По-перше, я хочу повторити те, що вже було сказано: Debian обслуговує досить іншу групу користувачів, ніж багато інших основних версій, зокрема Ubuntu. Debian орієнтований на людей, які знають, як працює система, і які не бояться час від часу заїжджати у відповідь на високий ступінь контролю над системою. Наприклад, Ubuntu обслуговує дуже різну цільову аудиторію: людям, які просто хочуть, щоб справи працювали і не дуже цікаво, що відбувається під капотом, і, звичайно, не хочуть змінювати конфігурацію системи, щоб зробити це робота. Це впливає на ряд аспектів системи, що виникає в результаті. І певною мірою це одна краса Linux; та ж базова система може бути використана для створення середовищ, що задовольняють різні потреби. Пам'ятайте, що Ubuntu є похідною Debian,
gufw навіть немає в пакетах DVD1.
Перший диск містить найпопулярніше програмне забезпечення, що визначається вибором анонімної статистики з встановлених систем. Те, що gufw не на першому диску, просто вказує на те, що це не дуже популярний (з точки зору встановленої бази) пакет Debian. Його також легко встановити, коли у вас є базова система з налагодженням роботи в мережі, якщо ви віддаєте перевагу їй замість альтернативи.
Очікується, що люди підключаться до Інтернету, перш ніж отримати брандмауер? Чому?
Ну, з одного боку, я вважаю, що Debian дозволяє встановлювати через мережу. (Не тільки завантажувати пакети з мережі під час звичайної установки, але й буквально запускати установку з іншого хоста, ніж той, на якому встановлено .) Брандмауер, налаштований за замовчуванням із встановленим обмежувальним правилом, ризикує перешкодити цьому. Те саме з установками, які потребують вихідного доступу до мережі під час процесу інсталяції для інших цілей, ніж просто завантаження останніх версій встановлених пакетів.
Для іншого є те, про що я згадував вище; як правило, Debian очікує, що ви знаєте, що робите. Якщо ви хочете брандмауер, ви, мабуть, зможете налаштувати його самостійно, і очікується, що ви краще, ніж технічні працівники Debian, знаєте, які саме ваші потреби. У цьому відношенні Debian трохи схожий на OpenBSD, не настільки екстремальний. (Якщо надано вибір між тим, щоб зробити базову систему трохи більш захищеною і зробити її трохи більш зручною, користувачі, які підтримують OpenBSD, практично завжди намагаються забезпечити безпеку. Це показує статистику вразливості безпеки базової системи, але має величезний вплив на зручність використання.)
І звичайно, формальність: Підтримка брандмауера буде включена в базову систему. Просто він встановлений на вседозволене правило, встановлене за замовчуванням ядром, і базова установка Debian не робить нічого, щоб змінити це. Ви можете виконати пару команд, щоб обмежити потік трафіку.
Навіть якщо всі порти за замовчуванням закриті, різні встановлені, оновлені чи завантажені програми можуть відкрити їх (чи ні?), І я хочу, щоб жоден біт не залишав свою машину без мого дозволу.
По-перше, брандмауери зазвичай використовуються для обмеження вхідного трафіку. Якщо ви хочете обмежити вихіднітрафік, це досить інший чайник з рибою; Безумовно, можливо, але потрібно набагато більше адаптувати до вашої конкретної ситуації. Брандмауер вихідного трафіку за замовчуванням, який залишає відкритими часто використовувані порти (де часто використовувані порти можуть бути ftp / 20 + 21, ssh / 22, smtp / 25, http / 80, https / 443, pop3 / 110, imap / 143 і пакет інших), а також дозволити трафік, пов’язаний із встановленими сеансами, не буде набагато безпечнішим, ніж брандмауер, що дозволяє дозволити за замовчуванням. Краще переконатися, що набір пакунків, встановлених базовою системою, обмежений набором добре зрозумілих, налаштованих захищених як доставлених пакетів, і дозволити адміністратору встановити відповідні правила брандмауера, якщо їм потрібен більший захист, ніж цей.
По-друге, закритий порт (той, який відповідає на TCP SYN з TCP RST / ACK, як правило, повідомляється як "відмовлено в з’єднанні" - зазвичай це стан за замовчуванням порту TCP в реальній системі, що підтримує TCP / IP за відсутності конфігурації, навпаки, або програмного забезпечення, яке слухає на ній) не є значною вразливістю, навіть у системі, не підключеній через окремий брандмауер. Єдиною значною вразливістю у повністю закритій конфігурації було б, якщо є вразливість в рамках реалізації TCP / IP стека ядра. Але пакети вже проходять через код netfilter (iptables) в ядрі, і помилка також може там ховатися. Логіка реагування на те, що призводить до того, що "зв’язок відмовився" з іншого боку, досить простий, що мені важко вірити, що це буде головним джерелом помилок, не кажучи вже про помилки, пов'язані з безпекою;
По-третє, пакунки, як правило, встановлюються як root, звідки ви (пакет) можете змінити правила iptables без вашого відома. Тож це не так, як ви отримуєте щось подібне до того, щоб вимагати від адміністратора людини вручну дозволяти трафік через хост-брандмауер. Якщо ви хочете такого типу ізоляції, вам слід мати брандмауер окремо від хоста, який він захищає.
Тож я щойно дізнався про iptables, але, мабуть, питання все ще залишається таким же iptables, як брандмауер здається більшістю невідомим, його правила за замовчуванням та доступність та простота використання.
Я б фактично сказав, що все навпаки ; iptables як брандмауер добре відомий . Він також доступний практично в будь-якій системі Linux, до якої ви, швидше за все, натрапите. (Він замінив ipchains під час розробки, що призвело до ядра Linux версії 2.4, приблизно 2000 року або близько того. Якщо я пригадую речі правильно, найбільшою помітною для користувача зміною для обох випадків брандмауера є те, що вбудоване правило ланцюжки тепер були названі великими літерами, як INPUT, замість малі, як input.)
Якщо що-небудь, iptables можуть робити інші речі, крім брандмауера, які широко не використовуються та не розуміються. Наприклад, з його допомогою можна переписати IP-пакети до того, як вони будуть пропущені через брандмауер.
iptablesпопередньо встановленими! Я думаю, люди просто намагаються перенести принцип "в кінець" до рівня 7 крайнього ...