NAT güvenlik sağlıyor mu?

IPv4-> IPv6 geçişiyle ilgili tartışmaları izliyorum ve IPv6 hiç NAT gibi görünmüyor.

Her zaman NAT'ın bazı güvenlik için v4'te yararlı olduğunu düşündüm, bilgisayarları gerçekten gizlemediğini biliyorum, ancak onları elde etmeyi zorlaştırıyor, kesinlikle NAT'ın arkasındaki bilgisayarlardaki bağlantı noktalarına erişimi sınırlandırmayı kolaylaştırıyor geçidi.

IPv6 çekişmesi, güvenlik sağlamadığı, bunun yerine gerçek güvenlik duvarlarının ve ağ geçidi yönlendiricilerinin kullanılması gerektiğidir. Tüm ev ağımın internete maruz kalma fikrini sevmiyorum.

Peki, bu iyi mi kötü mü?

NAT, ağınızın dışındaki kişilerin ağınızın iç kısmına bağlantı başlatamaması nedeniyle belirli bir güvenlik türüne izin verir. Bu, solucanları ve diğer kötü amaçlı yazılım sınıflarını azaltır. Bu biraz yardımcı olur.

Yardım etmeyen şeyler:

• Dışarıdan gelen diğer kötü amaçlı yazılımlar. Virüsler, tarayıcı kaçırma, truva atları ile sürücü.
• İçeriden herhangi bir saldırı. Herhangi bir bilgisayarın dahili olarak güvenliği ihlal edilmişse, diğer bilgisayarlarınızda ücretsiz dizginler vardır.

Öyle değil bir güvenlik duvarı.

• Güvenlik duvarları her iki yönde trafiği engelleyebilir. Bu, kötü amaçlı yazılımların kontrol bilgisayarlarına bağlanmasını veya yeni kod indirmesini engellemeye yardımcı olabilir. Ancak bunun yapılandırılması gerekir.
• Güvenlik duvarları engellediklerini günlüğe kaydedecek şekilde yapılandırılabilir, NAT hiçbir şeyi engellemez, kaydedilecek hiçbir şey yoktur.
• Güvenlik duvarları belirli IP adreslerinin ağınıza saldırmasını engelleyebilir. NAT hemen hemen hepsi (dahili ağınızdaki bir sunucuya port yönlendirmeyi yapılandırırsınız) veya hiçbir şey yapmaz.
• İyi bir güvenlik duvarı, bazı DOS saldırılarını azaltarak sınırı değerlendirebilir. NAT, hala hepsi ya da hiç.
• Muhtemelen diğer harika şeyler, çünkü bir süredir güvenlik duvarı serin özelliklerine yetişmedim.

Bu nedenle, tüm dahili bilgisayarlarda güvenlik duvarlarına ihtiyacınız vardır, çünkü herhangi bir şey tehlikeye girerse, ağınızdaki diğer her şeyi ele geçirebilir. Solucanlar, virüsler, truva atları gibi terimlerin artık bir şey ifade etmediğini unutmayın. Herhangi bir kötü amaçlı yazılım büyük bir yük yükleyebilir ve ardından ağınız içinde birden çok saldırı vektörü kullanabilir. IE sıfır gün istismarları ağınızdaki bir bilgisayarın güvenliğini aşabilir ve hepsini kaldırabilir.

Mesele şu ki, belirli bir yönde bir güvenlik alt kümesi sağlar, ancak bu başka bir şey hakkında daha az güvenli olabileceğiniz anlamına gelmez. Yine de her şey hakkında en iyi uygulamaları yapmanız gerekiyor, bu yüzden çoğu insan herhangi bir güvenlik sağlamadığını söylüyor, bu da kafa karıştırıcı çünkü bazı şeyler sağlıyor.

Öncelikle NAT, IPv4 sıkıntısı sorunu için bir düzeltmedir. Bir yan fayda olarak, güvenlik duvarı benzeri bir işlev sağlayan dahili makinelere erişimi sınırlar.

Kullandığım tüm NAT router (ev kullanımı için) var da yerleşik bir güvenlik duvarı vardı. Yo karar tüm iç makineleri biri olmadan maruz kalmalarından dolayı NAT için hala bir güvenlik duvarı gerekir.

