Minulla on rasberry pi joka on kytetty ethernet piuhalla internettiin ja wlanilla sisäverkkoon.
Kun blokkaan ufw palomuurilla portit, niin se blokkaa seka wlan0 että eth0.
Ja jos avaan vaikka 80 portin, niin se avaa sen sekä wlan0 että eth0 verkkokoreissa.
Mutta onko mahdollista konfata se niin, että kaikki säännöt koskisivat vain eth0:ta?
Ja wlanin kautta pääsisi käyttämään kaikki portit vapaasi?
Kun blokkaan ufw palomuurilla portit, niin se blokkaa seka wlan0 että eth0.
Ja jos avaan vaikka 80 portin, niin se avaa sen sekä wlan0 että eth0 verkkokoreissa.
Mutta onko mahdollista konfata se niin, että kaikki säännöt koskisivat vain eth0:ta?
Ja wlanin kautta pääsisi käyttämään kaikki portit vapaasi?
Vastaukset 10
Vanhimmat
Voihan senkin määrätä. Ehkäpä komento: man ufw
helpottaa.
"to allow all new incoming http connections on eth0,
use: man ufw"
Voisitteko heittää jonkun guiden, jonka normaali kuolevainen ihminen ymmärtää?
Ettei mikään tärkeä vaihe jää tekemättä.
Unohda komennot, asenna Firewalld
No tässä alkuun pääsemiseksi:
https://www.digitalocean.com/community/tutorials/ufw-essentials-common-firewall-rules-and-commands
-Huomaa, ettei allow(=sallinta) -sääntöjä kannata tehdä, ellei palveluita(services) oikeasti käytä
Toinen, mihin tartun on, että jos on kaksi liityntää, esim. wlan0 ja eth0, et voi erottaa niitä nimen perusteella toisistaan! Tämä siitä syystä, että ne pystyy erottamaan antamalla niille eri IP-osoitteet, jolloin yhteyden reitistä ei tarvitse tietää mitään - riittää torjua yhteyksiä firewallissa. Mikäli et pysty verkollasi estämään jotakin liittymää, johtuu se virheellisestä IP-avaruuden käsittelystä - ts. homman voi tehdä vaikka siirtämällä fyysiset liitynnät eri aliavaruuksiin subnettien eli sen maskin(255.255.255.0 yleensä) avulla.
Enkä oikeastaan ymmärrä, miksi ufw:ssa olisi säännöt IP-blokkausta vastaan, kun sen voi tehdä /etc/hosts.allow ja /etc/hosts.deny:n avulla, oikeastaan koko kapistus on vähän turha..
IPv6:ssa voisi sanoa, että tämä on vieläkin tärkeämpää, kun jokaisella laitteella on mahdollista olla globaali osoite. Valitettavasti en tähän ole perehtynyt, joku voisi heittää hyvän linkin tähänkin, mistä lähteä liikkeelle!
>Toinen, mihin tartun on, että jos on kaksi liityntää, esim. wlan0 ja eth0, et voi erottaa niitä nimen perusteella toisistaan! Tämä siitä syystä, että ne pystyy erottamaan antamalla niille eri IP-osoitteet,
Mutta jos IP osoite on dynaaminen? Ei voi tietää, minkä ip osoitteen kone saa, joten ei voi konfata verkkokorttiakaan? Eikö se liityntä on tärkeämpi kuin ip osoite?
Haluaisin vastauksen tuohon dynaamisen ip-ongelmaan.
Iteltä nii palo muuri linuksessa. Nyt harmittaa!
Onko nyt niin varma palomuuri että kestää serverikeskuksen kaikki serverit kun 100megatonnin vetypommi posahtaa päällä, oletko aivan varma että on palomuurit kunnossa?
Asenna Firewalld sovellus.
Helppo hallita palomuuria graafisesti!
ufw allow in on eth0 to any port 80
Kannattaa huomioida nuo in ja to, tulevaisuudessa :).