Filtro delle porte per ambiente server minimale Ubuntu-Nginx

Question

Filtro delle porte per ambiente server minimale Ubuntu-Nginx

#1 da (2 voti)

1

Ho creato uno stack LEMP minimo e non personalizzato (Ubuntu 16.04). L'unico server che ho oltre a Nginx è Postfix. Per proteggere quell'ambiente ho filtrato tutte le porte oltre a poche, in questo modo:

ufw enable
ufw allow 22/tcp 25/tcp 80/tcp 443/tcp 9000/tcp
ufw allow 53/udp

Mi chiedo se non dovrei andare a 1:1 per mezzo di tcp:udp .
Mi chiedo se dovrei distinguere in entrata / uscita per tcp / udp o entrambi.

Il mio filtro è corretto?

linux filtering webserver firewalls ports

posta Arcticooling 12.01.2018 - 22:39

fonte

1 risposta

Leggi altre domande sui tag linux filtering webserver firewalls ports

Quali azioni sono necessarie sul server quando scade un certificato intermedio? L'hosting di un reindirizzamento http-https consente la perdita dell'autenticazione di base http?

score 2 · Accepted Answer

Poiché utilizzi UFW, è un'interfaccia firewall notevolmente semplificata rispetto, ad esempio, all'uso di iptables direttamente. Di conseguenza, fa un po 'di "magia" per te:

Blocca tutto il traffico in entrata per impostazione predefinita.
Consente tutto il traffico in uscita per impostazione predefinita.
Consente il traffico in entrata (pacchetti correlati o parte di una connessione stabilita)

Quindi, le regole che crei sono solo regole in entrata, ma la parte in uscita sarà consentita perché tutto è consentito in uscita per impostazione predefinita. Quindi le tue regole sono per consentire il traffico in entrata.

I wonder if I shouldn't go 1:1 by means of tcp:udp.

Non c'è motivo di farlo. HTTP, SMTP, HTTPS non vanno mai oltre UDP, quindi perché aprire buchi nel firewall non è necessario? Tra le porte che hai elencato, il DNS è l'unico che potrebbe utilizzare UDP. (Nota che devi solo consentire a 53 / udp) se sei hosting DNS, non accedere a un server DNS upstream. (E se stai ospitando DNS, dovresti consentire anche a 53 / tcp.)

I wonder if I should distinguish incoming/outgoing for tcp/up or both.

Come notato sopra, UFW fa le regole in entrata per impostazione predefinita, quindi stai distinguendo, non è ovvio perché fa parte della natura "non complicata" di UFW.

Suppongo che tu stia utilizzando qualcosa sulla porta 9000 che ti porta ad aprire quella porta, ma non so cosa sarebbe - non è necessario per nginx, postfix o SSH per impostazione predefinita.