Je firewall opravdu nutný? (diskuse)

[#Tom]

Iptables se hodí, přece jen třeba X server poslouchá obvykle na portu 6000 a musí se to zakázat až parametrem -nolisten. Podobné je to u jiných programů, jednodušší je zakázat všecko a pak povolovat výjimky.

[Michal Kubeček]

V některých současných distribucích je naopak X server spouštěn defaultně s parametrem '-nolisten tcp' a poslouchá pouze přes lokální socket.

[#Tom]

To je pěkné, že na to tvůrci distribucí myslí.

[Luk]

Hlavní význam firewallu je právě v tom, že chrání proti exploitům přes špatně nastavené programy. Dnes už to není tak horké jako dřív (kdy v některých distribucích bývaly některé programy nastaveny dost nebezpečně), ale pořád to svůj význam má.

Taktéž pro experimenty. Když zkouším něco nového, ať už vlastní program nebo nějaký stažený, nemám zájem, aby byly porty otevřené do celého světa.

Ostatně známý windowsovský červ MSBlaster, šířící se kvůli chybě v implementaci RPC, na strojích s firewallem neměl šanci. Min. 95 % uživatelů Windows o nějakých běžících službách vůbec nic neví, proto je pro ně FW víc než dobrá volba. Ale ani na GNU/Linuxu to není k zahození, už proto, že po aktualizaci nějakého balíku z distribuce mohou nějaké (potenciálně děravé) procesy přibýt a člověk si toho ani nevšimne.

[Lukáš Rýdlo]

Tak to je presne to, co mi v tom horku nedoslo Spustene aplikace, o kterych nevim, ze poslouchaji... Diky za nakopnuti

[sokrates]

To si prece muzes jednoduse zkontrolovat, napr. takto:

# netstat -an | grep LISTEN

Jinak asi takhle:

http://www.fefe.de/pffaq/

[Michal Kubeček]

  netstat -lpn

:-)

[Jan Zahornadsky]

Ano. A to docela z jednoduchého důvodu. Protože linux patří na server.

[Lukáš Zapletal]

A Windows patří na desktop?!? Omg.

[Heron]

Pak by ale přeci nebyl firewall vůbec nutný, tak proč jsou kolem něj takové cavyky? Kde je zakopaný pes?

Zakopaný pes je v tom, že linuxový stroj, kde neběží žádný síťový daemon je raritou --pravda, pokud linux vstoupí na desktop, tak lze takových stanic očekávat víc. No a stroj, kde běží 20 sítových programů (tedy "typické" nasazení linuxu), firewall potřebuje. Proto se tak často mluví o FW.

[Michal Kubeček]

Ono to není tak jednoduché. Budu-li mít na jedné straně stroj, kde neběží žádný naslouchající démon a není tam žádný firewall, a na druhé straně stroj, kde běží dvacet démonů, kteří jsou tam úmyslně, a proto je přístup na jejich porty povolen, je mezi tím nějaký podstatný rozdíl? Tím nechci říct, že ten firewall by tam byl (v obou případech) k ničemu, jen že je potřeba se nad tím zamyslet trochu víc do hloubky.

[Heron]

Pravda. Je časté, že nějaké služby jsou povoleny pouze pro určité IP, jinak jsou nepřístupné. A to nemluvím o přesměrování portů a další věci ...

[AloneInTheDark]

Podle té rychlosti up/down bych tipoval že se jedná o ADSL nebo poskytovatele internetu po kabelu. Hádám také, že máte nějaký router, který v sobě obvykle už nějaký "firewall" má. Netsčilo by tedy použití tohoto fw, když nemáte chuť učit se iptables ? Obvykle to bývá výrazně jednodušší na nastavení a i to nastavení se dělá snadno pomocí web browseru ... Tím routrem myslím podobná zařízení jako zde NE EDIMAX BR-6204WG

[msk]

Pripadne sa neucit iptables a pouzit FireHOL.

[Zafod]

Anebo použít iptables, ale neučit se je. Pravidla se dají snadno nechat vygenerovat scriptem levy.pl.

[David Watzke]

A co myslíš že dělá firehol?

[Lukáš Rýdlo]

Jo, k panelaku jde optika a po panelaku kabely Cat. 5 -- proste jsem u vytrzeni . Jinak router nemam (ackoliv netusim, jaky hw ma na lince poskytovatel). Koncem prazdnin bude nejaky pentium II jako brana s firewallem, takze se ty iptables chci naucit...