Cuando trato de hacer telnet a un puerto en un servidor, y si no hay ningún programa escuchando en ese puerto, telnet muere con el error "No se puede conectar ...". Entiendo que. Pero, ¿por qué necesitamos un firewall si no hay ningún programa escuchando en ningún puerto?
Respuestas:
Puede que no haya un servicio en ejecución en este momento, pero ¿qué tal mañana? Los tiene todos apagados, pero ¿qué pasa con sus usuarios? Cualquier persona en un sistema unix / windows / mac puede abrir un puerto> 1024 en cualquier máquina a la que tenga acceso. ¿Qué pasa con el malware? ¿Qué hay de un virus? También pueden abrir puertos y comenzar a servir información al mundo, o comenzar a escuchar las conexiones de la red.
El propósito principal de un firewall no es bloquear los puertos para los servicios que sabe que están deshabilitados, es bloquear los puertos en servicios que quizás no conozca. Piense en ello como una denegación predeterminada con solo ciertos agujeros para los servicios que autoriza. Cualquier usuario o programa iniciado por un usuario puede iniciar un servidor en un sistema al que tenga acceso, un firewall impide que otra persona se conecte a ese servicio.
Un buen administrador sabe qué servicios deben exponerse y puede habilitarlos. Un firewall es principalmente para mitigar el riesgo de servidores desconocidos que se ejecutan en su sistema o su red, así como para administrar lo que está permitido en la red desde un lugar central.
Es importante saber qué se está ejecutando en su máquina / servidor y solo habilitar lo que necesita, pero un firewall proporciona esa protección adicional contra las cosas que no sabe.
hg serveque inicia un servidor web en tu máquina. El punto es que es trivial iniciar un servidor en cualquier máquina, ya sea que se use como 'escritorio' o 'servidor', no importa. Y una vez que se inicia ese servidor, y no lo sabes ... bueno, ahí es cuando comienza la diversión.
SI no hay ningún programa escuchando en ningún puerto, no necesita un firewall, pero tampoco puede conectarse a su servidor porque está 'sellado' del resto del mundo.
Por otro lado ... supongamos que su servidor no tiene ningún programa que se ejecute localmente que escuche en ningún puerto, pero sirve como puerta de enlace para otras computadoras detrás de él. En este caso, utiliza un firewall para administrar el enmascaramiento (NAT) y, opcionalmente, puede filtrar algunas cosas en el reenvío de paquetes.
/etc/ssh/sshd_configpara asegurar la máquina. PermitRootLogindebe establecerse en No, debe usar una contraseña segura y mantener la máquina con sudo (puede usar sudo después de iniciar sesión con una cuenta con permisos de sudo). Establecer las restricciones con un firewall es la herramienta incorrecta para el trabajo. Lo mismo sería cierto para una postgresqlbase de datos: use la configuración de la base de datos para establecer y revocar permisos.
Estrictamente hablando, puede no ser necesario, sin embargo, tenga en cuenta que un firewall puede proporcionar más funcionalidad que simplemente rechazar conexiones a través de puertos de red. Por ejemplo, comportamiento DROP versus RECHAZO.
Pero, ¿por qué necesitamos un firewall si no hay ningún programa escuchando en ningún puerto?
Si tiene un escritorio de usuario único , no un servidor, no necesita un firewall, si no hay ningún servicio en ejecución, como en una instalación predeterminada de Ubuntu.
Windows tuvo algunas veces, después de poder hacer redes, algunos servicios que se ejecutan de manera predeterminada para mantenimiento, actualizaciones, transmisión de mensajes internos, etc. No podría detenerlos sin que Windows dejara de funcionar, pero eran vulnerables a ataques externos. Entonces, los usuarios de Windows necesitaban un firewall, y el meme, que todos necesitan un firewall, se extendió rápidamente.
Cuando conocieron a la gente de Linux, que a menudo eran administradores de servidores, no dijeron 'no necesitas un firewall en Linux' sino 'tenemos firewalls gratuitos como iptables durante casi una década'.
Un firewall personal , ubicado en el sistema que protegerá, tampoco es la mejor idea.
desktopno significa que todavía no serverson solo palabras. Tu desktoptiene mucho de serverseso potencialmente podría ejecutarse en él, y posiblemente eso ya lo sea.
t allow anything) on RedHat, start CUPS and see if you can connect to it from outside. Then look at iptables-save`: Voila - el puerto CUPS está abierto sin aparecer en la gui ...