Tommy Jensen <toj@worldonline.dk> wrote:
> Done. Jeg kan godt se meningen i at beskrive mit behov, men jeg ikke
> komme det ret meget nemmere end at jeg vil gerne beskytte min web og
> mailserver samt arbejdsstation med ondsindede angreb udefra.
>
>>Er dette 3 fysiske adskilte maskiner? Har hver deres offentlige IP adresse,
>>eller benyttes der NAT? Har du krav om stateful filtering, eller vil
>
> Det er 2 maskiner, den ene har web og mailserver den anden er
> arbejdsstation. Jeg har een offentlig ip-adresse og jeg benytter NAT i
> en Cisco 677 router. Kun de nødvendige porte er åbnet og nattet til
> serveren.
Det vil sige at IP pakker som bliver sendt udefra vil blive afvist af din
router, medmindre et af foelgende er opfyldt:
routeren tror den paagaeldende pakke er et svar paa noget du har
bedt om, eller
routeren specifikt er blevet bedt om at forwarde pakken til port 25
eller 80.
For at begaa indbrud paa din maskine, skal man altsaa finde en fejl i det
program der lytter paa port 25 eller 80 -- eller man skal paa en maade lokke
brugeren til at starte et program som skaber en forbindelse ud gannem NAT
maskinen.
En firewall vil hverken goere fra eller til i din situation -- medmindre du
er bange for at din NAT maskine er i stykker eller bliver sat forkert op.
Jeg vil raade dig til, at laere dit email og web server software rigtigt
godt at kende, saa du forstaar hvilke fejl kan give utilsigtet adgang til
din maskiner.
Alternativt kan du saette et IP filter op i din router som forhindrer at SYN
pakker fra din server (med destination port 25 som undtagelse) tillades ud
gennem NAT maskinen. Dette goer, at skulle der blive fundet en
sikkerhedsfejl ikke kan bruges af en angriber til at oprette baglaens
tunnler.
--
I prefer the dark of the night, after midnight and before four-thirty,
when it's more bare, more hollow.
http://a.area51.dk/