Vlákno názorů k článku IPv6: konec místních adres od Zdenek Pavlas - Defaultne tezko. KAZDA vzorova konfigurace NATu, kterou jsem...
-
Článek je starý, nové názory již nelze přidávat.
- Podle hodnocení
- Podle vláken
- Nejnovější
-
Petr Souček (neregistrovaný)Abych se držel tématu článku, spíš než překlad adres by možná bylo lepší říct použití privátních adres, ten překlad tam vůbec nemusí být, dají se třeba použít proxy.
Snížení nebo zvýšení bezpečností záleží samozřejmě na architektuře. Pokud třeba nainstaluji na XP 10 různých ochranných softů, a připojím je přímo do Internetu, tak tím bezpečnost snížím. Pokud zřetězím bezpečnostní prvky za sebou, tak ji zvýším. No a pak je tu i lidký faktor. Koneckonců, je o tom hromada tlustch knih, že.
-
Michal Krsek (neregistrovaný)Právě to pouhé naklikání firewallu může být nebezpečné - resp. jen tak bezpečné, jako je firewall sám. Žádný software není bez chyby a tak kombinace bezpečnostních opatření může bezpečnost reálně zvýšit.
K tomuto tvrzeni mam dve vyhrady.
- Preklad adres neni bezpecnostni opatreni (a nikdy jim nebyl)
- Kombinace bezpecnostnich opatreni IMHO obvykle bezpecnost chraneneho systemu snizuje. Bezpecnost se muze i zvysit, nicmene chce to peclive planovani.
-
Petr Souček (neregistrovaný)Nazdar Michale, souhlasím s tím, že použít jako bezpečnsotní opatření pouze NAT není rozumné, na druhou stranu aspoň mezi ISP se RFC-1918 adresy neroutují (uvnitř to opravdu může být různé), stejně ale na každém hraničním i zákaznickém routeru musí být něco jako:
deny ip 10.0.0.0 0.255.255.255 any
deny ip 172.16.0.0 0.15.255.255 any
deny ip 192.168.0.0 0.0.255.255 any
deny ip 224.0.0.0 15.255.255.255 any
deny ip 240.0.0.0 15.255.255.255 any
deny ip 0.0.0.0 0.255.255.255 any
deny ip 169.254.0.0 0.0.255.255 any
deny ip 192.0.2.0 0.0.0.255 any
deny ip 127.0.0.0 0.255.255.255 any
vždyť to je malá násobilka v nastavování routerů, ne?
Všiml jsem si, že se začíná konečně rozmáhat i filrování paketů kde je nejenom destination address z rozsahu RFC-1918, ale i source address.
Právě to pouhé naklikání firewallu může být nebezpečné - resp. jen tak bezpečné, jako je firewall sám. Žádný software není bez chyby a tak kombinace bezpečnostních opatření může bezpečnost reálně zvýšit.
-
Michal Krsek (neregistrovaný)Ale Petre,
pocitac s adresou z rozsahu definovanym RFC 1918 klidne z Internetu dostupny byt muze. Staci spatna konfigurace na strane zakaznika a spatny nebo zadny filtr na rozhrani u ISP.
To, ze si nekdo neumi naklikat pravidla do firewallu by nemelo byt zaminkou k tomu, aby se preklad adres vydaval za (nebo dokonce pouzival jako) bezpecnostni opatreni.
Hloupe je, ze s opustenim site-local adres odpadl jeden ze zpuspobu, jak inteligentne provozovat IPv6 v CZfree.Net bez toho, ze by ta sit byla zavisla na jednom ISP nebo musela sama platit za LIR.
Ale kdyz se kaci les a znasilnuji spravkyne, holt litaji trisky.
-
J (neregistrovaný)To by jste se asi moc divil. Pokud nemate FW + NAT spravne nastaven, neni problem se dostat i pres ten NAT dovnitr. Kdyz totiz na tu vasi verejnou IP prijde pozadavek s cilovou adresou ktera ve vasi siti existuje, tak ji defaultne router, bez ohledu na to ze je to privatni adresa, odroutuje.
Takze bezpecnost = v kazdem pripade FW. Mimochodem, z mista kde ted sedim projde pozadavek na cilovou privatni adresu pres 5 dalsich hoopu nez je odfiltrovan (pokud vypnu vlastni filtr na brane). Za to muze default routa a nulove filtrovani cestou (kvuli tomu mi tu taky beha spousta paketu s privatnima adresama :(, hlavne M$ pozadavky na portech 137 a spol. ). -
Petr Souček (neregistrovaný)Jenomže je tady jeden podstatný rozdíl. Počítač s adresou 10.0.0.1 nemůže být nikdy dostupný z Internetu, zatímco dostupnost počítače s adresou třeba 194.194.194.194 bude záviset jen na nastavení firewallu - a to může býz závažný bezpečnostní problém, může být špatně nastaven, vypnut, vyhackován, může se v něm objevit nějaké nežádoucí chování při příjmu nějakých úmyslně deformovaných paketů - a to znamená podstatně nižší bezpečnost.
ČLÁNKY DO MAILU