Systems_Engineer4 дек в 14:54

iptables для людей: Как я перестал быть «удобным» сервером и накатил Human Firewall

Простой

3 мин

12K

Карьера в IT-индустрииGTD * Управление персоналом * Здоровье

+14

Комментарии 20

skovpen 4 дек в 16:40

А зачем в 2025 году iptables, если есть nftables?

Systems_Engineer 4 дек в 16:53

Справедливо. Но вы же знаете правило „работает - не трогай“. Моя нервная система - суровый легаси-монолит на ядре 2.6. Боюсь, если начну миграцию на nftables прямо на проде, у меня драйверы эмпатии отвалятся окончательно :) Пока сижу на проверенном стеке

vitaly_il1 4 дек в 18:26

Прекрасно, спасибо за пост!
Для продвинутых можно продолжить, углубляясь в применение REJECT и DROP.

Systems_Engineer 5 дек в 04:44

Спасибо! Тема действительно глубокая.

В моей конфигурации:

REJECT - для адекватных коллег. Я возвращаю им RST-пакет, чтобы не держать соединение открытым и не тратить их время на ожидание. Это честно и сохраняет отношения.
DROP - крайняя мера для токсичного трафика и спама (нытье, манипуляции). Там я просто не отправляю подтверждение получения (ACK). Пусть висят в SYN_SENT, пока не отвалятся по таймауту :)

gebwopycj4 4 дек в 19:11

я годами жил с архитектурой Default Allow.
В InfoSec это считается дичью.

смотря где.

по дефолту все DNS запросы для внутренних клиентов (привет адептам zero trust) разрешены, и рекурсивные запросы тоже.
по дефолту на проксях все сайты для внутренних клиентов обычно разрешены, если не внедрять белый список, как это сейчас делает РКН.

Представьте админа, который

пересадил на 127.0.0.1 все сервисы, которым не нужен доступ из Интернета,
и зафиксировал их набор.

открыл все порты, отключил фаервол и пускает любой пакет,

при условии см выше это допустимо и даже местами полезно.
любой фаерволл снижает призводительность сети и увеличивает задержку.

ASGAlex 4 дек в 20:13

Ну 127.0.0.1 это в данном случае уже где-то внутри черепной коробки. Там уже и сеть другая, и фаерволы местами времён первобытных ящеров...

Systems_Engineer 5 дек в 04:52

Согласен! Если пересадить всех токсичных коллег на 127.0.0.1 (пусть варятся в собственном соку) и закрыть доступ извне - это было бы идеально :)

Но, к сожалению, мы вынуждены торчать наружу публичными интерфейсами. И если там не настроен iptables, то любой сканер портов быстро найдет уязвимость и пролезет внутрь.

elobachev 4 дек в 21:59

"Нет" говорить конечно нужно. Порою даже необходимо. Но вот прикидываться машиной - это такая монетка с двумя сторонами. Как правило людям нравится, когда к ним относятся как к людям. А сервер - его же можно просто выключить или заменить.

Systems_Engineer 5 дек в 04:58

Очень верное замечание. Но тут парадокс: когда я пытался быть „человечным“ со всеми 24/7, к вечеру я ненавидел людей. Мой человеческий ресурс выгорал полностью.

Режим „Сервера“ (четкие протоколы) я включаю на внешнем периметре (для коллег, заказчиков), чтобы сохранить живую эмпатию для ближнего круга (семьи, друзей).

По мне так лучше быть надежным сервером на работе и живым человеком дома, чем „удобным“, но выгоревшим зомби везде.

igrblkv 5 дек в 06:09

415 Unsupported Media Type. Я не слушаю войсы. Пиши текстом.

Что мешает добавить бот, переводящий в текст?

randomsimplenumber 5 дек в 06:14

Кому надо - тот и включает.

Systems_Engineer 5 дек в 06:23

Технически - ничего не мешает. Но архитектурно это bad practice. Когда человек шлет войс по рабочему вопросу, он перекладывает нагрузку (структурирование мысли) со своего процессора на мой. Мой стандарт текст. Не потому, что я не могу послушать, а потому что текст = структура. Если мысли нельзя уложить в текст, значит, задача еще не готова к деплою.

select26 5 дек в 06:36

Я тоже так считаю: если собеседник не считает возможным выделить время на формулирование вопроса, то зачем я буду тратить на него время?

Из практики: чаще всего такие сообщения и не несут никакой смысловой нагрузки. Поэтому в принципе не слушаю голосовые сообщения. Если уж так нужно - позвони голосом и обсудим.

randomsimplenumber 5 дек в 07:09

kWatt 5 дек в 08:16

Как только слышу iptables, вспоминаю эту статью.

Systems_Engineer 5 дек в 13:49

О да. Главное правило iptables: не забудь разрешить SSH перед тем, как применить DROP ALL.

В жизни так же: строя личные границы, важно случайно не забанить доступ для самых близких (жены/детей), иначе придется искать "физический доступ к консоли" для восстановления, а это больно :)