Почему gufw не работает?

Question

[account-6]

Я выставил запрет Both на входящие и исходящие для Telnet и Telnet TLS/SSL, но команда telnet toster.ru 80 по прежнему работает:

telnet toster.ru 80
Trying 178.248.232.5...
Connected to toster.ru.

Answer 1

[Руслан Федосеев]

вы запретили не команду telnet, а соединение на 23 порт и с 23 порта.
а ваша команда соединяется на 80 порт, и ессно не попадает под фаервол.

23 порт - это телнет, телнет ссл - надо посмотреть, какой там порт используется...

Comments

[account-6]

Так ведь соединение происходит `с 23 порта`, который я и запретил. Соединения вообще не должно происходить, если я запретил его, нет?

[account-6]

Вот пожалуйста, только что запретил HTTP, теперь соединения не происходит (80 порт). Получается что с 80 портом можно соединится только с 80 порта? Сорри за глупый вопрос. Получается Телнет использует 80 порт у меня на ПК, соединяясь с 80 портом toster.ru?

[Руслан Федосеев]

кто вам сказал, что соединение происходит с 23 порта?????
Ваша команда как звучит?
telnet toster.ru 80
соединиться с 80 портом сервера toster.ru

Исходящий порт выбирается случайным образом, из старшего диапазона.

Рекомендую набрать и запустить эту команду, а потом во втором окне набрать netstat -an (не уверен в ключах, привык к линуксу). И увидите, с какого порта идет соединение.

Вы вообще что сделать то хотите?

[account-6]

Руслан Федосеев: netstat -an дает прям большой список, но айпи Тостера там не вижу.

Хочу чтобы никто ко мне не смог зайти по телнету (и другим протоколам). От кулхацкеров, вообщем.

[account-6]

А вообще увидел, там действительно безумный диапазон, типо 192.168.0.101:53835. Интересно. Спасибо.

Посоветуйте что почитать на эту тему?

[Руслан Федосеев]

так вы еще и за роутером?
выключите паранойю и идите спать.

чтобы зайти на винду телнетом - на винде должен работать телнет сервер. Его нет в системе.
Включите брандмауэр - никто не зайдет....

[Руслан Федосеев]

Читайте Олифера

[account-6]

Руслан Федосеев: у меня не винда, убунта.

[account-6]

Короче, достаточно в gufw поотключать ненужные протоколы и этого хватит?

[Руслан Федосеев]

да, достаточно.
Вообще достаточно разрешить related входящие, и запретить все остальное.
Но если вы находитесь за роутером - это лишено смысла....

[account-6]

Руслан Федосеев: кхм, не совсем понятно, а какую дополнительную защиту мне может дать вай-фай роутер за 10 долларов?

[Руслан Федосеев]

да хоть за 1 доллар.
За роутером вы находитесь в приватной сети. Сеть 192.168 в интернет не маршрутизируется, добраться до вашей убунты невозможно из интернета. Убунта в интернет попадает через NAT на роутере, а он односторонний, если вы не пробрасывали порты на роутере.

[account-6]

Руслан Федосеев: ого, спасибо за ликбез. Получается, если я подключусь по ethernet, то это опасней в данном плане? А если случай когда мобильный wi-fi роутер (т.е. CDMA или 3G)?

[Руслан Федосеев]

если вы по езернету к роутеру подключитесь - ничего не изменится.
До тех пор, пока на вашей убунте адрес из серого диапазона (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) - до нее из инета не добраться....