Filosofando sobre redirecionamento de portas no firewall

[chn]

Bom dia a todos! Eu ando me questionando sobre um detalhes sobre redirecionamento de portas e firewall com iptables, eu faço um firewall ferrado e tenho que redirecionar uma porta do firewall para um micro da rede interna, por exemplo o acesso remoto do xp! Minha duvida é o firewall evita um ataque via porta 3389 no micro XP? Ou seja o firewall protege portas redirecinadas???

[irado]

técnicamente, não. Se vc está redirecionando:

"olha, tudo o que vier pela porta 3389 deve ser encaminhado para a máquina tal"..

não há mais o que fazer, tudo o que vier pra essa porta, vai pra lá.

O que habitualmente fazemos é definir QUEM pode ser redirecionado.

"tudo o que vier via (placa de entrada) e com o enderêço de origem "xxx" de ve ser encaminhado para... "

:twisted:

[whinston]

eu tb creio que o firewall apenas redireciona.
chegou um pacote pra ele naquela porta, ele aponta pra máquina de dentro e boa..

o legal seria vc usar um IDS pra analisar o tráfego.. ae sim, se ele detectar algum tipo de ataque, pote levantar regras de INPUT pro IP do "hacker" e assim proteger a máquina.

[chn]

Regras de INPUT??? Náo seria de FORWARD!? Porque o INPUT só serve para o micro firewall, não!?
Estou tentando usar o Nufw mas esta meio complicado configurar ele, muita dependencia no Slackware...
Segundo os caras ele é um autenticador, que nesse caso pode autorizar ou não o trafico numa determinada porta segundo o usuario logado nele, pelo menos foi isso que eu entendi... só não sei exatamente como ele faz isso!

[whinston]

input mesmo.. ele vai criar regras pro IP real nao aceita conexao mais do IP do atacante

[lucianogf]

uma coisa q pode ser definida no firewall é o estado do pacote

ESTABLISHED, RELATED, INVALID, NEW

com isso vc pode conseguir proteger um pouco mais..

[roneyeduardo]

Ei, dá pra ter sim um bom nível de segurança se você disser que tudo que vier na porta 3389, vai para a porta 3389 da estação interna.

iptables -t nat -A POSTROUTING -p tcp -s xxx.xxx.xxx.xxx -d SEU_IP_QUENTE --dport 3389 -j DNAT --to IP_REDE_INTERNA:3389

A única coisa que pode trazer insegurança é se sair algum exploit, vírus, etc. que explore alguma vulnerabilidade do serviço de compartilhamento de desktop e quem estiver atacando for uma máquina que vc confia (lembre-se que no comando acima nós estamos determinando quem vai poder acessar). Nesse caso, a falha não é estrutural (tipo, sua estrutura de firewall), mas sim uma falha no Windows. Isso pode acontecer até mesmo no seu APACHE...Ai a solução é atualizar, aplicar patch de segurança, etc. A parte que cabe ao firewall tá OK.