ทำไม Debian ถึงไม่มีไฟร์วอลล์เปิดใช้งานเป็นค่าเริ่มต้น

ฉันใช้ Debian 9.1 กับ KDE และฉันสงสัยว่าทำไมมันถึงไม่มีการติดตั้งไฟร์วอลล์และเปิดใช้งานโดยค่าเริ่มต้น gufw ไม่ได้อยู่ในแพ็คเกจของ DVD1

คาดว่าคนจะเชื่อมต่ออินเทอร์เน็ตก่อนรับไฟร์วอลล์หรือไม่ ทำไม? แม้ว่าพอร์ตทั้งหมดจะถูกปิดโดยค่าเริ่มต้นต่าง ๆ ที่ติดตั้งการปรับปรุงหรือดาวน์โหลดโปรแกรมสามารถเปิดพวกเขา (หรือไม่?) และฉันต้องการไม่ได้แม้แต่เพียงเล็กน้อยจากเครื่องของฉันโดยไม่ได้รับอนุญาต

แก้ไข: ดังนั้นฉันเพิ่งค้นพบเกี่ยวกับiptablesแต่ฉันเดาว่าคำถามนั้นยังคงเป็น iptables เนื่องจากไฟร์วอลล์ดูเหมือนจะไม่เป็นที่รู้จักมากที่สุดกฎเริ่มต้นความสามารถในการเข้าถึงและความสะดวกในการใช้งานและความจริงที่ว่าโดยค่าเริ่มต้น ที่เริ่มต้นใหม่

อันดับแรกเดเบียนมีแนวโน้มที่จะสมมติว่าคุณรู้ว่าคุณกำลังทำอะไรอยู่และพยายามหลีกเลี่ยงการตัดสินใจเลือกสำหรับคุณ

การติดตั้งเริ่มต้นของ Debian นั้นค่อนข้างเล็กและปลอดภัย - มันไม่ได้เริ่มบริการใด ๆ และแม้แต่ตัวเลือกเสริมมาตรฐาน (เช่นเว็บเซิร์ฟเวอร์, ssh) ที่เพิ่มลงในการติดตั้งมักจะค่อนข้างอนุรักษ์นิยมและปลอดภัย

ดังนั้นจึงไม่จำเป็นต้องใช้ไฟร์วอลล์ในกรณีนี้ Debian (หรือผู้พัฒนา) สันนิษฐานว่าหากคุณเริ่มบริการเพิ่มเติมคุณจะรู้วิธีการป้องกันและสามารถเพิ่มไฟร์วอลล์หากจำเป็น

ที่สำคัญกว่านั้น Debian หลีกเลี่ยงตัวเลือกสำหรับคุณเกี่ยวกับซอฟต์แวร์ไฟร์วอลล์ที่จะใช้ มีตัวเลือกมากมายให้เลือก - ควรใช้อันไหน? และแม้แต่เกี่ยวกับการตั้งค่าไฟร์วอลล์พื้นฐานควรเลือกการตั้งค่าแบบใด ต้องบอกว่าiptablesมีความสำคัญเป็นสิ่งสำคัญดังนั้นจึงมีการติดตั้งโดยค่าเริ่มต้น แต่แน่นอนว่า Debian ไม่รู้ว่าคุณต้องการกำหนดค่าอย่างไรดังนั้นจึงไม่กำหนดค่าให้คุณ และคุณอาจต้องการใช้iptablesตัวตายตัวแทนของต่อnftablesไป

โปรดทราบด้วยว่าฟังก์ชั่นการไฟร์วอลล์นั้นได้สร้างไว้แล้วในเคอร์เนล Linux ในระดับหนึ่ง เช่นและnftables netfilterการแจกแจงแบบเดเบียนและลินุกซ์อื่น ๆ จัดเตรียมเครื่องมือพื้นที่ผู้ใช้เช่นiptablesการจัดการฟังก์ชันการทำงานนั้น แต่สิ่งที่คุณทำกับพวกเขานั้นขึ้นอยู่กับคุณ

