Linux firewall für Anfänger.. Hilfe

[Chicho_2001]

Hallo,

ich habe da ein etwas größeres Problem.

Ich muss den Webserver der meiner Firma administrieren. Ich musste eben die Website erstellen usw. Nun ist der Webserver am Netz. (1und1)

Linux. Soweit ja kein Problem. Aber: Keine Firewall.

Da ich Windoof User bin: Wie erstelle ich einfach eine Firewall?!

Kann mir da irgendjemand helfen? Weil die ganzen HOWTOS im Internet bringen mich auch nicht wirklich weiter. Ich möchte alle Poerts auf dem Rechner schliessen, bis auf die wichtigen. (http,https,ssh und ftp)

Ich habe auf den Server nur ssh Zugriff. Kann mir also nun jemand in möglichst einfachen Schritten aufzählen, was ich tun muss um die Firewall auf zu setzten.

(Man beachte: Linux Kenntnisse = +/- 0 ;-) )

Und: Wie stelle ich fest ob der Rechner bereits mit nem Trojaner infiziert wurde?!

(Gibts sowas wie des gute alte Norton auch für Linux?)

(Ich würde mich ja gern in die Matierie in aller Ruhe inarbeiten, aber leider hab ich kaum Zeit, weil der Chef im Nacken sitzt!)

Danke sehr ich freue mich über jede Antwort;-)

[hades]

Was ist das fuer ein Linux (Suse, Redhat, Debian, ...) und in welcher Version liegt das vor?

Auch ist die verwendete Kernelversion wichtig:

Gib dazu in der Shell uname -r ein und poste, was dort steht.

[Jaraz]

Hi,

auf einem Webserver brauchst du keine Firewall.

Schließe alle nicht benötigten Ports, informiere dich wie die installierten Dienste sicher konfigurierst und trage dich in entsprechende Newsletter der Hersteller ein.

Wenn euer Firmennetz eine statische ip hat, kannst du ssh noch so einrichten das man sich nur von dem entsprechenden Rechner oder Subnetz anmelden kann.

Einen Anfänger an so einen Rechner zu lassen ist übrigens grob fahrlässig.

Dank der Anbindung können schnell mehrere tausend Euro Trafik oder dos, spamming attacken verursacht werden.

Wenn du dir nicht sicher bist, ob der Rechner noch sauber ist, hilft nur Daten sichern und neu aufsetzen lassen.

Gruß Jaraz

PS: ftp braucht heutzutage kein Mensch mehr

[Chicho_2001]

Okay. Ich brauche keine Firewall auf WebServer, aber die offen Ports müssen zu.

So gibts im Linux nun einen einfachen Befehl wie ich das mache?

Nach Motto: Schliesse alle Ports bis auf 80 und 23

Kann ja net so schwer sein, oder?

[Jaraz]

Die Ports kannst du nur schließen, indem du die dahinter stehenden Dienste deaktivierst und die gar nicht benötigten am besten gleich deinstallierst.

Nur ohne adäquate Linuxkenntnisse ist das nicht machbar.

Wenn ihr kein Linux/Unix Know How im Betrieb habt, wechselt besser auf einen Managed-Server.

http://hosting.1und1.com/PServSessionIdpt_de_DE=ac1704c24zdT3spN7I2vhVMKkO1DYPfM/xml/static?__page=exclusive

Gruß Jaraz

[Terran Marine]

Hallo,

In der aktuellen ix beginnnt gerade eine Artikelserie über "Sicheres Linux", mit dem Fokus auf (Web-)Server im Internet,

kann ich nur empfehlen, wobe sich der Text nicht unbedingt für Anfänger eignet.

Port 23 solltest du übrigens nicht offen lassen, da läuft das unsichere Telnet.

Eine Firewall finde ich übrigens nicht unsinnig, wobei es mir weniger um das sperren von Diensten geht (das ist der von Jaraz beschriebene Weg, diese zu deaktivieren viel besser), sondern das Abweisen von ungültigen und unsicheren Paketen (z.b. private Quelladressen oder ICMP-Pakete).

