Secara khusus
Saya memiliki aturan iptables yang ditentukan pada server yang menjalankan CentOS. Apakah saya dijamin / dapatkah saya jamin / bagaimana saya bisa menjamin bahwa ketika jaringan online (baik saat boot mesin, atau setelah memulai kembali layanan jaringan) iptables ruleset sudah diterapkan (dan jika iptables gagal untuk memulai atau gagal untuk menerapkan aturan tersebut antarmuka jaringan akan gagal muncul)?
(Saya tahu ini adalah pertanyaan noob, tapi saya tidak pernah menjalankan server pada apa pun kecuali jaringan tepercaya di belakang DHCP NAT yang menyamar dan firewall, jadi ... harap pertanyaan noob dari noobs.)
15
Benar-benar bukan pertanyaan noob sama sekali. Ini pada dasarnya adalah bagaimana peretas masuk ke jaringan PlayStation kembali pada tahun 2011, menyebabkan 24 hari pemadaman dan pemukiman $ 15MM. Ketika firewall mereka reboot (seperti yang mereka lakukan setiap bulan), firewall terbuka lebar untuk beberapa saat - tampaknya cukup lama.
—
Chris S
@ ChrisS Hal yang paling aneh tentang itu, bagi saya, adalah bahwa saya yakin sysadmin yang bertanggung jawab untuk jaringan itu hampir pasti akan cukup pintar untuk menolak jika seseorang menyarankan mematikan firewall, tetapi tidak berani, bulanan , mematikannya ... lalu hidupkan kembali. Tidak yakin yang kombinasi ini akan menjelaskannya, meskipun.
—
Parthian Shot
Pilihan lain adalah menonaktifkan port pada switch jaringan sampai server sepenuhnya boot - jika Anda berada di situs dan memiliki akses switch. Ini tidak ideal, tetapi pasti akan berhasil, kecuali server memiliki ketergantungan jaringan seperti NFS.
—
jftuga
@ jftuga Yah, tentu. Tetapi kemudian server tidak akan terhubung ke Internet, dan sehingga solusi secara teknis tidak termasuk dalam lingkup pertanyaan ini. Jika saya di situs, saya bisa mencabut kabel ethernet saat reboot. Dan masalah mendasarnya akan tetap dengan solusi pemblokiran port; bahwa komputer lain yang menyerang jaringan tidak akan dihentikan oleh firewall lokal. Jika router diretas, atau malfungsi, atau orang lain di jaringan lokal dikompromikan, permainan masih berakhir.
—
Parthian Shot
@ jftuga Bahkan, masalahnya bahkan lebih buruk dari itu. Dengan asumsi seseorang telah mendapatkan perangkat lunak untuk dijalankan pada mesin lokal, tetapi firewall saya tidak menyaring jalan keluar, katakan aturannya adalah bahwa paket keluar hanya diperbolehkan jika mereka dibuat atau terkait, dan koneksi baru yang masuk hanya diizinkan untuk port 80 Biasanya, itu akan mencegah shell terbalik dari akun yang tidak memiliki hak pribadi. Tetapi jika koneksi dimulai saat boot, itu akan dipertahankan melalui inisialisasi firewall. Saya kira itu juga berarti aturan firewall harus berubah, tapi itu kesalahan yang mudah dibuat.
—
Parthian Shot