1 Тема от usersh

  • usersh
  • Новичок
  • Неактивен
  • Зарегистрирован: 22.01.2011
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]

Как наиболее безопасно настроить файервол для EduMandriva 2010 Spring LXDE Live CD?
Нужно ли снимать флажки с пунктов:
Разрешить доступ из Интернета к:
1) Серверу SSH;
2) MySQL:
Будет ли при снятии или включении флажков информация доступной для перехвата? Возможен ли доступ к компьютеру из Интернета, если не разрешать никакого доступа в списке?

2 Ответ от Wolfenberg

  • Wolfenberg
  • Wolfenberg
  • Медвежатко
  • Неактивен
  • Откуда: Тольятти
  • Зарегистрирован: 17.07.2010
  • Сообщений: 8,882
  • Репутация : [ 125 | 8 ]

usersh, возможен, если вы сами запустите трояна smile

Linux Mint 19.3 Mate Edition
Windows 7

3 Ответ от usersh

  • usersh
  • Новичок
  • Неактивен
  • Зарегистрирован: 22.01.2011
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]

Дело в том, что насколько понимаю, SSH используется для передачи данных в незащищенной среде, шифруя их. Если же я отключу (запрещу фаерволом) доступ из Интернета к SSH-серверу, то будет ли работать эта технология вообще? И не станет ли передаваемая информация доступна для перехвата?
У меня сеть VPN+NAT.

4 Ответ от Wolfenberg

  • Wolfenberg
  • Wolfenberg
  • Медвежатко
  • Неактивен
  • Откуда: Тольятти
  • Зарегистрирован: 17.07.2010
  • Сообщений: 8,882
  • Репутация : [ 125 | 8 ]

usersh, если очень захотеть, можно в космос улететь smile
А кто вам мешает Squid настроить? Файерволл не сканирует трояны, руткиты и пр. Он просто регулирует iptables. smile
Если у вас отключен протокол SSH, то как он будет работать?

Linux Mint 19.3 Mate Edition
Windows 7

5 Ответ от mvt

  • mvt
  • mvt
  • Пользователь
  • Неактивен
  • Зарегистрирован: 20.02.2010
  • Сообщений: 6,534
  • Репутация : [ 141 | 1 ]

usersh
Если Вы сами не работаете со своим компьютером удаленно - отключите все

6 Ответ от usersh

  • usersh
  • Новичок
  • Неактивен
  • Зарегистрирован: 22.01.2011
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]

Спасибо за ответы. Есть еще вопрос.

Я не работаю удаленно, но вот есть в настройке VPN-соединения такой пункт: Добавить сетевые интерфейсы [ppp0..ppp9] в исключения фаервола.

При установке флажка там выдает сообщение: Настраивает фаервол только для Интернета, но не для содинения p2p и других сетевмх подключений.
Если снять флажок, то выдает сообщение: Предпочтительно только, если Вы самостоятельно настраиваете фаервол, или он отключен.

Может, отсюда выводы: следует включать флажок здесь, чтобы работало SSH  и прочее для соединения со шлюзом, подсетью и двумя DNS-серверами (доверять им) (тогда будет шифрование), или же отключать флажок, запрещая доступ полностью для всего, но тогда не будет SSH...

Как думаете?

7 Ответ от sbin

  • sbin
  • Пользователь
  • Неактивен
  • Зарегистрирован: 21.03.2010
  • Сообщений: 321
  • Репутация : [ 2 | 0 ]

usersh,  Вам же сказали:

mvt пишет:

usersh
Если Вы сами не работаете со своим компьютером удаленно - отключите все

и фаервол тоже.

8 Ответ от mvt

  • mvt
  • mvt
  • Пользователь
  • Неактивен
  • Зарегистрирован: 20.02.2010
  • Сообщений: 6,534
  • Репутация : [ 141 | 1 ]
sbin пишет:

и фаервол тоже.

А это с какой целью?
PS usersh
Вы спрашивали :

Разрешить доступ из Интернета к:
1) Серверу SSH;
2) MySQL:

Я Вам ответил, что если Вы не пользуетесь этими службами - отключайте. Если для своих целей Вам необходима тонкая настройка фаервола, то http://www.google.ru/search?q=Настройка … nt=firefox

9 Ответ от sbin

  • sbin
  • Пользователь
  • Неактивен
  • Зарегистрирован: 21.03.2010
  • Сообщений: 321
  • Репутация : [ 2 | 0 ]
mvt пишет:

sbin пишет:

и фаервол тоже.

А это с какой целью?

Подумал, что о компе пользователя. Не обратил внимания на 3-е сообщение.

10 Ответ от romkaromka

  • romkaromka
  • romkaromka
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 889
  • Репутация : [ 27 | 0 ]

Разъясню. При настройке VPN появляется новый виртуальный сетевой интерфейс из диапазона [ppp0..ppp9]. Так вот, файервол будет блокировать этот новый сетевой интерфейс. Чтобы файервол его не блокировал, то надо добавить его в исключения файервола. Если файервол отключен, то  блокировать этот новый сетевой интерфейс будет по просту нечему.

