Re: [NOVICE] Ubuntu og Firewall

[Kristian Vilmann <sslug@sslug>]

Jan Hertel wrote:
> Kristian Vilmann wrote:
>
> > Jan Hertel wrote:
>
>
> <--- klip --->
>
> > > Kan det virkelig passe, at ens forbindelsen/HDD med videre (i hjemmet)
> > > står pivåben (=sikkerhedsrisiko) ved brug af Ubuntu?
> >
> > Ja. For der er faktisk ikke rigtig noget at beskytte hvis jeg husker ret.
> >
> > Nu har jeg pillet ret meget ved mine Ubuntu'er at de er et dårligt
> > eksempel, men prøv lige at lave en "netstat -an" og post output her.
> > Jeg mener ikke Ubuntu som udgangspunkt har nogle kørende services, så
> > der er ikke så meget at beskytte.
>
>
> Hmm, jeg synes, at der måske er lidt meget "output" til at "udgive"
> her, men i første omgang kommer det fra min ene computer (den anden
> kommer næst):

Det er vist OK. No harm done.

Vi skal kigge efter porte der lyttes på. For TCP skal State være LISTEN. 
Resten fjerner vi. UDP lader vi stå. Det giver:

> Proto Recv-Q Send-Q Local Address           Foreign Address         State
> tcp        0      0 127.0.0.1:631           0.0.0.0:*               LISTEN
> tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN

For IPv4 lytter din ubuntu altså på port 631 og 25. Det er CUPS 
(printer-systemet) og SMTP (nogle vælger at sende mail gennem den lokale 
mailserver).
Men de lytter kun på loopback-interfacet (127.0.0.1). Dvs print- og 
mail-systemerne kan kun nås direkte fra maskinen selv.

> tcp6       0      0 ::1:25                  :::*                    LISTEN

Det er IPv6. Det ved jeg ikke et hak om. Men jeg tvivler på at det er et 
problem. Mon ikke den også kun lytter på det der i IPv6 svarer til 
loopback-interfacet.

> udp        0      0 0.0.0.0:68              0.0.0.0:*

UDP port 68. Det er din DHCP-klient. Prøv at slå dhclient ned med kill. 
Så forsvinder denne linie. Hvis du kører med DHCP-adresser kan du ikke 
leve uden :)

Og her slutter det interessante. Resten er UNIX-sockets, der ikke kan 
nås over nettet.

Så nej, umiddelbart er der ingen fare. Men dermed ikke sagt at det ikke 
er en god ide at firewall'e maskinen.
Du kan jo lege med mit micro-script. OM ikke andet bare for at lege :)

> Håber ikke jeg har "blottet" mig unødigt?

Absolut ikke. Du har jo ikke skrevet noget :)

> Tak for de øvrige råd og vejledninger, som jeg vil prøve at
> følge/anvende (og måske forsigtigt indføje i wikien).

/kristian