Dotaz: firewall

[h7]

Ahoj , rad bych se zeptat na vase zkusenosti s firewally postavenymi na iptables. Iptables nastavovat umim a uz me nebavi skriptovat a udrzovat firewally na vice nez 20 masinach. Neznate nejake nemrtve, vyvijejici se reseni pro generovani firewallu . Co pouzivate vy? dik za info h

Odpovědi

[Rozik]

Ja bych to resil takhle - centralizace je reseni. Obecne napsany script (promenna IP + co potrebujes dal), dale script na vymazani firewall pravidel. Pres nfs nasdilis. A cronem treba kazdy den provedes vymaz pravidel a znovuzavedeni (zavolas nasdileny soubor s firewall_script s parametrem IP..... --> Pak si tedy hlidas jen ten nasdilenej firewall soubor. Tam kdyz neco pridas, promitne se (po spusteni cronu) na vsech masinach. Druhym reseni - pokud jsou vsechny masiny v 1 podsiti a chranis to treba pred internetem, tak si tam soupni mezi internet a tu sit router a pravidla zaved pouze na nem. Mozna existuje i neco elegantnejsiho, ale ja bych to centralizoval...

[h7]

O necem podobne jsem uvazoval ,ale nfs neni to prave orechove (premyslel jsem o periodickem stahovani z ftp ,ale mam strach z hacku ftp atd...)..... masiny mam ruzne po republice a pozadavky na fw jsou ruznorode .. me jde o nasazeni firewallu (sadu scriptu) ,kterou jednou nastavim a mam klid ,obcas bych povysil verzi fw a zkontroloval nastaveni ..tod vse "-)

[Michal Kubeček]

NFS opravdu není dobrý nápad, pominu-li bezpečnostní aspekty, u síťového filesystému musím předpokládat, že se nemusí být k dispozici. Aktualizace přes FTP/HTTP/… by byla rozumná cesta (obecně je asi lepší spustit minulou verzi než vůbec nic). Ochranu proti podvržení by bylo možné řešit např. podepisováním (openssl, GPG, …).

[jm]

Nerozumim. Pokud potrebujes stejna nastaveni na vsech 20 pocitacich, tak vazne nechapu, co je za problem zkopirovat ten skript a pripadne pouze upravit promennne jako je IP adresa, maska site apod.

Pokud na kazdem tom stroji ma byt firewall jiny, tak si s nejakym generatorem vubec nepomuzes, protoze driv nebo pozdeji nutne narazis na neco, co potrebujes, ale ta utilita to vygenerovat neumi.

Ostatne, nedavno se to tady rozebiralo.

[h7]

Asi jsem se blbe vyjadril. Ano,mam 20 serveru,kde jsou ruzne fw.Jde mi o to ,abych pomoci nejakeho programu/sady scriptu lehce vytvoril funkcni fw a nemusel cely fw scriptovat. Proste bych pravidla nastavit v configu nebo je naklikal.... Tim ,ze firewalovy generator vyvijel ,tak by mi usetril cas ,protoze by za me do jiste miry (ano vim,admin musi sledovat bezpecnostni trendy) sledoval nove moznosti v nastavovani atd.. h7

[Milan Dobeš]

...pokud ten firewall je jenom firewall, tak třeba http://m0n0.ch/wall/

[*Mirda*]

Co tam porad menit? Ja se staram asi o 50 routeru s firewally a co jednou napisi (zkopiruju a upravim), na to uz mesice nesaham.