Rautapalomuuri päälle

että NAT on disable, eikös palomuuri oteta käyttöön tuolla NAT asetuksella?

Roadrunnerr 44E kirjoitti:

että NAT on disable, eikös palomuuri oteta käyttöön tuolla NAT asetuksella?

tuo 44E palomuuri, pistin NAT:n päälle ja ruksasin lähes kaikki perus- ja lisäasetukset päälle ja ulkopuoliset yhteyden ottot FTP yms. pois päältä. Nyt kun olen noin tunnin surffannut ei ole tullut f-securen lokiin yhtään hälytystä. Ennen tuli tunnin aikana useita kymmeniä hälytyksiä connection attembeista, ja joskus jopa muutama tietomurto yritys. Harmi ettei elisa ohjeista tuon rautapalomuurin käyttöönotossa, kun noi perusasetukset on noinkin helpot, ja jos viitseliäisyyttä löytyy niin 44E:ssä löytyy mukavasti tarkempiikin asetuksiin:)

Roadrunnerr 44E kirjoitti:

tuo 44E palomuuri, pistin NAT:n päälle ja ruksasin lähes kaikki perus- ja lisäasetukset päälle ja ulkopuoliset yhteyden ottot FTP yms. pois päältä. Nyt kun olen noin tunnin surffannut ei ole tullut f-securen lokiin yhtään hälytystä. Ennen tuli tunnin aikana useita kymmeniä hälytyksiä connection attembeista, ja joskus jopa muutama tietomurto yritys. Harmi ettei elisa ohjeista tuon rautapalomuurin käyttöönotossa, kun noi perusasetukset on noinkin helpot, ja jos viitseliäisyyttä löytyy niin 44E:ssä löytyy mukavasti tarkempiikin asetuksiin:)

vaan se muuntaa sisäverkon osoitteesta lähtevien pakettien lähettäjäksi sen modeemissa olevan julkisen IP-osoitteen.

Näyt siis nettiin päin sillä julkisella osoitteella.

Modeemi pitää kirjaa yhteyksistä ja kun lähettämäsi pyyntöön tulee vastauspaketteja, niin se osaa lähettää ne sinne sisäverkon koneelle, vaikka niissä on kohdeosoitteena se modeemin julkinen IP-osoite.

Modeemi vain vaihtaa kohdeosoitteeksi sen sisäverkon IP-osoitteen.

Nyt kun joku yrittää netistä päin aloittaa uutta yhteyttä sinne sisäverkon koneellesi, niin sepä ei onnistukaan. Paketit tulee modeemillesi asti, mutta kun olemassaolevaa yhteyttä sisäverkon koneelle ei ole, niin paketit menee roskiin.

NAT suojaa siis netistä päin tulevilta hyökkäyksiltä, mutta ei estä ulospäin menevää liikennettä. NAT ei siis estä mahdollisesti saastunutta konettasi toimimasta vaikka roskapostittajana tai lähettämästä ulospäin vaikka palvelunestohyökkäyksiä.

Nyt jos haluat pitää palvelinta sisäverkon koneella, niin modeemille pitää kertoa, että tiettyihin portteihin tulevat paketit pitää lähettää sinne sisäverkon koneelle. Muutenhan ne pistetäisiin taas roskiin.

Piru_ kirjoitti:

vaan se muuntaa sisäverkon osoitteesta lähtevien pakettien lähettäjäksi sen modeemissa olevan julkisen IP-osoitteen.

Näyt siis nettiin päin sillä julkisella osoitteella.

Modeemi pitää kirjaa yhteyksistä ja kun lähettämäsi pyyntöön tulee vastauspaketteja, niin se osaa lähettää ne sinne sisäverkon koneelle, vaikka niissä on kohdeosoitteena se modeemin julkinen IP-osoite.

Modeemi vain vaihtaa kohdeosoitteeksi sen sisäverkon IP-osoitteen.

Nyt kun joku yrittää netistä päin aloittaa uutta yhteyttä sinne sisäverkon koneellesi, niin sepä ei onnistukaan. Paketit tulee modeemillesi asti, mutta kun olemassaolevaa yhteyttä sisäverkon koneelle ei ole, niin paketit menee roskiin.

NAT suojaa siis netistä päin tulevilta hyökkäyksiltä, mutta ei estä ulospäin menevää liikennettä. NAT ei siis estä mahdollisesti saastunutta konettasi toimimasta vaikka roskapostittajana tai lähettämästä ulospäin vaikka palvelunestohyökkäyksiä.

Nyt jos haluat pitää palvelinta sisäverkon koneella, niin modeemille pitää kertoa, että tiettyihin portteihin tulevat paketit pitää lähettää sinne sisäverkon koneelle. Muutenhan ne pistetäisiin taas roskiin.

Kunnon palomuurissa on kyllä NAT mutta siinä on muutakin, NAThan on pelkästään reititin, osoitteenmuunnos kuten totesitkin.

Hyvässä palomuurissa on lisäksi mm. DoS-esto elikkä esto palvelunestohyökkäyksille, sekä SPI-ominaisuus, Stateful Packet Investigation elikkä se tutkii millaisia paketteja sisään tulee.

Muitakin ominaisuuksia hyvässä palomuurissa on mutta koska en ole expertti niin lisäykset jääkööt paremmin asiaa tuntevien huoleksi. :)

on muutakin kirjoitti:

Kunnon palomuurissa on kyllä NAT mutta siinä on muutakin, NAThan on pelkästään reititin, osoitteenmuunnos kuten totesitkin.

Hyvässä palomuurissa on lisäksi mm. DoS-esto elikkä esto palvelunestohyökkäyksille, sekä SPI-ominaisuus, Stateful Packet Investigation elikkä se tutkii millaisia paketteja sisään tulee.

Muitakin ominaisuuksia hyvässä palomuurissa on mutta koska en ole expertti niin lisäykset jääkööt paremmin asiaa tuntevien huoleksi. :)

Otetaan esim. Soneran paketissa tuleva Telewellin TW-EA501. Sen mukana tulee ohjekirja jossa on jopa suomenkielistä tekstiä 10 sivua. Eli se pitää sisällään tärkeimmät asetusarvot. Loppu onkin Lontoon murretta. Suomi-sisällössä ei puhuta mitään hienommista asetuksista ja engelskan ymmärtäminen on vähän niin ja näin. Miksi ei maahantuojat vaivaudu käännättämään ohjekirjaa myös suomeksi? Muuten kyllä hyvä modeemi.