Firewall na Slackware (diskuse)

[rADOn]

Pri editovani konfigurace ulozene pomoci iptables_save je neprijemne ze obnovovaci skript je daleko haklivejsi nez by se z formatu souboru mohlo zdat a co je horsi, kdyz se mu neco nelibi vubec nerekne co. Nezbytna malickost pri sprave pres ssh - ovladaci skript musi umet obnovit smysluplny stav pokud se nepovede _restore, nejlepe asi ulozenim predchozi konfigurace.
Na druhou stranu takto ulozena konfigurace je o neco prehlednejsi a zahrnuje i hodnoty pocitadel.

[petr_p]

Přecitlivělost iptables-restore se s každou verzí zlepšuje. Nahledě na to, že tento mechanismus umí něco, co iptables neumí – atomické přidání více pravidel (vizte klíčové slovo COMMIT).

Nakonec nasazení pravidel bez jejich otestovávní považuji za nebezpečné. Tudíž já pravidla upravuji na živém stroji pomocí iptables a když jsem s nimi spokojen, tak je uložím pomocí iptables-save.

[Michal Kubeček]

Nahledě na to, že tento mechanismus umí něco, co iptables neumí – atomické přidání více pravidel (vizte klíčové slovo COMMIT).

Ale umí, vizte příkaz iptables-batch.

Tudíž já pravidla upravuji na živém stroji pomocí iptables a když jsem s nimi spokojen, tak je uložím pomocí iptables-save.

Zejména úpravy spočívající ve změně jedné IP adresy, která se vyskytuje ve dvaceti různých pravidlech, se takto realizují velmi pohodlně. :-)

[petr_p]

Ale umí, vizte příkaz iptables-batch.

Kde? iptables-1.4.0rc1 nic takového neobsahují.

[Michal Kubeček]

OpenSuSE 10.3:

  mike@lion:~> rpm -q iptables
  iptables-1.3.8-28
  mike@lion:~> rpm -ql iptables | grep sbin
  /usr/sbin/ip6tables
  /usr/sbin/ip6tables-batch
  /usr/sbin/ip6tables-restore
  /usr/sbin/ip6tables-save
  /usr/sbin/iptables
  /usr/sbin/iptables-batch
  /usr/sbin/iptables-restore
  /usr/sbin/iptables-save
  /usr/sbin/iptables-xml

Nemohu vyloučit, že si ten příkaz přidali sami, ale docela by mne to překvapilo. Zkusím se podívat do source RPM.

[Michal Kubeček]

Tak je to skutečně přidáno v tom distribučním balíčku. Ale jestli chcete, na webu je source RPM, můžete si z něj ten patch vytáhnout.

[disorder]

"2^24 comments ought to be enough for anyone" -- CmdrTaco

lol at signature :D

[rADOn]

nasel se muj stary slackovy skript : rc.iptables drzi nekolik predchozich konfiguraci, pri chybe fallbackuje na predeslou nebo na nouzovy default.

[CEST]

Pri editovani konfigurace ulozene pomoci iptables_save je neprijemne ze obnovovaci skript je daleko haklivejsi nez by se z formatu souboru mohlo zdat a co je horsi, kdyz se mu neco nelibi vubec nerekne co.

No nevim, ale me osobne se zda, ze iptables-restore jenom bere radky a pred ne nacpe prikaz "iptables". Tot vse, spis je problem, ze "iptables" nerekne, co mu kde vadi a proto ani iptables-restore nic moc nerekne.

[rADOn]

To se ti opravdu jen zda Ono to tak na prvni pohled vypada ale jsou tam ulozeny nazvy chainu, stavy pocitadel, transakce a buhvi co jeste. A pridat chain copypastovanim jsem zkusil jen jednou - a hodne rychle toho nechal...

[CEST]

Nezbytna malickost pri sprave pres ssh - ovladaci skript musi umet obnovit smysluplny stav pokud se nepovede _restore, nejlepe asi ulozenim predchozi konfigurace.

