Dotaz: Nastavení firewallu u domácího počítače

[Dalibor Smolík]

Zdravím, mám debian testing, připojení přes UPC do internetu, jediný domácí počítač, na kterém běží apache2. Na adrese http://test.bezpecnosti.cz jsem si ověřil, že www server je otevřen a napadnutelný. Ostatní služby jsou OK. Mám instalovaný shorewall, ale není konfigurován. Jak bych měl uzavřít tuto službu mimo svůj počítač? Díky za tip.

Odpovědi

[Petr]

Pokud nechcete, aby služba byla přístupná z Internetu, tj. používáte Apache jen lokálně (např.na testování webových stránek), tak ji prostě zakažte v INTPUT řetězci, tj.pokud je defaultní politika DROP - vše se zahazuje a služby, ktré chci mít přístupné z Internetu zapíšu takto: $IPTABLES -A INPUT -i eth0 -p TCP --dport 80 -j ACCEPT (!pozor tento řádek povoluje přístup na tuto službu=www server) Nastavení v Shorewall neznám (nepoužívám ho), ale logika nastavení je určitě stejná...

[pantera]

mno, ucel shorewallu je stejny s tim rozdilem, ze shorewall pomoci "citelnejsich" pravidel po spusteni nastavi iptables.. Rekl bych, ze po kazdem spusteni shorewallu - napr. po restartu prepise veskere nastaveni iptables podle sebe - to ale v pripade, ze je aktivovan - stadardne po instalaci je zakazany jeho start. Doporucoval bych bud nejaky tutorial tady na abc nebo na rootu ohledne iptables nebo se vydat cestou, kterou jsem se vydal ja a to nastavit spravne shorewall. Konfigurace pro jedno sitove rozhrani je trivialni a doporucuju bud web shorewallu nebo dokumentaci v debianu.

[Dalibor Smolík]

Něco vyzkouším. Běží mi todiž na počítači databáze MySQL+PHP na Apachi, nemám zájem na tom, aby to bylo přístupné z venku.

[Dalibor Smolík]

Mám kernel 2.6.18, pokud zkouším iptables, vyhodí mi tuto hlášku:

iptables -L
FATAL: Module ip_tables not found.
iptables v1.3.5: can't initialize iptables table `filter': iptables who? (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.

apt-get install iptables však hlásí, že je již nejnovější verze.

[pantera]

Zkuste modrobe ip_tables a pokud to projde tak insmod ip_tables - napiste pak jak to dopadlo

[Josef Kufner]

Pokud projde modprobe, tak insmod uz nic neudela, protoze modul uz bude natazen modprobem.

[pantera]

jj nemel bych asi tolik pracovat - mate samozrejme pravdu...

[Dalibor Smolík]

Tak neprošlo
modprobe ip_tables
FATAL: Module ip_tables not found.

[vooda]

No ja mel taky ten problem po zkompilovani noveho jadra, protoze jsem si nevsiml, ze nemam ip filter vubec nastaveny pro zkompilovani (ackoliv jsem pouzil .cinfig z predchozi verze kde to nastavene bylo )

[Josef Kufner]

Další možností je nastavit služby, aby místo na 0.0.0.0 (všecko) poslouchaly na 127.0.0.1 (localhost).

[Josef Kufner]

s/localhost/loopback/