Primera - Estoy de acuerdo con @vartec de estrangulación "En lugar de bloquearlo, el acelerador se limite el uso de iptables -m. "como al menos parte de la solución.
Sin embargo, puedo ofrecer otra razón para no bloquear el puerto 80 de salida en todo momento. Si tiene activadas las actualizaciones automáticas de seguridad, el servidor no puede comunicarse con los PPA a través del puerto 80 para iniciar una actualización de seguridad. Por lo tanto, si tiene configuradas las actualizaciones de seguridad automáticas, no se ejecutarán. En Ubuntu actualizaciones de seguridad automática se activan en 14.04 LTS con:
sudo apt-get install unattended-upgrades update-notifier-common && \
sudo dpkg-reconfigure -plow unattended-upgrades
(then select "YES")
soluciones más elegante sería guiones ansibles de apertura el puerto automáticamente, posiblemente también modificar una regla de grupo de seguridad de AWS a través de la CLI, además de iptables si están en AWS. Prefiero modificar temporalmente mis reglas de salida a través de la CLI de AWS iniciada por un cuadro de sigilo. Esto obliga a registrar la actualización en mis depósitos de registro de AWS S3, pero nunca aparece en los registros del servidor.Además, el servidor que inicia la actualización ni siquiera tiene que estar en la ACL de la subred privada.
¿Tal vez hacer las dos cosas? A veces hay que deducir que un ataque va a retransmitir una IP interna en su subred, por lo que es conveniente duplicarlo mientras se conserva la capacidad de automatizar las copias de seguridad y las actualizaciones de seguridad.
Espero que esto ayude. Si no responde y proporciona más ejemplos de código para ser más específico y exacto. #mantenerse a salvo !
Estoy hablando de permitir que el servidor web inicie conexiones HTTP de salida (puerto 80) a otros servidores en Internet. Por ejemplo, puede tener una página PHP que tenga un widget meteorológico. Esa secuencia de comandos necesitaría solicitar los datos meteorológicos de un servicio web externo. –
ah ok, pensé que te refieres a bloquear el puerto 80 como el puerto de inicio. Si bloquea esto, entonces no puede cargar apis y tal cosa desde otras páginas. Probablemente pueda agregar algunos Sitios en los que confíe a sus reglas. Pero yo diría que bloquear el Puerto 80 generalmente no tiene mucho sentido. – evildead
desde otro punto de vista, si su servidor es pirateado y usted bloquea ese tráfico no puede cargar código de abituario desde otros sitios. Pero quién garantiza que el hacker/robot/lo que sea esté usando el puerto 80 para su solicitud :) – evildead