linux 防火牆問題

Question 1

您沒有偵聽端口，因為您沒有偵聽進程。 Ubuntu 在預設安裝下在這方面做得很好。那些確實需要偵聽連接埠的進程通常預設使用 localhost (127.0.0.1)。這會阻止從遠端系統直接存取。
Apache 和 SSH 伺服器等應用程式期望偵聽來自遠端伺服器的連線。 Apache 有自己的 ACL 清單來保護存取。除了設定之外，還可以使用hosts.allow 和hosts.deny 檔案來保護SSH 伺服器的安全性。預設情況下，我的 MySQL 和 PostressSQL 應用程式應在本機上偵聽。如果您需要從其他系統訪問，您將需要更改其偵聽器配置。他們通常具有一種或多種保護存取的機制。
對於支援此機制的應用程序，請使用hosts.allow/hosts.deny。使用防火牆建構器，例如岸牆建立安全的防火牆會有所幫助。了解每個應用程式本身的安全機制有助於深入了解您的機制。像 logcheck 這樣的工具可以監視您的日誌並通知您可能需要檢查的一些事件。我使用 Munin 來監控我的系統，並在某些情況下提醒我有問題。這取代了先前使用 Nagion 和 MRTG 來監視和繪製系統使用情況的圖表。
如果您正在執行 telnet，則可以透過停止服務來關閉連接埠。除非您確實需要它，否則請刪除 telnet 軟體包並將其替換為 ssh-server。大多數telnet伺服器支援使用hosts.allow/hosts.deny來限制存取。這也適用於在 inetd 或 xinetd 下運行的應用程式。 MySQL 和 PostgreSQL 應僅偵聽 127.0.0.1，且該位址是安全的，無法從伺服器外部直接存取。

我通常的 Shorewall 防火牆配置從伺服器上介面數量（或存取區域：NET、LAN、DMZ）的範例設定開始。請注意，如果區域共用介面和/或路由器，則安全性可能會降低。然後我根據需要調整規則。

我經常禁用任何預設的出站存取策略。這些規則將替換為允許在所需連接埠（DNS、NTP、SMTP 等）上進行出站存取的規則。

Answer

您沒有偵聽端口，因為您沒有偵聽進程。 Ubuntu 在預設安裝下在這方面做得很好。那些確實需要偵聽連接埠的進程通常預設使用 localhost (127.0.0.1)。這會阻止從遠端系統直接存取。
Apache 和 SSH 伺服器等應用程式期望偵聽來自遠端伺服器的連線。 Apache 有自己的 ACL 清單來保護存取。除了設定之外，還可以使用hosts.allow 和hosts.deny 檔案來保護SSH 伺服器的安全性。預設情況下，我的 MySQL 和 PostressSQL 應用程式應在本機上偵聽。如果您需要從其他系統訪問，您將需要更改其偵聽器配置。他們通常具有一種或多種保護存取的機制。
對於支援此機制的應用程序，請使用hosts.allow/hosts.deny。使用防火牆建構器，例如岸牆建立安全的防火牆會有所幫助。了解每個應用程式本身的安全機制有助於深入了解您的機制。像 logcheck 這樣的工具可以監視您的日誌並通知您可能需要檢查的一些事件。我使用 Munin 來監控我的系統，並在某些情況下提醒我有問題。這取代了先前使用 Nagion 和 MRTG 來監視和繪製系統使用情況的圖表。
如果您正在執行 telnet，則可以透過停止服務來關閉連接埠。除非您確實需要它，否則請刪除 telnet 軟體包並將其替換為 ssh-server。大多數telnet伺服器支援使用hosts.allow/hosts.deny來限制存取。這也適用於在 inetd 或 xinetd 下運行的應用程式。 MySQL 和 PostgreSQL 應僅偵聽 127.0.0.1，且該位址是安全的，無法從伺服器外部直接存取。

我通常的 Shorewall 防火牆配置從伺服器上介面數量（或存取區域：NET、LAN、DMZ）的範例設定開始。請注意，如果區域共用介面和/或路由器，則安全性可能會降低。然後我根據需要調整規則。

我經常禁用任何預設的出站存取策略。這些規則將替換為允許在所需連接埠（DNS、NTP、SMTP 等）上進行出站存取的規則。

Question 2

1.) 你可以隨時檢查它iptables-L此輸出代表沒有防火牆：

Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

2.) 是的，只需允許介面上輸入鏈中的連接埠（即 eth0）並刪除其他所有內容。

你還應該做一些其他的事情，例如：

無效的
聖誕節（SYN+FIN+ACK）
SYN-FIN

並且不要忘記設定重要的 sysctl 選項

3.）簡單的方法：

防火牆：http://easyfwgen.morizo.net/gen/
日誌分析工具，通知您有關威脅的信息
其他進行主動檢查的工具（即fail2ban）
監控工具，通知您機器狀態（即 zabbix、nagios）

4.) 輸入以下命令

root@host:~# netstat -npl | grep LISTEN
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1417/telnet

有趣的數字是 telnet 之後的 1417（進程號）。殺死它殺-9 1417

但要小心你殺的東西！

如果你不想殺死它，你可以使用防火牆拒絕使用該連接埠...

Answer