Dotaz: firewall na produkcnom www serveri

[makak]

Citam (suse 9.1 prirucka spravce systemu), ze firewall postaveny len na iptables je v produkcnom prostredi nepostacujuci a je tu ziaduca nejaka aplikacia vo funkcii firewallu na aplikacnej urovni. Co si o tomto myslite ? Je naozaj iptables postacujuce len na domace pouzitie a pre male firmy (sekretarkin desktop)?

Odpovědi

[Michal Kubeček]

To zní trochu divně. Asi se tím myslí to, že klasický paketový filtr vás neochrání před různými červy, kteří zneužívají chyb v mailových klientech, webových prohlížečích a hlavách uživatelů. Takže pokud chcete chránit firemní síť, měl byste myslet i na toto: buď lepší výběrem nebo výchovou uživatelů (což je problematické) nebo aplikací nějakých antivirových a protičervích opatření.

[makak]

pocul som o komercnych rieseniach, ktore si v /dev urobia zariadenie, do ktoreho idu vsetky pakety este predtym ako idu do kernelu.. iptables vobec nevyuzivaju, takze ich koexistencia neni problem. Su chopne zachytit aj pakety rozne upravene ... Ja o tomto vela neviem, preto by som rad prekonzultoval tuto temu

[Michal Kubeček]

To mi nepřipadá jako moc dobrý nápad. Ty vzorky mohou vyjít na hranici paketu, takže byste musel stejně poskládat aplikační stream (u TCP), navíc data mohou být různě kódována (komprimace, quoted printable, base64, ...). Opravdu mi připadá efektivnější řešit to na aplikační vrstvě (antivirové řešení do MTA, HTTP proxy apod.).

[makak]

ake su Vase skusenosti s MTA ?

[Michal Kubeček]

Relativně malé. U jednoho zákazníka jsem nasadil AVG do sendmailu (přes amavisd-new a milter), funguje to celkem dobře. U jiného to realizovali přes samostatnou antivirovou gateway tuším od McAfee (běží na Win2000 serveru), tam jsou neustále nějaké potíže.

[stika]

"iptables je v produkcnom prostredi nepostacujuci a je tu ziaduca nejaka aplikacia vo funkcii firewallu na aplikacnej urovni"

8-))))) opravdu pobaven. doufam, ze v te prirucce je i navod, jak si "tu aplikacci" od novellu/suse poridit

btw. moje zkusenost je takova, ze pokud na serveru nebezi nic, co nema, tak by tam fw byt nemusel skoro vubec, kdyz nepocitame s nejakym dosem, ktery bychom chteli resit limitem v iptables a neni potreba provozovat treba ntpd, ktery se neumi navazat jen na adresy, ktere chceme a neni potreba zavadet zvlastni politiku pro ruzne sluzby z ruznych adres atd.

a k zahazovani paketu je tu jeden bezva prispevek: http://mail-index.netbsd.org/tech-security/2004/11/15/0011.html

[makak]

mate pravdu.. je tam link..

[Marián Oravec]

neviem??? mozno na tom nieco bude. preco by potom StoneGate sta po miliona? ale ja sa v tom tiez nevyznam... :(

[Marián Oravec]

...stal pol miliona....

pardon ale nejak mi prestava pisat "L" (musim uplne tlacit - na klavesnicu pochopitelne :) )

[makak]

no ved prave...