Administrace komentářů

Jste na stránce určené pro řešení chyb a problémů týkajících se diskusí a komentářů. Můžete zde našim administrátorům reportovat špatně zařazenou či duplicitní diskusi, vulgární či osočující příspěvek a podobně. Děkujeme vám za vaši pomoc, více očí více vidí, společně můžeme udržet vysokou kvalitu AbcLinuxu.cz.

Příspěvek

4.3.2006 22:22 kibo | skóre: 17 | blog: Fedora Core 4 | Znojmo
Rozbalit Rozbalit vše konfigurace iptables ve Fedora Core4

Děkujeme za opravy a inspirující podněty. Dokumentace mame spoustu, avsak nektere poktocile volby nam zatim nejsou uplne jasne. Snazili jsme se spravne reagovat na vsechny vase podnety. S vasi pomoci a dokumentace z Internetu jsme slozili finalni verzi. Dekujeme za pomoc.

Jeste dotaz: Mame filtrovat i OUTPUT?

iptables -A OUTPUT -p ALL -s 1.2.3.4 ACCEPT

na konci nahravame moduly. Je to nutne?

###############Moduly###########################
#nahravame moduly pro FTP, logovani, odmitnuti, omezeni a stavu
insmod ip_conntrack_FTP
insmod ipt_LOG
insmod ipt_REJECT
insmod ipt_limit
insmod ipt_state

pridali jsme ochranu pred falsovanim adres do INPUT i do FORWARD

#ochrana pred falsovani adres (spoofing)
#zakaze adresy pro lokalni site
iptables -A INPUT -i eth0 -s 192.168.0.0/16 -j DROP
iptables -A INPUT -i eth0 -s 172.16.0.0/12  -j DROP
iptables -A INPUT -i eth0 -s 10.0.0.0/8     -j DROP

omezili jsme logovani z duvodu ochrany DOS

#logujeme vsechny ostatni prichozi pakety
#logovani je nastaveno, tak ze je-li vypusteno vice jak 5 paketu
#za 3 sekundy, budou ignorovany.
# ochrana pred DOS
iptables -A INPUT -m limit --limit 3/second --limit-burst 5 -i ! lo -j LOG

Zde je finální verze našeho firewallu a routeru pro Fedora Core4

#konfigurace stavovy firewall iptables

#vycisteni vsech retezcu
iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD

#vsechno zakazeme
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP


#####################INPUT###############################

#povolime SSH pro vzdaleny pristup
iptables -A INPUT -p TCP --dport 22 -j ACCEPT

#povolime webovy server pro vsechny (443 - SSL)
iptables -A INPUT -p TCP --dport 80 -j ACCEPT
iptables -A INPUT -p TCP --dport 443 -j ACCEPT

#povolime port 113 pro programy, ktere pouzivaji autentizaci
iptables -A INPUT -p TCP --dport 113 -j ACCEPT

#povolime prichozi DNS pro vsechny
iptables -A INPUT -p TCP --dport 53 -j ACCEPT
iptables -A INPUT -p UDP --dport 53 -j ACCEPT

#povolit servisni pakety ICMP (echo, traceroute)
iptables -A INPUT -p ICMP -i eth0 --icmp-type 0 -j ACCEPT
iptables -A INPUT -p ICMP -i eth0 --icmp-type 3 -j ACCEPT
iptables -A INPUT -p ICMP -i eth0 --icmp-type 8 -j ACCEPT
iptables -A INPUT -p ICMP -i eth0 --icmp-type 11 -j ACCEPT

#povolime prichozi pakety z eth1  na port 80 a 443(www), 21(ftp),
# 22(SSH), 25(SMTP)
iptables -A INPUT -p ALL -i eth1 --dport 80 -j ACCEPT
iptables -A INPUT -p ALL -i eth1 --dport 443 -j ACCEPT
iptables -A INPUT -p ALL -i eth1 --dport 21 -j ACCEPT
iptables -A INPUT -p ALL -i eth1 --dport 22 -j ACCEPT
iptables -A INPUT -p ALL -i eth1 --dport 25 -j ACCEPT 

