Предлагаю изменить стандартные правила файрвола для таблицы input. Сейчас есть правила: принимать icmp, принимать established/related, блокировать с ether1, а дальше — по умолчанию принимать всё. Это работает нормально, пока ether1 — интерфейс, выходящий в интернет, потому что там уже есть правило для блокировки новых входящих соединений. Однако это рискованная настройка по умолчанию, потому что когда добавляют новый интерфейс, выходящий в интернет, например PPPoE или VPN-туннель к какому-нибудь анонимизирующему VPN-сервису, по умолчанию этот интерфейс принимает входящие соединения. Распространённая проблема — когда DNS-сервис атакуют с интернета, используя его как отражатель для DDoS. Но также возможно атаковать интерфейс настройки роутера, если пароль слабый.
Моё предложение: после правил accept icmp и accept established/related вставить правило, принимающее «new» соединения с интерфейса, обозначенного как внутренний (обычно это «bridge-local», сейчас называется «bridge», а в некоторых роутерах — «ether2-master»), а затем добавить правило drop, которое блокирует всё остальное. Тогда, когда добавляют новый интерфейс, выходящий в интернет, он по умолчанию будет закрыт. Пользователям нужно будет явно добавить правило, разрешающее трафик к роутеру с нового интерфейса, что значительно безопаснее.
Моё предложение: после правил accept icmp и accept established/related вставить правило, принимающее «new» соединения с интерфейса, обозначенного как внутренний (обычно это «bridge-local», сейчас называется «bridge», а в некоторых роутерах — «ether2-master»), а затем добавить правило drop, которое блокирует всё остальное. Тогда, когда добавляют новый интерфейс, выходящий в интернет, он по умолчанию будет закрыт. Пользователям нужно будет явно добавить правило, разрешающее трафик к роутеру с нового интерфейса, что значительно безопаснее.
