Dotaz: Jak na firewall

[Jardík]

Na internet se připojuji přes modem pomocí wvdial a chtěl bych si nastavit firewall. Chtěl bych zakázat všechny porty a ping, ale chci aby mi fungovalo prohlížení WWW stránek, připojení k FTP serveru, ICQ a StarCraft multiplayer (běží pod cedegou). Něco jsem našel na root.cz:

#!/bin/sh
/usr/sbin/iptables -X
/usr/sbin/iptables -F INPUT
/usr/sbin/iptables -F OUTPUT
/usr/sbin/iptables -F FORWARD
/usr/sbin/iptables -P INPUT DROP
/usr/sbin/iptables -P FORWARD DROP

/usr/sbin/iptables -A OUTPUT -o lo -j ACCEPT
/usr/sbin/iptables -A INPUT -i lo -j ACCEPT

/usr/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#/usr/sbin/iptables -A OUTPUT -j ACCEPT

/usr/sbin/iptables -A OUTPUT -p icmp -j ACCEPT

/usr/sbin/iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 5 -j ACCEPT

/usr/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT

ale nevím, jestli to splňuje všechny moje požadavky (asi ne).
Další věcí, co bych chtěl vědět je, jak zakázat určitému programu přistupovat k internetu.
Všem děkuji za odpovědi.

Odpovědi

[Jan Markus]

Zdravim,

tedy ja osobne na stavbu fw pouzivam "firewall builder":

http://www.fwbuilder.org/

resp:

http://sourceforge.net/project/showfiles.php?group_id=5314

Stahnete si fwbuilder, libfwbuilder a fwbuildet-ipt pro iptables. Je to super programek kde je mozne fw pohodlne naklikat, jakmile proniknete do jeho filosofie...

A co se tyce zakazu urcite aplikaci pristupovat k Inetu, tak tam me napada jedine (nevim nakolik rozumne) reseni, a tim by bylo stahnout si zdrojaky, natvrdo do nich zadratovat, aby aplikace pri tcp spojeni otevirala na localhostu jen jeden konkretni port (ci skupinu portu z urcite mnoziny) a potom se napr. tim firewallem postarat o to, aby se vsechno na tom portu zahazovalo...

[phax7]

Pro prohlížení stránek nemusíte povolovat port 80... to jen kdyby u vás běžel webový server.

[petr]

ktere porty potrebuju pouze pro prohlizeni webu ? mam pc za routerem, na routeru jsem zakazal forwardovani vsech portu krome 80
iptables -A FORWARD -i eth1 -o eth0 -p tcp --dport ! 80 -j DROP
prestalo fungovat uplne vsecko, neslo ani prohlizet web...

[trekker.dk]

Vzhledem k tomu, že nevíš, co děláš, bych ti doporučil, aby sis stáhnul ten firewall builder nebo něco takového.

(Úplně všecko přestalo fungovat proto, že sis zakázal i DNS - pokud bys nechtěl použít ten builder, je tady spousta příkladů, jak ten firewall nastavit správně.)

[jmeno]

no nikde tam nevidim iptables -P OUTPUT DROP, to tam nejak napisane nemas aby si mal zakazany secek output, inak ti je to nastavovanie outputu dalej zbytocne. a ked chces browsovat tak nastav povolovanie portu 80 smerom von, smerom dnu ho nepotrebujes, hlavne tam musis mat a to tam mas to povolenie esteblished,related smerom dnu... inak na roote je o tom serial ak by si chcel vediet co to o iptables... :-P