abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
dnes 15:44 | Zajímavý projekt

Na webové stránce .bashrc PS1 generator si lze snadno naklikat preferovaný Bash prompt.

Ladislav Hagara | Komentářů: 0
dnes 08:00 | Komunita

Konference OpenAlt 2021 proběhne o víkendu 6. a 7. listopadu. Pořadatelé již šestnáctého ročníku této konference konané v Brně hledají dobrovolníky: Chceme, aby i tento ročník překonal předchozí. Aby se to celé podařilo, tak potřebujeme Vaši pomoc!

Ladislav Hagara | Komentářů: 6
včera 23:22 | IT novinky

Dnes zemřel John McAfee, zakladatel antivirové společnosti McAfee. Nalezli jej mrtvého ve vězeňské cele v Barceloně. Podle úřadů se nejspíše jednalo o sebevraždu.

Ladislav Hagara | Komentářů: 12
včera 21:11 | Komunita

Canonical, společnost stojící za Ubuntu, a Blender Foundation společně oznámili, že Canonical nabízí placenou podporu pro Blender LTS. Za 500 nebo 1000 dolarů ročně lze získat podporu 24×5 nebo 24×7.

Ladislav Hagara | Komentářů: 0
včera 14:44 | Nová verze Ladislav Hagara | Komentářů: 0
včera 12:22 | Nová verze

Byla vydána opravná verze 8.1-r6 projektu Android-x86, tj. portu mobilního operačního systému Android na standardní PC s architekturou x86. Přehled novinek v oficiálním oznámení.

Ladislav Hagara | Komentářů: 0
včera 08:00 | IT novinky

Byly vyhlášeny výsledky 7DRL Challenge 2021 aneb letošního ročníku soutěže 7DRL (Seven Day Roguelike) ve vytváření roguelike počítačových her za 7 dní.

Ladislav Hagara | Komentářů: 1
včera 07:00 | Zajímavý článek

Italo Vignoli z The Document Foundation informuje o novinkách v Technické komisi OpenDocument Format. Od roku 2020 má ODF TC (Technical Committee) dva spolupředsedy - Patricka Durusaua a Svanteho Schuberta - a čtyři spoluredaktory: Francise Cavea, Patricka Durusaua, Svanteho Schuberta a Michaela Stahla. V minulosti byli redaktoři pouze dva a zdvojnásobení jejich počtu poskytuje větší kapacitu a flexibilitu.

… více »
Zdeněk Crhonek | Komentářů: 0
22.6. 21:22 | Nová verze

Byla vydána nová verze 1.26 webového prohlížeče Brave (Wikipedie, GitHub). Nově lze mimo jiné v nastavení vybrat dnes spuštěný vyhledávač Brave Search. Ten lze využívat i v jiných prohlížečích na adrese search.brave.com.

Ladislav Hagara | Komentářů: 1
22.6. 15:33 | IT novinky

Hodnota Bitcoinu, decentralizované kryptoměny, klesla pod 30 000 dolarů. V dubnu byla hodnota Bitcoinu téměř 65 000 dolarů.

Ladislav Hagara | Komentářů: 43
Používáte kalkulačku?
 (10%)
 (31%)
 (62%)
 (26%)
 (11%)
Celkem 272 hlasů
 Komentářů: 26, poslední 22.6. 16:41
Rozcestník

Dotaz: Bezpečnosť siete pripojenej do net-u cez linux pc vs. router

20.3.2014 10:56 Peter
Bezpečnosť siete pripojenej do net-u cez linux pc vs. router
Přečteno: 466×
Dobrý deň vám prajem.

Riešim tu s kolegom (popravde sa s ním hádam) jednu takú blbosť. Robil som nedávno také minisiete - proste pobočky kde je 1 server a cca 15-20 pc. Ten server robí všetko, čiže okrem dns (bind), mail (zimbra), http - vnutrofiremná aplikácia (apache s php + mod_security), squid, samba, openvpn robí aj nat a firewall pre tú vnútrofiremnú sieť. Vlastne topológia je absolútne jednoduchá: ISP <--> eth0 server eth1 <--> pc

No a jadro problému je, že kolega mi tvrdí, že je oveľa bezpečnejšie použiť ako vstupnú bránu nejaký router (to je jedno - napríklad nejaký mikrotik) a server dať za neho a z toho routra forwardovať potrebné porty, operoval totižto z myšlienkov, že čo keď niekto napadne ten server.

Ja si zasa naopak myslím, že je to úplne jedno, veď na tom serveri mám tiež firewall (samozrejme, že nepotrebné služby vypnem a potrebné služby ktoré ale nemajú čo hľadať na "nete" sa pokúšam nastaviť tak aby z netu spojenia vobec neprijímali, ale keďže dokonalé nastavenie neexistuje, tak nato tu máme firewall) a je predsa úplne jedno, keď útočník útočí na službu s bezpečnostnou dierou priamo, alebo pomocou forwardu z nejakého iného zariadenia, veď pred dierou neochráni ani stovka firewallov.

