Quando tento telnetar para uma porta em um servidor, e se não houver um programa escutando nessa porta, o telnet morre com o erro "Não é possível conectar ...". Eu entendi aquilo. Mas, por que precisamos de um firewall se não houver um programa escutando em nenhuma porta?
Respostas:
Pode não haver um serviço em execução no momento, mas e amanhã? Todos eles estão desativados, mas e os usuários? Qualquer pessoa em um sistema unix / windows / mac pode abrir uma porta> 1024 em qualquer máquina à qual tenha acesso. E o malware? Que tal um vírus? Eles também podem abrir portas e começar a fornecer informações ao mundo, ou começar a ouvir as conexões da rede.
O principal objetivo de um firewall não é bloquear as portas dos serviços que você sabe que estão desabilitadas; é bloquear as portas nos serviços que você talvez não conheça. Pense nisso como uma negação padrão, com apenas alguns buracos nos serviços que você autoriza. Qualquer usuário ou programa iniciado por um usuário pode iniciar um servidor em um sistema ao qual eles têm acesso; um firewall impede que outra pessoa se conecte a esse serviço.
Um bom administrador sabe quais serviços precisam ser expostos e pode habilitá-los. Um firewall é principalmente para mitigar o risco de servidores desconhecidos em execução no seu sistema ou rede, além de gerenciar o que é permitido na rede a partir de um local central.
É importante saber o que está em execução na sua máquina / servidor e ativar apenas o que você precisa, mas um firewall fornece esse pouco de proteção extra contra as coisas que você não conhece.
hg serveque inicia um servidor da web em sua máquina. O ponto é que é trivial iniciar um servidor em qualquer máquina, independentemente de ser usado como 'desktop' ou 'servidor'. E uma vez iniciado o servidor, e você não o conhece ... bem, é aí que a diversão começa.
SE não houver um programa escutando em nenhuma porta, você não precisará de um firewall, mas também não poderá se conectar ao seu servidor, pois ele está "selado" no resto do mundo.
Por outro lado ... digamos que seu servidor não tenha nenhum programa em execução local escutando em nenhuma porta, mas serve como um gateway para outros computadores por trás dele. Nesse caso, você usa um firewall para gerenciar o NAT (disfarce) e, opcionalmente, pode filtrar algumas coisas no encaminhamento de pacotes.
/etc/ssh/sshd_configpara proteger a máquina. PermitRootLogindeve ser definido como Não, você deve usar uma senha segura e manter a máquina com o sudo (você pode usar o sudo após fazer login com uma conta com permissões do sudo). Definir as restrições com um firewall é apenas a ferramenta errada para o trabalho. O mesmo seria verdadeiro para um postgresqlbanco de dados: Use a configuração do banco de dados para definir e revogar permissões.
A rigor, pode não ser necessário, no entanto, lembre-se de que um firewall pode fornecer mais funcionalidades do que simplesmente recusar conexões por portas de rede. Por exemplo, comportamento DROP versus REJECT.
Mas, por que precisamos de um firewall se não houver um programa escutando em nenhuma porta?
Se você possui um desktop de usuário único , não um servidor, não precisa de um firewall, se não houver nenhum serviço em execução, como em uma instalação padrão do Ubuntu.
O Windows teve alguns momentos, depois de poder fazer a rede, alguns serviços em execução no padrão para manutenção, atualizações, passagem interna de mensagens e assim por diante. Você não podia detê-los, sem interromper o funcionamento do Windows, mas eles eram vulneráveis a ataques externos. Portanto, os usuários do Windows precisavam de um firewall, e o meme, de que todo mundo precisa de um firewall, se espalhava rapidamente.
Quando eles conheceram o pessoal do Linux, que geralmente eram administradores de servidores, eles não disseram 'você não precisa de um firewall no linux', mas 'nós temos firewalls gratuitos como o iptables por quase uma década'.
Um firewall pessoal , instalado no sistema que deve proteger, também não é a melhor idéia.
desktopnão significa que ainda não é um, serversão apenas palavras. Você desktoptem muito serversdisso potencialmente funcionando, e possivelmente isso já existe .
t allow anything) on RedHat, start CUPS and see if you can connect to it from outside. Then look at iptables-save`: Voila - a porta CUPS está aberta sem aparecer na guia ...