[Comm] Как лучше закрыть сервер снаружи

[Comm] Как лучше закрыть сервер снаружи

[Vitalik Salomatin]

Сервер eth0 и eth1 смотрит наружу под разными ip - адресами.
Как максимально надежно закрыть сервер снаружи по eth0
оставив только доступ по 80 порту
Все остальное вообще закрыть

знаю способ 

# iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
# iptables -A INPUT -i eth0 -p tcp -m tcp --tcp-flags FIN,SYN,ACK SYN -j REJECT --reject-with icmp-port-unreachable
# iptables -A FORWARD -o eth0 -p tcp -j DROP

достаточен ли он?

А как закрыть от ping  или дос атаки?

Что сейчас считается надежным способом прикрыть сервер максимально?

Спасибо.

Re: [Comm] Как лучше закрыть сервер снаружи

[Dmitriy Kruglikov]

3 октября 2008 г. 17:55 пользователь Vitalik Salomatin написал:
>
> Что сейчас считается надежным способом прикрыть сервер максимально?
>

Надежнее всего - не выставлять в сеть ...

К вашему способу могу добавиьт только правило по умолчанию выставить в DROP ...
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]

Разрешить исходящие чтоб сервер мог, как минимум, за DNSом сходить и
время себе обновить ...
Открыть только один порт, который нужен, и на него повесить счетчик
пакетов в минуту ...
Чтоб при превышении разумного минимума все последующие соединения с
адреса источника дропались ...
Что-то вроде такого:

-A INPUT -i inet -p tcp -m state --state NEW --dport 22 -m recent
--name sshattack --set
-A INPUT -i inet -p tcp -m state --state ESTABLISHED --tcp-flags
FIN,ACK FIN,ACK --dport 22 -m recent --name sshattack --set
-A INPUT -i inet -p tcp -m state --state ESTABLISHED --tcp-flags RST
RST --dport 22 -m recent --name sshattack --set
-A INPUT -i inet --dport 22 -m recent --name sshattack --update
--seconds 60 --hitcount 4 -m limit --limit 4/minute -j LOG
--log-prefix SSH_attack:_
-A INPUT -i inet --dport 22 -m recent --name sshattack --update
--seconds 60 --hitcount 4 -j DROP

И не забыть бы
-A INPUT -i lo -j ACCEPT
А то всякое бывает ... :)

-- 
Как правильно задавать вопросы:
http://maddog.sitengine.ru/smart-question-ru.html

Помогает:
http://search.altlinux.org

Best regards,
 Dmitriy L. Kruglikov
 Dmitriy.Kruglikov_at_gmail_dot_com
 DKR6-RIPE
 DKR6-UANIC
 XMPP: Dmitriy.Kruglikov_at_gmail_dot_com