Específicamente
Tengo un conjunto de reglas de iptables definido en un servidor que ejecuta CentOS. ¿Estoy garantizado / puedo garantizar / cómo puedo garantizar que cuando la red se conecte (ya sea en el arranque de la máquina o después de reiniciar el servicio de red) el conjunto de reglas de iptables ya está aplicado (y si iptables no se inició o no pudo aplicar el conjunto de reglas la interfaz de red no podrá aparecer)?
(Sé que esta es una pregunta novata, pero nunca he ejecutado un servidor en otra cosa que no sea redes confiables detrás de un DHCP NAT enmascarado y un firewall, así que ... espere preguntas novatas de los novatos).
15
Realmente no es una pregunta novata en absoluto. Esto es esencialmente cómo los piratas informáticos ingresaron a la red de PlayStation en 2011, causando 24 días de interrupción y $ 15MM en acuerdos. Cuando sus cortafuegos se reiniciaron (como lo hacían mensualmente), el cortafuegos se abrió por unos instantes, aparentemente el tiempo suficiente.
—
Chris S
@ChrisS Lo más extraño de eso, para mí, sería que estoy seguro de que los administradores de sistemas responsables de esa red seguramente serían lo suficientemente inteligentes como para negarse si alguien sugiriera apagar el firewall, pero no pestañear, mensualmente , apagándolo ... y luego volviéndolo a encender. Sin embargo, no estoy seguro de qué combinación de estos lo explicaría.
—
Parthian Shot
Otra opción es deshabilitar el puerto en el conmutador de red hasta que el servidor se haya iniciado por completo, si está en el sitio y tiene acceso al conmutador. Esto no es ideal, pero definitivamente funcionaría, a menos que el servidor tuviera una dependencia de red como NFS.
—
jftuga
@jftuga Bueno, claro. Pero entonces el servidor no estaría conectado a Internet, por lo que esa solución técnicamente no cae dentro del alcance de esta pregunta. Si estoy en el sitio, podría desconectar el cable de Ethernet durante el reinicio. Y el problema subyacente permanecería con la solución de bloqueo de puertos, de todos modos; que otra computadora que ataca a través de la red no sería detenida por el firewall local. Si el enrutador está pirateado, o funciona mal, o si alguien más en la red local se ve comprometido, el juego aún termina.
—
Parthian Shot
@jftuga De hecho, el problema es aún peor que eso. Suponiendo que alguien ya ha conseguido ejecutar una pieza de software en la máquina local, pero mi cortafuegos hace el filtrado de salida, la regla es que los paquetes salientes solo se permiten si están establecidos o relacionados, y las nuevas conexiones entrantes solo se permiten al puerto 80 Normalmente, eso evitaría un shell inverso de una cuenta no privilegiada. Pero si la conexión se inicia en el arranque, se mantendrá mediante la inicialización del firewall. Supongo que eso también significa que las reglas del firewall deberían cambiar, pero es un error fácil de cometer.
—
Disparo de Partia el