Kwalifikacja: INF.08 - Eksploatacja i konfiguracja oraz administrowanie sieciami rozległymi
Zawód: Technik teleinformatyk
Jaką regułę należy zastosować, aby skutecznie zablokować ruch przychodzący na domyślny port telnet w łańcuchu INPUT, gdy polityka domyślna akceptuje wszystkie połączenia w programie iptables?
Odpowiedzi
Informacja zwrotna
Odpowiedź 'iptables -A INPUT –p tcp –dport 23 –j DROP' jest poprawna, ponieważ skutecznie blokuje ruch przychodzący na port telnet, który domyślnie operuje na porcie 23. Reguła ta dodaje do łańcucha INPUT nową regułę, która odrzuca (DROP) wszelkie pakiety TCP skierowane na port 23. Warto zauważyć, że reguła ta działa w kontekście domyślnej polityki, która akceptuje wszystkie połączenia. W praktyce, wdrożenie takiej reguły jest kluczowe w zapewnieniu bezpieczeństwa systemów, ponieważ telnet nie zapewnia szyfrowania i jest podatny na różne ataki, w tym przechwytywanie danych. W organizacjach, gdzie bezpieczeństwo jest priorytetem, administracja sieci powinna stosować zabezpieczenia, takie jak blokowanie nieużywanych portów, aby zminimalizować ryzyko dostępu do systemów. Dodatkowo, dobrym rozwiązaniem jest zastąpienie telnetu bardziej bezpiecznymi protokołami, takimi jak SSH, co jest zgodne z najlepszymi praktykami w zakresie bezpieczeństwa sieci.
Wybór niepoprawnej odpowiedzi wynika z niedostatecznego zrozumienia funkcji i struktury reguł iptables oraz ich zastosowania w kontekście blokowania ruchu sieciowego. Odpowiedź 'iptables remove –port telnet –c INPUT' jest niewłaściwa, ponieważ nie ma komendy 'remove' w kontekście iptables, a także nie ma opcji '-c' dotyczącej łańcucha. Takie podejście prowadzi do nieporozumień, gdyż usuwanie reguły nie jest tym samym co jej blokowanie, a sama konstrukcja komendy nie jest zgodna z dokumentacją programu iptables. Kolejna odpowiedź, 'iptables –C INPUT –p tcp –dport 21 –j REJECT', jest błędna z kilku powodów. Przede wszystkim, port 21 dotyczy protokołu FTP, a nie telnetu, co sprawia, że reguła ta nie blokuje ruchu na odpowiednim porcie. Dodatkowo, opcja '-C' służy do sprawdzania, czy dana reguła już istnieje, a nie do jej dodawania lub modyfikowania. Ostatnia odpowiedź 'iptables –T FORWARD –p input –dport 22 –j ACCEPT' również nie jest poprawna – nie istnieje łańcuch 'FORWARD' dla ruchu INPUT, a '–p input' jest mylącą konstrukcją; poprawna forma powinna wskazywać na protokół, a nie na łańcuch. Te błędne odpowiedzi ilustrują typowe pułapki, w które mogą wpaść osoby niedostatecznie zaznajomione z zasadami konfiguracji zapór ogniowych oraz z funkcjonowaniem protokołów sieciowych.