Als Logging - Funktion ist eine Firewall meines erachtens auch nicht verkehrt.

Bei euren/deinen Kenntnissen würde ich auch zu einem managed Server raten.

Und noch was (ziemlich quer den Thread), ftp ist heute durchaus noch im Einsatz, die meisten Webhoster bieten neben einer Web-Oberfläche nur ftp zum Download/Upload der Daten.

Gruß

Terran Marine

[Jaraz]

Original geschrieben von Terran Marine

Eine Firewall finde ich übrigens nicht unsinnig, wobei es mir weniger um das sperren von Diensten geht (das ist der von Jaraz beschriebene Weg, diese zu deaktivieren viel besser), sondern das Abweisen von ungültigen und unsicheren Paketen (z.b. private Quelladressen oder ICMP-Pakete).

Dann sollte man sich aber sicher sein was man macht, da die Kiste ja im 1und1 Rechenzentrum steht. Aber zum Glück haben die ein Rescue System, habe mich bei einem ssh update auch schon mal selbst ausgesperrt.

Original geschrieben von Terran Marine

Und noch was (ziemlich quer den Thread), ftp ist heute durchaus noch im Einsatz, die meisten Webhoster bieten neben einer Web-Oberfläche nur ftp zum Download/Upload der Daten.

Ich sagte ja auch nicht, dass ftp nicht mehr verwendet wird, sondern das man es eigentlich nicht mehr braucht, da mit SCP oder Webdav über SSL sichere Alternativen zur Verfügung stehen.

Gruß Jaraz

[Terran Marine]

Original geschrieben von Jaraz

Dann sollte man sich aber sicher sein was man macht, da die Kiste ja im 1und1 Rechenzentrum steht. Aber zum Glück haben die ein Rescue System, habe mich bei einem ssh update auch schon mal selbst ausgesperrt.

Das auf jeden Fall,

ist mir zwar selbst noch nicht passiert, ist aber meine größte Angst nach jeder (noch so kleinen) Änderung im Firewall Skript :cool:

Original geschrieben von Jaraz

Ich sagte ja auch nicht, dass ftp nicht mehr verwendet wird, sondern das man es eigentlich nicht mehr braucht, da mit SCP oder Webdav über SSL sichere Alternativen zur Verfügung stehen.

Wenn man die Wahl hat, sollte man auf jeden Fall NICHT mehr ftp nutzen, nur bekommt man dies in der Regel nicht von den Webhostern angeboten.

Gruß

Terran Marine

[Milhouse2k]

Hi Leute,

Frage zu FTP alternativen - Was sind SCP und Webdav ?

Danke

[Jaraz]

Kennst du google?

http://www.google.com/search?q=%22was+ist+scp%22&sourceid=mozilla-search&start=0&start=0&ie=utf-8&oe=utf-8

http://www.google.com/search?hl=en&lr=&ie=UTF-8&oe=utf-8&q=%22was+ist+webdav%22&btnG=Google+Search

Gruß Jaraz

[Milhouse2k]

Nein ich kenne Google nicht, bin ja recht neu im PC Alltag, aber der Tipp ist Gold wert und wird mir noch sehr viel Arbeit ersparen glaub ich *scherz* . Ich wollte einfach mal eine kurze Beschreibung eines Forum Users mit eigenen Worten. Die "verlinkerei" ist doch extrem unschön. Trotzdem schönen Dank. ( ... und wieder erweitern sich meine Registerkarten um zwei neue Adressen im WWW :uli )

[Jaraz]

Warum soll ich selbst anfangen zu tippen, wenn doch sowas mehrfach, ausführlich, teilweise grafisch aufbereitet, mit Hintergrundinformationen versehen im großen Netz des Wissens zu finden ist.

Bei konkreten Fragen und Problemen kann man dann selbst anfangen zu tippen. Aber alles was mit "was ist" oder "was sind" anfängt, sollte man erst einmal selber nachschlagen.

Warum, wieso, weshalb Fragen sind da schon eher für ein Forum geeignet.

Gruß Jaraz