"Don't forget the basics! Keep updated, use sane firewall rules (and use the firewall), turn off services you don't need and use sane passwords"
Linux
turvallisena
14133
0Äänestä
Muut lukivat myös
Odottaa vastausta
Näihin keskusteluihin ei ole vielä vastattu. Ole ensimmäinen.
Vastaukset 14
Vanhimmat
Täyttä potaskaa.
Linuxin jakelut eivät tarvitse minkäänlaista palomuurin sorkkimista.
Juuri niin, linux jakeluita ei tarvitse
Varmaan on Windowsissa oppinut palomuuria säätelemään ja nyt samaa herkkua pitää Linuxissakin. Palomuurin säätely saattaa olla hyvinkin antoisa harrastus mutta turha sitä on muille tyrkyttää.
Pingin tykkään ainaki estää:
iptables -A INPUT -p icmp -i eth0 -j DROP
ja jos haluaa vielä yhteydenotot estää, niin:
iptables -A INPUT -i eth0 -p tcp --syn -j DROP
Ja mitä hyötyä noista on?
Ping ylläpitää nettiyhteyttäsi, joten miksi estää se?
"Echo request/ping-pyyntöihin vastaamatta jättäminen rikkoo Internet-standardia RFC 1122, joka suosittaa jokaisen verkon laitteen kuuntelemaan ja vastaamaan pyyntöihin. Vastaamatta jättäminen on ongelmallista kun ping-ohjelmaa pyritään käyttämään sen alkuperäiseen käyttötarkoitukseen, verkko-ongelmien selvittämiseen."
Ping ei ylläpidä yhtään mitään muuta kuin yhtä IP-porttia kuuntelussa ja vastaa tarvittaessa tulevaan kutsuun..
...ei edes windowsissa, joka huutelee turhaan nettiin ja "ylläpitelee jotain yhteyksiä".
Mulla on Xubuntussa palomuuri päällä ja vielä lisäksi on rautapalomuuri.
"Lapset on terveitä kun ne leikkii."
Trolleille on hauska kuittailla.
Oikeestaan pingien rajailu ei oo mitenkään epätavallista nykyään.
Monet asiat on kehitetty sillon, kun netti ei vielä ollu niin paha paikka, kun nykyään.
Sähköposti, dhcp, telnet, ftp ja muut palvelut.
Nyt ollaan 2012 vuodessa ja monta asiaa on muutettava. Ping on yksi niistä.
Broadcast-pingaus on ihan järkevää, mutta ei kohdistettu pingi.
Mulla oli taannoin ssh-portti auki laajakaistassa, ni huomasin, että /var/log/auth.log rupes kasvamaan tolkuttomasti, ni huomasin, et joku on ssh:lla yrittäny sisään.
no! oon käyttäny aina omassa linux-järjestelmässä tcpwrappersia, niin laitoin sinne conffiin että aina kun tulee jostain muualta yhteysotto ssh-porttiin, niin puhesyntikka(www.mikropuhe.com) sanoo mulle, mistä maasta tullu(tekstitiedostologiin kanssa), Tuloksena tuli semmosta, että ryppäinä tuli loginia venäjän federaatiosta, thaimaasta, kiinasta, ja amerikasta.
Itse rajasin yhteydet vain saunalahden verkosta. Mutta GeoIP on hyvä palvelu.
Onhan standardi aina standradri, mutta sitä muutetaan ajan henkeen sopivaks.
Monissa reitittimissä on wanin puolella icmp-rekuestit oletuksena pois päältä.
Ei sitä pingiin vastaamisesta haittaakaan ole.
Fail2ban on kätevä sshd:n kanssa. Laittaa arvailijat jäähylle niin ei loki kasva hirmuiseksi.
@JpBEh ...
Ei olekaan ja fail2ban on kätevä, mutta kun halusin peuhata, niin laitoin tcpwrappersin asialle.
krisu@krisu-desktop:~/Lataukset$ ldd /usr/sbin/sshd|grep wrap
libwrap.so.0 => /lib/libwrap.so.0 (0xb76d5000)
krisu@krisu-desktop:~/Lataukset$
Tosin mulla itellä on kyllä ite lähdekoodista kasvatettu teelmys!, joka ei tällä hetkellä toimi (Mesa) mut mulla on kaikki nettipalvelusoftat linkitetty tcpwrappers:iin.
Kuten edeltä näkyy, niin näkyy ubuntussakin olevan!!!
/etc/hosts.deny:
sshd: ALL : spawn (/home/krisu/bin/tcpd_logger %d %a %h %u )&
/etc/host.allow:
#ALL: LOCAL @some_netgroup
#ALL: .foobar.edu EXCEPT terminalserver.foobar.edu
#in.tftpd: LOCAL, .my.domain
#sshd: LOCAL, .fi
sshd: LOCAL, .fi EXCEPT