Liberação de portas

hunter2800aa
(usa Debian)

Enviado em 18/10/2024 - 15:09h

Boa tarde galera...

Vejo muito firewalls iptables configurados com uma das regras de inicio como :

iptables -t filter -P INPUT ACCEPT
iptables -t filter -P OUTPUT ACCEPT
iptables -t filter -P FORWARD DROP

Isso não deixaria um servidor de iptables/squid mais vulnerável?
Ou eh muito importante ter essas regras para navegações entre outras liberações?

eduardo
(usa Linux Mint)

Enviado em 18/10/2024 - 15:31h

Sim, o ideal seria ter política padrão do INPUT como DROP também e liberar apenas o necessário.
No caso, um servidor proxy squid, você precisaria liberar no INPUT apenas a porta do proxy (3128/TCP) e SSH (caso necessário).
Se o servidor for a borda, você precisará liberar outros serviços no FORWARD (DNS, e-mails etc.), pois eles não passam pelo proxy. Se for apenas um servidor proxy interno, FORWARD nem será necessário.

hunter2800aa
(usa Debian)

Enviado em 18/10/2024 - 15:47h

Muito obrigado por responder Eduardo!!!

Teria como eu saber as portas q estão sendo usadas no momento?

Tipo....deixaria um log pra ver as portas do INPUT durante um dia e depois abriria apenas elas!!! É possivel fazer algo assim?

eduardo
(usa Linux Mint)

Enviado em 18/10/2024 - 15:58h

Você pode monitorar utilizando o tcpdump, mas não é bem assim que você liberar o INPUT. A chain INPUT refere-se aos pacotes direcionados ao seu servidor. Sendo assim, você deve liberar apenas as portas que ele "escuta". Ou seja, se o seu squid está rodando na porta 3128, você vai liberar ela. Se você quer acessar via ssh esse servidor, você vai liberar a porta 22 (ou porta do ssh)Se você tem um serviço http rodando, vai liberar as portas dele.
Em outras palavras, se você só tem o proxy squid, só essas regras de INPUT são necessárias:
iptables -P INPUT DROP
iptables -j ACCEPT -m state --state RELATED,ESTABLISHED -m comment --comment "Libera conexoes relatadas e estabelecidas"
iptables -j ACCEPT -p tcp --dport 3128 --syn -m comment --comment "Proxy Squid"
iptbales -j ACCEPT -p tcp --dport 3129 --syn -m comment --comment "Proxy Squid - proxy transparente"

hunter2800aa
(usa Debian)

Enviado em 18/10/2024 - 16:02h

Blz...vou testar!!!


Muito obrigado!!!