Re: Конфигуратор файрволла
14.05.2012 07:49, Victor Wagner пишет:
> On 2012.05.13 at 21:35:09 +0400, "Артём Н." wrote:
>
>>> Да, естественно. Потому что то что в руках, может быть телефоном,
>>> андроидным планшетом, корпоративной рабочей станцией, где ssh-клиент
>>> есть, а никакого стороннего софта ставить нельзя или вообще машиной из
>>> интернет-кафе.
>> Вы будете конфигурировать файрвол на машине из интернет-кафе?
>
> Да, буду. Потому что оставить незаткнутой дырку в файрволле на несколько
> дней (которые мне потребуются для того, чтобы добраться до интернета с
> более защищенного рабочего места) хуже, чем подвергнуться риску утечки
> пароля посредством кейлоггера из интернет-кафе.
>
> У меня на этот случай специальный ssh-ключ есть, который в конце сессии я
> из authorized_keys выкину, и даже если троян уведет его секретную часть,
> это ему не поможет.
o.O
>> Корпоративные рабочие станции, я так думаю, конфигурируются централизованно.
> Конфигурировать СВОЮ машину, сидя за клавиатурой корпоративной рабочей
> станции. Зайти по ssh я оттуда могу, а запустить там левую GUI-приблуду
> - нет.
Тьфу, что-то я вчера не въехал.
С другой стороны... На рабочей станции, вероятно стоит не windows и там есть X,
т.е. ssh -X, а графическая фенечка будет запускаться на сервере?
>> Конфигурировать планшет - неудобно, в плане того, что неудобно вводить длинные
> Опять же - конфигурировать не планшет, а свою машину С ПЛАНШЕТА.
> Да, неудобно. Но если до более удобного терминала несколько дней, а
> дырку надо затыкать срочно...
...
>> В случаях, когда нет под рукой локальной машины...
>> А так часто приходится конфигурировать файрвол?
> Конфигурирование файрволла - это всегда аварийная ситуация. Делать это
> приходится редко, но готовым надо быть в любой момент. Причем задержка с
> выполнением этой операции на несколько часов может стоить очень дорого.
Ну да, графическая утилита не имеет такой гибкости.
Но что нужно делать срочно? Например, дроп всех пакетов с заданного IP?
Какую дырку закрывать? Если появилась дырка, разве не придётся потом, всё-равно
разбираться и "штопать"..?
Может, есть плюсы в наглядном представлении конфигурации (и настройке, когда
удобно и есть время), а быстро что-то прикрыть возможно через iptables, без
лишних скриптов?
Reply to: