Dotaz: Firewall v linuxu

[antelao]

Dobry den. Zajimalo by me, jestli nejaky firewall v linuxu umi to co "bezny" firewall pod windows. Pouzival jsem Kerio a byl jsem zvykly, ze jsem konkretnimu programu povolil pripojeni k siti na konkretnim portu. Nic vic. Pod linuxem zatim umim dany port "pouze" otevrit nebo zavrit, ale uz neumim "nadefinovat" proces, ktery to smi udelat. Pokud tedy necham otevreny napr. port 8888 tak nemam kontrolu nad tim, ktery proces ho pouzije.

Lze pod linuxem nejak nastavit pristup jednotlivych procesu k jednotlivym portum?

Dekuji za odpovedi, jiri.

Odpovědi

[bobyx]

no asi bude problem v niecom inom , pretoze ked nemam vestecku gulu , a vy nemate ani sajn ako hladat , tak s tym firewall-om to bude este tazsie mozno vam to nieco da

[kozzi]

no a kcemu to vzdyt staci vedet kterej port chces mit otevrenej a ostatni si zavrit. Jinak samozrejme vis, ktere aplikace zpoustis. No ale docela slusne vypada firestarter

[michich]

Tak zaprvé, šlo by to zařídit pomocí SELinuxu, ale to není pro slabé povahy. Zadruhé, v Linuxu to není až tak moc potřeba, protože u nás není zvykem spouštět nedůvěryhodné programy, kterým by bylo potřeba odřezávat přístup k síti. Zatřetí, ten přístup, jaký používají ty windowsí "firewally" (nastavování práv pro jednotlivé apikace) je v mnoha implementacích udělaný špatně, je obejitelný a vytváří falešný pocit bezpečí.

[Michal Kubeček]

To samozřejmě jde, máte např. podmínku --pid-owner. Pokud jsem si ale všiml, Kerio nepovoluje přístup k síti konkrétním procesům, ale konkrétním spustitelným souborům. Takže je otázkou, co vlastně skutečně chcete…

[Radoslav Masaryk]

Presne tak suhlasim s výše uvedeným. Kerio a jemu podobne firewalli vo windows su nesmysel co se tyce automatickeho otvarania portov pre programy, je to len dalsie bezpecnostne riziko. A naozaj neviem naco by ti taka "featura" v linuxu bola

[rastos]

Ak sa nemýlim, tak takýto druh firewallu vo Windowsoch umožňuje povoliť či zakázať danej aplikácii vytvoriť spojenie odchádzajúce von. Mohol by si uviesť príklad, kedy to má zmysel? Zmysel to môže mať, ak program chce odosielať dáta, a pritom to jasne nedeklaruje. Teda - chová sa ako trojan. Máš dôvod domnievať sa, že niečo také na systéme máš? Alebo existuje soft, ktorého nesieťovú funkcionalitu potrebuješ, ale jeho sieťové schopnosti chceš zakázať? Má, podľa teba, zmysel blokovať spojenia, ktoré vytvára browser, mailer, wget, whois, finger, ping, traceroute, bind, apache, ssh, ftp, ... ?

Ak preukážeš, že takúto situáciu potrebuješ riešiť, tak Ti pomôžeme nájsť riešenie.

[frdrx]

Cucám z prstu: Linux Genuine Advantage v budoucím SuSe.

[otula]

+1 Jo, to bude přesně ono

[hyperion]

to sis docela nabehl, protoze jeden evidentni priklad je treba Acrobat Reader 7.0.x:

Dukaz na lwn.net

[rastos]

> to sis docela nabehl

No jo

Predpokladám, že rada v štýle "použi iný PDF viewer" asi nie je to čo chceš počuť. V tomto konkrétnom prípade by šlo asi blokovať odchodzie spojenia na porte 80 smerujuce na adresu ... sákriš ... www.remoteapproach.com sa nedá vyresolvovať. Takže nemáme IP adresu a Acrobat Reader sa nemá kam spojiť.

