Geen firewall op webserver?

[Pr0x1Mus]

Hallo allemaal,

 

Best regelmatig wordt hier de vraag gesteld hoe je met Linux een eigen webserver kan maken die je vanaf je thuisadres draait. Nou, da's hier ook gelukt. <img src="/forums/images/graemlins/xyxthumbs.gif" alt="" />

 

Maar niemand heeft het ooit over een firewall op die server. Waarom niet? Omdat ervan uit gegaan wordt dat dat op de modem/router al is geregeld? Dat snap ik niet.

 

Kan iemand daar iets over roepen. Ben zelf in de weer geweest met iptables. Was niet echt makkelijk voor een "iptables-leek" op dat gebied. Was dat dan overbodig? <img src="/forums/images/graemlins/confused.gif" alt="" />

 

Groeten,

Pr0x1Mus

[Pr0x1Mus]

Helemaal niemand? Is het dan zo'n rare vraag? <img src="/forums/images/graemlins/crazy.gif" alt="" />

[sidecar]

gefeliciteerd met de geboorte van je webserver <img src="/forums/images/graemlins/laugh.gif" alt="" />

ben niet echt een pro met firewalls maar kijk hier eens.

mischien heb je er iets aan.

 

http://www.sat4all.com/forums/showflat.p...rue#Post1255220

[Ome Merde]

als je een firewall aanzet op je webserver en je stelt deze nerveus af, dan zal je niet veel visite krijgen <img src="/forums/images/graemlins/smile.gif" alt="" />

 

de firewall van Fedora is easy te configgen, gebruik je hem alleen als webserver, dan block je alles (WAN) behalve poort 80 of welke poort je webserver dan ook op draait.

 

shorewall werkt ook goed echter is moeilijk te configgen.

 

 

 

merDe

[Gast]

Welk verkeer zou je willen firewallen dan ?

Hopelijk niet http requests naar poort 80. <img src="/forums/images/graemlins/grin.gif" alt="" />

[Pr0x1Mus]

@ Ome Merde

Nee, de firewall staat niet op "standje paranoia". Nogal wiedes, haha, dan is het hier erg rustig.

 

@ Pacman

Nou ja, 't is fijn als http werkt, ftp is eventueel handig. En natuurlijk ssh, voor beheer op afstand. Verder niks.

 

Maar daar ging mijn vraag niet over. Ik bedoelde te vragen of je een firewall op de server moet hebben of is de firewall in mijn router voldoende. Wat is wijsheid?

 

Als je googlet (mmm, fout woord zeg...) op "iptables script" dan kom je de meest exotische scripts tegen....

[Gast]

Als je services gaat draaien moet je gaten prikken in je firewall.

Dus dat staat dan al open.

Als je daar naast geen extra services draait, valt er ook niet veel te firewallen lijkt mij.

Zelf hou ik het dus bij de firewall in de router zelf.

[Pr0x1Mus]

@ Pacman,

 

Waarschijnlijk heb je wel gelijk, maar toch... voor mijn gevoel blijft het dan een "Hobby-Bob server". En ik wil altijd alles zo goed mogelijk doen, dus... vandaar. <img src="/forums/images/graemlins/grin.gif" alt="" />

[Gast]

nou ik lees dat hier maar weinig network security geeks rond lopen...

 

het is helemaal geen gek idee dat Pr0x1Mus een firewall op zijn web server wilt hebben. nog beter zou zijn een proxy server er voor! zeker als een box die als web server aan het internet hangt! wat denk je van intern verkeer? en rond schreeuwen dat er verder toch geen porten open staan lijkt me een beetje voorbarig. hoe weet je dat ken je de config van zijn server?

 

mischien wil ie wel meer doen dan alleen web server zoals ftp en remote beheer via ssh.

 

ook het uitgaand verkeer kan hij meet een firewall op zijn web server in toom houden. wat denk je er van als iemand zijn web server compromised en vanuit daar eens zijn interne netwerk gaat rond neuzen? of deze web server als zombie gaat gebruiken. ik weet zeker dat op al jullie firewall / routerjes any to wan openstaat... dus alles vanaf het interne netwerk mag naar buiten... en dan maar denken oh wat zijn we save.

 

dus Pr0x1Mus helemaal geen gek idee! gewoon kijken welk verkeer je kan tegen houden of beter alles dicht en alleen open wat nodig is.

 

cheers,

bt

[Big fellow]

Ik ben zelf een "beetje" paranoia op dit gebied... Wat ik zelf ALTIJD doe is alleen de services draaien dit ik nodig heb. Dus in principe na de installatie een port scan doen om te kijken wat er open staat, en dan eens alles wat ik niet nodig heb afschieten, en disablelen zodat het niet opnieuw opstart na een reboot....

Dan, afhankelijk van waar de machine precies komt te staan, verhuis ik SSH van port 22 naar een andere port. Dat heeft niets met veiligheid te maken, alleen met loggrootte vermindering <img src="/forums/images/graemlins/wink.gif" alt="" /> .

 

Op een normale machine draait er bij mij alleen;

 

- SSH (op niet standaard poort)

- HTTP

- HTTPS

- DNS

- SMTP

- POPSSL

- IMAPSSL

- Bij voorkeur GEEN FTP, maar als het echt moet, vsFTP

 

En niet meer.... Als er geen proces aan een poort hangt dan kan er ook niet op gehacked worden!

 

Dit draai ik op machines in datacenters zonder firewall er tussen. Tot nu toe (effe afkloppen) geen problemen gehad...

 

Big fellow

[Gast]

gelukkig zijn er meer mensen die er zo over denken, top! zelf beheer ik MMO's (honderden servers) in twee data centers dus dan weet je het wel...

[Pr0x1Mus]

thx 4 the support, bitonw. <img src="/forums/images/graemlins/wink.gif" alt="" />

 

Ik heb inmiddels het volgende geregeld.

 

- Alle services die ik niet gebruik zijn offline.

- HTTP is open (vanzelfsprekend) naar Internet op NIC-1.

- SSH is open (remote beheer, LAN only) op NIC-2.

- Filesharing over Internet kan eventueel via sftp. Maar is default offline.

 

Da's dus allemaal gescheiden. Verder zit alles dicht en/of verdwijnt in het grote niets (/dev/null). De logfiles dump ik automatisch na 48 uur in een aparte folder op een andere machine.

 

Het enige dat ik nog eens moet regelen is dat ik niet eerst de firewall moet disablen om een apt-get actie ui te voeren.

 

Voel me dus redelijk veilig zo..., maar ja, er loopt altijd wel ergens een smartass rond die toch slaagt er door te breken.

 

Groeten,

Pr0x1Mus

[cool]

Heb ik ook een webserver lopen, zonder firewal. Enkel poort voor fttp en ssh staat open op de router, de rest staat dicht.

 

Ftp gaat over SSH met winscp3 en smtp gaat via de mailserver van de internet provider.