Dotaz: nastaveni iptables, ICQ, ESTABLISHED

[Michal Wirth]

Dobry den,
jiz asi 3 dny se snazim nastavit firewall pres iptables pro muj desktopovy pc. Mam Slackware 10.2, jadro 2.6.16. Mam zavedeny moduly ip_conntrack_ftp a ip_nat_ftp (mimo jine).
Nastaveni iptables provadim pomoci:

IPTABLES="/usr/sbin/iptables"
VNEJSI_IP="192.168.1.1"
VNEJSI_ZARIZENI="eth1"
VNEJSI_DNS="x.x.x.x"

$IPTABLES -F
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT DROP

$IPTABLES -A INPUT -i $VNEJSI_ZARIZENI -p TCP -d $VNEJSI_IP --sport 80 -j ACCEPT
$IPTABLES -A INPUT -i $VNEJSI_ZARIZENI -p TCP -d $VNEJSI_IP --sport 20:21 -j ACCEPT

# prijmame od naseho DNS serveru informace
$IPTABLES -A INPUT -i $VNEJSI_ZARIZENI -p UDP -s $VNEJSI_DNS -d $VNEJSI_IP --sport 53 -j ACCEPT

# jiz otevrena spojeni jsou v poradku
$IPTABLES -A INPUT -i $VNEJSI_ZARIZENI -p TCP -d $VNEJSI_IP -m state --state ESTABLISHED,RELATED -j ACCEPT

# povolujeme odchod TCP paketu ze vsech portu az na jmenovane
$IPTABLES -A OUTPUT -o $VNEJSI_ZARIZENI -p TCP -s $VNEJSI_IP -m multiport --sports ! 20,21,22,80 -j ACCEPT

# neomezujeme odchod UDP paketu
$IPTABLES -A OUTPUT -o $VNEJSI_ZARIZENI -p UDP -s $VNEJSI_IP -j ACCEPT

Zatim to stale upravuji. Ale mam problem. Prestoze jsou takto nastavena pravidla, pripoji se mi ICQ i Jabber klient. Dle meho by nemel. Nepripoji se pouze tehdy, pokud mam zakomentovan radek s statusem ESTABLISHED,RELATED. To ovsem zase (logicky) nejde aktivni FTP. Uz si nevim rady.
Predem dekuji za jakekoliv odpovedi.

Odpovědi

[trekker.dk]

$IPTABLES -A OUTPUT -o $VNEJSI_ZARIZENI -p TCP -s $VNEJSI_IP -m multiport --sports ! 20,21,22,80 -j ACCEPT

IMO tohle povolí všechnu komunikaci do vnějšího světa, pokud neodchází z portů 20,21,22,80, což neprivilegované procesy stejně nemůžou. Proto se ICQ i Jabber klient připojí.

Když vyhodíš ten řádek s ESTABLISHED, tak se připojí taky, ale odpověď se zahodí (proto se v konečném důsledku nepřipojí)

$IPTABLES -A INPUT -i $VNEJSI_ZARIZENI -p TCP -d $VNEJSI_IP --sport 80 -j ACCEPT

IMHO tohle s největší pravděpodobností nebude dělat to, co po tom chceš. Takto zapsané pravidlo povoluje všechen příchozí provoz, pokud pochází z portu 80 bez ohledu na to, jestli jsi ho začal ty nebo ne.

[Michal Wirth]

Prvni, vami zminovane pravidlo, tam mam, protoze obcas mi bezi Apache a nechci, aby byl z venku pristupny (stejne tak FTP a SSH).

Za druhe, myslel jsem, ze ten radek s ESTABLISHED dela jen to, ze jiz schvalenou komunikaci automaticky prijima (mohlo by to hned byt jako prvni pravidlo).

A za treti, cilem toho pravidla bylo, abych si mohl prohlizet internetove stranky. Jak teda rozlisit, kdo ten provoz zacal???

[zabza]

úplně stejně jako poznáváte ty ESTABLISHED a RELATED spojení ...

