Привет
Вот постала перед мной задача написать firewall на FreeBSD
Прописал deny по дефолту. Подскажите пожалуста нужно ли от части повторно прописывать deny - правила например для пакетов у которих прописано что они происходят от нашей сетки когда они пришли извне и.т.д.
На первый взгляд ето дубляж - много правил медленей работа, или ето токо на первый взгляд, я про дубляж.
Зарание благодарен.
Срабатывает первое подошедшее правило. Поэтому если ты разрешаешь своей сетке чего-нибудь особенное (например, обращение к некоторому сервису), то ты обязан до этого убедиться, что это действительно твоя сетка. Самый надежный путь - поставить deny для пакетов с обратным адресом твоей сетки, но пришедших с внешнего интерфейса.
Вообще лучше первыми же правилами убить все заведомо вредные пакеты.
>Срабатывает первое подошедшее правило. Поэтому если ты разрешаешь своей сетке чего-нибудь особенное
>(например, обращение к некоторому сервису), то ты обязан до этого убедиться,
>что это действительно твоя сетка. Самый надежный путь - поставить deny
>для пакетов с обратным адресом твоей сетки, но пришедших с внешнего
>интерфейса.
Это правило для примера я имел ввиду что пакет соответствуючий этому правилу соответствует и правилу по дефолту побиш дубль правил
>Вообще лучше первыми же правилами убить все заведомо вредные пакеты.
А с такой позичыей я согласен.
>Вообще лучше первыми же правилами убить все заведомо вредные пакеты.Здраствуйте, позвольте не согласится, потому как на каждое правило есть его время на обработку... мое мнение - сначала разрешить все что можно(чтобы что надо не тормозилось на обработке), а потом убивать все то что вредное... хотя немогу не согласится, что при критичности к безопасности лутше будет сначала все убить лишнее и плохое, тут похоже выбор будет обусловлен скоростью канала, и требованием безопасности...
ну сами посудите :) в банке же не будете все подряд пускать :) а для фирмы где только и работает что мускль да веб :) не будете на канале 64кбит/с обезопашивать так что скорость в половину погаснет :) думаю нет ...wbr, brahmann
>что надо не тормозилось на обработке), а потом убивать все то
> не будете на канале 64кбит/с обезопашивать так
>что скорость в половину погаснет :) думаю нет ...
Это как же надо извращенно написать правила, чтоб скорость в половину упала?даже при канале в 10M/bit величина задержки будет незаметна по сравнению со скоростью прохождения пакета до "ближайшего" российского сайта.