Консоль на мыло. Надо развивать графику.

11 Ответ от usersh

  • usersh
  • Новичок
  • Неактивен
  • Зарегистрирован: 22.01.2011
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]

Спасибо за ссылки. Почитаю на досуге и постараюсь разобраться. Хотя способы кажутся длинными, а я настраиваю компьютер каждый раз при запуске, поэтому хотелось бы ограничится краткими инструкциями.

Я являюсь именно пользователем и настраиваю компьютер клиента VPN. Ставлю ли я флажок или нет, дсступ все равно есть к Интеренету (к локальной сети меня он мало интересует). Странно, что фаервол тогда не блокирует.
Я сейчас не ставлю флажок для Добавить сетевые интерфейсы в исключения фаервола, и фаервол включен для eth0 и ppp0. Тем не менее соединение есть:-)

12 Ответ от drBatty

  • drBatty
  • drBatty
  • Пользователь
  • Неактивен
  • Откуда: Петербург
  • Зарегистрирован: 20.02.2010
  • Сообщений: 17,053
  • Репутация : [ 451 | 73 ]
usersh пишет:

Я являюсь именно пользователем и настраиваю компьютер клиента VPN. Ставлю ли я флажок или нет, дсступ все равно есть к Интеренету (к локальной сети меня он мало интересует). Странно, что фаервол тогда не блокирует.

не В интернет, а ИЗ интернета. Файрвол блокирует доступ К вашему компьютеру ИЗ интернета. Если вы не управляете компом удалённо, и не используете p2p, и у вас нет никаких других серверов К которым нужен доступ, то вам не нужен этот самый доступ...

usersh пишет:

Я сейчас не ставлю флажок для Добавить сетевые интерфейсы в исключения фаервола, и фаервол включен для eth0 и ppp0. Тем не менее соединение есть:-)

ИСХОДЯЩЕЕ есть. Т.е. вы можете обратится К удалённому серверу. Но к вашему компьютеру доступ закрыт снаружи.

Карусель разнесло по цепочке за час
Всех известий — конец
Да, весна началась!
(всё к лицу подлецу, как родному отцу, не рассказывай, батя, и так всё пройдёт)

13 Ответ от kisil (24.01.2011 02:30:09 отредактировано kisil)

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]

Как сказал drBatty у вас есть соединения из интернэтом, а интернэт вас не видит. Там будет верно. У меня шлюз который нэт раздаёт имеет реальный айпи. Но поскольку мне не нужно чтобы меня было видно из интернэта. То весь трафик входящий со стороны интернета блокируетса. Разрешон только исходящий и кое кому пересылка пакетов между интерфэйсами.
Ну и доступ из локальной сети.

Trouble  in WINDOWS reboot, trouble in UNIX be root.

14 Ответ от usersh

  • usersh
  • Новичок
  • Неактивен
  • Зарегистрирован: 22.01.2011
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]

Спасибо всем за ответы!
:-)
Итак, можно считать, что фаервол справляется со своей задачей, как я и хотел, без многочисленных настроек.)

15 Ответ от usersh

  • usersh
  • Новичок
  • Неактивен
  • Зарегистрирован: 22.01.2011
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]

Да, но все же, может ли кто-то объяснить, работает ли при снятии всех флажков шифрование SSH? А если не работает, то легко ли прочитать пересылаемые данные?

16 Ответ от drBatty

  • drBatty
  • drBatty
  • Пользователь
  • Неактивен
  • Откуда: Петербург
  • Зарегистрирован: 20.02.2010
  • Сообщений: 17,053
  • Репутация : [ 451 | 73 ]
usersh пишет:

Да, но все же, может ли кто-то объяснить, работает ли при снятии всех флажков шифрование SSH?

каких "флажков"? сделайте скриншот что-ли... (у меня никаких флажков нет. есть /etc/sshd_config и ~/.ssh/config)

Шифрование в ssh работает ВСЕГДА, иначе это НЕ SSH.

usersh пишет:

А если не работает, то легко ли прочитать пересылаемые данные?

ваши? легко. даже если работает.

знаете почему? потому-что вы не учите матчасть, не читаете инструкции, и не просматриваете логи.  ac

можете ещё письмо написать на какой-нить спец-форум: я купил замок 100500 секретов. не ограбят-ли мою квартиру?
ответ: купите ещё дверь и квартиру. потом посмотрим, останутся-ли у вас деньги на установку этого замка  ah

и ещё: фаервол - не нужен. это одно из средств выколачивания денег из лохов людей, которые не хотят разобраться в предмете.

Потому в линуксе нет оутпоста.

Карусель разнесло по цепочке за час
Всех известий — конец
Да, весна началась!
(всё к лицу подлецу, как родному отцу, не рассказывай, батя, и так всё пройдёт)

17 Ответ от usersh

  • usersh
  • Новичок
  • Неактивен
  • Зарегистрирован: 22.01.2011
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]

Спасибо:-)
Итак, все, что мог, я сделал.
Теперь вопрос безопасности не зависит от меня.