โปรดทราบว่าเอนทิตีเหล่านี้ไม่ได้ตั้งชื่ออย่างสม่ำเสมอ หากต้องการอ้างอิงหน้าWikipedianftables :

nftables ถูกกำหนดค่าผ่านยูทิลิตี้พื้นที่ผู้ใช้ nft ในขณะที่ netfilter ถูกกำหนดค่าผ่านยูทิลิตี iptables, ip6tables, arptables และ ebtables framework

ก่อนอื่นฉันต้องการทำซ้ำสิ่งที่ได้กล่าวไปแล้ว: Debian เหมาะสำหรับกลุ่มผู้ใช้ที่แตกต่างจากผู้ใช้หลักอื่น ๆ โดยเฉพาะอูบุนตู เดเบียนมุ่งเน้นไปที่ผู้ที่รู้ว่าระบบทำงานอย่างไรและผู้ที่ไม่กลัวที่จะมีคนจรจัดกลับมาเป็นครั้งคราวเพื่อเป็นการควบคุมระดับสูงของระบบ ยกตัวอย่างเช่น Ubuntu เหมาะสำหรับกลุ่มเป้าหมายที่แตกต่างกันมาก: ผู้ที่ต้องการทำงานและไม่สนใจสิ่งที่เกิดขึ้นภายใต้ประทุนและแน่นอนไม่ต้องการแก้ไขการกำหนดค่าระบบเพื่อสร้างสิ่งต่าง ๆ งาน. สิ่งนี้ส่งผลกระทบต่อหลายแง่มุมของระบบผลลัพธ์ และในระดับหนึ่งนั่นเป็นหนึ่งในความงดงามของ Linux ระบบฐานเดียวกันสามารถใช้เพื่อสร้างสภาพแวดล้อมที่ตอบสนองความต้องการที่แตกต่างกัน จำไว้ว่า Ubuntu เป็นตราสารอนุพันธ์เดเบียน

gufw ไม่ได้อยู่ในแพ็คเกจของ DVD1

ดิสก์แผ่นแรกมีซอฟต์แวร์ที่ได้รับความนิยมสูงสุดตามที่กำหนดโดยการรวบรวมสถิติที่ไม่ระบุชื่อจากระบบที่ติดตั้ง ความจริงที่ว่า gufw ไม่ได้อยู่ในดิสก์แรกนั้นบ่งบอกว่านี่ไม่ใช่แพ็คเกจยอดนิยม (ในแง่ของฐานการติดตั้ง) ใน Debian นอกจากนี้ยังง่ายต่อการติดตั้งเมื่อคุณมีระบบพื้นฐานที่เชื่อมต่อเครือข่ายและทำงานได้หากคุณต้องการมากกว่าทางเลือกอื่น

คาดว่าคนจะเชื่อมต่ออินเทอร์เน็ตก่อนรับไฟร์วอลล์หรือไม่ ทำไม?

สำหรับสิ่งหนึ่งฉันเชื่อว่า Debian อนุญาตให้ติดตั้งผ่านเครือข่ายได้ (ไม่เพียงดาวน์โหลดแพคเกจจากเครือข่ายในระหว่างการติดตั้งปกติ แต่แท้จริงเริ่มการติดตั้งจากโฮสต์ที่แตกต่างจากที่ติดตั้งบน ) ไฟร์วอลล์ที่กำหนดค่าโดยค่าเริ่มต้นด้วยชุดกฎที่ จำกัด จะเสี่ยงต่อการแทรกแซง เช่นเดียวกันกับการติดตั้งที่ต้องการการเข้าถึงเครือข่ายขาออกในระหว่างกระบวนการติดตั้งเพื่อวัตถุประสงค์อื่นนอกเหนือจากการดาวน์โหลดแพ็คเกจรุ่นล่าสุดที่กำลังติดตั้ง

