From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <homyakov@ramax.spb.ru>
Date: Fri, 18 Oct 2002 13:05:47 +0400
From: Igor Homyakov <homyakov@ramax.spb.ru>
To: community@altlinux.ru
Message-ID: <20021018090547.GA9986@kadath.pm.ramax.spb.ru>
References: <3DAEB90C.7090603@hotbox.ru> <3DAEBBFF.8050501@avanto.mpei.ac.ru> <20021017200136.1eee924f.sssku@online.ru> <1034881277.10893.2.camel@nklinux.pp.ru> <20021017234048.275b011e.sssku@online.ru> <20021018060034.GB2562@hell.immo> <20021018104416.27e226b6.sssku@online.ru> <20021018090527.GH56203@netch.kiev.ua>
Mime-Version: 1.0
Content-Type: text/plain; charset=koi8-r
Content-Disposition: inline
Content-Transfer-Encoding: 8bit
In-Reply-To: <20021018090527.GH56203@netch.kiev.ua>
User-Agent: Mutt/1.4i
X-Operating-System: GNU/Linux (ALT Linux http://altlinux.org)
Subject: [Comm] Re: [JT] =?koi8-r?B?89fR2tgg0yDLz83Q2MDU?=
 =?koi8-r?B?xdLPzSDawQ==?= NAT
Sender: community-admin@altlinux.ru
Errors-To: community-admin@altlinux.ru
X-BeenThere: community@altlinux.ru
X-Mailman-Version: 2.0.9
Precedence: bulk
Reply-To: community@altlinux.ru
List-Unsubscribe: <http://www.altlinux.ru/mailman/listinfo/community>,
	<mailto:community-request@altlinux.ru?subject=unsubscribe>
List-Id: <community.altlinux.ru>
List-Post: <mailto:community@altlinux.ru>
List-Help: <mailto:community-request@altlinux.ru?subject=help>
List-Subscribe: <http://www.altlinux.ru/mailman/listinfo/community>,
	<mailto:community-request@altlinux.ru?subject=subscribe>
List-Archive: <http://www.altlinux.ru/pipermail/community/>
Archived-At: <http://lore.altlinux.org/community/20021018090547.GA9986@kadath.pm.ramax.spb.ru/>
List-Archive: <http://lore.altlinux.org/community/>
List-Post: <mailto:mandrake-russian@linuxteam.iplabs.ru>

On Fri, Oct 18, 2002 at 12:05:27PM +0300, Valentin Nechayev wrote:
> Вот простой пример, когда это действительно нужно и можно: через static NAT
> пробрасываются входящие на порт 25 на натовый хост - на порт 25 на некоем
> тазике внутри сети, который работает mail-сервером. Или то же для порта 80.
> Я такие конфигурации вижу на каждом шагу. И почему-то никто не начинает
> кричать, что это безумная дыра в защите.

Согласен полностью. 

На мой взгляд, просто не надо забывать что проброс портов посредствам (DNAT) 
представляет просто доступ к внутренему серверу без выделения ему внешнего ip.
Не более того. Это не плохо ни хорошо это просто СПОСОБ (один из многих ) 
организовать доступ. Сам по себе он не обеспечивает защиты. 

К сожалению существует мнение: "Вот мы пробросим, (80|25|53)-ый порт и тем 
самым защитим www сервер от атак". Это не так.

--
Igor Homyakov
<homyakov at altlinux dot ru>
http://counter.li.org/cgi-bin/runscript/display-person.cgi?user=190141