-m state --state NEW

[Michal Wirth]

takze ted tam mam:

# jiz otevrena spojeni jsou v poradku
$IPTABLES -A INPUT -i $VNEJSI_ZARIZENI -p TCP -d $VNEJSI_IP -m state --state ESTABLISHED,RELATED -j ACCEPT

# povolene porty
$IPTABLES -A INPUT -i $VNEJSI_ZARIZENI -p TCP -d $VNEJSI_IP --sport 80 -m state --state NEW -j ACCEPT

# prijmame od naseho DNS serveru informace
$IPTABLES -A INPUT -i $VNEJSI_ZARIZENI -p UDP -s $VNEJSI_DNS -d $VNEJSI_IP --sport 53 -j ACCEPT

# povolujeme odchod TCP paketu ze vsech portu az na jmenovane
$IPTABLES -A OUTPUT -o $VNEJSI_ZARIZENI -p TCP -s $VNEJSI_IP -m multiport --sports ! 20,21,22,80 -j ACCEPT

# neomezujeme odchod UDP paketu
$IPTABLES -A OUTPUT -o $VNEJSI_ZARIZENI -p UDP -s $VNEJSI_IP -j ACCEPT

Prozatim jsem odstranil pravidlo o FTP, abych to nekomplikoval.
Stejne se ICQ i Jabber pripoji, jak je to mozne, kdyz prijimam jen vse co pochazi z portu 80? Nebo se nekde pletu?

[zabza]

ICQ spojení navazujete vy (tedy první paket jde přes OUTPUT). Odpověď už spadne do ESTABLISHED ...

[Michal Wirth]

aha, uz to chapu, diky moc za nakopnuti , ted uz si poradim

[trekker.dk]

Prvni, vami zminovane pravidlo

(-A OUTPUT -o $VNEJSI_ZARIZENI -p TCP -s $VNEJSI_IP -m multiport --sports ! 20,21,22,80 -j ACCEPT)

tam mam, protoze obcas mi bezi Apache a nechci, aby byl z venku pristupny (stejne tak FTP a SSH).

To ale oním pravidlem neovlivníš. Tímto pravidlem říkáš, že povoluješ všechen odchozí provoz, který nepochází z vyjmenovaných portů. O přístupnosti zvenku toto pravidlo nijak nerozhoduje.

# povolene porty
$IPTABLES -A INPUT -i $VNEJSI_ZARIZENI -p TCP -d $VNEJSI_IP --sport 80 -m state --state NEW -j ACCEPT

Tímto pravidlem umožňuješ komukoliv venku, kdo má na svém stroji účet roota, připojit se k tobě a to na kterýkoliv port a poslat ti data.

[Michal Wirth]

Tak se mi zda, ze asi nejak nechapu vyznam chainu INPUT a OUTPUT. Mel jsem za to, ze rikaji, co se ma dit s prichozim nebo odchozim paketem.
Byl by tedy nekdo od te dobroty, a napsal mi teda pravidla, jak resit to, o co se snazim uz tolik hodin (dni)?
Ve zkratce vysvetlim. Mam normalni 1 pc pripojeny na Internet pres sitovku eth1. Chci si prohlizet internetové stránky, pripojovat se na FTP, ICQ a Jabber. Nechci, aby se nekdo mohl pokouset o prihlaseni pres SSH, aby byl pristupny muj obcasne bezici Apache.
Budu vdecny za cokoliv. Asi jsem celkove spatne pochopil cely system netfilteru.

[LFCIB]

Ahoj, upravil jsem trochu muj konfigurák a mohlo by to v základu být to co potřebuješ.

Ven je povolené vše, k tobě jen ty co jsi vyvolal ty.

Snad je to dobře.

LFCIB

/sbin/depmod -a

# moduly
/sbin/modprobe ip_conntrack_ftp

# cisticka pravidel
/sbin/iptables -F
/sbin/iptables -X

# nastaveni implicitni politiky
/sbin/iptables -P INPUT DROP
/sbin/iptables -P OUTPUT ACCEPT

# loopback
/sbin/iptables -A INPUT -i lo -j ACCEPT

# probihajici a navazana spojeni povolime
/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# icmp pakety s zadosti na odezvu povolime
/sbin/iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 5 -j ACCEPT

[Michal Wirth]

za priklad dekuji,
uz mi to docvaklo (to jsem ale tup), prosim vas ingnorujte vse co jsem dneska do ted napsal, ja uz mam dneska totalne vypatlano
ted se uz vypnu a dam si kafe (evidentne ho uz moooc potrebuju), vsem diky za pomoc

[trekker.dk]

Asi jsem celkove spatne pochopil cely system netfilteru.

Kdybys to chtěl vylepšit, tak se porozhlídni tady .

[Michal Wirth]

diky, ale samozrejme nez jsem pokladal dotaz, tak jsem hledal a toto jsem nasel