04. august 2004 - 23:12Der er
9 kommentarer og 4 løsninger
Porte krævet for surfing
Jeg er ved at sikre min Win2k3 web server, og lukker derfor af for alle unødvendige porte.
Jeg lukker for portene under properties for TCP/IP protokollen under mit netkort (HW firewall er ikke muligt). Jeg deny'er alle TCP porte pånær 80 samt to specielle service porte. Jeg deny'er alle UDP porte, og alle IP protokoller pånær 6 og 8 (TCP/UDP).
Når jeg gør dette, så har jeg fin nok adgang til mine websites udefra og serviceportene er også åbne som de skal være. Jeg kan dog ikke surfe med f.eks IE på selve webserveren (til brug ved patch updates). Hvis jeg tillader alle UDP porte, så er der ingen problemer. Altså må det være en UDP port der skal åbnes for at jeg kan surfe normalt.
Jeg regner med at hente patches på min workstation og overføre dem via FTP hvorefter jeg installerer den på serveren, det er mere af nysgerrighed jeg gerne vil vide hvilke porte der kræves åbne.
http://www.neohapsis.com/neolabs/neo-ports/neo-ports.html Normalt er det ca. samme udp port dér bruges -og dog... Det er et mareridt at filtere udp porte - nemmest for dig er at åbne alle udp porte og så filtere på tcp-porte, det giver en ok sikkerhed. Endnu bedre ville være at få en router foran din server med firewall.
det er bestemt ikke et marerit at filtrere porte og du skal ikke bare åbne for udp porte, de kan sagtens bruges til grimme ting. Konfigurer du bare dine IP stacke til at blokkere, men det villle være en god ide at få en rigtig firewall foran.
Du har stadig gang i noget helt rigtigt og en mulighed mange overser. Det giver mange gange bedre sikkerhed at udnytte de muligheder for filtrering der ligger i styresystemet end at placere et tredieparts produkt oven på en server
Jeg regner nu heller ikke med at tillade al UDP adgang, efter at have åbnet for port 53 TCP/UDP så funker det også helt fint.
På port listen som dannyboyd henviser til står der (f.eks) at FTP bruger port 21 TCP/UDP, jeg synes ikke jeg har haft problemer med kun at have TCP porten åben førhen?
Endeligt, ud over at filtrere på netkortsniveau, så har jeg også en IPSEC filtrering kørende.
Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.
