标签: firewall

我已经在我的 Windows 7 计算机上安装了 Apache 服务器。我可以通过在浏览器的地址栏中键入http://localhost/来显示默认的 index.php 。

但是，我仍然无法通过键入我的计算机的 IP 地址来查看此页面（既不是本地（来自同一台计算机）也不是全局（来自连接到 Internet 的另一台计算机））。

有人告诉我，我需要打开端口 80。我做到了（以此处描述的方式），但没有解决问题。

首先，我想检查哪些端口已打开，哪些未打开。例如，在尝试打开之前，我不确定端口 80 是否已关闭。我也不确定它在我尝试打开后是否打开。

我试图运行一个用 Python 编写的非常简单的 Web 服务器。为此，我使用了端口 81，它工作正常！而且我没有尝试打开端口 81。因此，它默认打开。那么，如果81是默认开启的，为什么80不是呢？或者它是？

附加信息：
1. 在我的 httpd.conf 文件中，我有“Listen 80”。
2.这个网站告诉我我电脑的80端口已经打开了。
3. 如果我尝试http://myip:80和http://myip:81 ，我会得到不同的响应。在最后一种情况下，浏览器（Chrome）告诉我链接已损坏。在第一种情况下，我得到：禁止您无权访问 / 在此服务器上。
4. IE 显示“该网站拒绝显示此网页”。

我正在对我的 Colo 进行硬件更新，我只需要将我的 UFW 规则从我的旧服务器复制到我的新服务器。我似乎无法让他们将所有活动规则从我的旧服务器复制到我的新服务器。

如何在服务器之间复制我的活动 UFW 规则？

我已经看到许多资源解释如何设置服务器的防火墙以允许 HTTP 标准端口（80和443）上的传入和传出流量，但我不明白为什么我需要它们中的任何一个。我需要解除双方的“正规”的网站的工作？为了文件上传工作？是否存在建议取消阻止一个而让另一个被阻止的情况？

抱歉，如果这是一个基本问题，但我在任何地方都找不到它的解释（我也不是以英语为母语的人）。我知道在“常规”网站中，客户端始终是发起请求的人，因此我假设 Web 服务器必须接受这些端口上的传入流量，我的常识告诉我服务器可以发送响应没有解锁任何其他东西（否则拥有两种类型的规则是没有意义的）。那是对的吗？

但是什么是传出 Web（服务）流量，它的用途是什么？AFAIK 如果服务器想启动与另一台机器的连接，重要的特定端口是另一端的端口（即目标端口是80），在其一端可以使用任何空闲端口（源端口将是随机的） ）。我可以从我的服务器（wget例如使用）打开 HTTP 请求，而无需解除任何阻塞。所以我假设我的“传入”和“传出”概念在某种程度上是错误的。

在 CentOS 6 中，我可以setup从命令行输入，然后我会看到一组工具，其中一个是Firewall configuration. 我仍然可以在 CentOS 7 中执行此操作，只是列表不再Firewall configuration作为选项包含在内。

有谁知道我现在在哪里可以找到它以及它为什么被移动了？

这是我过去允许通过HTTP和传入流量的地方HTTPS。如果有更好的方法，我很乐意接受建议。谢谢。

这是一个建议的 关于理解和调试 Linux 系统上的软件防火墙的规范问题。

为了回应 EEAA 的回答和@Shog 的评论，我们需要一个合适的规范问答来结束关于 iptables 的常见的相对简单的问题。

什么是调试 Linux 软件防火墙问题的结构化方法，netfilter包过滤框架，通常被用户界面接口iptables引用？

有哪些常见的陷阱、反复出现的问题和简单或更模糊的事情，以检查偶尔的防火墙管理员可能会忽略或以其他方式从了解中受益？

即使您使用诸如UFW、FirewallD（又名firewall-cmd）、Shorewall或类似的工具，您也可以从没有这些工具提供的抽象层的情况下查看引擎盖中受益。

这个问题不是用于构建防火墙的方法：检查产品文档，例如为iptables Trips & Tricks贡献食谱或搜索标记的iptables ufw firewalld firewall-cmd问题以获取现有的常见且备受推崇的高分问答环节。

我知道密钥服务器正在使用端口 11371，但在许多情况下，您不允许连接到此端口，也无法添加

无法修改防火墙配置的情况很多。

失败的示例命令

 gpg --keyserver keyserver.ubuntu.com --recv-keys 0A5174AF

你如何解决这个问题？

背景，很长一段时间以来，我们的防火墙都存在问题，有时会导致 HTTP 请求挂起部分加载，直到 TCP 超时。

在跟踪防火墙上的流量后，我注意到它仅在某些时间条件下发生，例如，在客户端在有效负载上发送第二个 ACK​​ 之前，网络服务器已经发送了整个响应。[SYN, SYN/ACK, ACK] 已交换，REQUEST 已发送并确认，第一个 RESPONSE 数据包已收到并确认，然后网络服务器一次性发送其余的响应正文（8 个数据包）包括最后一个 FIN，PSH）并且在客户端确认其中任何一个之前，防火墙拒绝向 Web 服务器发送 RST，并使客户端无限挂起。

这是来自防火墙两侧的数据包的整个wireshark跟踪。192.168.126.161 是客户端的私有 NAT'et IP 地址。172.16.1.2是网络服务器IP（不显示真实公网IP），10.1.1.1是防火墙外部IP（不显示真实公网IP）

2105 0.086275 192.168.126.161  172.16.1.2       TCP 37854 > http [SYN] Seq=0 Win=5840 Len=0 MSS=1460 SACK_PERM=1 TSV=89375083 TSER=0
2106 0.000066 10.1.1.1         172.16.1.2       TCP 37854 > http [SYN] Seq=0 Win=5840 Len=0 MSS=1460 SACK_PERM=1 TSV=89375083 TSER=0
2107 0.002643 172.16.1.2       10.1.1.1         TCP http > 37854 [SYN, ACK] Seq=0 Ack=1 Win=32768 Len=0 MSS=1460
2108 0.007705 172.16.1.2       192.168.126.161  TCP http > 37854 [SYN, …

传统上，所有防病毒程序和IPS系统都使用基于签名的技术工作。然而，这对防止零日攻击没有多大帮助。

因此，可以采取哪些措施来防止零日攻击？

我有一个防火墙/路由器（不做 NAT）。

我用谷歌搜索并看到了相互矛盾的答案。看来 UDP 500 是常见的。但其他人很困惑。1701、4500。

有人说我还需要允许 gre 50、或 47、或 50 和 51。

好的，哪些端口是 IPSec/L2TP 在没有 NAT 的路由环境中工作的正确端口？即我想使用内置的 Windows 客户端连接到此路由器/防火墙后面的 VPN。

也许这里的一个很好的答案是指定在不同情况下要打开哪些端口。我认为这对很多人来说都是有用的。

“堡垒主机”和“跳跃主机”之间有什么区别/相似之处？它们通常可以互换使用吗？