No, osobne pouzivam screen a restart firewall resim pomoci

/etc/init.d/iptables restart;for i in $( seq 1 30 );do echo "$i";sleep 1;done;/etc/init.d/iptables stop

Restartne se nova konfigurace, pak se pocita 1 - 30. Pokud to pocitani vidim, spojeni drzi, OK, dam CTRL-C a firewall zustane. Pokud si odriznu SSH, script ve screenu dopocita do 30 a zastavi komplet firewall., Ja vim, zastavit firewall neni super vec, ale pak ve screenu rychle vratim zmenu a restart, takze zas takovej problem to neni, navic by to slo opravit, aby se (1) ulozila aktualni konfigurace "iptables-save > aktualni", (2) restart firewall s tim odpocitavanim, (3) obnoveni predchozi konfigurace "iptables-restore < aktualni".

[camlost]

resim to trosinku jinak, ale to je koneckoncu vedlejsi.

jako uzitecne se mi zda mit "nekde" snadno editovatelny seznam zakazanych stroju a stejne tak snadno editovatelny seznam povolenych stroju (blacklist a whitelist).

[zvovka]

Mozna byste to reseni mohl alespon nastinit, vzdycky je lepsi mit na vyber.

Jinak toto je navod pro hracicky zacatecniky, v podstate mi slo o to ukazat jak to muze fungovat. A ta struktura co se tyka Slackware je celkem systemova. Pri psani clanku (coz je uz, priznavam, celkem dlouho) jsem mel dokonce ambice udelat z toho nejaky balicek, ale asi by to chtelo zakomponovat jeste vice funkci, jak je vicemene naznaceno v diskuzi nize, takze jsem od toho upustil.

[Heron]

Je zajímavé, že firewall a síťování obecně je na linuxu konfigurované takto podivně. Linux na síti vyrostl a očekával bych, že bude existovat jednotná konvence jak siť nastavit. Nic takového ale není a každá distribuce si to řeší po svém, tedy nejčastěji vůbec.

Jak se správně nastaví více IP na jednom rozhranní? Do nedávna jsem si myslel, že v ifcfg-eth1:x, ale tohle vytváří ip aliasy (které ale moc neva, pokud člověk používá výhradně iproute2).

Kde se nastaví seznam statických cest?

Kde je editovatelný seznam pravidel pro firewall?

Kde totéž pro shaping?

Zkrátka proč si musí každý vytvářet skripty umísťované do /etc/rc.d/rc.local?

[MMMMMMMMM]

Osobne mi prijde prehlednejsi, kdyz si sam udelam vse na miru a pak vim, kde co je a jak s tim pracovat.

[Filip Jirsák]

Zkrátka proč si musí každý vytvářet skripty umísťované do /etc/rc.d/rc.local?

Ve které distribuci? V Gentoo aliasy, routování i iptables má konfigurační soubory a příslušné init skripty.

[petr_p]

Protože pokud potřebujete nastavit věci ohledně sítí, tak musíte zatraceně dobře vědět, co děláte. A pokud víte, co děláte, tak zjistíte, že žádný sebedokonalejší nástroj se svými konfiguráky není schopen vyjádřit vše, co je možné vyjádřit kombinacá nízkoúrovňových nástrojů (třeba SLES do verze 9 vůbec nebyl připraven na advanced routing).

[Heron]

Tohle se dá říct pomalu o všem. Zrovna distribuci shaping pravidel máme vyřešené excelentně a je pravdou, že podobný nástroj v distibuci nenajdeme. Ale proč mám na CentOS cpát statické routy do rc.local nechápu.

[Michal Kubeček]

Jak se správně nastaví více IP na jednom rozhranní? Do nedávna jsem si myslel, že v ifcfg-eth1:x, ale tohle vytváří ip aliasy (které ale moc neva, pokud člověk používá výhradně iproute2).

IP aliasy to nevytváří zcela určitě, to je věc, která fungovala pouze v jádrech řady 2.0 (dřív ne a později také ne). Pokud jde o nastavení v konfiguračních souborech, je záležitost konkrétní distribuce, jestli a jak vám umožní napsat přímo do konfiguračního souboru.

[Heron]

Přes ifcfg-eth1:x

DEVICE=eth1
BOOTPROTO=static
ONBOOT=yes
IPADDR=192.168.0.128
NETMASK=255.255.255.0
NETWORK=192.168.0.0
HWADDR=00:30:4f:56:f8:2b
MTU=7000

to vytváří device pro každý takový konf. soubor:

    inet 172.16.1.1/24 brd 172.16.1.255 scope global eth1:1
    inet 192.168.218.1/24 brd 192.168.218.255 scope global eth1:2
    inet 172.16.32.1/24 brd 172.16.32.255 scope global eth1:4

kdežto ip a add ..... přidá ip ke stávajícímu rozhranní:

    inet 192.168.0.128/24 brd 192.168.0.255 scope global eth1
    inet 10.0.0.1/16 brd 10.0.255.255 scope global eth1

Jaký je v tom tedy rozdíl?