สำหรับอีกสิ่งหนึ่งนั่นคือสิ่งที่ฉันได้กล่าวไว้ข้างต้น ตามกฎแล้วเดเบียนคาดหวังให้คุณรู้ว่าคุณกำลังทำอะไรอยู่ หากคุณต้องการไฟร์วอลล์คุณคาดว่าจะสามารถกำหนดค่าได้ด้วยตัวคุณเองและคาดว่าคุณจะรู้ดีกว่าผู้ดูแล Debian ว่าคุณต้องการอะไรเป็นพิเศษ เดเบียนเป็นเหมือน OpenBSD ในเรื่องนั้นไม่มากนัก (เมื่อได้รับเลือกระหว่างการทำให้ระบบฐานมีความปลอดภัยเพิ่มขึ้นเล็กน้อยและทำให้สามารถใช้งานได้มากกว่าผู้ดูแล OpenBSD จะรักษาความปลอดภัยอยู่เสมอซึ่งแสดงในสถิติช่องโหว่ด้านความปลอดภัยของระบบฐาน แต่มีผลกระทบอย่างมากต่อการใช้งาน)

และแน่นอนวิชา: Firewall สนับสนุนจะถูกรวมอยู่ในระบบฐาน เป็นเพียงว่ามันถูกตั้งค่าเป็นกฎที่อนุญาตทั้งหมดที่กำหนดโดยค่าเริ่มต้นโดยเคอร์เนลและการติดตั้ง Debian พื้นฐานไม่ได้ทำอะไรเพื่อเปลี่ยนแปลงสิ่งนั้น คุณสามารถเรียกใช้คำสั่งสองสามคำสั่งเพื่อ จำกัด ปริมาณการรับส่งข้อมูล

แม้ว่าพอร์ตทั้งหมดจะถูกปิดโดยค่าเริ่มต้นต่าง ๆ ที่ติดตั้งติดตั้งปรับปรุงหรือดาวน์โหลดโปรแกรมสามารถเปิดพวกเขา (หรือไม่?) และฉันหวังว่าจะไม่แม้แต่น้อยออกจากเครื่องของฉันโดยไม่ได้รับอนุญาต

ก่อนอื่นไฟร์วอลล์มักจะใช้เพื่อ จำกัด ทราฟฟิกที่เข้ามา หากคุณต้องการ จำกัด การส่งออกการจราจรนั้นเป็นปลาที่ค่อนข้างแตกต่างกันไป ทำได้อย่างแน่นอน แต่ต้องการการปรับแต่งให้เหมาะกับสถานการณ์ของคุณมากขึ้น ไฟร์วอลล์ทราฟฟิกบล็อกการส่งออกที่เป็นค่าเริ่มต้นที่เปิดพอร์ตที่ใช้กันทั่วไป (โดยที่พอร์ตที่ใช้กันทั่วไปอาจเป็น ftp / 20 + 21, ssh / 22, smtp / 25, http / 80, https / 443, pop3 / 110, imap / 143 และ กลุ่มของผู้อื่น) รวมถึงการอนุญาตทราฟฟิกที่เกี่ยวข้องกับเซสชันที่กำหนดไว้จะไม่ปลอดภัยกว่าไฟร์วอลล์ที่อนุญาตให้ใช้เริ่มต้น เป็นการดีกว่าที่จะตรวจสอบให้แน่ใจว่าชุดของแพ็กเกจที่ติดตั้งโดยระบบพื้นฐานนั้นถูก จำกัด ไว้ที่ชุดที่เข้าใจกันดีตั้งค่าความปลอดภัยเป็นแพ็กเกจที่ส่งมอบและอนุญาตให้ผู้ดูแลระบบตั้งค่ากฎไฟร์วอลล์ที่เหมาะสมหากพวกเขาต้องการการป้องกันมากกว่านั้น

