Доброго времени суток.
On Fri, 26 Nov 2004 10:48:55 +0200
Майоров И.Е. <electron***@m*****.ru> wrote:
> R> Наверное, я неясно выразился... Беспокоит меня то, что при этих
> R> правилах пропускаются все пакеты, отправленные с 53-го и 137-го (в
> R> пределах локалки) портов. Т.е.
> теоретически
> R> можно послать пакет, например, с 53-го порта какой-нибудь хакерской
> R> программой на 80-ый порт моего компа, он будет принят и
> R> обработан... А 80-ый порт должен быть доступен только с локалки, но
> R> не из инета!
>
> ну так кто мешает написать что в цепь ИНПУТ с дестинейшном
> 111.222.333.444(твой внешний IP) дпорт 80 ДРОП?
Так это опять же нужно отслеживать для каждого порта... Неужели никак иначе это
реализовать? А если я подключу еще какой-нить сервис да забуду правила файрвола
отредактировать? Получается, что все преимущества правила
iptables -P INPUT DROP
просто теряются:(.
> Или прибиндить к интерфейсу локалки?
Ээ... А "прибиндить" - это что такое?
> R> И еще такой вопрос - под виндой я когда-то использовал Angitum
> R> Outpost Firewall(сейчас оффтоп вообще в сеть не пускаю:)), так там
> R> была возможность управлять доступом в сеть на уровне приложений.
> R> Например, запретить ослику работать
> с сетью,
> R> но разрешить Опере...
> Это не unix-way:(
Имхо, это все-таки серьезный недостаток... Получается, одна паршивая овца (т.е.
одна программа с жучком) может всю супер-пупер защиту к чертям отправить...