Portál AbcLinuxu, 30. dubna 2025 10:38
7.7.2007 17:39
| Přečteno: 3928×
|
rpm ze stránek projektu. Po instalaci balíčku příkazem
rpm -Uhv firehol*.rpmjej přidáme mezi služby tak, aby se spouštěl automaticky při startu:
chkconfig --add firehol chkconfig firehol onNyní přistoupíme k vlastní konfiguraci. V oblíbeném editoru otevřeme soubor
/etc/firehol/firehol.conf. Soubor začíná verzí konfigurační souboru:
version 5
interface, pro každé síťové rozhraní jednu:
interface eth0 NET
policy drop
protection strong
server ident reject with tcp-reset
server http accept
server icmp accept
server ssh accept src 1.2.3.4
server vnc accept src 1.2.3.4
client all accept
eth0 a naše pojmenování NET, které bude použito pro generování iptables řetězců (chains) a v logu (který po odladění fireholu doporučuji vypnout).
server. Hodnoty mohou být drop - zahození packetu bez upozornění nebo reject - zahodí packet a pošle ICMP upozornění klientovi, že tu cesta nevede.
server následuje jméno služby (buď známé nebo ručně definované) služby a její povolení parametrem accept nebo zakázání parametrem reject nebo drop.
Obvykle si vystačíme s jednoduchou definicí:
server http acceptkterou povolujeme připojení z venčí na náš webový server. Dále je možné pomocí parametru
src definovat IP, ze kterých povolíme, nebo naopak zakážeme připojení. Např:
server ssh accept src 1.2.3.4povoluje připojení na šifrovaný terminál pouze pro vybranou
IP
client all acceptTím by měla být definice rozhraní hotová. Pokud má náš stroj s více síťovými rozhraními sloužit také jako router, je nutné definovat sekce
router
router:
router LAN2NET inface eth1 outface eth0
route all accept src 192.168.5.3
route all accept src 192.168.5.4
route all accept src 192.168.5.10
route all drop
Za definicí router následuje pojmenování a definice síťových rozhraní pro vstup a výstup packetů. Opět si ve většině případů vystačíme s
route all acceptale zde je vhodné vyjmenovat jednotlivé IP, které mají mít přístup (v tomto případě) na Internet. Opět můžeme definovat jednotlivé služby, které dané stroje mohou na Internetu využívat. V předchozím výpisu sekce router je směr ven, který obvykle neomezujeme. Naopak je potřeba si dávat pozor na směr dovnitř:
router NET2LAN inface eth0 outface eth1
route torent accept dst 192.168.5.3
route all drop
kde je velice vhodné vyjmenovat jednotlivé služby, které mohou jít dovnitř. Zde je ukázka nastavení sekce router pro přesměrování portu pro použití bittorrent klienta na jednom PC uvnitř sítě.
interface nebo router (pak se uvažuje outface rozhraní) příkazem masquerade, ale osobně doporučuji provádět NAT pro jednotivé PC zvlášť pomocí příkazu snat:
snat to 1.2.3.4 src 192.168.5.3 snat to 1.2.3.4 src 192.168.5.4 snat to 1.2.3.4 src 192.168.5.10kde IP 1.2.3.4 je venkovní IP adresa routeru. Přesměrování portů pak zařídí příkaz
nat to-destination:
nat to-destination 192.168.5.3 proto tcp dport 6881 dst 1.2.3.4
server_servicename_ports a client_servicename_ports jak ukazuje následující příklad:
server_svn_ports="tcp/3690" client_svn_ports="default" server_torrent_ports="tcp/6881 udp/6881" client_torrent_ports="default"Parametr
default u klientských portů znamená rozsah 1024-65535, tedy běžný rozsah využitelný aplikacemi bez nutnosti běžet s právy roota, které bychom potřebovali pro použití portů nižších než 1024.
FIREHOL_LOG_LEVEL="7"v konfiguračním souboru.
version 5
FIREHOL_LOG_LEVEL="7"
server_svn_ports="tcp/3690"
client_svn_ports="default"
server_torrent_ports="tcp/6881 udp/6881"
client_torrent_ports="default"
server_vnc_ports="tcp/5902 udp/5902"
client_vnc_ports="default"
snat to 1.2.3.4 src 192.168.5.3
snat to 1.2.3.4 src 192.168.5.4
snat to 1.2.3.4 src 192.168.5.10
nat to-destination 192.168.5.3 proto tcp dport 6881 dst 1.2.3.4
nat to-destination 192.168.5.3 proto udp dport 6881 dst 1.2.3.4
interface eth0 NET
policy drop
protection strong
server ident reject with tcp-reset
server http accept
server icmp accept
server ssh accept src 4.5.6.7
server vnc accept src 5.6.7.8
server svn accept
client all accept
interface eth1 LAN
policy reject
server all accept
client all accept
router LAN2NET inface eth1 outface eth0
route all accept src 192.168.5.3
route all accept src 192.168.5.4
route all accept src 192.168.5.10
route all drop
router NET2LAN inface eth0 outface eth1
route torrent accept dst 192.168.5.3
route all drop
Tiskni
Sdílej:
stačí je jen správně a přehledně zapisovat...
Jako článek to klidně vyjít může, bude-li zájem.Já myslím, že zájem by byl
To je vsechno potreba pro linux?
Linux je prece bez viru, ne? https://www.abclinuxu.cz/software/bezpecnost/antiviry
ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.
7.7.2007 18:48
7.7.2007 19:37
7.7.2007 21:45