Яка різниця між безпекою вікна Linux за допомогою хостів. [Дозволити | заперечувати] проти iptables?


16

Як зазначено в заголовку, у мене є вікно linux. Наскільки я можу сказати, я можу використовувати hosting.allow / hosts.deny або iptables для захисту. Яка різниця? Чи є інший механізм, який можна використовувати?

Відповіді:


22

IPTables працює на рівні ядра. Загалом це означає, що він не має знань про додатки чи процеси. Він може фільтрувати лише на основі того, що отримується з різних заголовків пакетів здебільшого.

Однак host.allow / deny працює на рівні програми / процесу. Ви можете створити правила для різних процесів або демонів, що працюють в системі.

Так, наприклад, IPTables може фільтрувати на порт 22. SSH може бути налаштований на використання цього порту і, як правило, є, але він також може бути налаштований на інший порт. IPTables не знає, на якому порті знаходиться, він знає лише про порт у заголовку TCP. Однак файли hosts.allow можуть бути налаштовані для певних демонів, таких як демон Opensh.

Якщо вам доведеться обрати, я б зазвичай вибрав мінімум IPTables. Я розглядаю господарів. Дозвольте приємний бонус. Навіть думав, що здається, що рівні демон демонструються простішими IPTables заблокує пакет, перш ніж він дійсно навіть заходить дуже далеко. Забезпечивши безпеку, тим раніше ви зможете заблокувати щось, тим краще. Однак я впевнений, що існують ситуації, які змінюють цей вибір.


0

iptables блокує доступ до того, як він потрапить у додаток, тоді як hosts.allow / hosts.deny є частиною PAM і вимагає, щоб програма реалізувала перевірку PAM і правильно обробляла файл. І те, і інше корисне, а обидва на місці ще краще.


Я не вірю, що файли хостів. [Дозволити | заборонити] файли не мають нічого спільного з PAM. Ви думали про tcpwrappers?
ЄЕАА

Вибачте, я збентежив це з націленнями дозволених дозволів всередині PAM для vsftpd тощо.
Джеймс Л,
Використовуючи наш веб-сайт, ви визнаєте, що прочитали та зрозуміли наші Політику щодо файлів cookie та Політику конфіденційності.
Licensed under cc by-sa 3.0 with attribution required.