Dotaz: firewall a porty

[anon123]

Ahoj

Vlastnim suse distribuci a chtel bych se zeptat na neco ohledne firewallu.

Pomoci programu KOPETE jsem se pripojil na messengera. Kdyz jsem chtel poslat soubor jinemu contactu, tak jsem nemohl. Asi port byl zavreny. Tak jsem tedy port otevrel 6891.

FW_SERVICES_EXT_TCP="6891 9176 http https pop3 pop3s smtp"

Nyni je otevreny jen pro ten kopete, nebo se mi muze do systemu kdokoli nabourat. Jak to lepe zabezpecit?

To same pro port 9176, ktery je pro DCGUI-QT.

Diky

Odpovědi

[anon123]

Jeste bych dodal, ze treba ve win,kerio firewall, jsem mohl nastavit port 80 (http), ale i jen bud pro IE nebo jen pro mozillu. Tady v linuxu mi to asi nerozlisuje, protoze se na web dostanu jak z mozilly, tak pres konqueror.

Diky za rady.

PS. Vsichni tady nastavuji firewall trosku jinak. Suse ma jiny system ve firewallu. Muzete mi k tomu neco rici.

[jm]

Kerio Personal Firewall je aplikacni firewall. Iptables jsou stavovy firewall. Stavovy firewall neumi rozlisovat mezi jednotlivymi aplikacemi, ty ho nezajimaji.

[anon123]

a jak docilim v linuxu toho aplikacniho firewallu?

[jm]

Myslim, ze to delat opravdu nechcete.

Pokud vas to zajima, prectete si pro zacatek napr.

http://www.linuxjournal.com/article.php?sid=7296
http://www.balabit.com/products/zorp_gpl/tutorial/

[Jiří Hlinka]

chtel bych se zeptat... PROC si myslis ze aplikacni firewall by nechtel? ve firewallech se nevyznam,ale obecne mi pripada bezpecnejsi povolit napr. pristup na internet konkretnimu programu nez povolit cely port. V cem to vezi??? Diky ze odpoved

[anon123]

Tak stejne jsem myslel i ja. Ale asi to nebude tak jednoduche. Takhle se mi to zda dost nezabezpecene. Kazdy tim proleze.

[Michal Marek (twofish)]

a) iptables se vsemi ruznymi conntracky jsou aplikacni azaz :)

b) V cem vam to pripada bezpecnejsi? Pokud muzou ostatni programy ten jeden vyvoleny prohlizec nejak ovladat (prikazova radka / mozilla -remote / DDE / OLE / buhvico), muzou ho pouzit k vymenne informaci s vnejskem. Obecne se na Linuxu a spol povazuje za dostatecne velky pru*pip* kdyz s vasimi pravy bezi cizi kod, jestli neco posila ven uz je podruzne. V "jinych systemech" dokud takova potvurka nenapacha prilis skody tak si z toho uzivatele moc starosti nedelaji. (Posledni vedu neberte jako namet na flamewar).

c) Pokud chcete, funguje to i na Linuxu. V man iptables hledejte "owner".

[Jiří Hlinka]

moc díky za info a nasměrovnání. Jirka

[anon123]

U me bude asi problem, ze suse pouziva susefirewall2, kde se konfiguruje trosku jinou formou. Nebo se mylim?

[Michal Marek (twofish)]

Neznam SUSE, ale IMHO vam nic nebrani napsat si vlastni skript pro iptables kdyz tak touzite po matchovani podle pid / uid / jmena programu. Ale hlavne bych tenhle "problem" vubec neresil, dulezite je filtrovat spojeni zvenci k vam. Jedine vyuziti toho ipt_owner co me napada je povolit odchozi TCP spojeni s cilovym portem 25 jen uzivateli, pod kterym bezi MTA, aby uzivatele nesirili mailove viry/cervy. Ale to na Linuxu (zatim) snad nehrozi.

Takze NEPROPADEJTE PANICE :)

[Ladislav Sückr]

v SuSEfirewall2 se položkou FW_SERVICES_EXT_TCP otevírají porty (služby) na síťovém rozhraní do internetu tzn. že jsi umožnil připojení VŠEM kteří se chtějí připojit na http, https, .... z internetu. V případě KOPETE navazuješ spojení zevnitř ven a to s tímle nemá nic společného

[anon123]

Koukam, ze vy v SuSEfirewall2 mate prehled. Muzete mi to jeste nejak osvetlit prosim. Moc tomu nerozumim. Teprve to studuju. To znamena, ze bych to mel nastavit v FW_SERVICES_INT_TCP? Nebo s cim to ma spolecneho? Diky

[jm]

Vzdyt je to popsano v tom konfiguracnim souboru...

