So wählen Sie eine effektive Firewall-Richtlinie zum Schutz Ihrer Server

Eine Standardrichtlinie von "accept" (Akzeptieren) bedeutet, dass nicht übereinstimmender Datenverkehr auf den Server gelangen darf. Dies wird im Allgemeinen nicht empfohlen, da dies bedeutet, dass Sie effektiv eine schwarze Liste führen. Schwarze Listen sind schwierig zu verwalten, da Sie den unerwünschten Datenverkehr voneveryexplizit antizipieren und blockieren müssen. Dies kann zu Wartungsproblemen führen und ist im Allgemeinen anfällig für Fehler, Fehlkonfigurationen und unerwartete Lücken in der festgelegten Richtlinie.

Die Alternative ist eine Standardrichtlinie für das Löschen. Dies bedeutet, dass kein Datenverkehr zugelassen wird, der nicht mit einer expliziten Regel übereinstimmt. Dies entspricht einer White-List-ACL. Jeder einzelne Dienst muss explizit zugelassen werden, was auf den ersten Blick als erheblicher Forschungs- und Arbeitsaufwand erscheinen kann. Dies bedeutet jedoch, dass Ihre Richtlinie zur Sicherheit tendiert und Sie genau wissen, welche Daten auf Ihrem Server empfangen dürfen.

Grundsätzlich hängt die Wahl von einer Tendenz zur Standard-Sicherheit oder zu sofort erreichbaren Diensten ab. Es ist zwar verlockend, eine Firewall zu implementieren, die auf die Verfügbarkeit von Diensten abzielt, es ist jedoch fast immer besser, den Datenverkehr zu blockieren, sofern dies nicht ausdrücklich gestattet ist.

Die obige Auswahl einer Standard-Drop-Richtlinie führt zu einer weiteren subtilen Entscheidung. Mitiptables und anderen ähnlichen Firewalls kann die Standardrichtlinie mithilfe der integrierten Richtlinienfunktionalität der Firewall festgelegt oder durch Hinzufügen einer Catch-All-Drop-Regel am Ende der Regelliste implementiert werden.

Der Unterschied zwischen diesen beiden Methoden besteht darin, was passiert, wenn die Firewall-Regeln gelöscht werden.

Wenn die integrierte Richtlinienfunktion Ihrer Firewall auf "Löschen" gesetzt ist und Ihre Firewall-Regeln jemals gelöscht (zurückgesetzt) ​​werden oder wenn bestimmte übereinstimmende Regeln entfernt werden, ist der Remote-Zugriff auf Ihre Dienste sofort nicht mehr möglich. Dies ist häufig eine gute Idee, wenn Richtlinien für nicht kritische Dienste festgelegt werden, damit Ihr Server keinem böswilligen Datenverkehr ausgesetzt ist, wenn die Regeln entfernt werden.

Der Nachteil dieses Ansatzes ist, dass Ihre Dienste für Ihre Kunden erst dann verfügbar sind, wenn Sie die zulässigen Regeln wiederhergestellt haben. Sie könnten sich sogar möglicherweise aus dem Server ausschließen, wenn Sie keinen lokalen oder bandexternen Zugriff haben, um das Problem zu umgehen. (Auf DigitalOcean-Server kann unabhängig von den Netzwerkeinstellungen über die Schaltfläche "Konsolenzugriff" im Bereich "Zugriff" zugegriffen werden.) Teil der Seite Ihres Droplets in der Systemsteuerung). Wenn das Löschen der Firewall beabsichtigt ist, können Sie dies vermeiden, indem Sie die Standardrichtlinie kurz vor dem Zurücksetzen der Regeln auf "Akzeptieren" setzen.

Die Alternative zum Festlegen einer Drop-Richtlinie mithilfe der integrierten Richtlinienfunktionalität besteht darin, die Standardrichtlinie Ihrer Firewall auf "Akzeptieren" festzulegen und anschließend eine Drop-Richtlinie mit regulären Regeln zu implementieren. Sie können am Ende Ihrer Kette eine normale Firewall-Regel hinzufügen, die allen verbleibenden nicht übereinstimmenden Datenverkehr berücksichtigt und ablehnt.

