O que significa tráfego de entrada e saída?

Eu já vi muitos recursos explicando como configurar o firewall de um servidor para permitir tráfego de entrada e saída nas portas padrão HTTP ( 80e 443), mas não consigo descobrir por que precisaria de uma delas. Preciso desbloquear ambos para que um site "normal" funcione? Para o upload de arquivos funcionar? Existem situações em que seria aconselhável desbloquear um e deixar o outro bloqueado?

Desculpe se essa é uma pergunta básica, mas não a encontrei explicada em nenhum lugar (também não sou um falante nativo de inglês). Eu sei que em um site "regular" o cliente sempre é quem inicia uma solicitação, portanto, estou assumindo que um servidor da Web deve aceitar o tráfego de entrada nessas portas, e meu bom senso diz que o servidor tem permissão para enviar uma resposta sem desbloquear mais nada (caso contrário, não faria sentido ter dois tipos de regras). Isso está correto?

Mas o que é um tráfego da Web de saída (serviço) e qual seria seu uso? AFAIK, se o servidor quisesse iniciar uma conexão com outra máquina, a porta específica que importa é a do outro lado (ou seja, a porta de destino seria 80); por fim, qualquer porta livre poderia ser usada (a porta de origem seria aleatória). ) Posso abrir solicitações HTTP do meu servidor (usando, wgetpor exemplo) sem desbloquear nada. Portanto, estou assumindo que meus conceitos de "entrada" e "saída" estão errados de alguma forma.

networking firewall

— mgibsonbr
fonte

Respostas:

"Entrada" e "saída" são da perspectiva da máquina em questão.

"Entrada" refere-se a pacotes que se originam em outro lugar e chegam à máquina, enquanto "saída" refere-se a pacotes que se originam na máquina e chegam a outro lugar.

Se você se referir ao seu servidor da Web, ele geralmente aceita conexões de entrada com o serviço da Web e apenas ocasionalmente (ou talvez nunca) faz conexões de saída.

Se você se referir ao seu cliente da Web, ele faz conexões de saída com outros serviços e apenas ocasionalmente (ou talvez nunca) aceita conexões de entrada.

Claro como lama agora?

— Michael Hampton
fonte

Eu acrescentaria que Para enviar uma resposta ao seu cliente, você precisa permitir o tráfego de saída para conexões estabelecidas. Portanto, sempre que um cliente estabelece uma conexão com sua porta 80, seu servidor pode responder a qualquer porta do cliente.

— Hex

Muito correto. Embora qualquer firewall com estado deva lidar com isso automaticamente.

— Michael Hampton

Portanto, meu servidor da Web deve desbloquear conexões de entrada nas portas 80e 433, não precisa se preocupar com conexões de saída nessas portas, mas precisa permitir a conexão de saída no intervalo de portas dinâmico / efêmero, certo? E ainda estou um pouco confuso com a saída: se um cliente da Web tentar se conectar a um site, a porta de destino seria 80, mas a porta de origem poderia ser qualquer um. Qual porta um firewall nessa máquina consideraria ao decidir bloquear / desbloquear?

— mgibsonbr

@mgibsonbr Agora você está se voltando para o teórico. Preferimos perguntas práticas aqui. :)

— Michael Hampton

Considerando que você tem conhecimento limitado de firewalls e tráfego, recomendo que você use um script do construtor de firewall. UFW é um bom começo. A página do projeto é help.ubuntu.com/community/UFW , dê uma olhada e você obterá uma compreensão básica de firewalls e gerenciamento de tráfego. Se você ainda precisar de ajuda, tentarei dar um esclarecimento detalhado à sua pergunta.

— Hex

No seu caso, você só precisa permitir solicitações de entrada para a porta 80.

Quando uma conexão é estabelecida, o firewall deixa automaticamente os pacotes de volta à porta do cliente. Você não precisa criar regras para isso porque o firewall sabe.

— humpty
fonte

Isso não responde a toda a pergunta, mas sim, se ele estiver usando um firewall com estado, são necessários apenas 80 e 443.

— 89c3b1b8-b1ae-11e6-b842-48d705

Sem qualquer contexto sobre o significado do texto específico que você lê quando se refere ao tráfego de "serviço da web de saída", adotarei a abordagem mais simples em minha resposta:

Você tem um firewall na entrada / saída da sua rede.
O firewall entra em um estado totalmente bloqueado e não permite tráfego de entrada ou saída.
Para que seus clientes internos naveguem em sites externos, é necessário configurar uma regra de "serviço da web de saída" que permita a conexão com os sites externos.

Nos termos mais simples, a regra seria algo como isto:

QUALQUER host interno para QUALQUER host externo em que o destino = Porta TCP 80 e PERMITIDO.

— joeqwerty
fonte

A expressão "tráfego de serviço da web de saída" veio disso . No meu caso particular, estou tentando configurar o firewall em uma instância de servidor (nuvem IBM). A instalação padrão veio com a maioria das coisas bloqueadas (eu poderia executar o Apache, mas não acessá-lo de fora), e gostaria de saber as coisas básicas que devo desbloquear para poder servir páginas, receber uploads de arquivos (no navegador do cliente) , etc. E eu não sabia dizer se essa peça específica se aplicava ou não ao meu caso - já que apenas conta como, não por que.

— mgibsonbr