สองพอร์ตปิด (หนึ่งที่ตอบสนองกับ TCP SYN กับ TCP RST / ACKซึ่งโดยทั่วไปแล้วจะรายงานว่า "การเชื่อมต่อถูกปฏิเสธ" - โดยทั่วไปจะเป็นสถานะเริ่มต้นของพอร์ต TCP บนระบบจริงที่สนับสนุน TCP / IP โดยที่ไม่มีการกำหนดค่าในทางตรงกันข้ามหรือการฟังซอฟต์แวร์บน) ไม่เป็นช่องโหว่ที่สำคัญ แม้ในระบบที่ไม่ได้เชื่อมต่อผ่านไฟร์วอลล์แยกต่างหาก ช่องโหว่ที่มีนัยสำคัญเพียงอย่างเดียวในการกำหนดค่าแบบปิดทั้งหมดจะเกิดขึ้นหากมีช่องโหว่ภายในการนำ TCP / IP ไปใช้ของเคอร์เนล แต่แพ็คเก็ตกำลังผ่านรหัส netfilter (iptables) ในเคอร์เนลและข้อผิดพลาดอาจแฝงตัวอยู่ที่นั่นเช่นกัน ตรรกะในการตอบสนองกับสิ่งที่ผลลัพธ์ใน "การเชื่อมต่อถูกปฏิเสธ" ที่ปลายอีกด้านนั้นง่ายพอที่ฉันมีเวลายากที่เชื่อว่ามันจะเป็นแหล่งสำคัญของข้อบกพร่องปล่อยให้ข้อผิดพลาดที่เกี่ยวข้องกับความปลอดภัย

ประการที่สามแพคเกจมักจะติดตั้งเป็นรูทซึ่งคุณ (แพ็กเกจ) สามารถเปลี่ยนกฎ iptables ได้โดยที่คุณไม่รู้ ดังนั้นไม่ใช่ว่าคุณจะได้รับอะไรเช่นต้องการให้ผู้ดูแลระบบของมนุษย์อนุญาตการรับส่งข้อมูลด้วยตนเองผ่านไฟร์วอลล์โฮสต์ หากคุณต้องการการแยกประเภทนี้คุณควรมีไฟร์วอลล์แยกต่างหากจากโฮสต์ที่ป้องกันอยู่ตั้งแต่แรก

ดังนั้นฉันเพิ่งค้นพบเกี่ยวกับ iptables แต่ฉันเดาว่าคำถามนั้นยังคงเป็น iptables เนื่องจากไฟร์วอลล์ดูเหมือนจะไม่เป็นที่รู้จักของผู้ใช้ส่วนใหญ่กฎเริ่มต้นและความสามารถในการเข้าถึงและความสะดวกในการใช้งาน

ฉันจะบอกว่าตรงกันข้ามจริง iptables เป็นไฟร์วอลล์เป็นที่รู้จักกันดี มันยังมีอยู่ในแทบทุกระบบ Linux ที่คุณมีแนวโน้มจะเจอ (มันแทนที่ ipchains ในระหว่างการพัฒนาที่นำไปสู่เคอร์เนล Linux รุ่น 2.4 ประมาณปี 2000 หรือมากกว่านั้นถ้าฉันจำสิ่งต่าง ๆ ได้อย่างถูกต้องการเปลี่ยนแปลงที่ผู้ใช้มองเห็นได้มากที่สุดระหว่างสองกรณีสำหรับการใช้งานทั่วไปของไฟร์วอลล์คือกฎภายใน โซ่ถูกตั้งชื่อเป็นตัวพิมพ์ใหญ่เช่นINPUTแทนที่จะเป็นตัวพิมพ์เล็กเช่นinput)

หากมีสิ่งใด iptables สามารถทำสิ่งอื่นนอกเหนือจากไฟร์วอลล์ซึ่งไม่ได้ใช้กันอย่างแพร่หลายหรือเข้าใจ ตัวอย่างเช่นสามารถใช้เพื่อเขียนแพ็กเก็ต IP ใหม่ก่อนที่จะส่งผ่านไฟร์วอลล์

ถ้าฉันต้องเดาโดยไม่ได้อยู่ในหัวของนักพัฒนาและผู้ดูแล Debian รุ่นหนึ่งฉันเดาว่าจะเป็นเช่นนี้:

