input/doc/firewall.mdwn

   1 Firewalling debian.org hosts
   2 ============================
   3
   4 Debian's own firewalling
   5 ------------------------
   6
   7 A number of hosts have incoming ssh connections restricted to some subnets.
   8 In particular, this includes mirrors, buildds and DSA's gitolite host.  To
   9 connect to those machines, users can hop through master.debian.org or
  10 people.debian.org.
  11
  12
  13 Third party firewalling
  14 -----------------------
  15
  16 In Debian we rely on sponsors for providing housing and hosting for all
  17 of our infrastructure.  As such, we have a lot of our gear spread out
  18 all over the world across many different locations.
  19
  20 To make our life easier our general preference is that our kind sponsors
  21 give us unfiltered internet.  That means no firewall, no blocking of any
  22 ports or protocols, no blocking of ICMP, no protocol enforcement/cleanup
  23 and no state tracking and killing sessions that appear to be idle.  We
  24 are fortunate that most places are able to provide this.
  25
  26 We also acknowledge that sometimes local policies outside of our primary
  27 hosting provider requires a less optimal setup (e.g. the Computer
  28 Science department hosts our machine but central IT which controls the
  29 University's border routers think ICMP is the devil's doing).
  30
  31 In these cases we usually ask for the following setup:
  32
  33 * allow all outgoing traffic
  34 * allow incoming ICMP
  35 * allow incoming tcp/22 (ssh)
  36 * allow all incoming from
  37   * bytemark: 5.153.231.0/24
  38   * grnet: 194.177.211.192/27
  39   * man-da: 82.195.75.64/26
  40   * osuosl: 140.211.166.192/27
  41   * sil: 86.59.118.144/28
  42   * ubcece: 206.12.19.0/24
  43   * ubc: 209.87.16.0/24
  44   * bytemark: 2001:41c8:1000::/48
  45   * grnet: 2001:648:2ffc:deb::/64
  46   * man-da: 2001:41b8:202:deb::/64
  47   * osuosl: 2605:bc80:3010:b00::/64
  48   * sil: 2001:858:2:2::/64
  49   * ubcece: 2607:f8f0:610:4000::/64
  50   * ubc: 2607:F8F0:614:1::/64
  51 * allow all return traffic on tcp/udp/etc.
  52
  53 Extra ports might be required for specific services.
  54
  55 ---
  56 Sat, 04 Nov 2017 19:34:24 +0000