Dotaz: Firewall

[Michal]

Zdravim. Poradte mi prosim nejaky firewall ktery nerozlisuje jen protokol/port ale i aplikaci, od ktere paket pochazi (resp. pro kterou je urcen). Napr. aplikace A smi posilat ven data pres 80/TCP ale aplikace B ne. Obdobne pokud na portu 23 nasloucha aplikace A povol, v jinem pripade zahod. Idelani by bylo, kdyby to dokazalo i overit MD5 dane aplikace. Zkratka neco jako Kerio (Tiny) Firewall ve windoozich.

Odpovědi

[Petr Šobáň]

Podle mě sledovat jaké aplikaci je to určeno je blbost pokud to bude nějaký virus stejně si to zamaskuje nějak. Podle mě stačí pokud bude řádně nastaven firewal a řádně se budou dodržovat práva v linuxu.

[blami]

Jsou nekde dostupne nejake ceske stranky HOWTO Firewall ... ? Nicmoc jsem nenasel, a moje anglictina nesaha tak daleko abych byl schopny si prelozit anglicke HOWTO ...

[Ondřej Čečák]

zalezi na tom, na cem chcete firewall stavet

firewall howto samozrejme existuje, ale doporucuje dobre clanky na rootu od Miroslava Petricka.

prvni: http://www.root.cz/clanek/990

[Michal]

Nepsal jsem v jakych podminkach ma ten FW pracovat, a vy i pres to vite ze je to blbost? Vestectvi? Telepatie? Muze vam to pripadat pitome jak chce ale ja vyse popisovanou funkcnost proste potrebuju a hotovo a neni to kvuli zadnym virum. Sebelepe nakonfigurovane IPTABLES nestaci

[Ľubomír Host]

Ak chces zakazat nejakej aplikacii connect vonku, skus sa pozriet po GrSecurity patchi na kernel http://www.grsecurity.net/. No a musis rozbehat gradm s ACLkami.

[kokot]

ja mam obavy, ze to tak jednoduche nebude, znamena to totiz, ze dana aplikace musi (!) spolupracovat s firewallem, tj, jinak receno musi potrebne info zapisovat do tcp hlavicky packetu, coz tedy asi zadna nedela Myslis si treba, ze kazdy tcp packet ma v sobe napsano jsem od Mozilly a mam takovy a takovy MD5 s tim, ze packet muze byt treba 100byte dlouhy? Fakt nevim co dela nejaky ten firewall co pises, ale obecne takovou funkcnost nenajdes protoze je to v rozporu s tcp/ip definici protokolu. Doporucuju zvolit jinou cestu.

[kokot]

jeste jedna vec... mozna uz jsem pochopil nac se vlastne ptas, mas jednen pocitac a na nem ten firewall. Tj, neni to firewall pro jeden segment ale jen na jednom konkternim pocitaci. V tom pripade se da s iptables uz udelat cosi vic, koukni na sekci owner v iptables.

[Michal]

Ano potrebuju FW pro jednu stanici. Zapomnel jsem to zduraznit. Omlouvam se. Jasne --cmd-owner ! Jsem mel asi vlci mlhu. Diky za nakopnuti.