เดเบียนได้รับการออกแบบมาเป็นหลักเป็นระบบปฏิบัติการเซิร์ฟเวอร์ทั้ง sid และสาขาการทดสอบมีวัตถุประสงค์หลักในการสร้างสาขาที่เสถียรต่อไปและในเวลาที่แช่แข็งพวกเขาจะถูกแช่แข็งและมีเสถียรภาพใหม่จากการทดสอบเพียง เกิดขึ้นกับยืด

เมื่อพิจารณาถึงสิ่งนี้ฉันจะสมมติต่อไปว่าฉันต้องยืนยันสิ่งนี้กับเพื่อนดูแลระบบไฟร์วอลล์ดาต้าเซ็นเตอร์นั้นเป็นอุปกรณ์ภายนอกความปลอดภัยที่สูงขึ้นมาก (อย่างน้อยก็หวังว่าจะเป็นเช่นนี้) กับเซิร์ฟเวอร์และจัดการกับหลัก งานไฟร์วอลล์ แม้กระทั่งบน LAN ขนาดเล็กที่มีเราเตอร์ในกรณีนี้เราเตอร์คือไฟร์วอลล์ฉันไม่ใช้กฎไฟร์วอลล์ท้องถิ่นในระบบใด ๆ ของฉันทำไมฉันถึงต้องทำ

ฉันคิดว่าคนอาจสับสนเดสก์ท็อปเดสก์ท็อปหรือไฟล์เซิร์ฟเวอร์เดียวในสำนักงานหรือที่บ้านกับงานจริงที่เชื่อมต่อกับ Debian ซึ่งฉันเชื่อว่าส่วนใหญ่เน้นที่การใช้งานจริง

ฉันไม่แน่ใจเกี่ยวกับเรื่องนี้ แต่หลังจากใช้ Debian มานานกว่าทศวรรษแล้วนั่นเป็นความรู้สึกของฉันทั้งในฐานะนักพัฒนาและผู้สนับสนุน Debian ในหลาย ๆ ด้าน

ฉันสามารถตรวจสอบเรื่องนี้ได้เนื่องจากเป็นคำถามที่ดี แต่ฉันเดาว่าเครือข่ายจริงจะถูกส่งผ่านไฟร์วอลล์ที่จุดทางเข้าสู่เครือข่ายไม่ใช่บนพื้นฐานต่อเครื่องหรืออย่างน้อยนั่นเป็นแนวคิดพื้นฐานที่อาจขับได้ Debian นอกจากนี้แน่นอนว่าถ้าไม่ใช่ในกรณีนั้นดูแลระบบจะตั้งค่ากฎไฟร์วอลล์บนเครื่องต่อเครื่องโดยใช้สิ่งที่คล้ายกับ Chef ไม่พึ่งพาการติดตั้งเริ่มต้นใด ๆ ซึ่งไม่น่าจะเป็นไปได้ เพื่อความไว้วางใจตัวอย่างเช่นการกำหนดค่าเริ่มต้นของ Debian ssh ไม่ใช่สิ่งที่ฉันจะใช้เป็นการส่วนตัวเป็นค่าเริ่มต้นเช่นพวกเขาอนุญาตให้เข้าสู่ระบบรูทโดยค่าเริ่มต้นและมันขึ้นอยู่กับ sysadmin เพื่อแก้ไขว่าหากพวกเขาพบว่า .

นั่นคือมีข้อสันนิษฐานของความสามารถฉันคิดว่า Debian ใหม่ที่อาจหายไปใน distros อื่น ๆ เช่นเดียวกับในคุณจะเปลี่ยนสิ่งที่คุณต้องการเปลี่ยนสร้างภาพจัดการพวกเขาด้วยซอฟต์แวร์การจัดการไซต์และอื่น ๆ นี่เป็นเพียงความเป็นไปได้ไม่กี่อย่าง ตัวอย่างเช่นคุณไม่เคยใช้ DVD เพื่อสร้างเซิร์ฟเวอร์ใหม่อย่างน้อยที่สุดก็ไม่เคยใช้งานมาก่อนคุณอาจใช้บางอย่างเช่น netinstall ขั้นต่ำนั่นคือสิ่งที่ฉันใช้เสมอตัวอย่างเช่น (ฉันเคยใช้รูปที่เล็กกว่านี้ แต่พวกเขายุติมัน) หากคุณดูที่สิ่งที่รวมอยู่ในการติดตั้งฐานนั้นคุณจะได้รับความรู้สึกที่ดีว่าเดเบียนพิจารณาสิ่งที่สำคัญและอะไรบ้าง ตัวอย่างเช่น ssh อยู่ที่นั่น Xorg ไม่ใช่ Samba ไม่ใช่

