Como configurar o firewall para o PC doméstico

Question

Primeiramente, para um PC doméstico, por trás de um roteador é importante instalar / configurar um firewall?

Se sim, como faço isso? Eu tenho lamp-server instalado porque sou um desenvolvedor da web. Eu posso querer que meus outros PCs em LAN acessem meus arquivos ou páginas web, ssh em (talvez no futuro), mas não de fora. Como posso configurar isso? Do trabalho, aprendi que continuo me bloqueando o tempo todo, também denyhosts é útil para hackear a força bruta. Mas o problema é que eu não sou um Administrador do Sistema, então continuo me bloqueando (incluindo outros). Talvez gufw + denyhosts talvez seja um bom começo

    

Answer 1

Sua pergunta é bastante ampla e tentarei responder algumas partes.

Um firewall pode ser útil para você, e você já sabe o que quer - permitir clientes em sua LAN e negar a todos os outros.

Então, a primeira coisa, o seu roteador. Desative o UPnP e não encaminhe a porta 80 (http) ou 443 (https). Se precisar, você pode encaminhar o SSH (porta 22).

No servidor, você pode aumentar significativamente a segurança do ssh se usar as chaves ssh (para efetuar login) e desabilitar as senhas.

Chaves ssh do wiki do Ubuntu

denyhosts podem ser úteis, mas os bloqueios são um incômodo. Você pode colocar na lista de permissões um intervalo de IP ou IP.

Para obter alguns conselhos sobre o denyhost, consulte o link ou a documentação do denyhosts.

Agora, para o seu firewall, você pode facilmente usar o ufw ou se você quiser um front end gráfico gufw.

Supondo que você queira apenas HTTP e SSH (altere 192.168.0.0/24 para sua LAN):

sudo ufw enable
sudo ufw allow from 192.168.0.0/24 to any port 80
sudo ufw allow from 192.168.0.0/24 to any port 443 

# for ssh from anywhere
sudo ufw allow ssh

# for ssh from your lan only
sudo ufw allow from 192.168.0.0/24 to any port 22

Veja também wiki do Ubuntu UFW

    

Answer 2

Se você usa sua máquina doméstica para desenvolver qualquer coisa para um cliente ou tiver informações confidenciais, vale a pena observar os benefícios.

Como @medigeek disse, pode ser um exagero para você, já que o roteador / modem do seu provedor dará alguma proteção. Pode, por padrão, negar toda a entrada até você abrir uma rota.

No entanto - se você adotar a suposição de segurança habitual de que em algum momento alguém ou algo mal-intencionado pode passar por esse roteador (por meio de uma vulnerabilidade sem patch ou dia zero, um erro de configuração, por meio de seu servidor de arquivos ou servidor da Web, etc.) que proteção você tem e o quanto você quer?

Eu geralmente aconselho qualquer um que até mesmo faça serviços bancários on-line a ter uma abordagem em camadas:

• nega toda entrada no roteador
• firewall do host (sejam eles no Windows, Linux ou outros)
• olhe para DMZ se você executar uma série de servidores em casa
• garantir que todas as máquinas acessíveis estejam atualizadas até o momento

Todas são opções simples que requerem pouca manutenção para uma configuração inicial padrão com < 10 servidores ou PC's