फ़ायरवॉल विरोधी पैटर्न?


9

फ़ायरवॉल को कॉन्फ़िगर करने के सबसे सामान्य और गलत तरीकों में से कुछ क्या हैं ? मैं निम्नलिखित के साथ सूची शुरू करूँगा:

नेत्रहीन अवरुद्ध ICMP । यह 1998 में आम बात थी जब स्मर्फ हमलों में सभी क्रोध थे। आज आप पीएमटीयू ब्लैक होल बनाने और समस्याओं का निदान करने के लिए इसे कठिन बनाते हैं। यदि आप ICMP को ब्लॉक करना चाहते हैं, तो कम से कम विखंडन की अनुमति दें और प्रतिध्वनि अनुरोध / उत्तर दें।

बासी नियम । यह बहुत बुरा है हम नियमों पर एक समाप्ति तिथि निर्धारित नहीं कर सकते। जब मैं किसी सेवा को स्थानांतरित करता हूं तो मैं अक्सर पुरानी सेवा के नियमों को हटाना भूल जाता हूं।


3
यह कुछ तर्कपूर्ण, मेथिंक हो सकता है।
squillman

अच्छी बात। मैंने अपना उदाहरण थोड़ा नीचे कर दिया है। उम्मीद है कि हम कुछ मिथकों को बिना किसी पू-फ्लिंग के दूर कर सकते हैं।
गेराल्ड Combs

जवाबों:


9

इसे काम करने के लिए खोलना ... फिर कभी वापस नहीं आना और कुछ भी बंद करना।


1
डिफ़ॉल्ट नीति: स्वीकार करते हैं, एक पूरी तरह से नियम के बाद, क्योंकि अन्यथा कुछ विस्तार से काम नहीं करेगा। इसे कई बार देखा।
जोरिस

2
+100 - मुझे पिछली बार हिंसक होने का प्रलोभन दिया गया था, मैंने सुना, "लेकिन कुछ काम करना बंद कर सकता है, और हम इसे एक समय में एक बंदरगाह को बंद करने के लिए समय नहीं बचा सकते।" लेकिन हमारा जोबा ... / हेडडेस्क
कारा मरफिया

6

जॉन के उदाहरण के बाद - नियमों के खिलाफ टिप्पणियों का उपयोग नहीं करना अगर आपका फ़ायरवॉल उनका समर्थन करता है।

पहली बार किसी फ़ायरवॉल को देखने और सभी प्रकार के अजीब नियमों को देखने से बुरा कुछ नहीं है जो नग्न आंखों के लिए कोई मतलब नहीं है, और टिप्पणियां सभी खाली हैं और कोई दस्तावेज नहीं है।


2

आपके नियमों के अनुसार, बासी नियमों के विषय पर - उचित प्रलेखन और प्रक्रियाएं ऐसे मुद्दों को समाप्त कर देंगी। मेरा सुझाव है कि आपकी समस्या फ़ायरवॉल में बिल्कुल भी नहीं है।


1
यह तब भी मदद करेगा जब कोई व्यक्ति साथ आता है और कहता है "हम्म, हम इस एकल आईपी पते से आउटबाउंड पोर्ट 4345 को क्यों रोक रहे हैं? मुझे आश्चर्य है कि अगर मैं अभी हटाता हूं (अक्षम नहीं) तो यह नियम क्या होगा ..." और फिर ब्रह्मांड में विस्फोट होता है ।
मार्क हेंडरसन

1
और निश्चित रूप से हम तब संस्करण नियंत्रण के विषय से
निपटते हैं

1

व्यक्तिगत रूप से मैं दो मुख्य समूहों में एक विरोधी पैटर्न होने के लिए इनबाउंड और आउटबाउंड नियमों को विभाजित करने पर विचार करता हूं। दो विशाल समूहों से निपटना एक बुरा सपना है। मैं आने वाले और बाहर जाने वाले ट्रैफ़िक के लिए समूह नियमों को प्राथमिकता देता हूं जो एक निश्चित प्रोटोकॉल / एप्लिकेशन से संबंधित है। इस तरह से ज्यादा उन्हें प्रबंधित करने में आसान है।


1

समस्या को कहीं और ले जाएं।

जैसे। स्थानीय पीसी फ़ायरवॉल कुछ सेवा या ऐप को काम करना बंद कर रहा है, इसलिए इसे पूरी तरह से अक्षम करें और कहें कि "सभी पीसी की सुरक्षा के लिए किनारे पर फायरवॉल ठीक रहेगा"।


1

हाथ से तैयार करना और उन्हें बनाए रखना।

प्राचीन तृतीय-पक्ष लिपियाँ जो "अच्छी तरह से काम करती हैं, इसलिए हम उन्हें प्रतिस्थापित करने में परेशान नहीं करेंगे", कॉन्फिग फाइलों का उपयोग करने के बजाय मैन्युअल संपादन की आवश्यकता होती है, और उन लोगों के लिए पूरी तरह से समझ में नहीं आता है जो इस बात का विवरण नहीं पढ़ते हैं कि वे कैसे काम करते हैं।


इस बात से अधिक लगता है कि टिप्पणी / प्रलेखन समस्या इस तथ्य से है कि किसी ने एक स्क्रिप्ट लिखी है।
क्रिस एस

@Chris तदनुसार संपादित।
एंड्रयू
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.