หนึ่งอาจถามว่าทำไมพวกเขากลับไปที่ GNOME เป็นเดสก์ท็อปเริ่มต้น แต่นี่เป็นเพียงการตัดสินใจที่พวกเขาทำและผู้ใช้ของพวกเขาเพิกเฉยเพราะคุณสามารถสร้างระบบในแบบที่คุณต้องการ (นั่นคือเพื่อรับ Xfce เดสก์ท็อป ไม่ต้องติดตั้ง Xdebian (เช่นเดียวกับ Xubuntu) ฉันเพิ่งติดตั้ง Debian core, Xorg และ Xfce และปิดไปเลย) ในทำนองเดียวกันถ้าฉันต้องการไฟร์วอลล์ฉันจะกำหนดค่าเรียนรู้ ins และ outs ฯลฯ แต่ฉันไม่คาดหวังว่าเดเบียนจะจัดส่งด้วยการเปิดใช้งานโดยส่วนตัวแล้วมันจะน่ารำคาญสำหรับฉันถ้ามันเป็น . บางทีมุมมองของฉันเกี่ยวกับเรื่องนี้สะท้อนถึงฉันทามติที่คุณอาจพบภายในใน Debian

นอกจากนี้แน่นอนว่าไม่มีสิ่งเช่น Debian มีอิมเมจการติดตั้งหลากหลายรูปแบบติดตั้งเน็ตเวิร์กติดตั้งอย่างสมบูรณ์สิ่งเหล่านี้แตกต่างกันไปจากแบร์โบน cli เท่านั้นจนถึงเดสก์ท็อปผู้ใช้ที่สมบูรณ์ ผู้ใช้ที่ใช้งานจริงอาจสร้างภาพขึ้นมาซึ่งจะถูกกำหนดค่าตามที่ผู้ใช้ต้องการฉันรู้ว่าถ้าฉันตั้งค่าเซิร์ฟเวอร์ Debian ฉันจะเริ่มต้นด้วยข้อมูลพื้นฐานแบบดิบและสร้างมันขึ้นมาจนกว่าจะทำสิ่งที่ฉันต้องการ

ถ้างั้นคุณก็มีโลกแห่ง webservers ซึ่งเป็นลูกขี้ผึ้งที่แตกต่างไปจากเดิมอย่างสิ้นเชิงพวกนั้นมีคำถามเกี่ยวกับความปลอดภัยที่แตกต่างกันมากและในฐานะเพื่อนเก่าของฉันที่เชื่อมต่อกับแฮ็กเกอร์แบบใต้ดินคนที่ทำงานเว็บเซิร์ฟเวอร์โดยไม่รู้ตัว มันสามารถเรียกได้ว่าใครบางคนที่เป็นเจ้าของเซิร์ฟเวอร์โดยแครกเกอร์

แนวคิดทั่วไปคือคุณไม่ควรใช้ไฟร์วอลล์ในระบบส่วนใหญ่ยกเว้นการตั้งค่าที่ซับซ้อน

SSH กำลังทำงาน ,, เมื่อคุณติดตั้งเซิร์ฟเวอร์ ไม่มีอะไรควรฟังและคุณอาจต้องการเชื่อมต่อกับ ssh