Ale ako tak googlujem, tak riešením problému by mohol byť systrace. Ešte keby ten hostujúci server mal trocha lepšiu odozvu. Sigh.

[hyperion]

ale samo ze to jde jednoduse vyresit (co treba tu adresu nasmerovat na 127.0.0.1 v /etc/hosts, nebo pomoci iptables --pid-owner=acroread jak zminil M.K. vyse), ja jen kvuli tomu prikladu:)

[azurIt]

az na to, ze ten switch chce PID a nie nazov programu ;) cize by bolo treba zrobit wrapper, ktory by to pravidlo dynamicky vytvaral pri starte a pri ukonceni rusil. co by tiez nebol velky problem.

[antelao]

Děkuji za odpovědi. Vzhledm k tomu, že jsem ptal dost obecně, pokusím se svůj dotaz upřesnit. Na svém domácím PC "se seznamuju" s linuxem. Předpokládám, že je dobré si i doma nainstalovat firewall - nainstaloval jsem FireHOL a nakonfiguroval ho. Nemělo to chybu. Pak jsem nainstaloval BitTorrent klienta a upravil konfiguraci FireHOLu - otevřel jsem port nastavený v klientovi (Azureus). Nicméně sdílení neběhá podle mého očekávání - NAT/Firewall test sice hlásí, že je OK, ale jeden torrent jede, jiný ne ... Při spuštěném BitTorrentu je v logu zablokovaných požadavků vidět, jak firewall blokuje provoz BitTorrentu (pravděpodobně těch torrentů, které se nerozběhly).

Myslel jsem si, že "problém" vyřeším tak, že nastavení firewallu nechám - ale s jedním rozdílem - pouze klientovi BitTorrent (Azureus) povolím komunikaci na všech portech. - Na to jsem se snažil zeptat.

"Problém" píšu v uvozovkách, protože zas takový problém to není: Bez firewallu se cítím ohrožený - "to nemohu říct" . Nicméně pokud existuje nějaké nastavení linuxu, které zvyšuje bezpečnost PC při provozu p2p, rád bych o něm věděl. Jiří

[Zdenek]

Vtip je v tom, ze pokud nastavujete firewall tak byste o tom mel neco vedet. V tom logu prece mate proc a co se zahazuje, tak si nastavte fw aby se to nedelo a vy jste mel pozadovanou funkcnost. I kdyz se dnes vynaklada hodne prace na to, aby se Linux tvaril tak, ze nepotrebuje spravce, nastesti se to na zakladni urovni nedari.

[antelao]

No, z logu jsem, doufám správně, vyčetl, že Azureus se snaží připojovat z nejrůznějších portů na nejrůznější porty. A to i přes to, že jsem mu nastavil port 6921 (ten jsem také otevřel ve firewallu). Jedna z mnoha blokovaných položek:

Nov 14 22:05:35 localhost kernel: [17190439.788000] 'OUT-unknown:'IN= OUT=eth0 SRC=53.146.186.75 DST=89.173.27.111 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=30364 DF PROTO=TCP SPT=43827 DPT=7300 WINDOW=5840 RES=0x00 SYN URGP=0

Vyřešit to povolením všech portů je asi hloupost. Ještě budu zkoušet pohrát si s nastavením BitTorrentu. Zatím prostě nevím, proč chtěl použít zrovna port 43827 Jiří.

[Frantisek Soukup]

Viz module state v man iptables, treba takto iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Aplikacni vrstva zde: http://tuxguardian.sourceforge.net/documentation.php

[Brabi]

Když se o tu o tom bavíme, tak dodávám, že takovýto osobní firewall na desktop by měl být součástí proprietárního balíku Panda DesktopSecure for Linux. Mě ta Panda nepřijde jako čiré zlo. Víte, že třeba Kaffeine zkouší hledat obaly CD přehrávaných skladeb na Google Images? A co vy s tím? Zakážete globálně připojování na vzdálený port 80? Zakážete doménu google.com? Z tohodle úhlu pohledu vypadá Panda jako slušná utilitka, použitelná i začátečníky (Že vás napadlo opatchovat zdrojáky Kaffeine a překompilovat? Tak si řešení pro začátečníky nepředstavuji.)