In diesem Fall sind Ihre Dienste zugänglich, aber ungeschützt, wenn Ihre Firewall-Regeln gelöscht werden. Abhängig von Ihren Optionen für den lokalen oder alternativen Zugriff kann dies ein notwendiges Problem sein, um sicherzustellen, dass Sie Ihren Server erneut betreten können, wenn die Regeln gelöscht werden. Wenn Sie sich für diese Option entscheiden, müssen Sie sicherstellen, dass die Sammelregel immer dielast-Regel in Ihrem Regelsatz bleibt.

Die folgende Tabelle zeigt, wie ein durch eine Firewall geschützter Server auf unterschiedliche Anforderungen reagiert, je nachdem, welche Richtlinie auf den Zielport angewendet wird.

Die erste Spalte gibt den vom Client gesendeten Pakettyp an. In der zweiten Spalte haben wir dienmap-Befehle aufgeführt, mit denen jedes Szenario getestet werden kann. Die dritte Spalte gibt die auf den Port angewendete Portrichtlinie an. Die vierte Spalte gibt die Antwort an, die der Server zurücksendet, und die fünfte Spalte gibt an, was der Client anhand der erhaltenen Antwort über den Port ableiten kann.

Einige ICMP-Typen sind veraltet, daher sollten sie möglicherweise unbedingt blockiert werden. Unter diesen befinden sich ICMP-Quellenlöschung (Typ 4-Code 0) und alternativer Host (Typ 6). Die Typen 1, 2, 7 und Typ 15 und höher sind veraltet, für die zukünftige Verwendung reserviert oder experimentell.

Einige ICMP-Typen sind in bestimmten Netzwerkkonfigurationen nützlich, sollten jedoch in anderen blockiert werden.

Zum Beispiel können ICMP-Umleitungsnachrichten (Typ 5) nützlich sein, um ein schlechtes Netzwerkdesign aufzudecken. Eine ICMP-Umleitung wird gesendet, wenn dem Client direkt eine bessere Route zur Verfügung steht. Wenn ein Router also ein Paket empfängt, das an einen anderen Host im selben Netzwerk weitergeleitet werden muss, sendet er eine ICMP-Umleitungsnachricht, um den Client anzuweisen, die Pakete in Zukunft über den anderen Host zu senden.

Dies ist hilfreich, wenn Sie Ihrem lokalen Netzwerk vertrauen und bei der Erstkonfiguration Ineffizienzen in Ihren Routingtabellen feststellen möchten (das Korrigieren Ihrer Routen ist eine bessere langfristige Lösung). In einem nicht vertrauenswürdigen Netzwerk kann ein böswilliger Benutzer jedoch möglicherweise ICMP-Umleitungen senden, um die Routingtabellen auf den Hosts zu manipulieren.

Andere ICMP-Typen, die in einigen Netzwerken nützlich und in anderen möglicherweise schädlich sind, sind ICMP-Router-Advertisement-Pakete (Typ 9) und Router-Solicitation-Pakete (Typ 10). Router Advertisement- und Solicitation-Pakete werden als Teil von IRDP (ICMP Internet Router Discovery Protocol) verwendet, einem System, mit dem Hosts beim Booten oder Beitreten zu einem Netzwerk verfügbare Router dynamisch erkennen können.

In den meisten Fällen ist es für einen Host besser, statische Routen für die von ihm verwendeten Gateways zu konfigurieren. Diese Pakete sollten in den gleichen Situationen wie die ICMP-Umleitungspakete akzeptiert werden. Da der Host die bevorzugte Route für den Datenverkehr über erkannte Routen nicht kennt, werden Umleitungsnachrichten häufig direkt nach der Erkennung benötigt. Wenn Sie keinen Dienst ausführen, der Router-Werbepakete sendet oder Ihre Routen basierend auf Werbepaketen (wierdisc) ändert, können Sie diese Pakete sicher blockieren.

