Аппаратный брандмауэр для веб-сервера (и почтового сервера) Linux разрешает UDP-подключения к любому локальному порту с удаленных портов 53 и 123 — безопасно ли это?

Question

Я пытаюсь усилить безопасность на веб-сервере Linux. Он имеет аппаратный брандмауэр с набором правил по умолчанию, и я заметил два правила, которые меня беспокоят:

remote port: 123; local port: ANY; protocol: UDP; action: ALLOW

remote port: 53; local port: ANY; protocol: UDP; action: ALLOW

Они были частью набора правил по умолчанию провайдера сервера для веб- и почтового сервера Linux, но я сомневаюсь в этом, поскольку, похоже, они разрешают подключения ко ВСЕМ портам на сервере, если злоумышленник просто использует протокол UDP и делает это либо с порта 53, либо с порта 123 на своей стороне.

Я пытался исследовать это, но все еще в недоумении. Безопасно ли удалять эти правила (повлияет ли это на работу сервера) или если их оставить открытыми, сервер станет очень уязвимым, поскольку он, по-видимому, разрешает UDP-подключения ко всем портам на сервере?

Answer 1

UDP 53 используется для DNS, а UDP 123 — для NTP. Я бы сказал, что их можно безопасно удалить, если вам не нужен доступ извне к этим службам.

Я бы даже посоветовал заблокировать порт, 123так как со старыми NTP-серверами существуют проблемы, из-за которых их иногда используют в DDoS-атаках.

Answer 2

Большинство правил брандмауэра имеют направление, к которому они применяются, и эти два правила, скорее всего, предназначены для исходящих пакетов, а не для входящих пакетов. Поэтому они, скорее всего, просто разрешают исходящие пакеты DNS (порт 53) и NTP (порт 123).

Большинство брандмауэров отслеживают некоторую информацию о состоянии, а затем разрешают ответные пакеты обратно с того же удаленного IP:порта на локальный IP:порт.

localsystem:13321 --> DNS packet to ---> remote system:53
remote system:53 --> DNS reply to ---> 192.168.5.5:13321