Liebe Firewall-Freunde...

[daemotron]

mich amüsiert es immer wieder, wie hier über den Sinn eines (iptables)-Paketdroppers philosophiert wird. Wer's immer noch nicht glaubt, dass es nicht nur nutzlos, sondern auch gefährlich sein kann, möge doch mal einen Blick in's aktuelle Kernel-Changelog werfen...

Mit freundlichem Grins
Jesco
- der sich immer noch weigert, eine Feuerwand auf seinem Rootserver zu haben

[captaincrunch]

Auch wenn ich dir grundsätzlich zustimme würde ich behaupten, dass die allerwenigsten hier in diesem speziellen Fall überhaupt betroffen wären:

When creating a new connection by sending an unknown chunk type, we
don't transition to a valid state, causing a NULL pointer dereference in
sctp_packet when accessing sctp_timeouts[SCTP_CONNTRACK_NONE].

;)

[r. u. serious]

Wer's immer noch nicht glaubt, dass es nicht nur nutzlos, sondern auch gefährlich sein kann

Nutzlos. Ein Dreamcatcher über dem Server aufzuhängen ist nutzlos. Anti-Elektrosmok-Kristalle sind nutzlos.

Ein Paketfilter (auf dem System installiert das es schützen soll) hat lediglich eine schlechte Kosten-/Nutzenrelation.
[/pedantisch]

[Matthias Diehl]

Eine Firewall ist genauso nutzlos wie ein Schloß für das Diskettenlaufwerk bei einem Server im Rechenzentrum. Ich kann mir mindestens genauso viele Fälle konstruieren in der mir das hilft wie eine Firewall.
Was hilft denn eine Firewall gegen Rechnerübernahmen durch Schwachstellen in FTP-Programmen oder Lücken in phpBB oder Joomla? Genau so viel wie der Dreamweaver oder der Elekrosmogkristall ;)
Ich finde es gefährlich zu behaupten eine Firewall würde die Sicherheit eines Rootservers erhöhen. Bestes Beispiel dafür sind doch immer wieder die Meldungen über Exploits in z.B. Joomla und dann Sätze wie: "Aber ein Experte hat mir doch die Suse Firewall perfekt eingestellt".
Und dann sollte man mal schauen durch welche Bugs die Server angegriffen werden und in wie vielen Fällen eine Firewall geholfen hätte. Das ist sehr ernüchternd.

[codc]

iptables kann durchaus nützlich sein auch auf einem DS. fail2ban bedient sich dessen und hält ziemlich zuverlässig die Logs sauber.

Ansonsten sehe ich aber auch kein Bedürfniss für eine Firewall auf einem Server.

[sledge0303]

Am schönsten ist es wenn man eine Firewall 'installiert', schnell irgendwelche Eintragungen vornimmt um anschließend ernüchternd festzustellen sich selbst ausgesperrt zu haben...

SCNR

[captaincrunch]

Oh, wo wir gerade bei wirklich unnützen Dingen sind:
Gegen fail2ban, DenyHosts und Co. wettere ich ja seit längerem gerne, seit kurzem ist der Self-DOS allerdings amtlich. Empfehlenswerte Lektüre: http://www.ossec.net/en/attacking-loganalysis.html

[rootsvr]

Oh, wo wir gerade bei wirklich unnützen Dingen sind:
Gegen fail2ban, DenyHosts und Co. wettere ich ja seit längerem gerne, seit kurzem ist der Self-DOS allerdings amtlich. Empfehlenswerte Lektüre: http://www.ossec.net/en/attacking-loganalysis.html

Genial..

vielleicht sollte man das mal ausprobieren.

[elch_mg]

Code: Select all

nc 123.123.123.123 22 < /dev/urandom

oder so ähnlich? ;)

[juergen]

mich amüsiert es immer wieder, wie hier über den Sinn eines (iptables)-Paketdroppers philosophiert wird. Wer's immer noch nicht glaubt, dass es nicht nur nutzlos, sondern auch gefährlich sein kann, möge doch mal einen Blick in's aktuelle Kernel-Changelog werfen...

