Administrace komentářů

Strelba - musel bych si to vygenerovat a to se mi nechce. Predpokladam, ze je to NATujici firewall, pak ti tam chybi related,established ve forwardu a prebejva ten accept (kterej, pokud ho tam chces, vyresi policy accept). Pokud to chces striktne omezit, tak potrebujes povolit pouze forward toho, co se routuje (napr ten tunel, viz niz) + propustit navazany pripojeni. Napr si nastavim ze povolim z eth1 + z tun0 state NEW (navazat pripojeni).

Neni od veci zahodit state invalid pakety(input, forward).

ICMP(ping) se povoluje s nejakym omezenim typu 5 paketu + 1/s (icmptype 8 limit: avg 1/sec burst 5). Pokud nechces dovolit zevnitr pripojeni na zadne mailserver, tak tam nema co delat drop, ale reject (vyrazne tim zkratis reakci aplikace). Maskarada ma smysl, pokud mas dynamickou a predem neznamou IP, pokud ne, nema tam co delat, ma tam bejt nat. Taky neni od veci souvisejici pravidla rozhodit do samostatnych chainu. Lip se to pak cte i adminuje. Pokud davas do outputu pravidlo accept, je blbost ho mit na policy drop. Prepni to na accept a pravidlo nepotrebujes. Tunel natovat je zoufalstvi, pokud to jen trochu lze (= z nejakyho nepredstavitelnyho duvodu nepouziva stejnej rozsah), tak ho normalne odroutuj.

To by bylo k tomu scriptu (coz neznamena, ze sem neco nepochopil spravne). Co ti tam uplne chybi, je ochrana proti prolezeni NATu a pripadne zabordelovani netu. Mel bys terminovat veskerej provoz z venku, kterej ma src/dst na privatnich prefixech + bys mel terminovat totez zevnitr (pokud je dst na privatnim rozsahu, jinym nez pouzivas, mel by to firewall rejectnout). Da se to zaridit i pravidlem v routovaci tabulce (opet, nikoli drop, ale v pripade provozu zevnitr vzdy reject).

Ty "jiny srandy" = existujou ruzne zabugovany aplikace, ktery reagujou na nestandardni sestaveni priznaku paketu (trebas zhroucenim ...), tak jako tak, vsechno nevyresis.