Palomuurin viritysohjeiden kyselyt on mun mielestä aika hyvä merkki siitä, kuinka windows-maailma on lyönyt läpi ihmisten ajattelussa. Palomuuria ollaan virittämässä linuxiinkin mitä suuremmalla innolla vaikka kone on työpöytäkäytössä, eikä mitään palveluita ole asennettu/päällä.
Laitetetaan nyt tähän vielä ihan oma threadi, niin ei tarvitse turhaan kysellä niitä firestartteja ja muita. Eli summa summarum:
LINUXIIN EI TARVITSE PALOMUURIA, JOS EI MITÄÄN ULKOAPÄIN ALOITETTUA LIIKENNETTÄ AIOTA HYVÄKSYÄ.
Laitetetaan nyt tähän vielä ihan oma threadi, niin ei tarvitse turhaan kysellä niitä firestartteja ja muita. Eli summa summarum:
LINUXIIN EI TARVITSE PALOMUURIA, JOS EI MITÄÄN ULKOAPÄIN ALOITETTUA LIIKENNETTÄ AIOTA HYVÄKSYÄ.
Vastaukset 16
Vanhimmat
jokainen kone mikä menee nettiin tarvii palomuurin. Toi on tosi naurettavaa,ettei tarvi.Lapeset taas neuvomassa,voi p...
Oikein viritetystä palomuurista ei ole haittaa. Ei tosin hyötyäkään. Onpahan vain mukava harrastus, joka samalla ehkäisee Windowsista Linuxiin siirtyneen vieroitusoireita.
...tarvita. Vain avointen porttien säännöstö tarvitaan. Voitte korjata tietämätöntä.
-T
Se on tottakai totta, että hyvin konfiguroidusta palomuurista ei ole ainakaan haittaa. Mutta mietipäs mihin palomuuria käytetään? Sitä käytetään rajottamaan liikennettä IP-porttien kautta sisään koneelle ja ulos koneelta. Toi on se mitä palomuuri tekee. Yhteydenotto tietokoneelle tapahtuu aina ns. IP-porttien kautta.
Esimerkiksi koneella pyörivä SSH-palvelin kuuntelee SSH:lle varattua porttia 22. Palomuuri voi rajottaa pääsyä ulkoa siihen porttiin 22. Palomuuri voi myös kokonaan estää pääsyn siihen porttiin 22. Selvää tähän asti?
No toisaalta mitä tapahtuu, jos SSH-palvelin ei edes ole käynnissä koneella? No, sillon palvelin ei kuuntele sitä porttia 22, Jos mikään porttia 22 kuunteleva palvelu ei ole päällä, niin portista 22 ei myöskään pääse sisään koneelle, on sitten käytössä palomuuri tai ei. Jotta tietyn portin kautta pääsisi sisälle, pitää jonkin palvelun kuunnella sitä porttia ja palvella yhteydenotot.
Linuxissa on helppo sulkea kaikki verkkopalvelut, jollon niiden kautta ei myöskään pääse sisälle koneelle. Jos mikään palvelu ei ole vastaamassa yhteydenottopyyntöihin, sillon on aivan sama onko sitä palomuuria vai ei.
Toki periaatteessa on mahdollista, että jokin haittaohjelma voisi käynnistää oman palvelunsa ja alkaa kuunnella jotain portia mistä sitten pääsiisis sisään.
Linuxissa on kuitenkin palomuurin lisäöksi toinenkin mekanismi yhteydenottojen rajottamiseen. /etc/hosts.allow tiedostossa voi määritellä mistä osoitteesta palveluihin voi kirjautua. Vastaavasti /etc/hosts.deny -tiedostossa voidaan pääsy koneelle estää tietyistä osoitteista. Jos /etc/hosts.deny -tiedostoon lisätään rivi "ALL: ALL", niin sillon yhteydenotto koneelle on estetty kaikista osoitteista. Eli ei tohon tarvita palomuuria.
Windowsissa asia on täysin toinen, käyttäjän mahdollisuus vaikuttaa koneella pyöriviin palveluihin on varsin pienet. On vaikea edes tietää varmasti mitä kaikkea koneella on ajossa millonkin.
On se mukavaa että Suomesta löytyy toinenkin, joka ei ole sortunut palomuurihypeen :)
Ilmeisesti Windowsista Linuxiin siirtyneet ovat tuoneet mukanaan palomuuriuskonnon. Palomuurimantraa höpötetään syvän kiihkon vallassa mutta kuitenkaan ei tiedetä edes perusasioita.
Juuri näin. Hyvä kirjoitus, mutta pienen korjauksen tekisin vielä. Lauseessa: "Jos mikään porttia 22 kuunteleva palvelu ei ole päällä, niin portista 22 ei myöskään pääse sisään koneelle, on sitten käytössä palomuuri tai ei." on mielestäni vielä pienoinen ajatusvirhe, joka koskee näiden porttien olemusta. Ihmisillä nimittäin tuntuu olevan hyvin konkreettinen mielikuva porteista jonain "reikinä", joissa sitten palvelimet "korva höröllään" kuuntelevat.
Asiahan ei ole näin, vaan portteja ei olennaisesti minään reikinä ole edes olemassa, jos palveluita ei ole päällä. Portin numero on vain osa protokollaa ja tällä numerolla ei ole mitään merkitystä, jos ei ole olemassa lähettävää JA vastaanottavaa sovellusta.
