由 dawei
将OUTPUT的策略设置为ACCEPT是否存在安全风险？
有问题的机器是VPS托管几个网站,git存储库,jabber服务器和邮件.
解决方法
“风险”是允许机器上的任何进程启动网络连接并发送网络数据包.
这意味着服务器上没有任何东西阻止任何用户,合法与否,也没有任何进程可能试图连接您自己的网络或整个互联网中的任何其他联网设备.
通常这不是一个大问题,远程系统的责任是首先限制传入流量,并且您的网络中的关键点上可能已经有防火墙策略.
将默认策略设置为其他任何策略(例如REJECT)意味着您需要显式授权所有合法流量流,这需要彻底了解您的系统以及服务器上运行的所有应用程序和依赖项.通常这意味着相当大的行政负担.
好处当然是错误配置应用程序的潜在影响得到缓解,可能会使滥用系统变得更加困难,尽管在完全受损的系统上,攻击者总是可以简单地关闭软件防火墙……
从安全角度来看,它当然非常简单,任何未明确允许的内容都将被拒绝.这在具有强大安全要求的环境中很有意义,例如在专用防火墙上,在多功能服务器上这样做可能会非常困难.