Fujitsu BS2000 SE Serie Sicherheitshandbuch Seite 71

SE Server - Sicherheitshandbuch - Benutzerhandbuch
UDP ntp (123)
UDP snmp (161)
UDP snmptrap (162)
UDP syslog (514)
UDP dhcpv6-client
(546)
UDP loadav/kerberos-
iv (750)
UDP multicast-ping
(9903)
ICMP -
Tabelle 1: Ports für eingehende Verbindungen
Durch den auf den Systemen installierten Paketfilter (SuSEfirewall2) sind diese Ports für eingehende Verbindungen
(incoming) freigeschaltet, alle anderen Ports sind gesperrt.
Für ausgehende Verbindungen (outgoing) sind in dem Paketfilter alle Ports freigeschaltet.
Ein im Paketfilter freigeschalteter Port für eingehende Verbindungen stellt kein Sicherheitsrisiko dar, solange der
diesen Port nutzende Dienst nicht gestartet wird, weil das System jeden Verbindungsversuch blockiert.
Hinweis zu HNC und SU x86
Bei Verwendung der Net-Storage-Funktionalität über die Netzwerke MANPU und DANPU gibt es an diesen Units
direkte ausgehende Verbindungen, welche aber kein Sicherheitsrisiko darstellen.
Einstellungen der externen Firewall
Die in der Tabelle 1 beschriebenen Ports müssen ggf. in der externen Firewall freigeschaltet sein. Ausnahmen sind
TCP 10021-10022, welche der redundanten SKP-Funktionalität der MUs innerhalb des SE Servers dienen.
Außerdem müssen ggf. auch Ports für weitere optional genutzte Funktionen mit ausgehenden Verbindungen
freigeschaltet werden.
Bei Verwendung von LDAP der in SEM eingestellte Port LDAP-Port (je nach Portokoll standardmäßig 389 oder
636), sowie die Ports 88 und 750 für Kerberos.
Für die SNMP-Abfragen muss in der Firewall der Port 161 geöffnet sein.
Für Traps der Port 162.
Beispiele:
Verbindung zu einem LDAP-Server, standardmäßig TCP-Port 389
NFSv4-Port TCP 2049 bei Verwendung der Net-Storage-Funktionalität
Im Falle von ROBAR müssen die für den Zugang zu den Speichersystemen nötigen Ports freigeschaltet werden.
Einbindung in das Network Time Protocol (NTPl) [ RFC5905 ]
Für lesenden SNMP-Zugriff durch Management-Stationen
Für Empfang von SNMP-Traps von der Hardware-Überwachung
Für die Überwachung von Komponenten (SYSLOG)
Optional: Der DHCPv6-Client-Port wird bei entsprechender Konfiguration einer LAN-
Schnittstelle genutzt.
Optional: Für Kerberos Version IV
Für die Überwachung von Komponenten [ RFC6450 ]
Internet Control Message Protocol (ping)
71