ufw regras de firewall para security.debian.org

Question

O que é uma maneira prática de gerenciar uma lista de permissões de regras de conexão de saída do firewall para o link (em um servidor que bloqueia todas as conexões de saída por padrão )?

Meu entendimento é que security.debian.org é um CNAME para vários IPs espelhados, e é aconselhável usar apenas endereços IP (não nomes de host) em regras de firewall.

No momento, simplesmente adiciono IPs recém-resolvidos ao security.debian.org às minhas regras de saída do firewall (ufw) quando as descobro. No entanto, isso é complicado e não permite atualizações automatizadas do apt-get.

Alguém pode sugerir uma maneira melhor?

PS: Eu achei a página seguinte um pouco relevante, mas ela não forneceu uma solução: link

    

Answer 1

A solução real seria verificar todas as ações de resolução de DNS. Se você puder fazer com que o servidor DNS (local) (que é usado pelo sistema restrito) registre todas as atividades, então você pode consultar todas as perguntas sobre security.debian.org, comparar o resultado com sua lista de IPs e atualizar o firewall caso IP é novo. Isso provavelmente não é rápido o suficiente para a primeira tentativa de conexão, mas não deve causar problemas.

Uma alternativa seria configurar uma resolução estática desse FQDN (em /etc/hosts ou no servidor DNS) e permitir somente os endereços configurados. De tempos em tempos, você resolveria esse FQDN externamente e atualizaria a configuração local, se necessário.