Ich hatte diese Woche die Anforderung "Wir nutzen einen Web Dienst und da steht in der Beschreibung 'Geben Sie an der Firewall Port 8090 zu api.xxx.xxx frei sonst funktioniert das nicht'"

Nun blockt unsere Firewall das natürlich. Der "einfach Weg" wäre jetzt einfach eine Regel zu machen. Ich sehe da aber das große Ganze, wenn jeder Website Betreiber solche "Extras" wollen würde, wäre der Aufwand enorm.

Wie seht Ihr das? Hättet Ihr einfach die Firewall angepasst? Seht Ihr zwingende Gründe warum das so sein muss. (IP Knappheit ließe sich m.E. mit einem Reverse Proxy besser lösen)

Schönen Gruß

you are viewing a single comment's thread
view the rest of the comments

[–] SebMaus@feddit.de 0 points 1 year ago (1 children)

Der Dienst ist im Internet und auf Port 8090 ansprechbar. Wir erlauben an der Firewall für Web nur 80/443 ausgehend. Das ganze Web spielt sich ja im Prinzip auf 80/443 ab.

[–] CoLa666@feddit.de 0 points 1 year ago (1 children)

Diese Logik habe ich noch nie verstanden. Also insbesondere das Blocken von ausgehenden Ports. Es gibt genug Dienste, die auf anderen Ports laufen. z. B. MySQL 3306, Postgres 5432, MongoDB 27015 etc. Klar kann man das alles über einen Reverse-Proxy lösen, aber genau deswegen macht es ein System ja nicht sicherer. Malware wird natürlich nur über 80/443 Daten exfiltrieren.

[–] SebMaus@feddit.de 0 points 1 year ago (1 children)

Ja klar - aber alles was du nennst sind auch keine Web Dienste. Unsere Firewall ist recht restriktiv. Und ich würde auch nicht wollen das unsere Andwender nach außen eine MySQL Datenbank ansprechen. Für Dienste die etabliert und standardisiert sind werden dann Regeln angelegt.

[–] elmicha@feddit.de 0 points 1 year ago (1 children)

Ok, dann leg die Regel halt an. "Kennen wir nicht, ham wir keine Lust zu" ist als Grund ein bisschen schwach. Wäre die API denn sicherer oder besser, wenn sie auf Port 80 oder 443 liefe? Da würdest Du nicht mal mitbekommen, dass jemand sie benutzt.

[–] alphafalcon@feddit.de 0 points 1 year ago

Die API wäre dann vermutlich nicht besser, aber mein Gefühl bei einem Dienstleister (?), der zu faul / planlos ist, seine Webservices auf Standardports ansprechbar zu machen ist nicht gut. Das riecht nach "da hat der Praktikant mal was mit nem Framework auf gebastelt und das ist jetzt produktiv"

Ist mehr ein Gesamteindruck-Bauchgefühl als eine ganz stringente Herleitung, aber ich kann OPs Bedenken durchaus nachvollziehen.

Insbesondere, weil es halt mit "Port auf" nicht getan ist. Da wollen dann noch SSL-Inspection und der Rest vom Regelwerk angepasst werden.