je ne sais pas si c'est une méthode sûre, mais voilà comment je protège mes serveurs :
- sur les serveurs : le pare-feu accepte tout en entrée et en sortie. Les seules règles restrictives sont celles de fail2ban.
- en frontal : une machine sur laquelle tourne un IPCOP avec l'extension BOT (Block out traffic). Les ports des services publics sont redirigés tels quels (80, 443), et les ports d'administration (ssh, webmin) sont redirigés sur des ports exotiques. Tout connexion initiée depuis l'intérieur du réseau est refusée (ça me pose des problèmes avec les apt-get update d'ailleurs).
Donc, à priori, je pense que mon réseau est à peu près protégé, puisque si une backdoor est installée à la faveur d'une faille, elle ne pourra pas atteindre l'extérieur, ni modifier les règle du pare-feu, puisqu'elles sont présentes sur une autre machine, inaccessible depuis la dmz (impossible de pinguer ou de se connecter ou quoi que ce soit à ipcop depuis une dmz).
Cela dit, il y a sans doute beaucoup mieux à faire.
# ma config
Posté par Gasp75 . En réponse au journal Les pare-feu. Évalué à 1.
je ne sais pas si c'est une méthode sûre, mais voilà comment je protège mes serveurs :
- sur les serveurs : le pare-feu accepte tout en entrée et en sortie. Les seules règles restrictives sont celles de fail2ban.
- en frontal : une machine sur laquelle tourne un IPCOP avec l'extension BOT (Block out traffic). Les ports des services publics sont redirigés tels quels (80, 443), et les ports d'administration (ssh, webmin) sont redirigés sur des ports exotiques. Tout connexion initiée depuis l'intérieur du réseau est refusée (ça me pose des problèmes avec les apt-get update d'ailleurs).
Donc, à priori, je pense que mon réseau est à peu près protégé, puisque si une backdoor est installée à la faveur d'une faille, elle ne pourra pas atteindre l'extérieur, ni modifier les règle du pare-feu, puisqu'elles sont présentes sur une autre machine, inaccessible depuis la dmz (impossible de pinguer ou de se connecter ou quoi que ce soit à ipcop depuis une dmz).
Cela dit, il y a sans doute beaucoup mieux à faire.