เมื่อคุณติดตั้งเว็บเซิร์ฟเวอร์คุณคาดว่าเว็บเซิร์ฟเวอร์จะพร้อมใช้งานใช่ไหม และสำหรับการปรับจูนพื้นฐานคุณสามารถผูกเว็บเซิร์ฟเวอร์เข้ากับอินเตอร์เฟส LAN ส่วนตัวเท่านั้นเช่น 192.168.172.42 (IP LAN ในพื้นที่ของคุณ) แทน 0.0.0.0 (IPS ทั้งหมด) คุณยังไม่ต้องการไฟร์วอลล์

แน่นอนว่าทุกอย่างสามารถเปิดพอร์ต> 1024 แต่เมื่อคุณมีซอฟต์แวร์ที่ไม่น่าเชื่อถือ (หรือผู้ใช้ที่ไม่น่าเชื่อถือ) คุณควรทำมากกว่าติดตั้งไฟร์วอลล์ ในช่วงเวลาที่คุณต้องไว้ใจบางสิ่งบางอย่างหรือคนที่คุณต้องการแนวคิดการรักษาความปลอดภัยไม่เพียง แต่ซอฟต์แวร์ ดังนั้นจึงเป็นเรื่องดีเมื่อคุณต้องคิดอย่างจริงจังเกี่ยวกับโซลูชันไฟร์วอลล์

ตอนนี้มีสถานการณ์ที่ซับซ้อนมากขึ้นแน่นอน แต่เมื่อคุณมีหนึ่งในนั้นคุณต้องปรับแต่งไฟร์วอลล์ด้วยตัวคุณเองและอย่าปล่อยให้ระบบอัตโนมัติครึ่งหนึ่งเช่น ufw ทำ หรือคุณอาจใช้ ufw แต่คุณตัดสินใจแล้วไม่ใช่ค่าเริ่มต้นของระบบปฏิบัติการ

เป็นคนที่คาดว่าจะเชื่อมต่ออินเทอร์เน็ตก่อน

ใช่

รับไฟร์วอลล์หรือไม่

แม้ว่าพอร์ตทั้งหมดจะปิดตามค่าเริ่มต้น

ขออภัยพวกเขาไม่ได้ rpcbindดูเหมือนว่าจะมีการติดตั้งเปิดใช้งานและรับฟังบนเครือข่ายเป็นค่าเริ่มต้น

แก้ไข: ผมเชื่อว่านี้ได้รับการแก้ไขในการติดตั้งล่าสุดคือสำหรับ Debian 9 (ยืด) แต่ด้วย Debian รุ่นก่อนหน้าฉันจะไม่รู้สึกปลอดภัยมากในการติดตั้ง (แล้วอัปเดต) พวกเขาในเครือข่าย wifi สาธารณะ

ทำไม?

ฉันสงสัยว่าคนมีข้อสันนิษฐานว่า

1. เครือข่ายท้องถิ่นจะไม่โจมตีบริการเครือข่ายของคุณ
2. มีไฟร์วอลล์ระหว่างเครือข่ายท้องถิ่นของคุณกับอินเทอร์เน็ตที่กว้างขึ้นแล้ว

ในขณะที่หลังเป็นเรื่องธรรมดาเช่นโดยเราเตอร์ผู้บริโภคฉันไม่เชื่อว่ามันจะรับประกัน ไม่น่าแปลกใจที่ข้อสันนิษฐานเดิมนั้นไม่มีการจัดทำเป็นเอกสาร และมันก็ไม่ใช่สิ่งที่สมเหตุสมผล

ในความคิดของฉันปัญหากับ rpcbind เป็นตัวอย่างของประเด็นทั่วไป ผู้คนสามารถลองโปรโมต Debian และมีคุณสมบัติเจ๋ง ๆ มากมาย แต่เดเบียนล่าช้าหลังอูบุนตูในแง่ของความเป็นมิตรและเป็นมิตรหรือเป็นเนื้อหาที่น่าเชื่อถือสำหรับผู้ที่ต้องการเรียนรู้รายละเอียด

โปรแกรมที่ดาวน์โหลดสามารถเปิดได้ (หรือไม่?) และฉันหวังว่าจะไม่ออกจากเครื่องโดยไม่ได้รับอนุญาต

