Linux/unix安全优化的讨论与案例分享（获奖名单已公布）

spark8103

king_819能分享下你们bsd的防火墙设置不！

king_819

回复 66# fire_cpp

su 命令临时切换用户身份，sudo 授权许可使用的su，也是受限制的su


我实际的环境中 没有用freebsd来做web和数据库


   

king_819

spark8103 发表于 2012-03-12 09:18
king_819能分享下你们bsd的防火墙设置不！

分享一个生产环境中的pf脚本，服务器的作用是作为squid前端缓存，squid开三个进程，pf进行前端转发
<master>为远程管理端
<web> 为后端web源端
<tools> 为备份、ftp服务器端
<squidcs> 为squid多进程端
注：脚本中的IP是进行处理过的，不是真实IP

1. # macros
   
2. #int_if = "em1"
   
3. ext_if = "em0"
   
4. icmp_types = "echoreq"
   
5. table <master> {202.192.14.56/29,222.102.153.92}
   
6. table <ddos> persist
   
7. table <gm> {220.109.120.23,201.141.105.27}
   
8. table <web> {202.192.14.56/29,61.105.19.192/26,202.184.104.145,61.112.204.161,211.143.130.28}
   
9. table <squidcs> {10.0.101.241,10.0.101.242,10.0.101.243}
   
10. table <tools> {61.107.17.1,61.179.66.149}
    
11. 
    
12. # options
    
13. set block-policy return
    
14. set loginterface $ext_if
    
15. set limit states 60000
    
16. 
    
17. # scrub
    
18. scrub in all
    
19. 
    
20. # nat/rdr
    
21. rdr inet proto tcp to 58.201.147.105 port 80 -> <squidcs> port 60006 round-robin sticky-address
    
22. 
    
23. # filter rules
    
24. pass in quick inet from <master>
    
25. block in quick from <ddos>
    
26. block in all
    
27. pass quick on lo0 all
    
28. pass in quick inet proto tcp to lo0 port 60006
    
29. pass in quick inet proto tcp to lo0 port 80
    
30. pass in quick proto tcp to ($ext_if) port 80 flags S/SA synproxy state (max-src-conn 50, max-src-conn-rate 50/5, overload <ddos> flush)
    
31. pass quick inet proto icmp all icmp-type $icmp_types
    
32. pass out to <gm>
    
33. pass out to <web>
    
34. pass out to <tools>

复制代码

spark8103

感谢，你们使用的是ipf吗，看起来你的脚本好像ipf和ipnat放在了起？？
我们公司的策略一般就是更改ssh的默认端口号，放到1024后面，这样可以避免不要的扫描，对进出进行控制。

king_819

回复 75# spark8103


freebsd的pf防火墙，修改ssh的默认端口那是必须的

   

liheng

chenyx 发表于 2012-03-08 15:13
另外,ssh服务应该加固,ssh协议只用协议2,采用key的方式登录,禁止密码登陆以及root登陆,除了key方式以外的认 ...

修改ssh的默认端口

chenyx

嗯,修改默认端口也是不错的主意.
不过,禁用密码登陆,即使默认22端口,没有key,也连接不上linux

king_819

回复 77# chenyx


    双管齐下，改端口、key认证

renxiao2003

凑热闹支持一下。

by917611

:wink: