始终打开的出站端口

Question

哪些端口永远不能在防火墙中被阻止出站，因为这样做会阻止基本的互联网使用？我能想到的一些是：端口 53 udp/tcp -- dns，阻止这将阻止用户访问任何域端口 80 tcp - http 端口 443 tcp - https 这些都是，并且这些端口是否始终可以在连接到的每个主机上出站访问互联网？

Answer 1

在出站防火墙规则中没有需要打开完全访问的端口。

为什么？因为通过代理请求我们可以实现同样的事情，除了更多的控制。

最常见的三种：

• HTTP 代理（因此您可以关闭端口 80 和 443）
• 内部 DNS 服务器（对外部世界的代理请求）
• 内部邮件服务器（将传入和传出的邮件中继到全世界）

然后，您只需将防火墙设置为仅允许来自与运行这些服务的机器相关联的 IP 的连接。

基本上，这是一个没有真正正确答案的主观问题。

Answer 2

定义基本互联网服务的含义，例如 imap、imaps、dns、smtp、https...

egrep '(your|list|items|here)' /etc/services | awk '{print $2}'

那些端口。

不可能对“每台连接到互联网的主机”说任何话，尽管我想象绝大多数消费者都将所有这些都打开，但企业用户可能会被代理、完全被防火墙关闭等等。服务器也是如此。 。