Что я подразумеваю под «прямым общением»
Нужно ли ему когда-либо получать пакеты с IP-адресом шлюза в качестве исходного IP-адреса или отправлять пакеты с IP-адресом шлюза в качестве целевого IP-адреса?
(Я бы по-прежнему разрешал запросы ICMP-эхо, ответы, отсутствие маршрута к хосту и превышение времени.)
Моя текущая настройка
Мой физический сервер Linux находится за маршрутизатором, который обрабатывает DHCP (я не использую его с сервером. Статический IP настраивается при загрузке), некоторые (базовые) брандмауэры и NAT. Он еще не запущен, поэтому на данный момент простой не является проблемой.
Почему я спрашиваю
Когда я блокировал доступ к локальным сетевым адресам в iptables, я собирался добавить исключения (правила -j RETURN в цепочках фильтрации адресов частной сети) для адреса шлюза, но остановился и задумался, а нужно ли это вообще.
Я не администрирую маршрутизатор с сервера и не хочу, чтобы какая-либо программа в системе могла это делать или изменять мой локальный IP-адрес или что-то в этом роде. Поэтому, если я правильно понимаю принцип работы NAT, запрет трафика на этот IP-адрес и с него не должен ничего сломать.
Но я недостаточно уверен в своих сетевых возможностях, чтобы сказать наверняка, поэтому я подумал, что прежде, чем я что-то испорчу (особенно что-то незаметное, вроде менее безопасного, но труднозаметного изменения конфигурации), я проведу небольшой краудсорсинг для принятия решения.
Объясните, если это глупый вопрос
Это первый публично доступный сервер, который я когда-либо разворачивал, поэтому я активно пытаюсь сформировать как можно больше хороших привычек и как можно меньше плохих...
решение1
Вам никогда не придется общаться напрямую счистыйШлюз NAT (т. е. устройство, которое выполняет только перезапись портов/адресов и ничего более).
Однако у вас, вероятно, нет ни одного из них. Типичный домашний маршрутизатор, помимо NAT, DHCP, разрешения DNS, возможно, предоставляет сервер NTP, UPnP hole-punching и ряд других служб. Если вы уверены, что ваш сервер не использует ни одну из них (в частности, разрешение DNS), вы можете настроить брандмауэр сервера на блокировку контакта.