Abrindo o firewall para a porta de entrada 443

Question

Recentemente, configurei o firewall ufw em uma máquina Linux para que as conexões de saída sejam permitidas, as conexões de entrada sejam negadas e as conexões negadas sejam registradas. Isso parece funcionar bem na maioria dos casos, mas vejo muitas conexões negadas que estão entrando na porta 443 (muitas com IPs associados ao Facebook).

Eu posso abrir essa porta para conexões de entrada, mas primeiro queria perguntar o que isso poderia ser. As solicitações HTTPS não devem ser iniciadas por mim e devem ser tratadas como conexões de saída e não de entrada? É típico abrir a porta de entrada 443 em firewalls de consumidores?

Uma entrada de registro de exemplo:

[UFW BLOCK] IN=wlan0 OUT= MAC=XXX SRC=66.220.151.87 DST=192.168.1.32 LEN=473 TOS=0x00 PREC=0x00 TTL=83 ID=59450 DF PROTO=TCP SPT=443 DPT=58530 WINDOW=33 RES=0x00 ACK PSH URGP=0

    

Answer 1

Os pacotes que você está vendo são pacotes de resposta:

PROTO=TCP SPT=443 DPT=58530

Observe que o SPT - porta de origem - é 443. Quando você está acessando um site https remoto, você está enviando pacotes com uma porta de destino DPT - de 443, todas as respostas obtidas desse site serão originadas de seu IP e de porta de origem 443.

De longe, o motivo mais comum para ver esses pacotes é depois de fechar uma sessão no site remoto, e seu firewall observa isso e limpa a sessão de sua tabela de conexões ativas. Em algum momento devido ao tempo, ou má implementação do TCP no final remoto, ou pacotes duplicados, ou balanceadores de carga enviando a mesma resposta, você pode obter pacotes extras para uma sessão após a conclusão da sequência de fechamento.

Seu firewall não tem uma sessão ativa para que esses pacotes correspondam mais, e então eles são descartados e registrados como você os vê.

Eles podem ser ignorados com segurança. Não ajuste seu firewall para permitir esses pacotes, pois isso abre falhas desnecessárias em sua segurança.