Нужен ли Firewall

[Гость]

фаервол нужен, но в ооооччееееннньььь узких задачах, и в очень минимальных обьемах
по делу пока что никто так и не назвал такие задачи.

а лупить фаеры на каждом клиенте и любом сервере как это делают начинающие админы и пользователи
приходя на форум с не менеем чем 40 правилами и прося найдите где у меня там пакетитк не проходит, это просто большая глупость или я бы назвал идиотизм
поэтому призываю к хорошему
1 никогда не используйте фаервол
2 время когда его дествительно нужно будет применить прийдет к вам само, и не менее чем через 5 лет
а не на 5 минуте установки фрибсд, когда ее видешь в первые

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[Гость]

Все зависит от зарактера ДДоса, не от всех можно защититься с помощью фаервола.
Самый простой пример - http ддос. Парсим лог апача/nginx и добавляем адреса. с которых идут кривые запросы в фаервол.

надеюсь вы как крупный админ с боооольшим опытом знаете что на больших веб серверах на это не обращают внимание?
а тупо забивают
админы маленьких веб серверов конечно от скуки вводят такие защиты
просто джаст фо фан

[masterito]

Приведите пожалуйста где вы работали, раз так говорите.

[Гость]

легко, к мат части.
бла причем тут винда или не винда какоеето имеет отношение к вопросу,

к
я следую вашей логике и стараюсь отвечать на вопросы логично

сначала вы меня убеждали в том что нужно защищать апач и ssh
- я предположил что у вас юникс
но потом вы сказали написать мне дисертацию по керио
- я предположил что видимо у вас винда и у вас на винде апач

вы правильно формулируйте свои мысли
что бы не приходилось кроме ответов еще и мысли ваши выравнивать

[Гость]

Приведите пожалуйста где вы работали, раз так говорите.

я надеюсь вы понимаете что на анлимитных каналах 10% таких левых горе запросов китайцев и прочих любителей просто игнорируются
и делать на каждого ipfw deny, просто глупость

а если вас захотят положить ддосом
то ipfw ничего не спасет
ддос положит вам канал прямо до сервера
и если сервер и будет справлятся с запросами
то сами запросы назовем их "полезными" в силу забитого канала к вам просто будут плохо доползать
вариант конечно вас может спасать лоадбалансинг по бжп
либо знакомый админ с дружественного государства скажем к примеру амстердама который просто хлопнит на время трассу от урода который ддосит, дальше уже другие разборки будут без вашего участия

[masterito]

Я надеюсь вы понимаете, что ддос бывает разным. Я сказал что от некоторых видов ддоса можно
защититься с помощью фаервола. Я сказал что от любого ддос можно спастись с помощью фаервола?
Ваш аргумент был в том, что вы работает в крупной конроре хх лет - приведите в таком случае что за контора и скольку вы там работаете.

P.S. ДДос - это распределенная атака, и хлопанье трассы от одного источника ничем не поможет.

[Гость]

P.S. ДДос - это распределенная атака, и хлопанье трассы от одного источника ничем не поможет.

конечно не поможет, но и фаервол тоже не спасет
и все зависит конечно от количества знакомых админов в дружественных государствах
некоторые админы могут быть также и админами тех сетей с корых идет ддос

[masterito]

А каким же образом тогда борятся с ддосами? каждый раз изменяют таблицу маршрутизации по всему миру?

[Гость]

у вас какая то странная логика по выкручиванию темы ддоса в другом направлении
я вам не говорил что 100% решение менять таблицу маршрутуизаций по всему миру
но надеюсь что такое абуз в автономной системе вы знаете? туда и пишите жалобы
тему ддоса продолжать бессмыслено

[Гость]

так же еще говорят к примеру в российской федерации есть отдел К, который успешно ловит тех кто организовывает ддос атаки

[masterito]

То есть технически с ними бороться невозможно?
Что-то я ни разу не слышал, чтобы отдел К накрыл какую-то ботнет.
От вас пока аргументов, кроме как то, что у вас ограмный опыт работы я не услышал.

