Linux/unix安全優(yōu)化的討論與案例分享（獲獎(jiǎng)名單已公布）

spark8103

king_819能分享下你們bsd的防火墻設(shè)置不！

king_819

回復(fù) 66# fire_cpp

su 命令臨時(shí)切換用戶身份，sudo 授權(quán)許可使用的su，也是受限制的su


我實(shí)際的環(huán)境中 沒有用freebsd來做web和數(shù)據(jù)庫


   

king_819

spark8103 發(fā)表于 2012-03-12 09:18
king_819能分享下你們bsd的防火墻設(shè)置不！

分享一個(gè)生產(chǎn)環(huán)境中的pf腳本，服務(wù)器的作用是作為squid前端緩存，squid開三個(gè)進(jìn)程，pf進(jìn)行前端轉(zhuǎn)發(fā)
<master>為遠(yuǎn)程管理端
<web> 為后端web源端
<tools> 為備份、ftp服務(wù)器端
<squidcs> 為squid多進(jìn)程端
注：腳本中的IP是進(jìn)行處理過的，不是真實(shí)IP

1. # macros
   
2. #int_if = "em1"
   
3. ext_if = "em0"
   
4. icmp_types = "echoreq"
   
5. table <master> {202.192.14.56/29,222.102.153.92}
   
6. table <ddos> persist
   
7. table <gm> {220.109.120.23,201.141.105.27}
   
8. table <web> {202.192.14.56/29,61.105.19.192/26,202.184.104.145,61.112.204.161,211.143.130.28}
   
9. table <squidcs> {10.0.101.241,10.0.101.242,10.0.101.243}
   
10. table <tools> {61.107.17.1,61.179.66.149}
    
11. 
    
12. # options
    
13. set block-policy return
    
14. set loginterface $ext_if
    
15. set limit states 60000
    
16. 
    
17. # scrub
    
18. scrub in all
    
19. 
    
20. # nat/rdr
    
21. rdr inet proto tcp to 58.201.147.105 port 80 -> <squidcs> port 60006 round-robin sticky-address
    
22. 
    
23. # filter rules
    
24. pass in quick inet from <master>
    
25. block in quick from <ddos>
    
26. block in all
    
27. pass quick on lo0 all
    
28. pass in quick inet proto tcp to lo0 port 60006
    
29. pass in quick inet proto tcp to lo0 port 80
    
30. pass in quick proto tcp to ($ext_if) port 80 flags S/SA synproxy state (max-src-conn 50, max-src-conn-rate 50/5, overload <ddos> flush)
    
31. pass quick inet proto icmp all icmp-type $icmp_types
    
32. pass out to <gm>
    
33. pass out to <web>
    
34. pass out to <tools>

復(fù)制代碼

spark8103

感謝，你們使用的是ipf嗎，看起來你的腳本好像ipf和ipnat放在了起？？
我們公司的策略一般就是更改ssh的默認(rèn)端口號(hào)，放到1024后面，這樣可以避免不要的掃描，對(duì)進(jìn)出進(jìn)行控制。

king_819

回復(fù) 75# spark8103


freebsd的pf防火墻，修改ssh的默認(rèn)端口那是必須的

   

liheng

chenyx 發(fā)表于 2012-03-08 15:13
另外,ssh服務(wù)應(yīng)該加固,ssh協(xié)議只用協(xié)議2,采用key的方式登錄,禁止密碼登陸以及root登陸,除了key方式以外的認(rèn) ...

修改ssh的默認(rèn)端口

chenyx

嗯,修改默認(rèn)端口也是不錯(cuò)的主意.
不過,禁用密碼登陸,即使默認(rèn)22端口,沒有key,也連接不上linux

king_819

回復(fù) 77# chenyx


    雙管齊下，改端口、key認(rèn)證

renxiao2003

湊熱鬧支持一下。

by917611

:wink: