Was sind einige der häufigsten und falschesten Methoden zum Konfigurieren einer Firewall? Ich werde die Liste mit folgendem beginnen:
ICMP blind blockieren . Dies war 1998 üblich, als Schlumpfangriffe im Trend lagen. Heute laufen Sie Gefahr, ein PMTU-Schwarzes Loch zu erzeugen und die Diagnose von Problemen zu erschweren. Wenn Sie ICMP blockieren müssen, lassen Sie zumindest die erforderliche Fragmentierung zu und geben Sie die Anforderung / Antwort durch.
Veraltete Regeln . Es ist schade, dass wir kein Ablaufdatum für Regeln festlegen können. Wenn ich einen Dienst migriere, vergesse ich oft, die Regeln für den alten Dienst zu entfernen.
Antworten:
Öffnen Sie es , damit es funktioniert ... und kommen Sie dann nie wieder zurück und schließen Sie etwas ab.
quelle
Nach Johns Beispiel - keine Kommentare gegen Regeln verwenden, wenn Ihre Firewall diese unterstützt.
Es gibt nichts Schlimmeres, als zum ersten Mal eine Firewall zu sehen und alle möglichen seltsamen Regeln zu sehen, die mit bloßem Auge keinen Sinn ergeben. Die Kommentare sind alle leer und es gibt keine Dokumentation.
quelle
Zum Thema veraltete Regeln gemäß Ihrem Beispiel - Durch ordnungsgemäße Dokumentation und Verfahren werden solche Probleme beseitigt. Ich schlage vor, dass Ihr Problem überhaupt nicht an der Firewall liegt.
quelle
Persönlich halte ich die Aufteilung eingehender und ausgehender Regeln in zwei Hauptgruppen für ein Anti-Muster. Mit zwei großen Gruppen fertig zu werden, ist ein Albtraum. Ich bevorzuge es, Regeln für eingehenden und ausgehenden Verkehr zu gruppieren, die sich auf ein bestimmtes Protokoll / eine bestimmte Anwendung beziehen. Auf diese Weise ist es viel einfacher, sie zu verwalten.
quelle
Verschieben Sie das Problem an eine andere Stelle.
z.B. Die lokale PC-Firewall beendet die Arbeit eines Dienstes oder einer App. Deaktivieren Sie sie daher vollständig und sagen Sie "Die Firewall auf dem Edge-Router ist in Ordnung, um alle PCs zu schützen".
quelle
Handarbeit und Pflege.
Alte Skripte von Drittanbietern, die "gut genug funktionieren, damit wir sie nicht ersetzen müssen", müssen manuell bearbeitet werden, anstatt Konfigurationsdateien zu verwenden, und sind für Personen, die die These, die ihre Funktionsweise beschreibt, nicht gelesen haben, völlig unverständlich.
quelle