"Toki periaatteessa on mahdollista, että jokin haittaohjelma voisi käynnistää oman palvelunsa ja alkaa kuunnella jotain portia mistä sitten pääsiisis sisään. "
Tämä on tietysti mahdollista ja varmasti Windows-maailmasta tulleille liiankin vakuuttava argumentti palomuurin tarpeellisuudelle. Kuitenkaan tälläiseen mahdollisuuteen ei varauduta palomuurilla, vaan ohjelmalla (esim. tripwire), joka valvoo järjestelmässä tapahtuneita muutoksia ja raportoi niistä käyttäjälle.
>jokainen kone mikä menee nettiin...
Tämä vahvistaa aloittajan mainitseman Windowsin käyttäjien palomuuri-intoilun ja sen kuinka syvälle se on juurtunut näiden käsitemaailmaan. Selvästikään siellä ei ymmäretä mikä palomuuri on ja mitä varten se on koneella.
Eri mieltä. Tumpelokäyttäjällä saattaa olla vahingossa palveluita auki hänen tietämättään. Eli palomuuri on tuplavarmistus ja toisin kuin windowssin muurit linuxin muuri toimiin.
Tosin tämän voi tarkistaa komennolla:
netstat -a | grep LISTEN
ja jos jotain rivejä tulostuu - ko. portit on auki.
"Tumpelokäyttäjällä saattaa olla vahingossa palveluita auki hänen tietämättään. "
Tämä on aika hemmetin huono argumentti palomuurin käytön puolesta. Jos käyttäjä todella on NIIN tumpelo, ettei osaa selvittää mitä palveluita hänen koneellaan on päällä sulkea niitä, hän todennäköisesti onnistuu virittämään palomuurinkin sellaiseen tilaan, että siitä on enemmän haittaa kun hyötyä.
Muutenkin tuollaisen ajattelutavan viljeleminen on todella vastuutonta. Varmaan guru neuvoo seuraavaksi, että kannattaa laittaa autonrenkaat kiinni varmuuden vuoksi vielä ilmastointiteipillä, koska tumpelorenkaanvaihtajalta saatta olla jäänyt pultteja löysälle...
Itse kyllä olen konffannut palomuurin. Sillä on helppo rajoittaa yhteydenotot palveluihin määrättyihin ip-osoitteisiin. Tietenkin, mikäli palveluita ei ole päällä, niin miksipä sitä.
Tuo ennaltaehkäisevä ylimääräisten ohjelmien liikenteen estäminen kannustaa palomuurin käyttöön. Jos niin sisään- kuin ulospäin menevä liikenne rajoitetaan tiettyihin portteihin, niin tuntematon liikenne jää sitä todennäköisemmin nalkkiin.
Kannattaa muuten varmistaa, että X-palvelin (portti 6000) sallii yhteydet vain paikalliselta koneelta. Joissain jakeluissa tuota reikää ei ole oletuksena tukittu. Esimerkiksi tuota voi käyttää skannaamaan avoimet palvelut ulkopuolelta:
http://www.linux-sec.net/Audit/nmap.test.gwif.html
Mutta kuten yleensäkin mainittu, käyttäjä on monesti se heikoin lenkki tietoturvan kannalta.
Onhan se muuri osaavissa käsissä tehokas tapa tehdä monenlaisia temppuja. Window-maailman palomuurikouhotus on vain turhaan levinnyt Linux-käyttäjiinkin. Tavallinen tumpelokäyttäjä ei siitä hyödy mitään. Tyypillinen esimerkki:
Suhteellisen vähän tai ei ollenkaan Linuxia käyttänyt asentaa koneelleen Ubuntun. Asennuksen jälken ei koneessa ole ulospäin palveluita päällä ja pakettisuodatin on "auki"-asennossa. Kaikki toimii hienosti eikä mitään vaaraa ole. Palomuurin käpistely todennäköisesti vain haittaisi koneen toimintaa.
"Palomuurin käpistely todennäköisesti vain haittaisi koneen toimintaa." Just,olet näköjään todella Koti-Guru
Kotitekoisellakin järjellä on helppo ymmärtää että kun toimivaa systeemiä aletaan asiaatuntemattoman toimesta käpistelemään ei ennuste ole hyvä. "Windowsissakin palomuuri on pakollinen" -järjellä ehkä saavutetaan toisenlaisia tuloksia.
Mikä hemmetti se nyt on että tämä on niin vaikea tajuta? Palomuurilla kun rajoitetaan liikennettä, niin yhtä hyvin sillä voidaan rajoittaa myös omaa liikennettä ja tietysti tällä voi sössiä asiat.
Niin ja ilmeisesti koneessasi on rajaton laskentateho, kun sen toimintaan ei mikään vaikuta.
Eli just, olet tosiaan KOTI-IDIOOTTI.
"Palomuurin käpistely todennäköisesti vain haittaisi koneen toimintaa."
- Tuo on kyllä ihan käytännössä nähty juttu.
palomuuria kun ois muuten tuo ikkunassa toimiva win2k välittömästi jotain pöpöjä täynnä.. :D
siihen hommaan muuri on ainakin ihan kelpo.. eipä tuosta muuten ole "hyötyä" ollut..