Max Kostikov

Max Kostikov

kostikov@zotum.net

IT voodoo

Местоположение:: Lisbon, Portugal

Sat, 16 Jan 2021 19:39:26 +0200 последнее редактирование: Sat, 16 Jan 2021 19:40:13 +0200

Max Kostikov

kostikov@zotum.net

IPFW ожидаемо лучше всех. А на хорошем железе снижение производительности не существенно.
Впрочем, я предпочитаю, по возможности, обходиться без firewall на серверах.

https://twitter.com/ocochardlabbe/status/1347293053111988224

Impact of enabling firewalls (#ipfw, #pf and #ipf on #FreeBSD (13-main, 2020/01/07) on a tiny, medium and big hardware.

#IT

show all 13 comments

Sat, 16 Jan 2021 19:56:19 +0200

Чёрт

4ept@diasp.eu

firewall прямо на сервере это сомнительная затея, сервера же не напрямую подключают, а через какой то роутер, логично firewall на нём настраивать, на все сервера сразу. Возможно, ipfw действительно быстрее, и возможно даже чем то удобнее если писать правила вручную. Но это не переубедит меня использовать pfSense на отдельной железке в качестве firewall.

Sat, 16 Jan 2021 20:07:34 +0200

Max Kostikov

kostikov@zotum.net

@Чёрт

firewall прямо на сервере это сомнительная затея

Однозначно. Не пионерия этого всего не понимает, к сожалению.
Да и, собственно, если не выставлять голой жопой кучу портов на внешний интерфейс то и вовсе ненужная. Разве что у вас роутер и надо трафик как-то оформлять.

pfSense

Ничего хорошего pf во FreeBSD, похоже, не ждёт. Слишком уж разошлись пути развития систем и самого pf в средах FreeBSD и OpenBSD.
Да и, вообще, во FreeBSD он изначально выглядел инородным телом. Собственно, тесты производительности тому хорошая иллюстрация.

Sun, 17 Jan 2021 06:58:59 +0200

Eugene Lisovsky

multed@libertica.space

ну не всегда сервер за контролируемым роутером. пример - железо в аренде или коло в ЦОДе.

Sun, 17 Jan 2021 10:57:22 +0200 последнее редактирование: Sun, 17 Jan 2021 10:58:55 +0200

Max Kostikov

kostikov@zotum.net

@Eugene Lisovsky

ну не всегда сервер за контролируемым роутером. пример - железо в аренде или коло в ЦОДе.

Там они тоже за роутером а-ля Juniper, который, слову, может стоить несколько сотен килодолларов.

Sun, 17 Jan 2021 18:02:51 +0200

Eugene Lisovsky

multed@libertica.space

@Max Kostikov ну это очевидно же. джунипер, циско или какой-нибудь микротик. маршрутизаторы везде и всюду - без них никак. но этот роутер не контролируется вами (клиентом ЦОДа). поэтому правила настроить на нём вы не сможете.
именно поэтому я добавил слово "контролируемый". именно поэтому фаервол может быть полезен на standalone сервере в агрессивной среде.

Sun, 17 Jan 2021 18:20:01 +0200 последнее редактирование: Sun, 17 Jan 2021 18:20:30 +0200

Max Kostikov

kostikov@zotum.net

@Eugene Lisovsky Агрессивная среда это DDOS? Тут firewall на оконечной точке мало поможет.
Попытки подбора паролей? Возможно, но в режиме allow all с блокировкой нарушителей. Но тут есть другие варианты, к примеру, использование TCP wrappers или ratelimits на уровне конкретного сервиса, которые вообще не потребляют процессорные ресурсы.

Mon, 18 Jan 2021 02:13:15 +0200

Eugene Lisovsky

multed@libertica.space

@Max Kostikov

Агрессивная среда это DDOS?

Агрессивная среда это Интернет вообще. DDoS - это только одна из "болячек".

Опять же - это всё не о том.

firewall прямо на сервере это сомнительная затея

Однозначно. Не пионерия этого всего не понимает, к сожалению.

на что я написал, что между интернетом и вашим сервером может не быть контролируемого вами роутера с фаерволом, который вы можете настроить. причём тут (операторские и хостерские) джунипы за многобаксов, которые вы упомянули, - не сильно понятно, если вы не можете добавить своих правил.

В своей практике я стараюсь придерживаться идеи о том, что не стоит запускать ненужных сервисов, которые пришлось бы потом закрывать фаерволом, либо не выставлять их в паблик.

Mon, 18 Jan 2021 10:55:08 +0200

Max Kostikov

kostikov@zotum.net

@Eugene Lisovsky

не сильно понятно, если вы не можете добавить своих правил

Не сильно понятно какие правила firewall и, главное, зачем вам нужно добавлять на сервер. Нормально сконфигурированный сервер не требует дополнительной защиты на уровне сетевого стека.

Mon, 18 Jan 2021 15:14:12 +0200

Eugene Lisovsky

multed@libertica.space

@Max Kostikov наверное вы не до конца прочитали пой предыдущий комментарий.
но про джунип так и не ответили.

ps. а ещё не могу оставлять комментарии со своего сервера - приходится заходить на zotum.net.

Mon, 18 Jan 2021 17:05:09 +0200

Max Kostikov

kostikov@zotum.net

@Eugene Lisovsky

вы не до конца прочитали пой предыдущий комментарий

Прочитал и поэтому именно так и ответил.
Мне не понятны задачи, которые вы собираетесь решать с помощью firewall на сервере (за исключением случая когда этот сервер выполняет роль роутера), которые не были уже бы решены на стороне пограничного роутера провайдера и / или не могли быть решены другими куда как более эффективными методами.

Mon, 18 Jan 2021 17:06:10 +0200

Max Kostikov

kostikov@zotum.net

@Eugene Lisovsky

а ещё не могу оставлять комментарии со своего сервера - приходится заходить на zotum.net

Это не ко мне, у нас всё без изменений по этой части. Попробуйте обновить разрешения в контактах для меня или передобавить.

Tue, 19 Jan 2021 02:37:02 +0200

Eugene Lisovsky

multed@libertica.space

@Max Kostikov

Мне не понятны задачи, которые вы собираетесь решать с помощью firewall на сервере (за исключением случая когда этот сервер выполняет роль роутера), которые не были уже бы решены на стороне пограничного роутера провайдера и / или не могли быть решены другими куда как более эффективными методами.

Самое очевидное - использование fail2ban.

Tue, 19 Jan 2021 09:26:01 +0200

Max Kostikov

kostikov@zotum.net

@Eugene Lisovsky

Самое очевидное - использование fail2ban.

fail2ban умеет, например, TCP wrappers.