Quand j'essaye de telnet à un port sur un serveur, et s'il n'y a aucun programme écoutant sur ce port telnet meurt avec une erreur «incapable de se relier…». Je comprends que. Mais, pourquoi avons-nous besoin d'un pare-feu s'il n'y a aucun programme à l'écoute sur les ports?
Réponses:
Il n'y a peut-être pas de service en cours, mais qu'en est-il demain? Vous les avez tous désactivés, mais qu'en est-il de vos utilisateurs? N'importe qui sur un système unix / windows / mac peut ouvrir un port> 1024 sur n'importe quelle machine à laquelle il a accès. Et les logiciels malveillants? Et un virus? Ils peuvent également ouvrir des ports et commencer à fournir des informations au monde, ou commencer à écouter les connexions à partir du réseau.
Le but principal d'un pare-feu n'est pas de bloquer les ports des services dont vous savez qu'ils sont désactivés, mais de bloquer les ports des services que vous ne connaissez peut-être pas. Considérez-le comme un refus par défaut avec seulement certains trous percés pour les services que vous autorisez. Tout utilisateur ou programme démarré par un utilisateur peut démarrer un serveur sur un système auquel il a accès, un pare-feu empêche quelqu'un d'autre de se connecter à ce service.
Un bon administrateur sait quels services doivent être exposés et peut les activer. Un pare-feu sert principalement à atténuer le risque que des serveurs inconnus s'exécutent sur votre système ou votre réseau, ainsi qu'à gérer ce qui est autorisé sur le réseau à partir d'un emplacement central.
Il est important de savoir ce qui fonctionne sur votre machine / serveur et de n'activer que ce dont vous avez besoin, mais un pare-feu offre cette protection supplémentaire contre les choses que vous ne connaissez pas.
hg servequi démarre un serveur Web sur votre machine. Le fait est qu'il est trivial de démarrer un serveur sur n'importe quelle machine, qu'il soit utilisé comme «bureau» ou comme «serveur» n'a pas d'importance. Et une fois que ce serveur est démarré, et vous ne savez pas à ce sujet ... eh bien, c'est là que le plaisir commence.
S'il n'y a aucun programme à l'écoute sur aucun port, vous n'avez pas besoin d'un pare-feu, mais vous ne pouvez pas non plus vous connecter à votre serveur car il est «scellé» du reste du monde.
D'un autre côté ... disons que votre serveur n'a pas de programme s'exécutant localement sur n'importe quel port, mais il sert de passerelle pour les autres ordinateurs derrière lui. Dans ce cas, vous utilisez un pare-feu pour gérer le masquage (NAT) et vous pouvez éventuellement filtrer certains éléments lors du transfert de paquets.
/etc/ssh/sshd_configpour sécuriser la machine. PermitRootLogindoit être défini sur Non, vous devez utiliser un mot de passe sécurisé et entretenir la machine avec sudo (vous pouvez utiliser sudo après vous être connecté avec un compte disposant des autorisations sudo). Définir les restrictions avec un pare-feu n'est tout simplement pas le bon outil pour le travail. La même chose serait vraie pour une postgresqlbase de données: utilisez la configuration de la base de données pour définir et révoquer les autorisations.
À strictement parler, il peut ne pas être nécessaire, cependant, gardez à l'esprit qu'un pare-feu peut fournir plus de fonctionnalités que de simplement refuser les connexions sur les ports réseau. Par exemple, DROP contre REJECT.
Mais, pourquoi avons-nous besoin d'un pare-feu s'il n'y a aucun programme à l'écoute sur les ports?
Si vous avez un bureau mono-utilisateur , pas un serveur, vous n'avez pas besoin d'un pare-feu, si aucun service n'est en cours d'exécution, comme sur une installation Ubuntu par défaut.
Windows a eu quelques fois, après avoir pu faire du réseautage, certains services fonctionnant par défaut pour la maintenance, les mises à jour, la transmission des messages internes, etc. Vous ne pouviez pas les arrêter, sans arrêter le fonctionnement des fenêtres, mais elles étaient vulnérables aux attaques externes. Donc, les utilisateurs de Windows avaient besoin d'un pare-feu, et le mème, que tout le monde a besoin d'un pare-feu, se propage rapidement.
Quand ils ont rencontré les gens de Linux, qui étaient souvent des administrateurs de serveur, ils n'ont pas dit "vous n'avez pas besoin d'un pare-feu sur linux" mais "nous avons des pare-feu gratuits comme iptables depuis près d'une décennie".
Un pare - feu personnel , assis sur le système qu'il doit protéger, n'est pas non plus la meilleure idée.
desktopne signifie pas que ce n'est pas encore serverce ne sont que des mots. Votre desktopa beaucoup de serverscela pourrait potentiellement fonctionner, et peut-être déjà.
t allow anything) on RedHat, start CUPS and see if you can connect to it from outside. Then look at iptables-save`: Voila - le port CUPS est ouvert sans apparaître dans l' interface graphique ...