Dotaz: Nastavení firewallu-zablokování komunikace

[InToSSH]

Dobrý den, prosím o radu, jak mám na firewallu zablokovat veškerou komunikaci, a povolit jen porty 80,25 a 110? Zkoušel jsem to podle různých návodů zablokovat, i port 80 na zkoušku, ale po bloku se stejne furt dostanu na port 80. Zkoušel jsem všechno, různé kombinace, např. : iptables -A FORWARD -i eth1 --dport 80 -j DROP Ale furt to všechno propouští. Poradte prosím jak to zablokovat. Předem díky za odpovědi.

Odpovědi

[Jooky (inactive)]

Ide o PC/server alebo router ?

[Filip Jirsák]

Pokud firewall nastavujete přímo na počítači, ze kterého pochází i ta komunikace, kterou chcete zakázat, pak

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT --dport 80 -j ACCEPT
iptables -A OUTPUT --dport 25 -j ACCEPT
iptables -A OUTPUT --dport 80 -j ACCEPT
iptables -A OUTPUT --dport 110 -j ACCEPT
iptables -A OUTPUT -j DROP

Pokud to nastavujete na routeru, pak

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD --dport 80 -j ACCEPT
iptables -A FORWARD --dport 25 -j ACCEPT
iptables -A FORWARD --dport 80 -j ACCEPT
iptables -A FORWARD --dport 110 -j ACCEPT
iptables -A FORWARD -j DROP

[InToSSH]

když jsem se pokoušel zadat

iptables -A FORWARD --dport 80 -j ACCEPT

tak mi to napsalo Unknow arg '--dport'

[InToSSH]

jo už to mám:

iptables -A FORWARD -p tcp,udp --dport 80 -j ACCEPT

[InToSSH]

nicméně to také nefunguje

[Filip Jirsák]

Co znamená „nefunguje“? Odkud a jak to zkoušíte?

[Pavel1]

A také je potřeba znát i struktura sítě. Ale jak je z tohoto a dalšího Tvého dotazu zde patrno, pokud si chceš hrát s firewallem, musíš o tom něco málo vědět. Na internetu i zde toho najdeš hodně, i článků. Takže si o tom něco přečti, určitě Ti to pomůže.

Jinak to pravidlo s DROP (nebo lepší s REJECT) by mohlo být dobré, ale záleží ještě, či eth1 jde ven kde je přesně pravidlo umístěné.

[InToSSH]

No něco o tom vím, přečetl jsem i pár návodů, např na root.cz, ale furt mi to ty porty propouští. Chci to udělat na firewallu na routeru. eth1 je do vnitřní sítě, eth0 je do netu. Struktura sítě je: poskytovatel--AP(wifi)--client(wifi)---ROUTER---AP(vsesmer)----clienti

[Petr Šobáň]

Co je na tom tak těžkého ?

# Cesta k programu iptables
IPTABLES="/sbin/iptables"

# Firevall
/sbin/iptables -X
/sbin/iptables -F INPUT
/sbin/iptables -F OUTPUT
/sbin/iptables -F FORWARD
/sbin/iptables -t nat -X
/sbin/iptables -t nat -F POSTROUTING
/sbin/iptables -t nat -F PREROUTING
/sbin/iptables -t nat -F OUTPUT
/sbin/iptables -P INPUT DROP
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -P FORWARD DROP

# Routing pouze pro navazana spojeni (stavovy firewall)
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# Pravidla pro povolene sluzby ostatnich PC

# WWW
$IPTABLES -A FORWARD -p tcp --dport 80 -j ACCEPT
#SMTP
$IPTABLES -A FORWARD -p tcp --dport 25 -j ACCEPT
$IPTABLES -A FORWARD -p udp --dport 25 -j ACCEPT
#pop
$IPTABLES -A FORWARD -p tcp --dport 110 -j ACCEPT
$IPTABLES -A FORWARD -p udp --dport 110 -j ACCEPT

# Sluzbu AUTH neni dobre filtrovat pomoci DROP, protoze to muze
# vest k prodlevam pri navazovani nekterych spojeni. Proto jej
# sice zamitneme, ale tak, aby nedoslo k nezadoucim prodlevam.
$IPTABLES -A FORWARD -p TCP --dport 113 -j REJECT --reject-with tcp-reset #AUTH server

# local
$IPTABLES -A INPUT -i lo -j ACCEPT

# Pakety od navazanych spojeni jsou v poradku
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Pravidla pro povolene sluzby routeru
# WWW
$IPTABLES -A INPUT -p tcp --dport 80 -j ACCEPT
#SMTP
$IPTABLES -A INPUT -p tcp --dport 25 -j ACCEPT
$IPTABLES -A INPUT -p udp --dport 25 -j ACCEPT
#pop
$IPTABLES -A INPUT -p tcp --dport 110 -j ACCEPT
$IPTABLES -A INPUT -p udp --dport 110 -j ACCEPT

# Sluzbu AUTH neni dobre filtrovat pomoci DROP, protoze to muze
# vest k prodlevam pri navazovani nekterych spojeni. Proto jej
# sice zamitneme, ale tak, aby nedoslo k nezadoucim prodlevam.
$IPTABLES -A INPUT -p TCP --dport 113 -j REJECT --reject-with tcp-reset #AUTH server

Doufám že jsem se nikde nesek jako základ to můžete použít.

[Petr Šobáň]

Ještě jsem zapoměl aby to fungovalo musíte povolit ještě port 53 (DNS)

#dns
$IPTABLES -A INPUT -p tcp --dport 53 -j ACCEPT
$IPTABLES -A INPUT -p udp --dport 53 -j ACCEPT

#dns
$IPTABLES -A FORWARD -p tcp --dport 53 -j ACCEPT
$IPTABLES -A FORWARD -p udp --dport 53 -j ACCEPT

[InToSSH]

Děkuji za nastavení. Po malých změnách funguje v pořádku.

[iji]

Pozor na fakt, ze iptables vyhodnocuje pravidla postupne (iptables -A vs. iptables -I, viz man iptables).

[InToSSH]

Díky moc všem za odpovědi. Už to chodí jak má.Akorát malá oprava pro ty co by se firewall nastavovali podle tohoto návodu:

nedávejte iptables -F FORWARD, smazalo to i další položky, a bez nich nešlo routování. Nejdříve zadejte: iptables -P FORWARD DROP potom zadávejte jednotlivé porty: iptalbes -I FORWARD 1 -p tcp --dport 80 -j ACCEPT.

[InToSSH]

jeste jsem zapomnel na prikaz po tom

iptables -P FORWARD DROP

,je třeba napsat

iptables -I FORWARD -j DROP

Bez toho mi to nefungovalo. A potom teprve zadávat povolení pro jednotlivé porty.

[Petr Šobáň]

Samozřejmě že to smaže pravidla co tam jsou to je účel.

K těm řádkům si musíš přidat ještě svoje nastavení natu a pod....

[InToSSH]

Ja to vyřešil tak, že jsem to smazal, a pak jsem spustil YaST a znovu ulozil nastaveni firewallu a ty pravidla se mi nastavily sami.