iptablesの通信許可について

Question

CentOS6.7に、とあるソフトウェアの導入を検討しています。
そのソフトウェアを利用するにあたり独自の仕様でサーバ間の通信ポートを多く開けなければいけません。
※1024番以降のポートを20個くらい。

そのネットワークの環境によるかとは思いますが、一般的にiptablesやFWでこれだけのポートを空けることは、セキュリティ上リスクとなり得るのでしょうか？

宜しくお願い致します。

Answer 1

サーバーは基本的に必要以外のポートは閉じたほうが良いです。
なぜなら、開いているポートとそこを使用しているアプリケーションが増えるに従い、攻撃者が取れる手段が増えるという単純な原則があるからです。

対策としては、VPNで暗号化した中で情報のやり取りするのが望ましいですが、単にiptablesで送信先やら送信元やらのIPを指定するオプションを設定するだけでもだいぶ違うのかなと思います。

-d — 規則を満たすパケットの送信先ホスト名、IPアドレス、ネットワークのどれかを設定します。

-s — 送信先パラメータ（-d）と同じ構文を使用して、 特定のパケットの送信元を設定します。
引用元：http://web.mit.edu/rhel-doc/4/RH-DOCS/rhel-rg-ja-4/s1-iptables-options.html

Comments

[m-ja1L]

ご回答ありがとうございます。iptablesのオプション参考になります。

Answer 2

穴を空けること自体にリスクはありません。
そのポートで待ち受けているソフトに脆弱性があることで、リスクとなります。

極端な話、TCPポートが全部開いていても、接続を待ち受けるソフトが１つも動いていないのであれば、何のリスクもありません。

つまり、リスクはそのソフト次第です。1つのソフトでポートを1つだけ使う場合と、ポートを20使う場合とでリスクに差は無いと思います。

不特定多数の相手と通信するのでないのであれば、他の方の回答の通り、VPNでの接続も検討すべきかと思います。

Comments

[m-ja1L]

「ソフトに脆弱性があること」が問題なんですね。ためになります。

Answer 3

特徴的なポートの開き方なら、攻撃対象になるかもしれませんね。

サーバ間通信ということですので、
万全を期すのであればVPN等でセキュアな経路を作ってから、
その経路からの通信のみ許可するという形が望ましいかとは思います。

それが難しいなら双方のサーバのIPを固定して、IP指定でポートを開放する形ですね。
*セキュリティを考えるのであれば、通信内容がプロトコルやアプリケーションで暗号化される場合のみ。許容される方法だと思います。

Comments

[m-ja1L]

ご回答ありがとうございます。