Ограничение доступа на уровне файервола или сервиса?

Question

[SkazochNik]

Представим себе сервер на современном linux с кучей сетевых интерфейсов. Часть интерфейсов глядит в интернет, другая часть только в локальную сеть (где сидят бородатые админы и наполнители сайтов).
Наша задача сделать apache/ftp и прочее рабочим с интернета, всякие ssh/samba и прочие — с локальной сети.

Вариант 1:
Открываем сервисы на все интерфейсы и разграничиваем доступ через какой-нибудь iptables/ipfw или что там сейчас модно.

Вариант 2:
На какой интерфейс вешать сервис решаем настройками самого сервиса.

Интересует какой вариант безопасней, какой лучше в плане быстродействия и как потом с этим жить?

Answer 1

[sonik_spb]

Странный вопрос =)
В плане быстродействия:
Если вы будете ограничивать фаерволом, то на него пойдёт нагрузка (мизер скорее всего)
Если ограничить настройками софта, то фаерволу работать не придётся.

В плане безопасности:
Фаерволом должно быть зарезано всё, что не разрешено явно. И всё =)

Стоит наверно настроить сервисы по интерфейсам и не забывать про фаервол.

Comments

[SkazochNik]

В духе лучше перебздеть чем недобздеть? А как же не плодить сущностей?
Опять же, если сервис дырявый, то ничто не мешает его заэксплоитить даже с супер умным фаерволом и тремя антивирусами. А исходящие порты выше 1024 открывать все равно придётся.
Вопрос не пятничный, согласен. Но что поделать.

[sonik_spb]

Не вижу в этом ничего зазорного =) Никакие сущности не плодятся.
Настройка фаервола не должна зависеть от сервисов вообще, имхо.

Вы его настраиваете как первую линию (если можно так сказать). И чтобы не случилось у вас с сервисами (настройки не верные и т.п.), фаервол не даст открыть не учтённый порт наружу.

Про уязвимые сервисы это вы к чему? Не мешайте всё в кучу.

Answer 2

[larrabee]

А исходящие порты выше 1024 открывать все равно придётся.

Зачем?

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

И будут открыты только порты для соединений, открытых сервером.
Так-же лучше резать файрволлом все ненужное и критичные сервисы, в которых могут быть ошибки заставлять не слушать публичные интерфейсы.

Answer 3

[Влад Животнев]

А что мешает сочетать-то ) ?