abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
včera 02:20 | Zajímavý článek

David Revoy, autor open source webového komiksu Pepper&Carrot nebo portrétu GNU/Linuxu, upozorňuje na svém blogu, že nový Inkscape 0.92 rozbíjí dokumenty vytvořené v předchozích verzích Inkscape. Problém by měl být vyřešen v Inkscape 0.92.2 [reddit].

Ladislav Hagara | Komentářů: 0
včera 02:02 | Komunita

Øyvind Kolås, hlavní vývojář grafických knihoven GEGL a babl, které využívá grafický program GIMP, žádá o podporu na Patreonu. Díky ní bude moci pracovat na vývoji na plný úvazek. Milník 1000 $, který by stačil na holé přežití, se již téměř podařilo vybrat, dalším cílem je dosažení 2500 $, které mu umožní běžně fungovat ve společnosti.

xkomczax | Komentářů: 12
21.1. 23:54 | Pozvánky

DevConf.cz 2017, již devátý ročník jedné z největších akcí zaměřených na Linux a open source ve střední Evropě, proběhne od pátku 27. ledna do neděle 29. ledna v prostorách Fakulty informačních technologií Vysokého učení technického v Brně. Na programu je celá řada zajímavých přednášek a workshopů. Letos je povinná registrace.

Ladislav Hagara | Komentářů: 0
21.1. 22:11 | Nová verze

Byla vydána verze 1.0.0 emulátoru terminálu Terminology postaveného nad EFL (Enlightenment Foundation Libraries). Přehled novinek v poznámkách k vydání.

Ladislav Hagara | Komentářů: 0
20.1. 17:00 | Nová verze

Byl vydán Docker 1.13. Přehled novinek na YouTube a v poznámkách k vydání na GitHubu. Docker umožňuje běh aplikací v softwarových kontejnerech (Wikipedia).

Ladislav Hagara | Komentářů: 4
20.1. 15:51 | Komunita

Mozilla.cz informuje, že nástroje pro webové vývojáře se možná oddělí od Firefoxu a stanou doplňkem. Nástroje pro webové vývojáře prošly velkým přepisem a tým, který se stará o jejich vývoj, by uvítal možnost jejich častějších aktualizacích nezávisle na vydávání nových verzí Firefoxu.

Ladislav Hagara | Komentářů: 10
20.1. 07:00 | Humor

Čtenářům AbcLinuxu vše nejlepší k dnešnímu Dni zvýšení povědomí o tučňácích (Penguin Awareness Day).

Ladislav Hagara | Komentářů: 0
20.1. 06:00 | Komunita

Bylo spuštěno hlasování o přednáškách a workshopech pro letošní InstallFest, jenž proběhne o víkendu 4. a 5. března v Praze. Současně byla oznámena změna místa. InstallFest se letos vrací zpět na Karlovo náměstí do budovy E.

Ladislav Hagara | Komentářů: 0
20.1. 02:48 | Komunita

Greg Kroah-Hartman potvrdil, že Linux 4.9 je jádrem s prodlouženou upstream podporou (LTS, Long Term Support). Podpora je plánována do ledna 2019. Aktuální jádra s prodlouženou podporou jsou tedy 3.2, 3.4, 3.10, 3.12, 3.16, 3.18, 4.1, 4.4 a 4.9.

Ladislav Hagara | Komentářů: 0
20.1. 00:11 | Zajímavý článek

Výrobce síťových prvků, společnost Netgear, spustila nový program, který slibuje vývojářům, expertům, ale i běžným uživatelům vyplacení finanční odměny za nalezení bezpečnostních chyby v jejich produktech. Za nalezení zranitelnosti v hardware, API nebo mobilní aplikaci nabízí odměnu od 150 do 15 tisíc dolarů (dle závažnosti).

Michal Makovec | Komentářů: 0
Jak se stavíte k trendu ztenčování přenosných zařízení (smartphony, notebooky)?
 (10%)
 (2%)
 (74%)
 (3%)
 (10%)
Celkem 363 hlasů
 Komentářů: 25, poslední 21.1. 13:34
Rozcestník
Reklama

Dotaz: Jak nastavit jednoduchy firewall a nat na debianu?

19.4.2009 18:40 DennyNet | skóre: 7 | Praha
Jak nastavit jednoduchy firewall a nat na debianu?
Přečteno: 3792×

Zdravim,

mam linux stroj (dve sitove karty) s verejnou ip (eth0) (neverejnou ip na eth1) a potrebuju poradit jak nastavit fw s natem

staci napsat par radku... pro fw porty ktere potrebuju mit otevrene si tam jiz zadam sam
a radek pro nat.