[Michal Kubeček]

to vytváří device

Nevytváří. Ani device, ani interface. To je pouze fikce, kterou vám předstírá příkaz ifconfig (a která vám může pěkně zamotat hlavu, kdybyste tomu fiktivnímu rozhraní zkusil nastavit nějaké parametry).

Jaký je v tom tedy rozdíl?

Rozdíl je jen v tom, že inicializační skript použil při volání příkazu ip parametr label (horší varianta by byla, že místo něj spustil ifconfig). Když ho použijete při ručním volání, budete tam mít label také.

[Heron]

ifconfig nepoužívám. Díky za vysvětlení, o labelech jsem nevěděl.

[kafi]

Jste bych mozna doplnil ze s ip nejde mnenit ip adresa ktera je jako "hlavni" na ethX. Pokud tedy chceme napriklad zmenit ip adresu na eth0 tak musime pouzit ifconfig eth0 atd. Toto je zasadni nedostatek jinak bezchybne utility ip. Toto se zda byt jako nepodstatne pokud ste na tom kompu ale pokud potebujete precislovat kompl vzdaleny 20km od vas je to velky problem.

[Filip Jirsák]

Co je to „hlavní IP adresa rozhraní“? Pokud chci změnit ip adresu na eth0, použiju

ip addr add 192.168.10.10 dev eth0
ip addr del 192.168.1.1 dev eth0

Nebo ne?

[Heron]

Asi to myslí tak, že když dá ip del, tak už se na ten server nedostane. Řešením je to prostě zapsat jako jeden řádek (ip a del; ip a add), nebo pokud je to ve skriptu tak změnit skrip s spustit.

[Filip Jirsák]

Pokud nejprve starou odstraní, a pak až přidá novou, tak jasně že se tam nedostane. Na pořadí záleží

PS: Raději to upřesním: Pokud nejprve starou IP adresu odstraní…

[Heron]

Jasně, může nejdřív novou přidat a starou odstranit.

PS:

[Michal Kubeček]

Jste bych mozna doplnil ze s ip nejde mnenit ip adresa ktera je jako "hlavni" na ethX. Pokud tedy chceme napriklad zmenit ip adresu na eth0 tak musime pouzit ifconfig eth0 atd.

Jak jste na to přišel? A co je to vlastně "hlavní adresa"? Jednou z podstatných změn od jádra 2.2 je právě to, že žádná adresa není "hlavní", ale všechny (kromě těch s příznakem secondary) jsou rovnocenné.

[kafi]

no neprisel jsem na to nijak, jak jste si mohl vsimnout dal jsem pojem hlavni adresa do uvozovek.A to zamerne. ja jsem svym prispevkem chtel jen rici tohle je snazsi (kratsi) prehodit adresu pomoci ifconfig nez pomoci ip. Kdyby utilitka ip obsahovala parametr replace a tim by dokazala na zaklade prefixu zmenit jednorazove ip bylo by to dobre.

[Michal Kubeček]

Jenže pak byste v první řadě musel specifikovat, kterou adresu to vlastně chcete změnit. Příkaz ifconfig má jednoduchý život: žije si v představě, že adresa se rozhraní nastavuje a že už to skoro devět let není pravda, to ho očividně netrápí. Takže si prostě nějakou adresu nahradí a která to vlastně bude, to je v rukou osudu.

[Filip Jirsák]

Takže „nejde“ znamená „nechce se mi psát dva příkazy“?

[Ondrej 'SanTiago' Zajicek]

Jak se správně nastaví více IP na jednom rozhranní?

Kde se nastaví seznam statických cest?

Prikazem ip

Zkrátka proč si musí každý vytvářet skripty umísťované do /etc/rc.d/rc.local?

Protoze je to mnohem prehlednejsi a jednodussi nez pouzivat nejaky specificky konfigurak, jehoz moznosti budou generaci za soucasnym moznostmi jadra a nastroju. Navic uzivatel uz stejne ty nastroje zna a zna shell, tak proc se navic ucit syntaxi obsurnich konfiguraku.

