מערכת לינוקס לתפקוד כ- Firewall

[OmerS]

שלום,

יש לי ברשת כמה מחשבים עם Windows, מודם ADSL פרוץ שמשתף את האינטרנט

ומחשב פנטיום 133 ישן שאני רוצה שיתפקד כ- Firewall ז"א:

ה- Gateway של כל המחשבים יהיה ה- Firewall

ה- Gateway של ה- Firewall יהיה המודם של ה- ADSL

ככה אני יכול לשלוט על החיבור לאינטרנט, לקבל לוגים וכדומה.

יש לי 2 שאלות:

א. איך אני יכול לנתב את הנתחברויות מהמודם הפרוץ למחשב מסוימם כדי שאני יוכל לשים עליו שרתים וכו'.

ב. אני יודע על לינוקס שנקרא Mandrake Single Network Firewall שזו גרסה מיוחדת של לינוקס שמותאמת

לתיפקוד כ- Firewall וכוללת גם מערכת שליטה דרך ה- WEB

האם אתם מכירים גרסה דומה לזו שאני יכול להתקין?

בתודה מראש,

עומר.

[MishaK]

היי,

לצערי לא אוכל לעזור לך ממש, אך יש לי אולי משהו שיעזור לך אח"כ הרבה...

אני מכיר מישהו שבונה עכשיו משהו דומה לרעיון שלך אבל הרבה יותר חזק מסתם פייר וול רגיל, הוא ממש בונה מכונה שמאוד קשה יהיה לפרוץ... אם אתה מעוניין ביותר מידי אני די בטוח שהוא יוכל להגיב פה

[tb0001]

הממ, כמה רעיונות:

תחזיר את המודם שלך למצב HOME ותחבר אותו לפנטיום 133 (הפיירוול), זה יתן לך הרבה הרבה יותר גמישות בחוקי הפיירוול ובלוגים (אם אתה חוסם פורטים דרך המודם, אתה לא תראה בלוגים שמישהו מנסה להתחבר אליהם)

בפיירוול תחסום את כל ה INPUT PORTS ותפתח רק את אלה שאתה צריך, יש תוכנה נחמדה שאתה מריץ והיא שואלת אותך אם אתה רוצה לפתוח פורט כאשר כאשר הוא נזקק... יום אחד אתה מריץ את התוכנה הזאת והפיירוול שלך מקונפג. (כמובן, לא יותר מידי ממומלץ להשתמש בכל מיני סקריפטים כאלה שעושים את העובדה אלא אם כן אתה יודע איך זה עובד, ממולץ לקרוא את ה IPTABLES HOWTO )

מומלץ לקרוא קצת על מערכת הלוגים (אם חדש ללינוקס) וכמובן להתקין מערכת שמנטרת את הלוגים ומרתיעה על בעיות פוטנציאליות.

כמו כן, אם יש לך מסך מיותר, כדאי לחבר אותו לפיירוול הזה וכל הזמן לראות את מה קורה בזמן אמת.

את הפיירוול אתה מחבר לסוויץ' ולשם אתה מחבר את כל שאר המחשבים שלך.

על כל המחשבים חובה להתקין פייירוול (לדוגמה: ZoneAlarm) וכמובן תוכנת אנטי וירוס.

* חשוב באופן קבוע לקרוא על בעיות אבטחה ולעדכן את החבילות שלך בהתאם (תרשם לMailling List)

* אם יש לך מחשב לינוקס ברשת הפנימית, אתה יכול לעשות דברים נחמדים, כמו למשל: Remote Logging

* כלל מאד חשוב: (בקשר ללינוקס), אם אתה לא משתמש במשהו, תכבה אותו. (ה SNF הזה בא עם כל מיני תוכנות מופעלות בברירת מחדל, כמו למשל שרת פרוקסי אם אני לא טועה. אם אתה לא צריך את זה, תבטל. (תקרא מדריכי הבטחה של לינוקס (באתר של ההפצה) בישביל עוד פרטים לגביי זה)

יש עוד הרבה דברים להגיד על כך, תתחיל לחקור.

[MosheDo]

למה לעשות חיים קשים כשמישהו כבר עבד קשה בשבילך?

שני Firewalls מאוד מאוד מודולרים ונהדרים:

1. Smoothwall - "חומת אש" מבית smooth ניתן למצוא אותו בקישור: http://www.smoothwall.org

2. IPCOP - שהוא מין פיתוח של Smoothwall טיפה יותר ישן: http://www.ipcop.org

בהצלחה.

[CoronaLover]

:

אל תתחיל להשוות אפילו בין מה שאדי רשם לבין הפירוול הזה...זה שתי רמות שונות לגמריי.

