关闭没有服务运行的端口的优势

Question

关闭没有服务运行的端口是否有优势？

在 iptables 级别终止连接而不是接下来会做什么（我猜是操作系统），我会得到什么。

Answer 1

我会走另一条路线并阻止所有端口。在您需要服务时打开它们。这样做的好处是，如果您在不知不觉中启动了一项服务，您的机器就不会受到攻击。

Answer 2

优点是可以安全地使用端口。许多程序将使用伪随机端口，或者可以通过编程来使用端口。在任何一种情况下，如果您不关闭端口，它们可能会被其他主机访问。

正如弗朗索瓦所指出的，封闭式政策更安全。从关闭所有端口开始，然后在适当的方向打开您需要的端口。需要您没有或不需要本地服务器的服务是很常见的。DNS 通常是必需的，但您不需要允许传入请求。正确的网络功能需要几种 ICMP 类型 (3,4,11)，但其他类型可能会被安全阻止。通常echo有选择地启用(8)，echo-reply如果related数据包被接受，它应该启用传入(0) 消息。

大多数防火墙构建器（例如Shorewall）将允许在其示例或默认规则集中使用这些端口。