# Which services ON THE FIREWALL should be accessible from either the internet
# (or other untrusted networks), the dmz or internal (trusted networks)?
# (see no.13 & 14 if you want to route traffic through the firewall) XXX
#
FW_SERVICES_EXT_TCP=""
FW_SERVICES_DMZ_TCP=""
FW_SERVICES_INT_TCP=""

EXT --> sluzby pristupne z Internetu
DMZ --> sluzby pristupne z DMZ
INT --> sluzby pristupne z interni site (LAN)

[anon123]

vim, ze to tam je popsany. Prave jsem si myslel, ze jsem to zapsal zpravne. Ale asi ne. Nebo nevim... jak pisu dole jsem z toho zblbly . Kam by jsi ty treba zapsal port kopete, aby ti bylo umozneno posilat soubory z tveho pocitace na jiny prave prostrednictvim kopete. Ext nebo int tcp. Ja myslim ext.

[jm]

Na to ti nikdo neodpovi, protoze to taky zavisi na nastaveni firewallu u druhe strany. Obecne receno je v tomto pripade jakekoliv povolovani serveru z internetu zbytecne, k tomuhle slouzi moduly iptables z patch-o-matic (ip_nat_irc, ip_conntrack_irc, ip_nat_mms, ip_conntrack_mms)

[anon123]

asi jeste musim trosku studovat

[Ladislav Sückr]

osobně si myslím že problém nebude ve firewallu ale někde jinde
co říkají logy? /var/log/warn, messages, firewall, .... ??
když vypneš firewall (rcSuSEfirewall2 stop) tak to jede?

[anon123]

Ja nemam problem. Zkuste si precist prispevek. Je jsem se tazal, jetli je to bezpecne. Ta konfigurace, co jsem uvedl funguje. Myslel jsem, ze kdyz tam je take port http (80), tak by tam vlastne mel byti i ten kopete i dcgui-qt. Tak ted jsem uplne zblbly a nevim vlastne co kam patri

[Ladislav Sückr]

v položce FW_SERVICES_EXT(INT, DMZ)_TCP(UDP)=" " se otevírají porty z hlediska serveru, tzn. přípojení z venku dovnitř. Pokud by jsi chtěl nastavit konkrétní služby pro konkrétní IP adresy tak se podívej na položku FW_TRUSTED_NETS=" ". Klienti kteří navazují spojení zevnitř ven mají přiděleny porty od 1024 do 65535 NÁHODNĚ a SuSEfirewall2 je v základním nastavení nijak neblokuje.
Ale zpět k dotazu - v tvém případě jsi povolil komukoliv z internetu se připojovat na porty uvedené v FW_SERVICES_EXT_TCP . Nebezpečné je to v případě že na těch portech opravdu běží služby které jsi třeba nekonfiguroval pro provoz na internetu ale jen na localhostu.

[anon123]

Je to trosku pro me spanelska vesnice. Tak bych vas poprosil o konkretni priklad. Do jake polozky by jste teda u susefirewall2 zapsal ten port kopetu. Prijem souboru fungoval bez problemu. Odesilat jsem nemohl. Dejme tomu ze port je xxxx. Jak by to tedy podle vas bylo nejbezpecnejsi. Diky moc za vase rady. Tohle me totiz dost zajima.

[jm]

Pokud nefunguje odesilani, tak je problem IMHO na druhe strane dratu...

[Ladislav Sückr]

tak tak

pokud by to firewall blokoval bylo by to v logu /var/log/firewall nebo /var/log/warn
defaultně firewall spojení ven nezakazuje

[Ladislav Sückr]

ještě mě napadlo : bohužel neznám (nepoužívám) KOPETE ale pokud to funguje jako P2P to znamená že zároveň nabízíš obsah i ty tak musíš povolit navázání spojení i z venku a to je v defaultním nastavení SuSEfirewallu blokované (FW_ALLOW_INCOMING_HIGHPORTS_TCP="no"). Pak ta nefunkčnost může být jenom vnitřní logikou KOPETE - nenabízíš (nejde se napojit z venku) - nedostaneš. A pokud k příjmu používá výhradně port xxx tak se musí povolit spojení z venku na ten port. Pak by to bylo správně.