[neregistrovaný]

Ja bych treba v menu 'Seznam skladeb' kaffeine odskrtnul kolonku 'automaticky stahovat obaly'.. Ale to neudelam, protoze jsou mi nejaky obaly ukradeny a ta kolonka je odskrtnuta defaultne...

Rek' bych, ze vsechny tyto nezadany pakety nekterych aplikaci (a snad jich tolik neni a v opensource pujdou ty pakety urcite zakazat - a kdyz ne v tyhle verzi programu, tak v pristi.. ) maj' nejakej svuj specifickej text v paketu, ktery se da v pripade nutnosti filtrovat. Neznam ale vykon/spotrebu toho filtru, ale asi bych mu daval prednost pred zakazovanim vystupnich paketu obecne, nebo ruznymi daemony ve stylu keria...

[neregistrovaný]

Ale ted jsem se koukal do man iptables a koukam, ze krome toho --pid-owner vyzadujiciho PID procesu je tam i volba --cmd-owner, ktera pobira nazvy programu, takze daemon neni treba a asi to bude i elegantnejsi nez filtrovat paket na text...

[Brabi]

Ja bych treba v menu 'Seznam skladeb' kaffeine odskrtnul kolonku 'automaticky stahovat obaly'..

No jo, to beru

Rek' bych, ze vsechny tyto nezadany pakety nekterych aplikaci ... maj' nejakej svuj specifickej text v paketu, ktery se da v pripade nutnosti filtrovat.

Stejně jako u toho odfiltrování specifické domény kvůli Adobe Readeru tento způsob nejdříve vyžaduje monitorování síťového provozu, pak ty pakety zkoumat a ještě vymýšlet pravidla, která by je odchycovala a mezitím si ta aplikace bude data vesele přenášet. Kdežto aplikační firewall prostě při pokusu o spojení nechá vyskočit pop-up okno a hned víte která bije. Je pravda že se bez toho dá v pohodě žít, spíš je to taková vychytávka s účelem jako má Conky nebo SuperKaramba - získáte pocit že víte co se vám v systému děje a ještě to vidíte hezky v grafice.

[neregistrovaný]

No, paklize se spokojite s tim, ze kaffeinu zakazete kvuli stahovani obalu odchozi pakety a pripravite se tak dobrovolne o streamovany video a radia, nebo pri kazdym kliknuti v prohlizeci na strankach www.youtube.com na nejaky video na Vas budou skakat popupy, jestli jo, nebo ne, tak to zase beru ja!

Pokud by Vam to treba vadilo jako me a popupy taky nesnasite jako ja, tak se drobnymu zkoumani asi nevyhnete...

[Brabi]

No mělo by to jít tak, že okno vyskočí jen na napoprvé a vy kliknete buď na accept a nebo deny a při tom zatrhnete "Enable automatic assignment of permissions" a pro příště už si to pravidlo firewall zapamatuje. Takže třeba Google bude pro Kaffeine už navždy zapovězen. Často používaným aplikacím typu Firefox povolíte všechny cílové adresy. Pop-Upy začnou vyskakovat až když budou opravdu potřeba.

Většina Windows poweruserů takovéto osobní firewally taky používá, takže to je už poměrně ověřený a funkční koncept, jehož ovládání zvládne skoro každý.

[Juro]

CONFIG_IP_NF_MATCH_OWNER - This option will add the possibility for us to do matching based on the owner of a socket. For example, we can allow only the user root to have Internet access. This module was originally just written as an example on what could be done with the new iptables. Note that this match is still experimental and might not work for everyone.