Bağlantı noktası filtreleme yerine Ters Proxy kullanılabilir mi?

[Mandıra Filozofu]

İnternetten Web sunucuma erişimi sınırlamak istiyorum, ancak istemciler dinamik bir IP adresine sahip olacak, dolayısıyla yapabileceğim en iyi şey, sistemi hala çok fazla kullanıcıya açık bırakan, söz konusu mobil operatöre ait tüm adresleri beyaz listeye almak.

İşlevsellik, ters proxy kullanılarak reddedilebilir (pfSense'te HAProxy kullanıyorum), böylece istek bir ACL ile eşleşmezse reddedilir. Bu yine de saldırganın HAProxy ile iletişim kurmasına ve sonuçta bir güvenlik açığından yararlanmasına olanak tanır.

HAProxy'yi arıza durumunda HTTP hata kodu vermeyecek şekilde yapılandırabileceğimi biliyorum, ancak bu yeterli mi?

Anladığım kadarıyla proxy'nin TCP bağlantı noktası hala herkese açık olacaktır. Portscan sistemleri bir HTTP kodunu geri alamazlar ancak aktarım düzeyinde açık bir bağlantı noktası görürler, değil mi?

PfSense'in yerel olarak derin paket incelemesini desteklemediğini göz önünde bulundurarak başka ne yapabilirim?

Ntop, Snort veya Suricata yardımcı olabilir mi?

Amacım internetten yapılan bağlantı noktası taramalarına açık bir bağlantı noktası göstermemek, bu IP filtreleme olmadan başarılabilir mi?

 

[Kemal Ayhan]

Amacım internetten yapılan bağlantı noktası taramalarına açık bir bağlantı noktası göstermemek, bu IP filtreleme olmadan başarılabilir mi?

Sorunuza göre hizmetinizin bu müşteriler için görünür olmasını ancak başkaları için tamamen gizli olmasını istiyorsunuz, yani bağlantı noktası iyi müşteriler dışında kimseye açık olmamalıdır.

... istemciler özel GPS izleyicileridir; VPN veya istemci sertifikası kullanamazlar

Bu yoruma dayanarak, istemciyi bağlantı noktasına erişmeden önce tanımlamanın bir yolu yoktur; yani sabit bir IP adresi yoktur ve bağlantı noktasını yalnızca kimliği doğrulanmış belirli bir istemci.

Bu aslında, istemci sisteminize gerçekten bağlanmadan sisteminizin iyi bir istemci ile kötü bir istemci arasında ayrım yapmasının mümkün olmadığı anlamına gelir; bu da bağlantı noktasının açık olmasını gerektirir.