Diky DennyNet

ps: pouzivam distribuci debian leny

Odpovědi

19.4.2009 21:48 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
Firewall i NAt se nastavuje příkazem iptables. Vřele doporučuju něco si o tom přečíst, jinak vám stejně bude firewall k ničemu. Pokud přesto chcete jen něco nastavit a chcete jen opsat nějaké příkazy, aniž byste jim rozuměl, budete stejně muset napsat, co chcete nastavit – neexistuje něco jako „základní nastavení fireallu“ nebo „firewall on/off“.
19.4.2009 22:03 NN
Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
Viz nahore, prectete si navody na ofcialnich strankach iptables, kde jsou i nejake ukazky. TAkova jednoducha kostra:

-PROMENNE (IP=...) -MODY (modprobe ipv6) -NASTAVENI (echo 1 > /proc/sys/net ) -FLUSH (iptables -FXZ) -DEFAULT POLICY (iptalbes -P) INTERFACE ( -i eth1) MTU (..) TOS ( -j TOS) DSCP ( -j DSCP) ICMP ( -p icmp) DHCP (..) IP ( blokovani znamich rozsahu ) TCP (-p tcp) UDP ( -p udp) NAT IN ( -t nat -A PREROUTING -j DNAT) FORWARD ( -A FORWARD) NAT OUT ( -t nat -A POSTROUTING -j SNAT) OUTPUT (-A OUTPUT) DEFAULT DENY ( -j DROP)

NN
20.4.2009 00:30 jirkamailto | skóre: 31
Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

Dobry den,

vrele doporucuji firehol firehol.sf.net . Na te strance najdete i tutorial, je to velmi jednoduche, vrele doporucuji. Jen pripominam, ze pro spousteni fireholu po startu je nutne v /etc/default/firehol zmenit start_firehol na YES.

20.4.2009 00:03 kato
Rozbalit Rozbalit vše ipmasq ;-)

apt-get install ipmasq ;)

20.4.2009 14:27 Xerces
Rozbalit Rozbalit vše Re: ipmasq ;-)

Ahoj zkusil jsem jak různý firewally shorewall, arno ... ale nakonec taky doporučuju pro tenhle jednoduchej a typickej případ instalaci ipmasq teda pokud jedeš na Debianu. V defaultní instalaci nastavuje i NAT. Takže opravdu stačí jen nainstalovat a pak už to funguje automaticky. Ale opravdu si o iptables něco přečti a nebo si počkej až budou nftables ať se to neučíš dvakrát :-D
 

20.4.2009 07:56 mozog | skóre: 28
Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
A co treba si o tom neco precist a pak se ptat s konkretnim problemem?
20.4.2009 08:45 Petr
Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

NAT zapneš jednoduše:

echo 1 > /proc/sys/net/ipv4/ip_forward

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

a firewall si udělej dle návodu na rootu.

20.4.2009 09:01 R
Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
aptitude install arno-iptables-firewall
BigWrigley avatar 21.4.2009 11:04 BigWrigley | skóre: 32
Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
Ano, tohle je pomerne jednoduche a funguje hezky, kdyz to potrebujete rychle. Jen neumi IPv6 ;-) Kadopadne ale doporucuji nastudovat primo iptables.

Ales
Linux is like a wigwam - no windows, no gates and Apache inside.
20.4.2009 16:27 jano
Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

cat /proc/sys/net/ipv4/ip_forward ak ti odpovie "1" tak smerovanie beží, ak nie tak až potom to echo 1........

 

mimochodom kdesi je tu návod na Linuxovú bránu

21.4.2009 16:06 DennyNet | skóre: 7 | Praha
Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

o iptables jsem jiz cetl hodne, ale porad nechapu jejich "tabulky"

dokonce mam i knizku kompletni kniha o linux snad i treti vydani

jenze iptables jsou pro me tak slozity, ze bych si to musel cist a cist cist porad dokola a to 24 hodin denne, a stejne bych se nic nenaucil.

naucim se jedine kdyz mi nekdo napise priklad ja si ho opisu a pak zkousim dalsi "mutace" toho prikazu..

ramcove vim co iptables umi - umi omezovat a povolovat prchod paketu, mozna se s nim da delat i qos ikdyz na to je asi lepsi jiny prikaz, dale nat

jako ip pot

21.4.2009 16:55 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
Tabulka má vždy skupinu řetězců pravidel, přičemž každý paket projde jedním nebo několika řetězy pravidle v té tabulce. Běžně se setkáte s tabulkou filter (ta se použije, pokud nezvolíte jméno jiné tabulky), a to je klasický firewall, který pakety buď propustí dál nebo je zastaví. Dál se běžně používá tabulka nat (jak je patrné z názvu, jde o NAT, tedy přepisování adres). Další tabulky mangle nebo raw asi nepoužijete.

