nhưng nó hoạt động như một cổng cho các máy tính khác đằng sau nó. Trong trường hợp này, bạn sử dụng tường lửa để quản lý giả mạo (NAT) và tùy ý bạn có thể lọc một số nội dung khi chuyển tiếp gói.
/etc/ssh/sshd_configđể bảo mật máy. PermitRootLoginnên được đặt thành Không, bạn nên sử dụng mật khẩu bảo mật và duy trì máy bằng sudo (bạn có thể sử dụng sudo sau khi đăng nhập bằng tài khoản có quyền sudo). Đặt các hạn chế với tường lửa chỉ là công cụ sai cho công việc. Điều tương tự cũng đúng với postgresqlcơ sở dữ liệu: Sử dụng cấu hình cơ sở dữ liệu, để đặt và thu hồi quyền.
Nói đúng ra có thể không cần thiết, tuy nhiên, hãy nhớ rằng tường lửa có thể cung cấp nhiều chức năng hơn là chỉ từ chối các kết nối qua các cổng mạng. Ví dụ, hành vi DROP so với RE DỰ ÁN.
Nhưng, tại sao chúng ta cần tường lửa nếu không có chương trình nghe trên bất kỳ cổng nào?
Nếu bạn có máy tính để bàn một người dùng , không phải máy chủ, bạn không cần tường lửa, nếu không có dịch vụ nào đang chạy, như trên bản cài đặt Ubuntu mặc định.
Windows đã có một số lần, sau khi có thể thực hiện kết nối mạng, một số dịch vụ chạy mặc định để bảo trì, cập nhật, truyền tin nhắn nội bộ, v.v. Bạn không thể ngăn chặn chúng, mà không ngăn các cửa sổ hoạt động, nhưng chúng dễ bị tấn công từ bên ngoài. Vì vậy, người dùng windows cần tường lửa và meme, mọi người đều cần tường lửa, lan nhanh.
Khi họ gặp những người dùng Linux, thường là quản trị viên máy chủ, họ không nói 'bạn không cần tường lửa trên linux' nhưng 'chúng tôi có tường lửa miễn phí như iptables trong gần một thập kỷ'.
Một tường lửa cá nhân , ngồi trên hệ thống mà nó sẽ bảo vệ, cũng không phải là ý tưởng tốt nhất.
desktopkhông có nghĩa là nó không serverchỉ là những từ. Bạn desktopcó rất nhiều serversthứ có khả năng chạy trên nó, và có thể là như vậy.
t allow anything) on RedHat, start CUPS and see if you can connect to it from outside. Then look at iptables-save`: Voila - cổng CUPS đang mở mà không hiển thị trong gui ...