Administrace komentářů

Ono je to jednoduché. Když je instalovaná celá politika a používají se explicitní pravidla, tak na výchozí politice řetězů nezáleží. Takže má podle mě smysl posuzovat jen ty chvíle, kdy (celá) politika instalována není. To může být v případě, že ji instaluju skriptem s jednotlivými příkazy, ve kterém něco pokazím. Nebo to může nastat, pokud použiju iptables -F v domnění, že tím vypnu firewall a až potom si uvědomím, že jsem měl nejdříve přepnout politiky.

Teoreticky má DROP tu výhodu, že zastaví nevyžádaný provoz a tím zabrání útoku. Jenže pořád zůstává ten argument, že je firewall jen dodatečná bezpečnostní technika, navíc je tu zásadní nevýhoda, že v takovém případě zastaví i legitimní provoz a v případě řetězů INPUT a OUTPUT zastaví i management provoz (například běžící SSH spojení). V posledních letech jsem jen příležitostný admin, ale i tak pro mě pořád platí, že zastavení legitimního provozu je relativně drahé a zablokování vlastního přístupu je ještě řádově dražší. V tomto ohledu je výchozí politika ponechaná na ACCEPT ideální řešení.

Teoreticky bych tedy měl volit DROP v případech, kdy se i pár paketů považuje za riskantní. Jenže to se typicky týká jen výchozí politiky řetězu FORWARD, která je tuplem zbytečná, vzhledem k tomu, že lze vypínání/zapínání forwardingu řešit přesy sysctl. Neumím si představit, že by byl kritický i INPUT, ale i v tom případě bych asi primárně hledal jiné řešení než nastavení výchozí politiky.