To ani nehovorím o tom, že pri použití extra routra by sa mi v takej malej sieti práca zťažila (dhcp+dns+firewall, ...).

Pravdu povediac jediné riziko, ktoré vidím v použití servera zároveň ako aj routra je v tom, že ak útočník získa root-a, tak môže modifikovať celú vnútrofiremnú komunikáciu. Zasa na druhej strane je to to isté aj s obyčajným routrom, len ten je asi obtiažnejšie napadnúť - aj keď aj to je relatívne. Stačí sa pozrieť koľko deravých a nepodporovaných firmwarow je na svete a takisto si myslím, že napríklad taký CentOS je doveryhodnejší ako nejaký RouterOS

Vopred veľmi pekne ďakujem za názory všetkých odborníkov.

Odpovědi

Jendа avatar 20.3.2014 13:45 Jendа | skóre: 77 | blog: Jenda | JO70FB
Rozbalit Rozbalit vše Re: Bezpečnosť siete pripojenej do net-u cez linux pc vs. router
Myslím, že jsi to velmi pěkně shrnul. Tak ať kolega přijde s nějakým attack vektorem, který v případě použití routeru nepůjde provést, ale v případě routování serverem ano.
Once I was ending an email with "Regards," and realized how close the "t" and "g" keys are to each other.
20.3.2014 20:51 snehulak
Rozbalit Rozbalit vše Re: Bezpečnosť siete pripojenej do net-u cez linux pc vs. router
No on ten router má smysl v případě, že ten server bude ve vlastní podsíti. Pak můžeš postavit firewall nejen mezi server a internet, ale i mezi server a vnitřní síť. Třeba pak můžeš zakázat iniciaci spojení z toho serveru dovnitř. To se hodí, když se někdo dostane na server, aby automaticky neměl přístup i ke všem počítačům ve vnitřní síti.
21.3.2014 09:05 R
Rozbalit Rozbalit vše Re: Bezpečnosť siete pripojenej do net-u cez linux pc vs. router
Pristup na vnutorne pocitace v sieti (vacsinou Windows) je vacsinou bezvyznamny. A keby ho niekto chcel ziskat, tak sa to da jednoduchsie - instalaciou nejakeho malware.
21.3.2014 05:46 Michal
Rozbalit Rozbalit vše Re: Bezpečnosť siete pripojenej do net-u cez linux pc vs. router
Pokud věříme IPtables tak z hlediska bezpečnosti rozdíl prakticky není. Ale je rozdíl ve spolehlivosti - Malé routerové krabičky většinou neodcházejí, a pokud už ano tak nahradit je bývá mnohem jednodušší a levnější než nahrazovat odešlý server. A když odejde server který není routerem tak uživatelé mají alespoň částečně funkční síť, můžou na net, atd. Naproti tomu když odejde server který je zároveň routerem tak ve vnitřní síti zpravidla končí všechna legrace. To bych viděl jako hlavní důvod proč neroutovat skrz server. Ale přiznávám že v mnoha případech to taky tak dělám, je to jednodušší.
21.3.2014 09:18 R
Rozbalit Rozbalit vše Re: Bezpečnosť siete pripojenej do net-u cez linux pc vs. router
Ano, rozdiel je v spolahlivosti. Routerov (aj Mikrotik) som odidenych videl (a opravoval) dost, o spolahlivosti zdrojov k nim sa ani neda hovorit.

Zato spravujem par serverov, ktore idu uz par rokov. Niektore su skutocne servery s redundantnym zdrojom, niektore su stare skladacky (aj viac ako 10-rocne). Zakladom je mat RAID 1 (staci linuxovy mdraid) - disky odchadzaju najviac. A v pripade skladaciek este zdroje - takze jeden nahradny zdroj, spajkovacku a kondenzatory.
pavlix avatar 21.3.2014 09:26 pavlix | skóre: 54 | blog: pavlix
Rozbalit Rozbalit vše Re: Bezpečnosť siete pripojenej do net-u cez linux pc vs. router
Pokud provozuju něco, čemu až tak nedůvěřuju, tak dobře poslouží virtualizace. Třeba v případě firemního webu nebo nějakých vyloženě veřejných služeb bych viděl důvod to nedávat přímo na router, ale aspoň do toho virtuálu.

Co do důvěryhodnosti a security updates je CentOS proti RouterOS úplně jiná liga.
Já už tu vlastně ani nejsem. Abclinuxu umřelo.
pavlix avatar 21.3.2014 09:27 pavlix | skóre: 54 | blog: pavlix
Rozbalit Rozbalit vše Re: Bezpečnosť siete pripojenej do net-u cez linux pc vs. router
Ještě jsem zapomněl dodat, že v případě firemního webu ale zároveň vidím důvod nedávat ho na stejný stroj jako vnitrofiremní služby.
Já už tu vlastně ani nejsem. Abclinuxu umřelo.

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.