Мое мнение - если не знаешь зачем тебе фаервол, значит он тебе не нужен.
Однако это не значит что фаерволы не нужны совсем, есть достаточно много мест и задач, в которых они полезны.

[Гость]

То есть технически с ними бороться невозможно?

уже уяснили что фаервол от этого точно не спасает
syn флуд и прочее на это должен быть расчитан веб сервер - если он конечно веб а не просто в интернете болтается
по этой причине и начали придумывать nginx и другие балансеры...

Что-то я ни разу не слышал, чтобы отдел К накрыл какую-то ботнет.

вы хотите что бы вам ДМ конкретно звонил и рассказывал?
или начальник отдела К докладывал?
два раза официально точно было, даже по телевизору показывали как накрыли горе ддосеров
которые ддосили и вымогали денег

Мое мнение - если не знаешь зачем тебе фаервол, значит он тебе не нужен.
Однако это не значит что фаерволы не нужны совсем, есть достаточно много мест и задач, в которых они полезны.

ранее я так и сказал, поищите прочитайте

[zeus4all]

ддос положит вам канал прямо до сервера
и если сервер и будет справлятся с запросами
то сами запросы назовем их "полезными" в силу забитого канала к вам просто будут плохо доползать

вот вы сами противоречите сами себе, не знаю имеет ли место спор где все равно не будет логического конца, прочтите тот цитируемый пост несколько раз и должны понять что хотябы некорректно поставили вопрос

Мое мнение - если не знаешь зачем тебе фаервол, значит он тебе не нужен.

+1 где то я так на второй странице ляпнул
ЗЫ: что Вы там придумываете сказки про свободу дейсвий в офисе, про увольнение админов который выполняют должностные интрукции и выполняют приказы начальства не пускать когото в аську, а когото пускать, ето старо как мир, не знаю насколько Вы опытны и сколько лет работаете, но про предупреждение и увольнение сотрудников который выполняют свою работу - ето "высосано из пальца"! последние 3 года я етим и занимаюсь и еще целый отдел на бывшем месте работы. и все же я с радостью бы поговорил над етой темой тет-а-тет, под пивом на свежем воздухе, ето не форумный вариант как мне кажется, слишком долго. Честно говоря я както тоже задался подобным вопросом, но жизнь меня сломала и фаером я пользуюсь, что и пытаюсь объяснить. также не уверен что есть знание о атаках, думаю только извесно название, что частый случай. Второе : кто сказал что керио базируется только на ядрах вынь, третье - помоги мне как нито перебросить порты или просто их позакрывать не методами фаервола и наверно я тогда тоже плюну на локальный фаервол, но сам я до етого дойду очень не скоро, если ето вообще возможно. Пожалуй больше я не склонен к обсуждению, раз что мне хочется только получить от Вас бесценный опыт касательно последних строк про проброс и блокировку портов.

[zeus4all]

ага, и разработчика отправим патч, который поможет им выпилить эту не нужную ебь, а то мож они бы уже давно рады выкинуть, но народ по глупости привык к фаерволам

ахахахаб +1
молоток, четко сказал.
ЗЫ: не видел етого поста, сейчас перечитал тему, хотел посмотреть наколькоя тупой ну или проверить себя на противоречие самому себе, ну вообщем пока я думаю также. нужно-надо, нет -значит нет.

[Rita]

ога, сижу такой борзый на винде, с реальным айпишником, и за 10 лет ну хоть бы кто вломал мою винду

И вправду, а кому ты нужен то? А файерволл нужен, но не тебе.

[Гость]

ога, сижу такой борзый на винде, с реальным айпишником, и за 10 лет ну хоть бы кто вломал мою винду

И вправду, а кому ты нужен то? А файерволл нужен, но не тебе.

