Gent32m schreef:Verdwijnt de Firewall op de modem/router ? (of slechts in beperkte mate).
Zo ja, wat stellen jullie in, om dit te compenseren
De firewall verdwijnt zeker niet uit de router. Wat wel verdwijnt (voor het IPv6 gedeelte dan) is de NAT en de intrinsieke beveiliging die dat met zich meebrengt. Namelijk: Een host op het internet kan een host in je lan niet contacteren voordat de host op je lan eerst die host op het internet heeft gecontacteerd.
Diezelfde veiligheid kan teruggebracht worden met een echte firewall. Die zal dan controleren of een host op het internet wel recht heeft de lan host te contacteren door na te gaan welke host het initiatief voor de communicatie heeft genomen. Een aantal firewall regels volstaan om de NAT-veiligheid terug te brengen. Die gaan waarschijnlijk standaard in de router (zo eentje voor huis-tuin-en-keuken-gebruik) geprogrammeerd zitten.
Als je dan een service toch toegankelijk wil maken vanop het internet, moet je gewoon de poort openzetten voor het IP adres van de juiste host, maar moet je niet gaan port-forwarden. Je kan dan in dezelfde moeite heel gemakkelijk instellen WELKE internet hosts toegang moet krijgen tot die poort op je LAN host.
Voorbeeld:
Dit is de configuratie van mijn IPv6 firewall. Enkel twee lijnen zijn nodig om de NAT-veiligheid terug te brengen. De andere zijn om bepaalde services op bepaalde hosts toegankelijk te maken vanop het internet. Als iemand een beveiligingslek ziet, laat het dan AUB weten
.
Code: Selecteer alles
krusty:~ # ip6tables -L -v
Chain INPUT (policy DROP 973K packets, 165M bytes)
pkts bytes target prot opt in out source destination
40881 32M ACCEPT tcp any any anywhere anywhere state ESTABLISHED
108K 23M ACCEPT udp any any anywhere anywhere state ESTABLISHED
858K 76M ACCEPT ipv6-icmp any any anywhere anywhere
0 0 ACCEPT tcp any any anywhere 2a02:578:f09:1::1/128 tcp dpt:ssh
0 0 ACCEPT tcp any any anywhere 2a02:578:f09:1::1/128 tcp dpt:http
149 11920 ACCEPT tcp any any anywhere 2a02:578:f09:1::1/128 tcp dpt:https
Chain FORWARD (policy DROP 15790 packets, 966K bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT tcp sixxs any anywhere 2a02:578:f09:1::1/128 tcp dpt:ssh
0 0 ACCEPT tcp sixxs any anywhere 2a02:578:f09:1::1/128 tcp dpt:https
0 0 ACCEPT tcp sixxs any anywhere 2a02:578:f09:1::1/128 tcp dpt:http
6022K 503M ACCEPT all any sixxs anywhere anywhere <= deze lijn laat alle verkeer van LAN naar internet toe
13M 16G ACCEPT all any any anywhere anywhere state ESTABLISHED <= deze lijn laat verkeer van internet naar LAN toe als een LAN host het initiatief heeft genomen.
Chain OUTPUT (policy ACCEPT 1168K packets, 112M bytes)
pkts bytes target prot opt in out source destination
De lijnen in het bij CHAIN FORWARD slaan op de regels voor het gerouterde verkeer (LAN naar WAN of terug). De andere regels slaan op verkeer dat origineert op de router, of voor de router zelf bedoeld is. Bijvoorbeeld voor de managementsinterface, of de kloksynchronisatie. (Ik draai http, https en ssh op mijn router.)
Post made via mobile device ]