Mit freundlichem Grins
Jesco
- der sich immer noch weigert, eine Feuerwand auf seinem Rootserver zu haben

complexity breeds bug

[r. u. serious]

Eine Firewall ist genauso nutzlos wie ein Schloß für das Diskettenlaufwerk bei einem Server im Rechenzentrum. Ich kann mir mindestens genauso viele Fälle konstruieren in der mir das hilft wie eine Firewall.
Was hilft denn eine Firewall gegen Rechnerübernahmen durch Schwachstellen in FTP-Programmen oder Lücken in phpBB oder Joomla? Genau so viel wie der Dreamweaver oder der Elekrosmogkristall ;)

Gegen eine Firewall (als vorgeschaltetes Gerät) hat keiner argumentiert. Es geht um Paketfilter direkt auf dem Rootserver.
Dass Firewalls prinzipiell nutzlos sind, mit der Meinung dürfest du relativ allein sein. Und deine abstruse Logik ist auch - vorsichtig gesagt - exotisch. Ein Sicherheitsgurt im Auto hilft mir auch nicht gegen Car-Jackings, trotzdem ist es sinnvoll ihn anzulegen. Die Effektivität von Firewall/Paketfilter auf solche Angriffe die es gar nicht erst versuchen will aufzuhalten, ist völlig irrelevant für die Einschätzung des Kosten-/Nutzenverhätnisses.

Meldungen über Exploits in z.B. Joomla und dann Sätze wie: "Aber ein Experte hat mir doch die Suse Firewall perfekt eingestellt".

Leuten die ein so grundsätzlich falsches Verständnis von Zusammenhängen haben, wird man ohnehin nicht helfen können. Sie werden auch bei Verzicht auf einen Paketfilter auf dem Root oder einer externen Firewall, den Aufwand immer noch nicht auf andere sinnvollere Sicherheitsmaßnahmen verwenden. Insofern ist die Haltung solcher Leute vollkommen irrelevant für die Problematik, oder die Kosten-/Nutzenabwägung des Einsatzes der Maßnahmen.

In Bezug auf Paketfilter auf dem Root mögen wir ja dieselbe Meinung haben (siehe mein Beitrag oben), aber wenn man mit solchen Trugschlüssen argumentiert wird, stellen sich mir die Nackenhaare auf.

[rootsvr]

Da muß ich Dir vollkommen zustimmen.

Auch wenn man sagen kann das bsp. Personal Firewalls für Windows nicht perfekt sind, da man sie einfach (von innen) umgehen kann, haben sie großen Nutzen.
Wer mal versucht nen XP mit ohne Servicepack zu updaten wird immernoch schneller von Sasser infiziert und gebootet, als er die Updates saugen kann. Und für solche Fälle sind personal Firewalls super. Das sie andere Schwachstellen haben ist klar, für den 0815 Nutzer bringen sie aber Mehr Vorteile, als Nachteile.

complexity breeds bugs

richtig.. deshalb benutzen wir alle ein völlig unkomplexen Linuxkernel den jeder von uns versteht. :roll:

Ich habe auf keine Firewall auf meiner Kiste (außer auf dem Linux DSL Router) aber Anwendungsbereiche kann man sich sicher überlegen.. z.B. traffic shaping

[aldee]

Gegen fail2ban, DenyHosts und Co. wettere ich ja seit längerem gerne, seit kurzem ist der Self-DOS allerdings amtlich.

Dass solche Spielereien zumindest "out of the box" untauglich sind, ist aber nicht wirklich neu: http://www.fail2ban.org/wiki/index.php/ ... ail2ban.3F

Edit: Der von dir zitierte Artikel ist dort mittlerweile auch verlinkt; über den /dev/log-"Angriffsvektor" steht da aber auch schon länger was.

[flo]

Wer mal versucht nen XP mit ohne Servicepack zu updaten wird immernoch schneller von Sasser infiziert und gebootet, als er die Updates saugen kann.

Und genau das ist dann wohl der Grund, warum es untaugliche Internetzugänge gibt, die bestimmte Ports sperren!?

[dtdesign]

Der Vergleich mit Fail2Ban im Sinne der Nutzlosigkeit eines Paketfilters (hier: iptables), scheint mir doch ein wenig zu hinken.

