Dotaz: iptables+protokoly

[id2307]

ahoj, mám iptables v1.2.7a, jádro 2.4.20-8 a když se snažím iptables vnutit např:
ipt -A FORWARD -p http -j MARK --set-mark 80
tak dostanu hlášku "unknown protocol specified" - konkrétně jsem se snažil aplikovat to na http, https, smtp, imap, pop3 a nic nezná, což mi připadá dost smutné na to, že to jsou neznámější protokoly :) v /etc/protocols taktéž nejsou tak nevím ..
zvládnou vůbec iptables něco jiného než tcp, ip, icmp, udp?

Odpovědi

[Luboš Doležel (Doli)]

HTTP je na jiné vrstvě než TCP, ICMP, UDP. IP je taktéž jiná vrstva To nemůžete dávat do jednoho pytle.

[id2307]

to je mi jasné, že je to na jiné vrstvě, ale říkal jsem si, že by to mohlo umět, tak asi ne :)

[rastos]

Pre parametr -p môžeš uviesť niektoré z "tcp","udp" alebo "icmp". Filtrovanie pre protokol http urobíš tak, že "-p tcp" skombinuješ s definovaním portu "--sport 80" alebo "--dport 80"

[id2307]

což je už ale taková obezlička, port 80 je sice "zažitý standart", ale nikoliv podmínka :)
http server může jet i na jiných portech a taková spojení pak půjdou mimo toto pravidlo

[rastos]

to vôbec nie je "obezlička". V /etc/services sa dočítaš, že http protokol sa používa na porte 80. Je pravda, že http server môže bežať aj na inom porte, ale ak pôjdeš do takéhoto extrému, tak ako chceš rozlišovať čo je http prevádzka a čo nie? Čo ak urobím "telnet mail.example.com 25" a začnem do toho písať HTTP requesty? Čo ak sa prihlásim cez ftp na nejaký server a začnem sťahovať html stránky? Oboje bude aspoň z polovice "vyzerať" ako http prevádzka. Ak chceš filtrovať, zakáž všetko a povoľ to čo potrebuješ. Ak sa niekto ozve, že mu nejde jeho http prenos na neštandardnom porte, aspoň sa o tom dozvieš a potom urobíš príslušnú zmenu v iptables.

[id2307]

http provoz je samozřejmě veškerý provoz, který využívá tento protokol ke komunikaci a je mi jedno, jaká data po něm tečou - to samé s ftp - z hlediska provozu mě nezajímá jaká data přenáší, ale rád bych zjistil, že se jedná o tento protocol
konkrétně na ftp existuje modul pro iptables a trošku mě překvapuje, proč neexistuje i na jiné běžně používané protokoly :)

[billgates]

Co k tomu dodat? Snad len RTFM.

http://l7-filter.sourceforge.net/protocols

[rastos]

Modul pre ftp existuje preto, že ftp komunikuje na dvoch portoch zároveň (20 a 21) a sledovať stav konexie je v tomto prípade zložitejšie - nestačí sledovať flagy v TCP hlavičke. Ver mi, že každý, kto pomocou iptables spracováva http, to robí tak, ako som popísal vyššie.

[Heron]

FTP komunikace je trochu složitější, viz aktivní / pasivní mód. Při každém se používají jiné porty a jiným způsobem se navazuje spojení, proto je nutné dát modul pro iptables.

[Michal Kubeček]

z hlediska provozu mě nezajímá jaká data přenáší, ale rád bych zjistil, že se jedná o tento protocol

To by bylo velmi komplikované a, upřímně řečeno, nejsem příliš přesvědčen, že by to stálo za tu námahu. Mezi námi: víte o nějaké běžně používané implementaci paketového filtru, která umí spolehlivě rozeznat? Jinak co se týká analogie s protokoly jako TCP nebo UDP, možná vás zklamu, ale ani tady netfilter (a AFAIK ani žádný jiný paketový filtr) neprovádí analýzu toho, co následuje za IP hlavičkou, zda se jedná o TCP/UDP/…, ale prostě se podívá, zda má desátý byte v IP hlavičce hodnotu 6 resp. 17.

konkrétně na ftp existuje modul pro iptables a trošku mě překvapuje, proč neexistuje i na jiné běžně používané protokoly

Modul ip_conntrack_ftp dělá něco trochu jiného, než že by detekoval, zda určitý paket přenáší protokol FTP.