Firewall konfiguracja w po

[serv_]

Witam.

Mam zwykły serwer apache2. Chcę do niego dobrać jakiś sensowny firewall. Zacząłem instalować firestartera, ale niestety mam do dyspozycji jedynie konsolę i nie mogę doń znaleźć poradnika.

Ma ktoś może jakiś typ dobrego firewalla, którego da się zainstalować i skonfigurować przez konsolę? Mile widziane poradniki.

Pozdrawiam.

[LordRuthwen]

http://zsk.wsti.pl/publikacje/iptables_przystepnie.htm

[serv_]

Czy kolega nie uważa, że iptables to za mało?
Oczywiście nic nie neguję, chcę się tylko dowiedzieć, czy to wystarczająca ochrona.

I przy okazji, jak ma się standardowa (domyślna) konfiguracja iptables do bezpieczeństwa serwera?

[LordRuthwen]

Domyślna czyli jej brak? Nijak. (Ale mi się rymło)
Jak ktoś będzie chciał to przelezie nawet przez coś nad czym byś siedział choćby i 10 lat, kolego tak na prawdę najlepszy firewall sam sobie stworzysz bo to ty wiesz co ma przepuszczać a czego nie, a do tego celu akurat iptables nadaje się idealnie.
Dodatkowo możesz zainteresować się modułem apache: mod_selinux, zaimplementować ochronę przez DoS i innymi wynalazkami.
Tak na szybko znalazłem jeszcze coś takiego, takiego i takiego, ale nie wiem na ile są aktualne te dwa ostatnie.

[ryba84]

Do iptables możesz dorzucić jeszcze snorta. Będzie monitorował pakiety wchodzące i wychodzące z serwera (ma sporą bazę robaków i innego tego typu paskudztwa). Potrafi również blokować niechciany ruch, który przepuścił firewall.

[grzesiek]

... Potrafi również blokować niechciany ruch, który przepuścił firewall.

Chcesz powiedzieć, że masz Snort w trybie inline?

[ryba84]

Zapomniałem dodać, że ta funkcjonalność jest dostępna po skorzystaniu ze zmodyfikowanej wersji snorta. http://snort-inline.sourceforge.net/

[grzesiek]

Ten projekt jest już trupem, a włączenie trybu inline w snort obecnie jest dosyć eksperymentalnym zajęciem, ponieważ korzysta on z wycofywanych już bibliotek - teraz trwa okres przejściowy.
Jakiś czas temu straciłem 5 dni na ten tryb inline... i nic!
Tak więc na dzień dzisiejszy Snort jest IDS również w paczkach tak go nazywają.
Obecnie jeżeli chodzi o IPS pokładam nadzieję w tym: http://nfws.inl.fr/nfws_userday/Pierre- ... ndings.pdf