Вопросы о брандмауэре Привет всем! У меня тут несколько вопросов о брандмауэрах, и я думаю, что здесь найдутся люди, которые смогут помочь. 1. Как лучше всего настроить брандмауэр для защиты сервера, работающего под управлением Ubuntu? Какие конкретны

Ну, кажется, я разобрался в этом, по крайней мере, на какой-то стадии. Моя главная проблема – один из наших почтовых серверов, который сильно подвергается атакам (вообще-то, я не знаю что за атаки, вроде бы это не ICMP). В общем, вот что у меня в цепочке перенаправления на файрволе:
0   dst-address=x.y.z.19/32:25 protocol=tcp tcp-options=syn-only action=accept
1   dst-address=x.y.z.19/32:110 protocol=tcp tcp-options=syn-only action=accept
2   dst-address=x.y.z.19/32:80 protocol=tcp tcp-options=syn-only action=accept
3   dst-address=x.y.z.19/32 action=reject

Проблема в том, что этот сервер должен иметь возможность связываться с внешним миром для обновлений. Вышеуказанная конфигурация практически блокирует весь исходящий трафик, хотя и разрешает входящий на эти порты. Есть ли способ разрешить серверу общаться с внешним миром, ограничивая при этом возможность внутреннего мира создавать новые подключения к этим трем портам (25, 80, 110)?

Я всё ещё пытаюсь разобраться. Я неплохо разбираюсь в NAT (делал это на чистом Linux iptables, Mikrotik и Cisco), но по какой-то причине эта файрвол-настройка меня сбивает с толку. Короче говоря, у меня есть сервер 10.0.0.19 (публичный IP, не NAT), и мне нужно заблокировать весь входящий трафик, кроме портов 25, 80 и 110, но при этом позволить этому серверу выходить в интернет (в основном FTP и WWW, но и другие протоколы тоже). Как сконструировать такую таблицу файрвола? Может, ваш почтовый сервер используется как ретранслятор спама? Почтовый сервер, о котором идёт речь, использует SMTP Auth для внешних подключений (у нас Postfix сервер обрабатывает MTA трафик), и даже так в наших логах будут записи о людях, безуспешно пытающихся ретранслировать почту. Мне кажется, что это своего рода SYN-атака, но я не уверен.

Это будет зависеть от настройки Mikrotik… работает ли он в режиме моста или маршрутизатора? Происходит ли NAT, но, например, 1-в-1 NAT с публичного IP на приватный для почтового сервера? Или просто маршрутизированная сеть с публичными IP без NAT? Мне нужно заблокировать все входящие порты, кроме тех, что используются для SMTP и POP3. Но я хочу, чтобы серверы видели внешний мир, и вот тут начинаются проблемы. Но сначала посмотрите IP → Firewall → Filter Chains и проверьте политики по умолчанию для цепочек input, output и forward (особенно для forward). Если там везде “drop”, переключите их на accept и проверьте, заработает ли. Если нет, то проблема либо в ваших правилах брандмауэра и/или NAT, либо в маршрутизации. Если заработало, переключите их обратно на drop и добавьте правило forward с IP-адресом вашего сервера, любым портом назначения и, опционально, интерфейсом (это обеспечит лучшую защиту). Если у вас настроен NAT, вам нужно будет сделать то же самое правило, плюс правило destination NAT с той же информацией. Это должно помочь. Если нет, проверьте IP-адрес, подсеть и шлюз вашего сервера, а также маршруты на MT. Надеюсь, это поможет. Я попытался использовать пример из руководства Mikrotik, но когда я устанавливаю действие reject, по сути, всё начинает умирать. В частности, кажется, что внешние подключения к открытым портам не могут быть завершены, что указывает на то, что отбрасывается намного больше, чем я хочу. Я попробую еще раз, но чувствую, что я упускаю какой-то важный момент. Я вижу следующую строку в руководстве (для цепочки forward): add protocol=tcp connection-state=established. Это, конечно, для установленных соединений, но стоит ли также разрешать new и related соединения, или здесь есть какой-то другой трюк?[/code]

Ну что, кажется, я разобрался. Я не привязывал правила к моему внутреннему интерфейсу (ether2). Сделал это, и теперь мои правила работают, блокируя все порты, кроме тех, что мне нужны, на нужных хостах. Последний вопрос, если кто-нибудь сможет ответить. Нам нужно предотвратить отправку трафика по порту 25 всеми внутренними хостами, кроме наших mailserver'ов, через шлюз (чтобы остановить червей, пытающиеся распространяться от локальных подключений). Это будет проходить через внешний (ether1) интерфейс или внутренний (ether2)?

Лучший способ настроить правила для серверов, на мой взгляд, — это использовать отдельные цепочки для каждого сервера. Например, в настройке почтового сервера: добавляйте цепочку для сервера: ip firewall>add name=mail. В цепочке переадресации у вас будет такое правило: ip firewall rule forward>src-address="0.0.0.0/0" dst-address="mail.server.ip" action=jump jump-target="mail". Затем перейдите к цепочке для почты и добавьте эти правила: ip firewall rule mail> out-interface="интерфейс, подключенный к почтовому серверу" connection-state=established action=accept

ip firewall rule mail> dst-port=25 out-interface="интерфейс, подключенный к почтовому серверу" protocol=tcp action=accept

ip firewall rule mail> dst-port=110 out-interface="интерфейс, подключенный к почтовому серверу" protocol=tcp action=accept. Можно добавить любые другие порты, которые вам нужно открыть для этого сервера. Это последнее правило, которое должно быть в цепочке… ip firewall rule mail>out-interface="интерфейс, подключенный к почтовому серверу" protocol=!icmp action=reject. Если вы не хотите принимать ping, можно удалить "protocol=”!icmp" в этом последнем правиле. Уверен, что есть и другие способы сделать это, но этот способ работает для нас и позволяет держать все правила файрвола организованными. То же самое можно сделать и для других серверов, всё работает по тому же принципу. Dan

Только что обнаружил большую проблему. Как мне правильно настроить FTP, или пользователей вынуждают использовать пассивный FTP с включенным файрволом?