"Alex Holst" <a@mongers.org> wrote in message
news:ld8no-f2a.ln1@miracle.mongers.org...
> Jakob Wolffhechel <themuss@removethis.it.dk> wrote:
> > Jeg prøvede såmænd bare at beskrive den bedste (for mig) måde at smide
en ny
> > freebsd maskine på et netværk. At du så hellere ser, han holder de
services,
> > han natter, i chroots/jails er fair nok... Jeg er bare til en solid
firewall
> > istedet. Det er vel et spørgsmål om personlig smag...
>
> Nej, det er et spoergsmaal om at forstaa problemet. En firewall loeser
> et helt andet problem end service konfiguration/jailing goer.
Ja. Det kan jeg godt se.
> En firewall kan bruges til at naegte adgang til en service, hvorimod det
> andet bruges til at give adgang til en service uden at udlevere hele
> systemet til en evt. angriber.
vi er enige om at det sidste, hvorimod firewallen, som jeg ser den, sorterer
i adgangen til en service... den nægter ikke... i mit tilfælde accepterer
den rent faktisk. Det kan godt være, det er ordgejl, men jeg synes nu, det
er værd at få med, når man taler sikring af sin FreeBSD maskine. IPFW er et
utroligt godt og solidt værktøj, der kan mere end bare allow any og deny
any..
Da jeg selv begyndte med FreeBSD, lukkede jeg min maskine af med ipfw, fordi
jeg ikke var sikker på, hvilke services jeg kørte, eller om jeg var "skarp"
nok til at holde styr på det hele (bla. at holde min apache opdateret)...
Det gav mig en vis ro i sindet... Jeg kunne i ro og mag lege med
"semi"-public services uden at være bekymret for, jeg blev rooted eller på
anden måde exploited ved at køre gamle versioner eller forkerte
konfigurationer af disse.
> I tilfaeldet hvor kun 4 porte bliver forwardet igennem routeren, goer en
> firewall ingen positiv forskel.
Det skal siges, at min firewall er en FreeBSD, så det er imperativt, at der
ikke er lukket op for trafik per default. Det er jo nok derfor, jeg så
sætter min lid til en firewall først og fremmest. Nattingen i en router kan
slet ikke måle sig med ipfws funktionalitet (ved dog ikke med dyre
industri-routere). Netop af de grunde jeg har beskrevet overfor, benytter
jeg IPFW (...til at sikre mine maskiner (først og fremmest)); både firewall
og klienter.
Dernæst er det så et spørgsmål om at konfigurere mine services "rigtigt" /
sikkert og så sørge for at holde mit system og mit ports-træ opdateret.
Burde jeg revidere min opfattelse? Evt. nogle links om sikkerhed?
/j