จากกฎ iptables อนุญาตให้ ntp คืออะไร :
iptables -A INPUT -p udp --dport 123 -j ACCEPT
iptables -A OUTPUT -p udp --sport 123 -j ACCEPT
นอกจากนี้จากเว็บไซต์ NTP :
... ntpd ต้องการการเข้าถึงเต็มรูปแบบสองทิศทางไปยังพอร์ต UDP ที่มีสิทธิ์ 123 ...
คำถามของฉันคือทำไม สำหรับคนที่ไม่คุ้นเคยกับ NTP ดูเหมือนว่าจะเป็นช่องโหว่ด้านความปลอดภัยโดยเฉพาะอย่างยิ่งเมื่อฉันขอให้ลูกค้าของฉันเปิดพอร์ตนั้นในไฟร์วอลล์ของพวกเขาเพื่อให้เซิร์ฟเวอร์ของฉันสามารถทำให้เวลาตรงกันได้ ใครบ้างมีเหตุผลที่ดีที่ฉันสามารถมอบให้กับลูกค้าของฉันเพื่อโน้มน้าวพวกเขาว่าฉันต้องการการเข้าถึงนี้ในไฟร์วอลล์? ช่วยเหลือชื่นชม! :)
2
คุณได้อ่านส่วนเกี่ยวกับ "อนุญาตให้มีความเกี่ยวข้อง / สร้างแล้ว" ถ้ากฎนี้มีอยู่ไม่จำเป็นต้องมีกฎอินพุตทั่วไปสำหรับพอร์ต UDP 123
—
VMai
นี่เป็นช่องโหว่ความปลอดภัยที่เป็นไปได้จริงหรือ นี่คือวลีซ้ำ ๆ ที่ไม่ได้พูดถึงซึ่งฉันคิดว่าไม่มีความหมาย มันคือ 2014 เวลาที่จะไม่เพิ่มพอร์ตน้อยกว่า 1024 ด้วยคุณสมบัติพิเศษและบล็อกทราฟฟิกทั้งหมดที่ไม่ต้องการอย่างชัดเจน คุณกำลังเปิดพอร์ตหนึ่งถึงหนึ่งเครื่องจากโฮสต์บางแห่งบนอินเทอร์เน็ต
—
dfc
ฉันเห็นว่ามันไม่ใช่ช่องโหว่ด้านความปลอดภัยที่เป็นไปได้ แต่ฉันทำงานในอุตสาหกรรมการเงินและผู้คนมักจะกังวลเกี่ยวกับการเปิดไฟร์วอลล์ในกรณีที่ "บางสิ่งผ่านไป" มันก็คุ้มค่าที่จะมีเหตุผลที่ดีอยู่ในมือรวมทั้งฉันอยากรู้เกี่ยวกับคำตอบด้วยตัวเอง - ntpd บนเซิร์ฟเวอร์เวลาทำการเชื่อมต่อขาออกกับลูกค้าของตนเพื่อส่งการอัปเดตเวลาหรือไม่ ฟังดูแปลกและไม่สามารถปรับขนาดได้โดยเฉพาะอย่างยิ่ง
—
DuffJ
ฉันไปที่นี่เมื่อไม่กี่วันที่ผ่านมามันสามารถจัดการได้โดยไม่ต้องมีการเชื่อมต่อเข้ามา
—
barlop
@VMai คนที่กล่าวว่าในsuperuser.com/questions/141772/… ไม่ได้มีตัวอย่าง แต่ฉันคิดว่าเขาหมายถึงการเปิดใช้งานการเชื่อมต่อขาออกแพ็คเก็ตเข้ามาในพวกเขา ซึ่งแตกต่างจากแนวคิดที่ว่า "ntpd ต้องการการเข้าถึงแบบสองทิศทางเต็มรูปแบบไปยังพอร์ต UDP ที่ได้รับการยกเว้น 123 ... " ซึ่งฟังดูเหมือนการเชื่อมต่อขาเข้า ถ้าเขาต้องการอนุญาตให้เข้าและออกโดยใช้ที่เกี่ยวข้อง / จัดตั้งขึ้นแล้วเขาต้องการกฎ 4 ข้อ 2 สำหรับการเชื่อมต่อขาเข้า 2 สำหรับการเชื่อมต่อขาออก
—
barlop