#povolit rozhrani loopback
iptables -A INPUT -p ALL -i lo -j ACCEPT

#umoznime odchozim pripojenim z tohoto pocitace odpovidat
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 

#logujeme vsechny ostatni prichozi pakety
#logovani je nastaveno, tak ze je-li vypusteno vice jak 5 paketu
#za 3 sekundy, budou ignorovany.
# ochrana pred DOS
iptables -A INPUT -m limit --limit 3/second --limit-burst 5 -i ! lo -j LOG

#ochrana pred falsovani adres (spoofing)
#zakaze adresy pro lokalni site
iptables -A INPUT -i eth0 -s 192.168.0.0/16 -j DROP
iptables -A INPUT -i eth0 -s 172.16.0.0/12  -j DROP
iptables -A INPUT -i eth0 -s 10.0.0.0/8     -j DROP


###########################OUTPUT###########  

#povolime vystup z IP eth0
iptables -A OUTPUT -p ALL -s 1.2.3.4 ACCEPT //OUTPUT nijak neomezuji.?
iptables -A OUTPUT -p ALL -o lo -j ACCEPT        

#logujeme vsechny ostatni odchozí pakety
iptables -A OUTPUT -j LOG

###########################FORWARD###########  
#povolime pakety z vnitrni site na port 80,443(ssl), 
21(ftp),22(ssh),25(smtp), autentizace(113)
#
iptables -A FORWARD -i eth1 --dport 80 -j ACCEPT
iptables -A FORWARD -i eth1 --dport 443 -j ACCEPT
iptables -A FORWARD -i eth1 --dport 21 -j ACCEPT 
iptables -A FORWARD -i eth1 --dport 22 -j ACCEPT          
iptables -A FORWARD -i eth1 --dport 25 -j ACCEPT
iptables -A FORWARD -i eth1 --dport 113 -j ACCEPT

#povolime pakety z internetu, které již patří k existujícímu spojení
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT 

#ochrana pred falsovani adres (spoofing)
#zakaze adresy pro lokalni site
iptables -A FORWARD -i eth0 -s 192.168.0.0/16 -j DROP
iptables -A FORWARD -i eth0 -s 172.16.0.0/12  -j DROP
iptables -A FORWARD -i eth0 -s 10.0.0.0/8     -j DROP



#################Routovani##################
iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 1.2.3.4



###############Moduly###########################
#nahravame moduly pro FTP, logovani, odmitnuti, omezeni a stavu
insmod ip_conntrack_FTP
insmod ipt_LOG
insmod ipt_REJECT
insmod ipt_limit
insmod ipt_state

V tomto formuláři můžete formulovat svou stížnost ohledně příspěvku. Nejprve vyberte typ akce, kterou navrhujete provést s diskusí či příspěvkem. Potom do textového pole napište důvody, proč by měli admini provést vaši žádost, problém nemusí být patrný na první pohled. Odkaz na příspěvek bude přidán automaticky.

Offtopic diskuse použijte pro diskusi mimo záběr našeho portálu (včelařství, windows), která by měla být smazána.
Duplicitní diskuse je určena pro případ, kdy uživatel odeslal svůj dotaz několikrát.
Návrh na cenzuru použijte, pokud komentář obsahuje urážky, vulgarismy nebo porušuje zákony.
Návrh na smazání komentáře je velmi neobvyklá akce používaná obvykle při nepovolené reklamě či spamu, výkřicích psychicky nemocných jedinců (ještírci) nebo pro smazání duplikátních komentářů.
Oprava formátování je žádost pro úpravu formy příspěvku, například pokud někdo píše bez odstavců nebo použije PRE pro celý komentář. Žádosti o změnu obsahu budou zamítnuty.

Vaše jméno
Váš email
Typ požadavku

Slovní popis