☰

Linux Web (およびメール) サーバーのハードウェア ファイアウォールでは、リモート ポート 53 および 123 から任意のローカル ポートへの UDP 接続が許可されますが、これは安全ですか?

tag-icon • tag-icon linux firewall port
Linux Web (およびメール) サーバーのハードウェア ファイアウォールでは、リモート ポート 53 および 123 から任意のローカル ポートへの UDP 接続が許可されますが、これは安全ですか?

Linux Web サーバーのセキュリティを強化しようとしています。デフォルトのルール セットを備えたハードウェア ファイアウォールがあり、気になるルールが 2 つあることに気付きました。

remote port: 123; local port: ANY; protocol: UDP; action: ALLOW

remote port: 53; local port: ANY; protocol: UDP; action: ALLOW

これらは、Linux Web およびメール サーバー用のサーバー プロバイダーのデフォルト ルール セットの一部ですが、攻撃者が単に UDP プロトコルを使用し、自分の側でポート 53 またはポート 123 のいずれかから接続を実行すると、サーバー上のすべてのポートへの接続が許可されるように見えるため、疑問に思っています。

調べてみたのですが、まだわかりません。これらのルールを削除しても安全でしょうか (サーバーの動作に影響しますか)、それともルールを開いたままにしておくと、サーバーのすべてのポートへの UDP 接続が許可されるため、サーバーが非常に脆弱になりますか?

答え1

UDP 53 は DNS に使用され、UDP 123 は NTP に使用されます。外部からこれらのサービスにアクセスする必要がない場合は、これらを削除した方が安全です。

123古い NTP サーバーには問題があり、DDoS 攻撃に使用されることがあるため、ポートをブロックすることをお勧めします。

答え2

ほとんどのファイアウォール ルールには適用される方向があり、これらの 2 つのルールは着信パケットではなく発信パケットに適用される可能性があります。そのため、送信 DNS (ポート 53) パケットと NTP (ポート 123) パケットのみが許可される可能性があります。

ほとんどのファイアウォールは何らかの状態情報を追跡し、同じリモート IP:ポートからローカル IP:ポートへの応答パケットを許可します。

localsystem:13321 --> DNS packet to ---> remote system:53
remote system:53 --> DNS reply to ---> 192.168.5.5:13321

関連情報