[anon123]

Tady je priklad:

Chci odeslat soubor z kopete (sit msn messenger):
- defaultni nastaveni susefirewall2 nejde odeslat soubor jinemu contactu
- takhle vypada polozka, kde jsou povolene porty

FW_SERVICES_EXT_TCP="http https pop3 pop3s smtp"

Kdyz pridam port 6891 do

FW_SERVICES_EXT_TCP="6891 http https pop3 pop3s smtp"

tak jde odeslat soubor jinemu contactu
Je tento zapis spravny? Chci se jen ujistit, ze to delam spravne nebo blbe.

[jm]

No kdyz to pak jde, tak je bezpochyby spravny, ovsem princip fungovani SUSE firewallu mi nejak zacina uchazet, zrejme nuti uzivatele nadelat si do systemu co nejvetsi diry kvuli kazde aplikaci, nebo ja vazne nevim. Neda se to odinstalovat a pouzivat normalni iptables? Nebo jsem taky uplne blbej a nepochopil jsem genialitu celeho reseni?

[anon123]

Prave ja take ne. Kazdy tady pouziva zapis iptables. Take bych mozna radsi vse konfiguroval ruco, ale nevim jak se toho susefirewall zbavit. Da se vypnout v runlevelu. Ale jak pak prejit na ty iptables. Nejsem v linuxu az tak daleko.

[anon123]

Tady je druhy priklad:

Nastaveni dcgui-gt:
- defaultni nastaveni susefirewall2 nefunguje activni mode dcgui-gt
- takhle vypada polozka, kde jsou povolene porty

FW_SERVICES_EXT_TCP="http https pop3 pop3s smtp"

dcgui-qu manual radi
Machine running dcgui-qt has a public IP address, e.g. a dialup modem connection.

$IPTABLES -A INPUT -i $EXTIF -d $PUBLICIP -p tcp --dport 9176 -j ACCEPT
$IPTABLES -A INPUT -i $EXTIF -d $PUBLICIP -p udp --dport 9176 -j ACCEPT

Tak jsem pridal port 9176 do techto polozek:

FW_SERVICES_EXT_TCP="9176 http https pop3 pop3s smtp"
FW_SERVICES_EXT_UDP="9176"

tak funguje
Je tento zapis spravny? Chci se jen ujistit, ze to delam spravne nebo blbe.

[jm]

Prosimvas samozrejme ze je spravny, jenze narozdil od odesilani souboru pres MSN je DC sluzba (server), ktery bezi na vasem pocitaci.

Proste nechapu, proc bych mel kvuli odesilani souboru pres nejaky port ze sveho pocitace otevirat porty pro prichozi spojeni, kdyz soubor posilam ja a odchozi porty mam vsechny povoleny.

[anon123]

Jo tak na to vam asi neodpovim. Ale pokud to tam nedam tak MSN nefunguje. Muzu prijmout soubor, to je bez problemu. Ale neodeslu. Pokud tam ten port dam, tak odeslu.

[anon123]

Jeste mozna dodam, ze mam ADSL, dynamickou IP

[anon123]

Tak jeste nova zprava k MSN Messenger. Kdyz necham v defaultu

FW_SERVICES_EXT_TCP="http https pop3 pop3s smtp"

a predelam tuto polozku z "no" na "yes"

FW_ALLOW_INCOMING_HIGHPORTS_TCP="yes"

tak to take funguje

Ale co je vetsi zlo?

K polozce "FW_ALLOW_INCOMING_HIGHPORTS_TCP" se pise

How is access allowed to high (unpriviliged [above 1023]) ports?
#
# You may either allow everyone from anyport access to your highports ("yes"),
# disallow anyone ("no"), anyone who comes from a defined port (portnumber or
# known portname) [note that this is easy to circumvent!], or just your
# defined nameservers ("DNS").
# Note that you can't use rpc requests (e.g. rpcinfo, showmount) as root
# from a firewall using this script (well, you can if you include range
# 600:1023 in FW_SERVICES_EXT_UDP ...).
# Please note that with v2.1 "yes" is not mandatory for active FTP from
# the firewall anymore.
#
# Choice: "yes", "no", "DNS", portnumber or known portname,
#         if not set defaults to "no"
#
# Common: "ftp-data", better is "yes" to be sure that everything else works 

[Ladislav Sückr]

řekl bych že menší zlo je ten první případ (s jedním portem) - je to bezpečnější. FW_ALLOW_INCOMING_HIGHPORTS_TCP je povolení pro všechny porty nad 1023.

SuSEfirewall2 je skript který jaksi uživatelsky přívětivě vygeneruje pravidla pro iptables, nic víc a nic míň

[anon123]

diky

[anon123]

kazdopadne si jdu koupit v pondeli nejakou knihu o firewalls.