Je firewall opravdu nutný?

26.7.2006 19:25 | Přečteno: 1813× | IT

V pondělí jsme se připojili k Netboxu a tak mám teď doma místo vytáčeného "připojení" konečně 4096/1536 kbps. Jelikož můj winmodem nejel v linuxu, nikdy jsem se příliš netrápil takovými věcmi jako jsou iptables, ale teď asi nastala ta vhodná chvíle něco si přečíst. Během pročítání manuálů a howto k iptables a článků o bezpečnosti v sítích mi ale vyvstala jedna nejasnost. Význam firewallu ve Windows chápu, ale jak je to v Linuxu?

Firewall přece nedělá nic víc, než že na základě stanovených pravidel zahazuje nebo propouští určité pakety z/do sítě. Pravidla lze specifikovat (zjednodušeně vzato) pro určitý protokol, počítač/síť, síťového rozhraní... Nicméně aby nějaký zatoulaný zákeřný paket mohl mému stroji škodit, musí být někým přijat. Tedy nikdo v síti nemůže můj stroj napadnout, pokud na mém stroji neběží nějaký démon, který by mu to umožnil. Proto mě napadá, že jestliže nestartuji sshd, telnetd (zakomentovaný v konfiguráku xinetd), mysqld, httpd, cupsd, neběží na mém počítači žádný démon, který by přijal potencionálně škodlivý paket a když paket nemá příjemce, je imho zahozen. Pak by ale přeci nebyl firewall vůbec nutný, tak proč jsou kolem něj takové cavyky? Kde je zakopaný pes?

       

Anketa

Komentáře

[#Tom]

Iptables se hodí, přece jen třeba X server poslouchá obvykle na portu 6000 a musí se to zakázat až parametrem -nolisten. Podobné je to u jiných programů, jednodušší je zakázat všecko a pak povolovat výjimky.

[Michal Kubeček]

V některých současných distribucích je naopak X server spouštěn defaultně s parametrem '-nolisten tcp' a poslouchá pouze přes lokální socket.

[#Tom]

To je pěkné, že na to tvůrci distribucí myslí.

[Luk]

Hlavní význam firewallu je právě v tom, že chrání proti exploitům přes špatně nastavené programy. Dnes už to není tak horké jako dřív (kdy v některých distribucích bývaly některé programy nastaveny dost nebezpečně), ale pořád to svůj význam má.

Taktéž pro experimenty. Když zkouším něco nového, ať už vlastní program nebo nějaký stažený, nemám zájem, aby byly porty otevřené do celého světa.

Ostatně známý windowsovský červ MSBlaster, šířící se kvůli chybě v implementaci RPC, na strojích s firewallem neměl šanci. Min. 95 % uživatelů Windows o nějakých běžících službách vůbec nic neví, proto je pro ně FW víc než dobrá volba. Ale ani na GNU/Linuxu to není k zahození, už proto, že po aktualizaci nějakého balíku z distribuce mohou nějaké (potenciálně děravé) procesy přibýt a člověk si toho ani nevšimne.

[Lukáš Rýdlo]

Tak to je presne to, co mi v tom horku nedoslo Spustene aplikace, o kterych nevim, ze poslouchaji... Diky za nakopnuti

[sokrates]

To si prece muzes jednoduse zkontrolovat, napr. takto:

# netstat -an | grep LISTEN

Jinak asi takhle:

http://www.fefe.de/pffaq/

[Michal Kubeček]

  netstat -lpn

:-)

[Jan Zahornadsky]

Ano. A to docela z jednoduchého důvodu. Protože linux patří na server.

[Lukáš Zapletal]

A Windows patří na desktop?!? Omg.

[Heron]

Pak by ale přeci nebyl firewall vůbec nutný, tak proč jsou kolem něj takové cavyky? Kde je zakopaný pes?

Zakopaný pes je v tom, že linuxový stroj, kde neběží žádný síťový daemon je raritou --pravda, pokud linux vstoupí na desktop, tak lze takových stanic očekávat víc. No a stroj, kde běží 20 sítových programů (tedy "typické" nasazení linuxu), firewall potřebuje. Proto se tak často mluví o FW.

[Michal Kubeček]

Ono to není tak jednoduché. Budu-li mít na jedné straně stroj, kde neběží žádný naslouchající démon a není tam žádný firewall, a na druhé straně stroj, kde běží dvacet démonů, kteří jsou tam úmyslně, a proto je přístup na jejich porty povolen, je mezi tím nějaký podstatný rozdíl? Tím nechci říct, že ten firewall by tam byl (v obou případech) k ničemu, jen že je potřeba se nad tím zamyslet trochu víc do hloubky.

[Heron]

Pravda. Je časté, že nějaké služby jsou povoleny pouze pro určité IP, jinak jsou nepřístupné. A to nemluvím o přesměrování portů a další věci ...

[AloneInTheDark]

Podle té rychlosti up/down bych tipoval že se jedná o ADSL nebo poskytovatele internetu po kabelu. Hádám také, že máte nějaký router, který v sobě obvykle už nějaký "firewall" má. Netsčilo by tedy použití tohoto fw, když nemáte chuť učit se iptables ? Obvykle to bývá výrazně jednodušší na nastavení a i to nastavení se dělá snadno pomocí web browseru ... Tím routrem myslím podobná zařízení jako zde NE EDIMAX BR-6204WG

[msk]

Pripadne sa neucit iptables a pouzit FireHOL.

[Zafod]

Anebo použít iptables, ale neučit se je. Pravidla se dají snadno nechat vygenerovat scriptem levy.pl.

[David Watzke]

A co myslíš že dělá firehol?

[Lukáš Rýdlo]

Jo, k panelaku jde optika a po panelaku kabely Cat. 5 -- proste jsem u vytrzeni . Jinak router nemam (ackoliv netusim, jaky hw ma na lince poskytovatel). Koncem prazdnin bude nejaky pentium II jako brana s firewallem, takze se ty iptables chci naucit...