Nehlede na to, ze pravidla pro netfilter a shaping casto maji nejakou strukturu, kterou je mozne vyjadrit v skriptu pomoci funkci a podobnych abstraktnich konstrukci, zatimco v konfiguraku by to clovek musel rozepsat.

[Ondrej 'SanTiago' Zajicek]

> tak proc se navic ucit syntaxi obsurnich konfiguraku.

Ktere navic budou v kazde distribuci jine, narozdil od shellu a prikazu.

[Heron]

To je věc názoru. Dřív jsem si psal fw ve skriptu pomocí iptables, od doby co znám firehol na něj nedám dopustit. Přijde mi to jednodušší. Dříve jsem měl shaping v souborech ručně editovaných, nyní se generuje skript využívající tc přímo z database. Tohle je nejen jednodušší, ale přímo nutnost.

Takže v podstatě jdeme cestou od příkazové řádky ke specializovaným programům využívající standardní nástroje systému. Po telefonu jsem schopen radit windowsákovi, jak mi má něco nastavit ve fireholu. V případě iptables si to nedokážu představit.

Teď nenacházím ekvivalentní příklad, tak plácnu první blbost co mě napadne. Proč mám statický routy nastavovat pomocí ip route v rc.local, a na konfiguraci apache mám soubor? Nebylo by vhodne apache konfigurovat jen přes apachectl?

[victor8]

IMHO to bude tym, ze zatial co Apache je beznym programom pomerne nezavislym od jadra, netfilter je s jadrom dost pevne zviazany.

[Heron]

Prosím, nechytejte se apache, to byl blbý příklad. K netfilteru je nástroj iptables (který se zas tak často a razantně nemění). Ještě mi nikdo neodpověděl, proč na to není std konfigurák (nebo "služba" jako firehol).

[Michal Kubeček]

Netfilter je s jádrem "svázaný" tak, že je jeho součástí.

[astrablaster]

Já zas používám FERM. Neni to možná tak promakané jako Firehol, ale mně to stačí. Jiní zase používaji Shorewall atd.

[atan]

nyní se generuje skript využívající tc přímo z database

To ale firehol neumi?

[Heron]

?

Firehol nastavuje iptables.

[Michal Kubeček]

Teď nenacházím ekvivalentní příklad, tak plácnu první blbost co mě napadne. Proč mám statický routy nastavovat pomocí ip route v rc.local, a na konfiguraci apache mám soubor?

Apache je user space aplikace, zatímco router (nebo netfilter) je součást jádra. Nepřipadá mi jako dobrý nápad, aby jádro četlo nějaké konfigurační soubory. Ale můžete si samozřejmě napsat aplikaci (případně skript), která načte konfigurační soubor a podle něj nakonfiguruje příslušnou část jádra. Přesně tohle obvykle dělají inicializační skripty distribucí - jen ne všech a v každé jinak. Takže otázka by spíš měla znít, proč není (aspoň základní) specifikace konfiguračních souborů síťových rozhraní a směrování součástí LSB; pak by to aspoň některé distribuce měly stejně.

[Heron]

Takže otázka by spíš měla znít, proč není (aspoň základní) specifikace konfiguračních souborů síťových rozhraní a směrování součástí LSB; pak by to aspoň některé distribuce měly stejně.

Přesně ta otázka odstartovala tento thread.

Linux na síti vyrostl a očekával bych, že bude existovat jednotná konvence jak siť nastavit. ..........

[Filip Jirsák]

Takže otázka by spíš měla znít, proč není (aspoň základní) specifikace konfiguračních souborů síťových rozhraní a směrování součástí LSB; pak by to aspoň některé distribuce měly stejně.

Tu otázku je možné klidně zobecnit, proč všechny konfigurační soubory, skripty atd. nemají všechny distribuce stejné – také by to usnadnilo přechod mezi distribucemi. (A dál můžeme pokračovat, proč všechny internetové prohlížeče nevykreslují stejně, proč se všechny aplikace jednoho typu – např. kancelářský balík – nechovají stejně, atd.)

Odpověď je nasnadě – každému vyhovuje něco jiného, někdo chce zadat do konfiguráku IP adresu, default gateway a DNS (protože na pracovní stanici typicky nic jiného potřebovat nebude), někdo chce přiřazovat rozhraní x IP adres, routovat podle aktuální fáze měsíce a pravidla pro iptables generuje z LDAPu (a pak bude zákonitě používat své vlastní skripty). Řekl bych, že seznámit se s tím, jak daná distribuce nastavuje síťové parametry, je minimum toho, co může udělat správce, když z nějakého důvodu dostane na starosti nový systém s distribucí, kterou nezná.