интересно мой пост хоть кто то правильно прочитает?
ударение было не о том что я нужен,
а о том что даже винда с реал айпишником в фаерволе не нуждается
а вы бедную клиентскую фрибсд трехматовыми фаерволами защищаете

[Гость]

резюмируем так
если человек приходит и спрашивает - а нужен ли ему фаервол
то фаервол ему 100% не нужен

ответ на первое сообщение ТС, так и звучит, фаервол не нужен

а вы флейм развели
кто то видимо пытался убедить ТС в том что ему нужно защищатся от виртуальных слонов и ваккумных коней

[zeus4all]

резюмируем так
если человек приходит и спрашивает - а нужен ли ему фаервол
то фаервол ему 100% не нужен

ответ на первое сообщение ТС, так и звучит, фаервол не нужен

+1 согласен,..
Предлагаю пофлеймить дальше, на тему, как опытный человек пришел к такому вопросу?
Сначала я хотел сделать вывод что он не видел никогда фаервола, еще так сказать не согрешил, но судя по всему, ето не так. Мб поставить вопрос ребром: Альтернативы штатным фаерам? раздается звук из под бугра: "А оно надо?". Ну скажем так, чтое лси человек еще не работал с фаерволом. Помимо накатанной лыжни предложить альтернативные варианты, посмотреть что последний выберет? Ну или бох с етой темой. Пути Господни неисповедимы, ступай с миром?

[alex117]

Да zeus4all, ты прав, я знаком с файерволом. Но вопрос был не в том, что нужен он вообще на серверах, а в том, нужен ли он на сервере внутри локальной сети. А это две большие разницы. Тем более, что в настоящее время все маршрутизаторы включают в себя функцию фильтрации трафика, то иногда можно обойтись и без программного файервола.

[_Менделеев]

а чем аппаратный отличается от программного?

[zeus4all]

Да zeus4all, ты прав, я знаком с файерволом. Но вопрос был не в том, что нужен он вообще на серверах, а в том, нужен ли он на сервере внутри локальной сети. А это две большие разницы. Тем более, что в настоящее время все маршрутизаторы включают в себя функцию фильтрации трафика, то иногда можно обойтись и без программного файервола.

да я и не спорю. Ну дык 1) ну если сервер не выступает вроли там шлюза или релея то да наверно Вам не нужен фаер,если Вам удалось добится результата др. способами, ну или просто запросов на его использования нет, 2) ну если Ваш роутер,маршрутизатор, поддерживает такие вещи и справляется сними хорошо, то да Вам не зачем 2ой фаервол. Но ето не значит что фаервол вообще не нужен, ну по моему скромному мнению, как утверждает "анонимус". ну имхо , как я понял, суть "нестыковки".

[alex117]

а чем аппаратный отличается от программного?

Программный файервол реализуется на уровне программного обеспечения, т.е тот же IPFW, IPF, а аппаратный - на уровне железа, т.е может быть встроен в роутер. Хотя, в роутере тоже есть операционка и его тоже можно считать программным .
А насчет файервола вцелом, то он конечно нужен и тут лучше не прислушиваться к советам anonymous'ов.

[snorlov]

На мой взгляд все зависит от админа и поставленных задач, если вы разрешаете пользователям делать все, что хочешь в инете, то нафиг он нужен даже на роутере..., гораздо важнее своевременное закрытие дыр в софте сервера и наличие антивируса на компьютере пользователя. Но как только всплывает вопрос о статистике или еще какое то ограничение...

[_Сатана]

а чем аппаратный отличается от программного?

Программный файервол реализуется на уровне программного обеспечения, т.е тот же IPFW, IPF, а аппаратный - на уровне железа, т.е может быть встроен в роутер. Хотя, в роутере тоже есть операционка и его тоже можно считать программным...

так вот я и спрашиваю в чем же между ними разница... пока вижу только сходство

[vadim64]

Вернёмся к истокам темы.

У меня вопрос - нужен ли firewall на серверах (файловый, dns и пр.) внутри сети? Говорят, что хватит только на шлюзе в интернет и все.

При условии что у вас грамотно настроен фаерволл на шлюзе/шлюзах, вам не нужен фаервол на внутренних серверах.