Dotaz: Nejlepsi firewall

[Peta]

Muze mi nekdo poradit co je nejlepsi firewall? Myslim treba IPCop atd. Potrebuji od nej abych mohl sledovat kolik dat kazdy pocitac prenesl z internetu a dalsi statistiky. Dale pak moznost spravovat na dalku a Jednoducha konfigurace. Je dobry Astaro?

Odpovědi

[kolisko]

mluvis o firewallu ale asi myslis nadstavbu nad iptables. S tim ti neporadim. Pokud budes chtit mit kvalitne udelany firewall, pak pouzivej primo iptables. Pro vzdalenou spravu pristup pres ssh. Pro zjisteni prenesenych dat pouzij ipac-ng, popripade treba mrtg, rrd.. kolisko

[Peta]

Nemyslim nadstavbu nad iptables. Myslim neco jako treba IPCop nebo NetBoz. Krom toho. Jsem novacek ve svete Linuxu a nevim jak na dalku k nemu pristoupit. Muzes mi to napsat podrobneji? Diky

[xyz]

Kedze si novacim poveim len tolko. Kasli na IPCop a pouzivaj FW, ktory Ti bol odporuceny (IPTABLES). Stavovy FW zabudovany v jadre je najlepsi FW. Pokial Ti ide (nie o najlepsi), ale o nejaky prepracovanejsi tak si kup Cisco PIX. Za hodne velke prachy.

[Mirek]

Uz jsem to tu jednou psal. Paketovy filtr je vhodny pouze k nasazeni na servery, na koncove uzivatelske sanice se ma pouzivat aplikacni FW coz standardni Linuxovsky neni.

[Peta]

Dobre, mam RH7.1. Myslim ze je standardne misto iptables spusteny ipchains. Co s tim? a jak pak nejak jednoduse nastavovat iptables. Ipchans jdou pres utilitu primo v linuxu. Jde neco takoveho pro iptables?

[Aloner]

Postup
1. vyskodit IPCHAINS. To provedete spustenim utility SETUP (spustit jako root) a tam v polozce (cca 3 odspodu) odskrtnout IPCHAINS a zaskrtnout IPTABLES.
2.Reboot
3.Konfigurace IPTABLES, viz. man pages, docs apod.

P.S. Nevite nekdo proc kdyz nastavim v IPTABLES vsechno (IN,OUT,FORW) na DROP, tak masina drasticky zpomali ? Kdyz se snazim spustit jakoukoliv aplikaci, trva to cca 1-2minuty (normalne cca 1-2sekundy).

[xyz]

mal som tento problem u aplikacii vyuzivajuce X, samba a pod. Vyriesilo to toto: -A INPUT -s 127.0.0.1 -p tcp -m tcp -j ACCEPT -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

[kolisko]

protoze si pri nejakych akcich linux leze na sit a nedostava zadnou odpoved (protoze to DROPujes), tak ceka na timeout. Tim se dost zpomali. Mozna kdybys dal REJECT, tak by to slapalo normalne. Moc ale nechapu, proc chces mit vse zakazane, to rovnou muzes vyndat sitovy kabel ze sitovky kolisko

[Aloner]

Jelikoz jsem pripojen k internetu pres kabelovku (UPC), tak ihned po zalogovani davam vse (pro jistotu) na DROP, protoze ruznych hackerskych utoku napocitam cca 10 denne (ve Win). V linuxu jsem byl dosud za firewallem z IPCHAINS (RH7.3default), ale IPCHAINS jsem byl nucen vyhodit, protoze si ted "pohravam" s firewallem na bazi IPTABLES.
Budu dale laborovat...

[Fred]

Mám podobný problém-jsem připojen kabelem k inetu a ve win firewall logoval okolo 10-20 pokusů o vniknutí denně. Teď jsem nainstaloval Mandrake 9.0 a jsem začátečník. Co mám udělal pro to, aby byl můj připojený počítač v bezpečí ?

[xyz]

Dobre to mysli, pretoze je to uplne standardny krok. Najskor vsetko zakazat a potom povolovat len to, co je potrebne.

[unchallenger]

Protože jste prasata, jednak je to proti RFC 793 (Transmission Control Protocol) a jednak každý hned pozná, že máte fw. Proč nevracíte na normální SYN pakety REJECT s tcp-reset, jako by tam žádný fw nebyl ... tedy dokud to nevypadá na synflood (viz --match limit)?

[Aloner]

Postup
1. vyskodit IPCHAINS. To provedete spustenim utility SETUP (spustit jako root) a tam v polozce (cca 3 odspodu) odskrtnout IPCHAINS a zaskrtnout IPTABLES.
2.Reboot
3.Konfigurace IPTABLES, viz. man pages, docs apod.

P.S. Nevite nekdo proc kdyz nastavim v IPTABLES vsechno (IN,OUT,FORW) na DROP, tak masina drasticky zpomali ? Kdyz se snazim spustit jakoukoliv aplikaci, trva to cca 1-2minuty (normalne cca 1-2sekundy).

[Richard Tesař]

s rebootem to nemyslis vazne, ze jo?

[kolisko]

reboot bude urcite potreba, protoze ipchains pouzivaji jadro 2.2 a iptables 2.4 (ve 2.4 je sice nejaka ipchains backward compatibility, ale to jsem nikdy nezkousel). Takze predpokladam, ze reboot bude nutny prave kvuli loadnuti 2.4. jadra. kolisko

[Jiří Svoboda]

Reboot tam byl asi napsany, ze pro zacatecnika je to v tomto pripade nejjednodussi. Jinak reboot samozrejme potreba neni, zadny kernel se nevymenuje. Ty ipchains jsou tam prave skrz tu emulaci.

[kolisko]

Jestli jsem se spravne dival, tak IPCop je DISTRIBUCE ocesana/upravena na pouziti pro Firewalling. Pouziva 2.2 jadro, coz jsou ipchains a to neumi stateful inspection. Nedavno jsem videl distribuci SmoothWall. Jedna se o distribuci, ktera je urcena pouze pro firewally a je manageovatelna pres web interface. Bezi z CD, vypada hezky a bezi (beta4) na 2.4 jadru. To je asi to co hledas. kolisko

[Peta]

Uz jsem se naucil IPTABLES a je fakt ze to tak asi bude lepsi.

[rooter]

ipcop vo verzii 1.3 bezi na jadre 2.4 a pouziva iptables.

[Jakub Moc]

Co nevidet ;) bude verze 1.4.0 s podporou 4 sitovych karet, WiFi, traffic shaping, spoustou dalsich veci a samozrejme s iptables (ty tam jsou jiz od 1.3.0)... A bude take v cestine, lokalizace je jiz kompletni. :)