[Michal Kubeček]

Proč by měly být stejné skripty? Je přeci podstatný rozdíl mezi rozhraním a implementací.

[Filip Jirsák]

Aby byla přenositelná konfigurace, musely by konfigurační soubory být „stejné“. Že ty konfigurační soubory pak budou interpretovat různě napsané skripty je podružné, protože funkcionalita těch skriptů by byla určena možnostmi konfiguračního souboru.

[Michal Kubeček]

Jenže já jsem nechtěl, aby byly naprosto stejné. Stačilo by, aby byl stejný společný základ. Co si k tomu přidají jednotlivé distribuce jako rozšíření, to už je jejich věc.

[CEST]

Ale stejny zaklad existuje:

* nastaveni netfilteru = iptables

* nasteveni sitove karty = ifconfig , pripadne novejsi ip

* nastaveni statickych cest = route , pripadne novejsi ip

Akorat poste kazda distribuce si resi po svem konfiguraci soubor a inicializacni skript. Zatimco slackware pouziva rc.local a clovek si musi vsechno nastaveni napsat sam pomoci iptables, ifconfig a route, debian ma konfiguraky v /etc/network/interfaces (kde se zada IP a route, a pomoci post-up skriptu i dalsi staticke cesty a firewall pravidla), gentoo ma zase konfigurak v /etc/conf.d/net, kde se zadaj jak IP, tak dalsi staticky cesty, ale ma zvlast nastaveni pro firewall, ktere se spousti pomoci /etc/init.d/iptables. To je stejne, jako by ses ptal, proc ma kazda distribuce jinej prikaz pro instalaci balicku. Protoze se to tvurcum tak libi a jsou presvedceni, ze je to tak dobre. Ikdyz napr. pro iptables ej dobre vyzivat ty programy iptables-save a iptables-restore - nejsou to sice zadne high-level konfiguraky, proste jenom syntaxe pro iptables, ale nemusis psat zadny dalsi skripty, proste napises jenom parametry pro iptables.

Samozrejme ti v kazde distribuci nic nebrani, abys kompletne vysmahnul vychozi init skripty a napsal si svoje vlastni, at to bude debian, fedora, redhat nebo gentoo. Zalezi jenom na tobe a vyvojari dister ti akorat nabizeji moznosti, jak si to zjednodusit, protoze pak nemusis psat zbytecne vsechny ty prikazy, ale soustredis se jenom na konfiguraci.

[Jirka]

Když jsem kdysi Slackware používal, tak konfiguraci sítových rozhraní měl v souboru /etc/rc.inet1. Takže nikoliv do rc.local. Ovšem je to už dlouho, ale předpokládám, že tohle se nezměnilo.

[Michal Kubeček]

Jenže u všeho, co uvádíte, se nejedná o konfigurační soubory, ty si každá distribuce dává jinam a má je v jiném formátu. A právě o těch tu byla řeč.

P.S.: ifconfig už dnes opravdu ne

[Matlák]

To je pravda že to je věc názoru. Já jsem jako svůj první firewall (pravda nepoužívám linux zase tak dlouho) používal Shorewall. Jeho (pro mně) idiotická konfigurace a syntaxe mě nakonec dovedly k řešení Shorewall zrušit si napsat bashový skript (jeden jediný!) který nastavuje všechno routování, firewall a tak podobně. Potom jsem přešel na svých systémech na Slackware a (světe div se! ) skript bezproblému fungoval dále... Tento skript mám také poměrně slušně okomentován, takže jsem dokázal "donutit" svého bratra, využívajícího pouze Windows XP, aby mi konfiguraci firewallu poupravil na dálku přes telefon - jediné co nezvládal bylo korektní ukončení vimu.

Jiné ovšem je, pokud je konfigurace velmi složitá a problém rozsáhlý - v tom případě si nakonfiguruji svůj bash-firewall přes ssh sám.

[guns]

dakujem pekne za clanok, akurat sa mi to hodi :)

[jixi]

Jen drobnost -- ve skriptu rc.firewall chybi v cyklu `case' zavorka za slovem 'status'.
Jinak diky, clanek pomohl