คุณสามารถติดตั้งไฟร์วอลล์ได้อย่างอิสระก่อนที่จะเริ่มดาวน์โหลดและใช้งานซอฟต์แวร์แบบสุ่มซึ่งคุณไม่แน่ใจว่า :-p

ฉันเห็นด้วยในบางส่วนมันน่าตกใจที่จะติดตั้ง Linux และไม่พบอินเทอร์เฟซใด ๆ ที่ติดตั้งสำหรับเลเยอร์ความปลอดภัยที่รู้จักกันดี โดยส่วนตัวแล้วฉันพบว่ามีประโยชน์ที่จะเข้าใจวิธีการตั้งค่าไฟร์วอลล์ Windows เริ่มต้น มันต้องการให้คุณสามารถ "เชื่อมั่น" เครือข่ายภายในบ้านและในเวอร์ชันล่าสุดการติดตั้งแบบด่วนจะข้ามไปแม้กระทั่งถามว่าคุณเชื่อถือเครือข่ายปัจจุบันหรือไม่ เป้าหมายหลักดูเหมือนจะแยกความแตกต่างระหว่างเครือข่ายในบ้านการเชื่อมต่อที่ไม่มีการป้องกันเช่นโมเด็มที่เชื่อมต่อโดยตรงและเครือข่าย wifi สาธารณะ ขอให้สังเกตว่า UFW ไม่สนับสนุนสิ่งนี้อยู่ดี

Fedora firewalldลินุกซ์คนเดียวพยายามที่จะให้บางสิ่งบางอย่างเช่นนี้ใน (ดูเหมือนว่าแพ็คเกจจะมีให้ใน Debian ด้วย ... ) GUI สำหรับมันไม่เป็น "มิตร" สมมติว่าเป็น GUFW

ปรัชญาดั้งเดิมของ Unix คือ KISS เสมอและทำงาน / เปิดเผยขั้นต่ำของการบริการ

บริการหลายอย่างต้องได้รับการติดตั้งอย่างชัดเจนและแม้แต่บางบริการก็ถูกผูกไว้กับ localhost และคุณต้องเปิดใช้งานเพื่อให้สามารถมองเห็นได้ในเครือข่ายท้องถิ่นของคุณ / ในอินเทอร์เน็ต (MySQL, MongoDB, snmpd, ntpd, xorg ... ) นี่เป็นวิธีการที่สมเหตุสมผลกว่าแล้วจึงเปิดใช้งานไฟร์วอลล์ตามค่าเริ่มต้น

คุณต้องการเพียงความซับซ้อนที่ไฟร์วอลล์นำมาจากจุดหนึ่งและความต้องการนั้นอาจลดน้อยลงเมื่ออยู่หลังเราเตอร์ขององค์กรหรืออุปกรณ์ nating ในบ้านดังนั้นจึงเป็นเรื่องที่สมเหตุสมผล ไฟร์วอลล์เช่นซอฟต์แวร์รักษาความปลอดภัยอื่น ๆ สามารถให้ความรู้สึกที่ผิด ๆ หากไม่ได้รับการจัดการอย่างเหมาะสม

การวางแนวของเดเบียนเป็นกลุ่มคนที่มีความรู้ด้านเทคนิคมากกว่าซึ่งจะรู้ว่า iptables คืออะไร; นอกจากนี้ยังมีอินเทอร์เฟซตัวห่อข้อความหรือโหมดกราฟิกที่สามารถติดตั้งได้อย่างง่ายดาย

ยิ่งไปกว่านั้นไม่ว่ามันจะมาพร้อมกับซอฟต์แวร์ที่ติดตั้งมากหรือน้อยเกินไปก็ตาม สำหรับประสบการณ์ที่ยาวนานนั้นมาพร้อมกับซอฟต์แวร์และบริการที่ติดตั้งมากเกินไปโดยค่าเริ่มต้นโดยเฉพาะในโหมดเซิร์ฟเวอร์