[tb0001]

אם כבר סקריפטים של פיירוול, אז: http://www.linuxguruz.org/iptables/

[SoapSeller]

תשאיר את המודם כ PRO

תקבע את ה defserver שלו ללינוקס,

ותריץ כול סקריפט פיירוול.

הביצועים הכי טובים והאבטחה הכי טובה.

[maCr0T]

לא! זה טעות! הפיירוואל באלקטל ממש איום ונורא. גמיש כמו חצץ, טוב כמו חצץ, שמושי כמו... אהמ... חצץ. (אגב, מעכשיו לא משתמשים בביטוי אלקטל פרוץ, כי זה לא חוקי. תודה.) תחזיר את האלקטל למצבו המקורי, תתקין אותו בלינוקס, תעשה NAT, ואז עם IPCHAINS או IPTABLES תגן עליו.

כל מה שהמליצו כאן מלבד מה שהזכרתי לפני שניה הם פיירוואלים פשוטים, אבל גרועים וממש חלשים, אם אתה לא ניובי מוחלט, עזוב אותם.

מישה משיה מישה... אין דבר כזה בלתי פריץ, רד מהעץ מישה...

[MishaK]

אני לא אמרתי בלתי פריץ, אני אמרתי קשה לפריצה, יחי ההבדל הקטן.

[maCr0T]

אבל למה להמציא מחדש את הגלגל? הנוכחי טוב יותר... קנפוג טוב של IPCHAINES יעבוד יותר טוב מכל קוד C++

[SoapSeller]

לא! זה טעות! הפיירוואל באלקטל ממש איום ונורא. גמיש כמו חצץ, טוב כמו חצץ, שמושי כמו... אהמ... חצץ. (אגב, מעכשיו לא משתמשים בביטוי אלקטל פרוץ, כי זה לא חוקי. תודה.) תחזיר את האלקטל למצבו המקורי, תתקין אותו בלינוקס, תעשה NAT, ואז עם IPCHAINS או IPTABLES תגן עליו.

כל מה שהמליצו כאן מלבד מה שהזכרתי לפני שניה הם פיירוואלים פשוטים, אבל גרועים וממש חלשים, אם אתה לא ניובי מוחלט, עזוב אותם.

מישה משיה מישה... אין דבר כזה בלתי פריץ, רד מהעץ מישה...

כנראה לא קראת את הרעיון שלי,

להשאיר את האלקטל כPRO ולהשתמש ב iptables/ipchain כדי להגן.

מניסיוני pptp בלינוקס זה כאב ראש לא קטן, והביצועים לא משהו(לפחות על מערכות חלשות, כמו שלי ולו יש).

עדיף להפיל את העבודה הזאת על המודם.

עוד משהו,

אני בכלל לא בטוח שה"פריצה" של המודם היא לא חוקית, מכיוון שלא פורצים, מפעילים אופציות מכובות :. אבל זה כבר נושא לת'רד אחר.

[MosheDo]

סתם הערה בונה.

שני הפיירוולים שהזכרתי הם למרבה הפלא (ואני בטוח שידעתם את זה). מבוססים על לינוקס...דה?

אז מה בעייה להתקין אותם לסדר את ה-IPTABLES שלהם איך שאתה רוצה וגם במקביל יש לך משק וובי נחמד לסטטיסטיקה ולאופציות נוספות.

לא כל אחד הוא מופרע שאוהב רק לעבוד דרך שורות פקודה ו-Shells. :

אין ספק שהעוצמה טמונה ב-Shell אבל ממש אין צורך להעליב ולקרוא למה שהזכרתי כאן פיירוול פשוט, גרוע, חלש ולניובי.

ועצם העובדה שביקשתי ממספר אנשים שינסו לבצע port scanning על ה-ip שלי ואף אחד לא מצא חור אבטחה מוכיח את עצמו עד עכשיו.

אם לא הייתי בן אדם שלא נעלב, אולי הייתי יכול עוד להיפגע מזה... ;D

ובקשר לנושא ה-PPTP במערכות חלשות. אצלי IPCOP רץ על פנטיום 100 ומשרת 4 משתמשים שלא מרגישים בכך.

איפה מתבטאת המערכת החלשה שלי פה?

[SoapSeller]

ובקשר לנושא ה-PPTP במערכות חלשות. אצלי IPCOP רץ על פנטיום 100 ומשרת 4 משתמשים שלא מרגישים בכך.

איפה מתבטאת המערכת החלשה שלי פה?

גם אני עבדתי ככה(166MMX 32MB RAM) ואחרי שעברתי לחיבור דרך המודם הרגשתי עליה ברורה בביצועים.

חוצמזה, הpptp לא החזיק יותר מארבעה ימים מחובר...