Mescolando regole firewall stateless e stateful

Question

Mescolando regole firewall stateless e stateful

#1 da (1 voti)
#2 da (0 voti)

2

Sono stato informato che il mixaggio di regole firewall statiche e stateless può portare a problemi quando si tratta di risoluzione dei problemi. C'è qualche verità in questo?

Prendi i seguenti due gruppi di regole (iptables):

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m conntrack --ctstate NEW,INVALID -j REJECT

e

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -j REJECT

Dal punto di vista funzionale, non vedo alcuna differenza. Ma forse è solo la mia inesperienza a parlare, c'è davvero un vantaggio l'uno rispetto all'altro?

linux firewalls iptables

posta AlexH 25.06.2013 - 01:27

fonte

2 risposte

Leggi altre domande sui tag linux firewalls iptables

Quali sono le implicazioni sulla sicurezza dell'avvio di un server di origine proxy inverso come utente non privilegiato? Problemi di associazione di Javascript del proxy DBus

score 1 · Answer 1

L'utilizzo di filtri basati sullo stato su tutta la linea per cercare di risolvere i problemi di un set di regole del firewall più semplice non funzionerà come previsto. Il risultato sarà probabilmente il contrario.

Lo stato è solo un'altra caratteristica per filtrare i pacchetti. Non c'è ragione per cui ogni regola in un set di regole debba utilizzare le stesse caratteristiche. O che "stateful" è in qualche modo un approccio intrinsecamente superiore.

Per un set di regole più facile da configurare, facile da risolvere e facile da aggiornare senza rompere le cose che devono essere comprensibili per l'amministratore. Sarà più facile capire se le regole sono espresse nel modo più semplice possibile. Pertanto, le caratteristiche di filtro aggiuntive, in particolare quelle come lo stato che sono più difficili da seguire nella tua testa, dovrebbero essere utilizzate solo quando necessario.

score 0 · Answer 2

Non c'è alcun problema con quest'ultimo set di regole, personalmente lo preferirei. Il motivo per cui è, beh, è il caso: spero che tu non abbia una politica di default ACCEPT , perché quei pacchetti di --ctstate INVALID verranno introdotti di nascosto. : -)

Se stai provando a ripetere tutte le singole cose che vuoi rifiutare / eliminare, perderai qualcosa.