удаленно фаервол настраиваеть? big_smile laugh
Есть примета, Удаленная настройка фаервала - к дороге
я имею ввиду, в случае если компы рядышком. В пределах помещения например. Да и сложно там ВСЁ стереть. Так, по мелочи, порты прокинуть, и т.д. Что-то закрыть, что-то открыть. rm -rf /* тоже можно набрать удалённо...
Есть примета, Удаленная настройка фаервала - к дороге =)
А чем плохо-то? Или надо каждый раз для настройки МЭ в серверную к консоли бегать? Может лучше настроить правильно sshd и управлять сервером ремутно, со специально предназначенной административной управляющей станции? Но, это уже - удаленная настройка файервола... К дороге, что-ли?
Почему все конфиги можно трогать ремутно, а конфиг с правилами МЭ трогать ремутно не моги?
По моему - к дороге это кривая настройка, минимум, sshd.
Или изначально речь идет про информзащитые Континенты, которые иначе чем с консоли и не настроишь?
А чем плохо-то? Или надо каждый раз для настройки МЭ в серверную к консоли бегать? Может лучше настроить правильно sshd и управлять сервером ремутно, со специально предназначенной административной управляющей станции? Но, это уже - удаленная настройка файервола... К дороге, что-ли?
Почему все конфиги можно трогать ремутно, а конфиг с правилами МЭ трогать ремутно не моги?
По моему - к дороге это кривая настройка, минимум, sshd.
Или изначально речь идет про информзащитые Континенты, которые иначе чем с консоли и не настроишь?
причем здесь это? если серверная под рукой, то проблема легко решаема, к примеру если есть ЦОД или какой офис, и надо там настроить удаленно что либо, или систему поднять с 0.
На нормальных серверах есть RSC, SC, IPKVM с помощью которых так же можно удаленно рулить сервером, самое главное что бы ваша cisco firewall или иной FW дал доступ к этим консолям, а если еще и сервера в dmz, то придеться опять же с бубном повозиться =)
причем здесь это? ... cisco firewall или иной FW дал доступ к этим консолям...
При том, что изначально благородный оппонет заявил тезис о недопустимости ремутного управления межсетевым экраном. То есть ими можно управлять только с локальной консоли. Я знаю такие экраны, и даже назвал один из них. Но...
Те же самые циски, насколько я помню управляются в рабочем режиме не с локальной консоли, а ремутно. Не помню только, через telnet или ssh. Но сие не важно, всё равно это не локальное, а ремутное, удаленное, управление.
Я же заявляю иной тезис - нет ничего плохого в защищенном ремутном управлении межсетевыми экранами. Более того, я прекрасно представляю себе условия, когда невозможно в корпоративной сети около каждого МЭ с локальным управлением посадить по оператору. И весь вопрос в том, как обеспечить надежную защиту канала управления межсетевым экраном. Безусловно, открывать управляющие порты во внешний мир плохо. Но держать их на стороне локальной сети и повесить там соответствующие ACL на коннект - почему бы и нет? Тем более, что это может быть единственной возможностью управления очень ремтуными МЭ в очень удаленных филиалах.
Cruiser78, +1