Pokud chcete příklady, napište příklady čeho. Když vám tady napíšu pár příkladů pravidel, asi vám to k ničemu nebude. Klidně to zkusím
iptables -A FORWARD -p tcp --dport 22 -j ACCEPT
Povolí průchozí pakety (nemají zdroj ani cíl na tomto PC) protokolu TCP, které mají cílový port 22. To jsou typicky pakety SSH spojení od klienta k serveru (pakety od serveru ke klientovi mají port zdroje 22).
iptables -A INPUT -p udp --dport 53 -j ACCEPT
Povolí příchozí pakety (jejich cíl je tento PC) protokolu UDP s cílovým portem 53 (typicky to jsou DNS dotazy).
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
Ještě před routováním přepíše (NAT) všem paketům TCP směřujícím na port 80 cílový port na port 8080. (Lze použít např. pokud webový server nechcete spouště pod rootem, ale chcete umožnit uživatelům (klientům webového serveru) používat port 80, coý je standardní port pro HTTP.)
22.4.2009 00:45 DennyNet | skóre: 7 | Praha
Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?

dekuji tomu rikam odpoved ;-)

btw: jeste v tom presmerovani 80 na port 8080 se musi nekde psat zdroj a cil cili kam bych mel napsat eth0 a eth1 nebo on to linux pozna sam?

btw2: prosim napiste mi prikaz jak vse zakazat tj. ze bych :

- nejdriv na verejnou sitovku eth0 zakladal vsechno prichozi
a pak postupne zadaval radek po radku na jaky porty povolim pristup

jmenovite: 21-ftp,443-ssl, 22 ssh, 80 web, 53 dns, 5190 icq, 110, 25 (mail) atd.

22.4.2009 09:59 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: Jak nastavit jednoduchy firewall a nat na debianu?
jeste v tom presmerovani 80 na port 8080 se musi nekde psat zdroj a cil cili kam bych mel napsat eth0 a eth1 nebo on to linux pozna sam?
Síťová zařízení tam být uvedená nemusí, pak se to týká kteréhokoli zařízení. Zařízení se tedy uvádějí jen v případě, kdy chcete pravidla uplatnit jen na nějaké konkrétní zařízení. Např. pokud víte, že pouze jedno rozhraní je připojené do internetu, můžete pravidla proti útokům z internetu nastavit jen na tomto zařízení.
- nejdriv na verejnou sitovku eth0 zakladal vsechno prichozi a pak postupne zadaval radek po radku na jaky porty povolim pristup

jmenovite: 21-ftp,443-ssl, 22 ssh, 80 web, 53 dns, 5190 icq, 110, 25 (mail) atd.
To se dělá tak, že řetězci INPUT nastavíte jako výchozí politiku DROP (zahazování paketů), a pak pomocí jednotlivých pravidel povolíte jednotlivé porty. Firewall pak prochází jednotlivá pravidla, pokud se nějaké uplatní a má cíl ACCEPT, REJECT nebo DROP, procházení skončí a další pravidla se neuplatňují. Pokud nevyhoví žádné z pravidel, uplatní se výchozí politika příslušného řetězce.

Ještě je potřeba správně zacházet s tím, že pakety v jednom TCP spojení (případně UDP dotaz–odpověď) jdou ve dvou směrech a je nutné mít na firewallu povolené oba směry. Pokud chcete filtrovat jen příchozí provoz, dělá se to zpravidla tak, že filtrujete jen v řetězci INPUT a v OUTPUT necháte vše povolené. Záleží pak na tom, zda předpokládáte nějakou komunikaci zahajovanou z vašeho počítače, nebo ne. Ale minimálně DNS dotazy tam asi budete chtít mít povolené, možná i přístup na web atd.

Ještě je dobré si rozmyslet, zda budete pakety odmítat DROPem (paket pouze zahodí a nedá odesílateli žádnou zprávu), nebo REJECETem (paket zahodí, ale pošle zpět ICMP paket port nedostupný, jak je to správně podle doporučení). REJECT je sice správnější a vstřícnější k omylům druhé strany, ale zase hrozí, že váš počítač zaplaví nějakého chudáka falešnými zprávami (stačí, že někdo na váš počítač z mnoha počítačů pošle požadavek na zahájení spojení se zfalšovanou zdrojovou IP adresou).
#na výstupu nic nefiltrovat, na vstupu jen povolené
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT

#povolení příchozího řídícího spojení pro FTP – neřeší datové spojení. Pokud je povolen OUTPUT a na INPUTU navázaná spojení, bude fungovat nepasivní mód FTP
iptables -A INPUT -p tcp --dport 21 -j ACCEPT

#povolit příchozí spojení SSH, SMTP, HTTP, POP3, HTTPS
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 25 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 110 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

#povolit příchozí dotazy DNS přes UDP; přes TCP na stejném portu se dělá transfer zóny, je nutné povolit, pokud se používá tato technologie přenosu na záložní DNS servery nebo k testovacím nástrojům
iptables -A INPUT -p udp --dport 53 -j ACCEPT

#povolit pakety související s existujícím spojením – typicky příchozí pakety spojení navázaného z tohoto PC, tím se umožní libovolný odchozí TCP provoz
iptables -A INPUT -p tcp --state ESTABLISHED, RELATED -j ACCEPT 

#povolit příchozí odpovědi DNS
iptables -A INPUT -p udp --sport 53 -j ACCEPT 

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.