Re: ipfw Beispiele

Thibault Bautze <rws_pd(at)gmx.de> wrote:
> Der Router bietet nur ssh und ftp an, also Ports 21 und 22.
> Das dürfte meiner Meinung nach kein Problem sein.

Doch, gerade FTP ist ein großes Problem. Das FTP-Protokoll
ist ein hervorragendes Beispiel für planloses Design und
gehört schon längst auf den Schrotthaufen der Internet-
Geschichte. Es ist ein Relikt aus einer Zeit, als Angriffe
über das Netzwerk noch keine ernstzunehmende Gefahr dar-
stellten und Firewalls nahezu nicht existent waren.

Wenn Du auf FTP verzichten kannst, tu es. Nimm scp (auch
für Windows gibt es eine Reihe guter scp-Clients: pscp
vom putty-Autor ist ein Kommandozeilen-Tool, das dem UNIX-
scp fast exakt gleicht, und für die Klicki-Bunti-Fraktion
gibt es winscp -- beides Freeware). Oder nimm SFTP, aber
da sieht's mit dem Client-Support wohl noch nicht so be-
rauschend aus (bitte korrigieren, wenn ich mich irre).

Wenn Du Anonymous-FTP aufsetzen willst, kann ich lukemftpd
(aus der Ports-Collection) empfehlen. Am besten in einem
jail laufen lassen, das minimiert die Schäden, wenn mal et-
was passiert.

> Ich wollte ja eigentlich auch garkeine Anleitung für Firewalls haben, nur
> ein paar Beispielkonfigurationen. :)

Um es mal ganz hart zu sagen: Wenn Du keinen Plan von
Firewalls hast, dann solltest Du auch keinen aufsetzen,
denn er schadet dann eher, als daß er nützt.

Ich habe schon öfters Firewalls gesehen, bei denen der
Verantwortliche offenbar die Regeln von irgendwoher ko-
piert hat und dann so modifizert hat, bis er glaubt, daß
alles so funktioniert, wie es funktionieren müßte. Ohne
zu wissen, was er tat. Ein Blick auf die Regeln hat ge-
nügt, um ein halbes Dutzend Löcher zu finden.

Gruß
   Olli

-- 
Oliver Fromme, secnetix GmbH & Co KG, Oettingenstr. 2, 80538 München
Any opinions expressed in this message may be personal to the author
and may not necessarily reflect the opinions of secnetix in any way.
"All that we see or seem is just a dream within a dream" (E. A. Poe)
To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message