Die normalerweise zulässigen ICMP-Typen sind unten aufgeführt. Sie können sie jedoch deaktivieren, wenn Sie besonders vorsichtig sein möchten.

Die folgenden Typen können normalerweise ohne explizite Regeln zugelassen werden, indem Sie Ihre Firewall so konfigurieren, dass Antworten auf von ihr gestellte Anforderungen möglich sind (indem Sie das Modulconntrackverwenden, um den Datenverkehr vonESTABLISHED undRELATEDzuzulassen).

Das Blockieren des gesamten eingehenden ICMP-Datenverkehrs wird von einigen Sicherheitsexperten weiterhin empfohlen. Viele Personen empfehlen jedoch jetzt intelligente ICMP-Akzeptanzrichtlinien. Die Linkshere undhere enthalten weitere Informationen.

Die Verbindungsbeschränkung kann mithilfe von Erweiterungen wieconnlimit implementiert werden, um zu überprüfen, wie viele aktive Verbindungen ein Client geöffnet hat. Dies kann verwendet werden, um die Anzahl der Verbindungen zu beschränken, die gleichzeitig zulässig sind. Wenn Sie sich für eine Beschränkung der Verbindung entscheiden, müssen Sie einige Entscheidungen in Bezug auf deren Anwendung treffen. Die allgemeine Aufschlüsselung der Entscheidungen ist:

Verbindungen können Host für Host begrenzt werden, oder es kann ein Limit für ein Netzwerksegment festgelegt werden, indem ein Netzwerkpräfix angegeben wird. Sie können auch eine globale maximale Anzahl von Verbindungen für einen Dienst oder den gesamten Computer festlegen. Beachten Sie, dass es möglich ist, diese zu mischen und abzugleichen, um komplexere Richtlinien zur Steuerung Ihrer Verbindungsnummern zu erstellen.

Mithilfe der Ratenbeschränkung können Sie Regeln erstellen, die die Rate oder Häufigkeit regeln, mit der der Datenverkehr von Ihrem Server akzeptiert wird. Es gibt eine Reihe verschiedener Erweiterungen, die zur Ratenbegrenzung verwendet werden können, einschließlichlimit,hashlimit undrecent. Die Wahl der von Ihnen verwendeten Erweiterung hängt weitgehend von denwayab, mit denen Sie den Datenverkehr begrenzen möchten.

Die Erweiterung vonlimitbewirkt, dass die betreffende Regel übereinstimmt, bis das Limit erreicht ist. Danach werden weitere Pakete verworfen. Wenn Sie ein Limit wie „5 / Sek.“ Festlegen und die Regel 5 Pakete pro Sekunde zulässt, stimmt die Regel nicht mehr überein. Dies ist gut, um ein globales Ratenlimit für einen Dienst festzulegen.

Die Erweiterunghashlimit ist flexibler, sodass Sie einige der Werte angeben können, dieiptables hasht, um eine Übereinstimmung auszuwerten. Zum Beispiel kann es die Quelladresse, den Quellport, die Zieladresse, den Zielport oder eine beliebige Kombination dieser vier Werte betrachten, um jeden Eintrag zu hashen. Es kann durch empfangene Pakete oder Bytes begrenzt werden. Grundsätzlich bietet dies eine flexible Begrenzung der Rate pro Client oder pro Service.

Die Erweiterungrecentfügt einer Liste dynamisch Client-IP-Adressen hinzu oder vergleicht sie mit einer vorhandenen Liste, wenn die Regel übereinstimmt. Auf diese Weise können Sie Ihre Begrenzungslogik auf verschiedene Regeln für komplexe Muster verteilen. Es kann wie die anderen Limiter eine Trefferanzahl und einen Zeitbereich angeben, aber auch den Zeitbereich zurücksetzen, wenn zusätzlicher Datenverkehr festgestellt wird, wodurch ein Client gezwungen wird, den gesamten Datenverkehr zu stoppen, wenn dieser begrenzt ist.

Die Auswahl der zu verwendenden Erweiterung mit Ratenbeschränkung hängt von den genauen Richtlinien ab, die Sie durchsetzen möchten.