Tatsächlich wird hierbei - mehr oder weniger - vom Paket Fail2Ban bzw. dessen Artgenossen abgeraten, weil diese Fehler enthalten. iptables an sich kann durchaus das eine oder andere bewirken, gerade weil es sich meist flexibler konfigurieren lässt als eine Hardware Firewall.

Zur Verdeutlichung folgendes Szenario, das bei uns statt gefunden hat: Server sitzt fröhlich hinter der Firewall von 1&1 (Cisco), die sehr große Adressranges per se blockt (Brasilien, China, etc brauchen wir nicht!). Dahinter hockt ein iptables, dass vorallem dann in Aktion tritt, wenn der Webserver bedrängt wird. Anhand der "bösen" Anfragen die sehr oft von identischen IP-Adressen kommt, blockt iptables (gefüttert durch ein Skript) einfach alles von der IP ab. Dies funktioniert in unserem Fall aber nur, da es sich zumeist um DoS statt DDoS-Angriffe handelt.

Die Problematik ist meiner Meinung nach, dass einige das Prinzip nicht ganz verstehen / umsetzen können. Sobald iptables anfängt rumzuwüten bekommen wir das mit. Entsprechend wir dann sofort die Hardware-Firewall konfiguriert, um den Angriff bereits vor dem Server abzufangen. iptables ist an unserer Stelle in so fern nützlich, dass der Server zwar trotzdem mit Anfragen überflutet wird, allerdings es ehrheblich länger bis zur vollständigen Auslastung dauert. Grund dafür ist schlicht und ergreifend, dass wir mehrstufige Filterungen einsetzen, bei denen jede Stufe detailierter und resourcenintensiver wird. Je früher ein "böses" Paket weggeschmissen wird, desto besser.

Zwar haben wir so keinen Schutz vor DDoS, aber gegen "normale" DoS-Angriffe oder sonstige niedliche Versuche haben wir einen gewissen Schutz, der uns einfach den Zeitrahmen verschafft, zu reagieren.

Just my 2 Cent =)

Gruß
dtdesign

Edit: Die gröbsten Tippfehler entfernt :P

[Joe User]

Und wenn Euch mal ein AOL-Kunde DoSt, landen gleich alle AOL-Kunden auf Euer Blacklist. Bei solchen Strategien wird die Existenz legitimer Proxies regelmässig vergessen...

[dtdesign]

Eigentlich nicht. Sperren von iptables werden zeitlich begrenzt nur gegen IP-Adressen vergeben. IP Ranges oder längerfristige Sperren werden nur von Hand erledigt. Aber lieber einen User der fälschlicherweise gebannt wird, als das hundertfache, die vor einem unerreichbaren Server stehen.

[offtopic]Ich find AOL sowieso doof :P[/offtopic]

[elch_mg]

wieviele IPs hat ein Proxy noch gleich, die in Logfiles auftaucht? So in der Regel, in "Standardkonfigurationen".. ;)

[flo]

Der Unterschied zwischen einer Firewall und dem, was LieschenMüller unter "Firewall" versteht, ist wohl eher der Punkt - iptables an und für sich ist für manche Sachen ganz sinnvoll, aber eben nicht für:

1) Zugriffe, die nur falsch sein können - (was bringt es, 2MB-Pings aus dem Hindukusch zu droppen oder zu rejecten, Traffic fiel an)
2) Filtern auf Applikations-Ebene (SQL-Injection oder sonstwas)

Und da liegt wohl eher der Hase im Pfeffer - iptables kann keine Firewall ersetzen, und die 300 Ports, die auf dem Server eh nicht lauschen, muß man auch nicht droppen ...

flo.

[Joe User]

Eigentlich nicht. Sperren von iptables werden zeitlich begrenzt nur gegen IP-Adressen vergeben. IP Ranges oder längerfristige Sperren werden nur von Hand erledigt.

Wie bereits von elch_mg angedeutet, hat ein Proxie nur eine IP-Adresse, aber durchaus tausende User hinter sich.

Aber lieber einen User der fälschlicherweise gebannt wird, als das hundertfache, die vor einem unerreichbaren Server stehen.

Siehe oben, Ihr sperrt alle x-Tausend User hinter einem Proxie aus, statt nur den einzelnen Schuldigen.
BTW: AOL nannte ich diesbezüglich übrigens absichtlich direkt beim Namen...

