LINUX.ORG.RU
Форум — Admin  

[iptables],[паранойя]Посоветуйте политику по умолчанию

 ,


0

2

Доброго, господа.

Я внезапно задумался, а имеет ли смысл делать полиси DROP для всех цепочек?

Вернее вопрос таков, правильно ли я понимаю, что если я сделаю дефолт полиси DROP для всех цепочек, то в каждой из чейнов всех таблиц, через которые проходит пакет, мне будет нужно явно разрешать ACCEPT для того же, к примеру, форвардинга?

Правильно ли я понимаю, что традиционно принято оставлять АССЕРТ как дефолт, а в нужной цепочке дропать неугодные пакеты? Не чешет ли подобный подход вашу паранойю?

С благодарностью прочитаю мнения уже думавших об этом и принявших решение.

В принципе в итоге все равно 99,9 трафика будет идти через сквид, но пока без него, да и чисто теоритически, повторюсь, интересно.

★★★★

> Я внезапно задумался, а имеет ли смысл делать полиси DROP для всех цепочек?

Только для инпута.

Igron ★★★★★
()

>Правильно ли я понимаю, что традиционно принято оставлять АССЕРТ как дефолт, а в нужной цепочке дропать неугодные пакеты?

я так делаю только в filter/OUTPUT, ну и в mangle/*, nat/* и raw/*. Все остальные цепочки, где ФИЛЬТРУЕТСЯ трафик - безжалостный DROP.

Pinkbyte ★★★★★
()
Ответ на: комментарий от Pinkbyte

>и для форварда, не?

Смотря чем коробка занимается.

aidaho ★★★★★
()

Если на серваке - то однозначно DROP или REJECT по дефолту. Но только если уверен в прямоте своих рук.

Я еще делал LOG (чтобы логи писали) на все порты кроме тех, что я знаю что точно нужно дропать. Но тут на твое усмотрение, так как может засыпать сообщениями, особенно если тебя часто сканят.

Kroz ★★★★★
()

(Я так понимаю, на рутере) Если сетка небольшая с вменяемыми пассажирами - то все акцепт + дропы по вкусу (чтобы самому по забывчивости не влезть куда не надо). Если же сеть из космонавтов в скафандрах (бухгалтерии всякие), то в акцепт только аутпут и, может быть, инпут, форвард в безжалостный дроп, внутренний инпут в реджект, и скрупулёзные акцепты.

berrywizard ★★★★★
()
Ответ на: комментарий от berrywizard

> внутренний инпут в реджект

и внутренний форвард тоже

berrywizard ★★★★★
()

Я себе на домашний сервер выставил DROP для INPUT, FORWARD.
OUTPUT - ACCEPT.
Главное не забыть про открытые соединения изнутри.

Deleted
()

Чтобы чувтствовать себя как в танке, по идее этого достаточно:
[code]
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
[/code]

DROP по дефолту сильно нагрузит промежуточные роутера.

Slavaz ★★★★★
()
Ответ на: комментарий от anonymous

Имел ввиду NATированный трафик - на шлюзе в состоянии SYN будут продолжать висеть пакеты. Впрочем, это нагрузит шлюз того хакира, который пытается DoS'ить; или если собственный шлюз пробрасывает порты на DMZ-хост, то он тоже поднапряжётся.

Slavaz ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Admin