NAT bir güvenlik özelliği değildir.

Bunu kendinize kanıtlamak için, bir güvenlik duvarı olmadan bir NAT yönlendiricisini görselleştirin. Dahili bir makine tarafından kullanılan her harici port açık bırakılır.

Bunun gibi bir NAT kurulumu güvenlik sağlamaz, çünkü dışarıdaki herkes kullandığınız son harici bağlantı noktası üzerinden dahili bağlantı noktalarınıza bağlanabilir.

Nitekim UDP zaten böyle uygulanmıştır çünkü NAT ağ geçidinin izleyebileceği bir bağlantı yoktur. Tamam, biraz yalan söyledim çünkü UDP gönderilen son IP'den almakla sınırlı. Ama korkutmak herkese, NAT yeniydi geri zaman bazı satıcılar bu hakkı alamadım ve UDP portları vardı dünyaya açık.

Bir NAT ağ geçidinde gerçek güvenliği sağlayan şey NAT değil , durum bilgisi olan güvenlik duvarıdır .

Yanlış olduğumu iddia eden yorumlar, güvenlik duvarını NAT işlemiyle karıştırmaya devam ediyor. Açıkçası, hiçbir zaman bir paket tetikleyicisine dayanan bağlantı noktası eşleme atayan eski bir yönlendiriciyle (1998 ') oynamamışlardır. Bu yönlendiriciler hiçbir devlet izleme ve hiçbir güvenlik duvarı vardı, ama onlar edildi NAT uygulanması. Güvenlik olmadan. Demek istediğim bu.

Bu konu gerçekten ilginç - Neth'e sorduğunuz için teşekkür ederim.

İşte düşüncem - NAT'ın bir güvenlik özelliği olması gerçekten teğetsel bir faydadır. Temel amacı, tek bir IP'yi birden fazla sistemde paylaşmaktır. Daha ucuz Comcast internet satın aldığınızda, size sadece tek bir statik IP adresi verir gibi durumlar vardır. Bu, aynı anda birden fazla sistemin çevrimiçi olması anlamına gelir, yönlendiricinizin NAT aracılığıyla bunları yönetmesi gerekir.

Güvenlik korkusunu takdir ediyorum, ancak yukarıdaki herkes haklı - güvenlik, NAT kurulumunuza değil güvenlik duvarınıza dayanıyor.

Güvenlik sizin için bir şeyse, ilginç / havalı seçenekler vardır.

1) Önce temelleri yapın - yönlendiricinizde güvenlik duvarı ayarları olup olmadığını kontrol edin. Eğer değerli bir şey yoksa, google ve DD-WRT (açık kaynak ve kötü bir $$ yönlendirici işletim sistemi) ile flaş olup olmadığını görün.

2) (a) FF için Cocoon eklentisi gibi bir proxy sunucu veya hizmet kullanarak (a) Sisteminizdeki sanal makinede özel bir şey çalıştırmak (c) Tor'u Yükleme yoluyla IP adresinizi soyutlayın.

Bu tür bir düşünce bir süre daha devam edebilir, bu yüzden şimdilik burada bırakacağım. Kendinizi çevrimiçi ortamda korumaya tanıyın.

Bu oldukça öznel;)

İki sentim: Evet, NAT, "ücretsiz" olarak gelen kısmi bir güvenlik duvarı gibi davranması nedeniyle güvenliği artırıyor. Ama zaten benim fikrimi dile getiriyorsunuz: Bu sadece gerçek bir güvenlik duvarını gerekli kılıyor. Ancak bu, masaüstü güvenlik duvarları olması gerektiği anlamına gelmez - birçok emtia IPv4 yönlendiricisi zaten NAT'ın üstünde bir güvenlik duvarı ile birlikte gelir.

Her şeyi özetlemek gerekirse: Yönlendirici üzerinde işlevsel, düzgün yapılandırılmış bir güvenlik duvarı varsa, NAT içermeyen bir IPv6 ağındaki bilgisayarlarda hala IPv4 (yok) ile olduğu kadar dünyaya açık olan çok sayıda bağlantı noktası olacaktır ve bağlantı noktaları yönlendirmek yerine, güvenlik duvarı istisnaları yapıyoruz.