[flo]

...hat ein Proxie nur eine IP-Adresse, aber durchaus tausende User hinter sich...

deswegen lässt man fail2ban usw. auch nur an bestimmte Ports oder schaut sich die IP vor dem blocken an - was z.B. auf Port 80 passiert, ist nicht mein Ding ...

Aber Port 3306 ist bei mir auch nur für einige IPs offen.

flo.

[Joe User]

Ein ernstes Problem entsteht spätestens dann, wenn fail2ban oder ein ähnliches Programm von einem $PROXIE_USER getriggert wird und sich SysAdmin dummerweise ausgerechnet über diesen $PROXIE mit seinem System verbinden muss.
Oder der Shop, der durch diese Fehlkonfiguration plötzlich nur noch den halben Umsatz macht.
Oder, oder, oder. Es gibt unzählige unschöne Situationen durch solche coolen Tools, da habe ich lieber ein paar MB Logs extra...

[flo]

Es gibt unzählige unschöne Situationen durch solche coolen Tools, da habe ich lieber ein paar MB Logs extra...

Schon klar :-)

Am schlimmsten ist aber, wenn man (=Hobbyadmin) nicht weiß, woher es kommt und erstmal den Server durchbootet.

Ich mag Automatismen auch nicht - gerade in Rootserver-Netzen sind diese aber manchmal ganz praktisch.

[Matthias Diehl]

Gegen eine Firewall (als vorgeschaltetes Gerät) hat keiner argumentiert. Es geht um Paketfilter direkt auf dem Rootserver.

Genau, es geht um "Firewalls" (besser Paketfilter) auf einem Rootserver

Dass Firewalls prinzipiell nutzlos sind, mit der Meinung dürfest du relativ allein sein. Und deine abstruse Logik ist auch - vorsichtig gesagt - exotisch. Ein Sicherheitsgurt im Auto hilft mir auch nicht gegen Car-Jackings, trotzdem ist es sinnvoll ihn anzulegen. Die Effektivität von Firewall/Paketfilter auf solche Angriffe die es gar nicht erst versuchen will aufzuhalten, ist völlig irrelevant für die Einschätzung des Kosten-/Nutzenverhätnisses.

Ich habe niemals behauptet das Firewalls prinzipiell nutzlos sind, aber nicht bei Rootservern, sondern vor Netzen. Und was ist das denn für eine abstruse Logik in der Du den Sicherheitsgurt gegen Carjacking einsetzen willst? Ich glaube Deine Logik ist wesentlich abstruser als meine. Welchem Trugschluß soll ich denn aufgesessen sein?
Es ist viel eher gefährlich Anfängern zu erzählen eine Firewall sei hilfreich (bei einem Rootserver und darum geht es in diesem Forum ja nun mal). Denn gerade das führt zu den Aussagen wie: Ich habe doch eine Firewall da kann ja nichts passieren.
Es ist vollkommen okay wenn man dies fundiert diskutiert, aber das Problem entsteht eben durch Anfänger die eben nicht fundiertes Wissen haben und Leute die eine Firewall als Allheilmittel anpreisen.

Leuten die ein so grundsätzlich falsches Verständnis von Zusammenhängen haben, wird man ohnehin nicht helfen können. Sie werden auch bei Verzicht auf einen Paketfilter auf dem Root oder einer externen Firewall, den Aufwand immer noch nicht auf andere sinnvollere Sicherheitsmaßnahmen verwenden. Insofern ist die Haltung solcher Leute vollkommen irrelevant für die Problematik, oder die Kosten-/Nutzenabwägung des Einsatzes der Maßnahmen.

Sorry, aber das ist absoluter Unsinn!
Genau diese Leute sind es doch die sich in falscher Sicherheit wiegen weil das technische Verständnis fehlt und deren Server dann übernommen werden.

[flo]

Genau diese Leute sind es doch die sich in falscher Sicherheit wiegen weil das technische Verständnis fehlt und deren Server dann übernommen werden.

Und woher kommt es? Das sind genau diejenigen, die daheim in ihrem maskierten Netz sitzen und glauben, daß Zonealarm und Konsorten sie vor Zugriffen aus dem Internet schützen und gleichzeitig ihren WLAN-Router mit den Default-Einstellungen betreiben.