Dotaz: ADSL & Firewal

[zn30]

Máme zkonfigurované přupojení přes ADSL na RH 7.1 a snažíme se zprovoznit firewall pomoci iptables. Neví někdo, co je potřeba povolit abychom se dostali na dashboard a dále na net. Když povolíme pruchod všech packetů přes ppp0 :"
IPTABLES -A INPUT -p TCP -i ppp0 -j ACCEPT"
IPTABLES -A OUTPUT -p TCP -i ppp0 -j ACCEPT"
Tak si potom nepingneme ani na dashboard, i přes to že jsou povoleny ICMP. Při výpisu z netstat je spojení tunelu aktivní a dopingáme se na druhou stranu tunelu, ale dál nic :o( Díky za rady M+R

Odpovědi

[Pavel]

Ahoj, tvá pravidla nejsou v pořádku. Pravidla povolují jen TCP. Ping a a řada dalších věcí tedy nemůže fungovat (např. DNS). Druhé pravidlo je navíc syntakticky špatně, parametr -i nelze použít v řetězci OUTPUT. Předpokládám, že potřebuješ základní sadu pravidel, abyses dostal do internetu, ale z internetu se nemohli dostat na tvůj počítač. Celý soubor pravidel bude vypadat takto: iptables -P INPUT DROP iptables -P OUTPUT ACCEPT iptables -P FORWARD DROP iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT Jinými slovy, odchozí pakety povolíme všechny prostřednictvím policy, a příchozí pouze z již navázaných spojení.

[Petr Šobáň]

Třeba nejak takhle misto eth0 dame ppp0

#!/bin/sh

echo "0" > /proc/sys/net/ipv4/ip_forward

MOJE_IP=192.168.3.67

# Firevall
/sbin/iptables -X
/sbin/iptables -F INPUT
/sbin/iptables -F OUTPUT
/sbin/iptables -F FORWARD
/sbin/iptables -P INPUT DROP
/sbin/iptables -P OUTPUT DROP
/sbin/iptables -P FORWARD DROP

/sbin/iptables -A INPUT -i eth0 -d 127.0.0.1/255.0.0.0 -j LOG --log-level 6
/sbin/iptables -A INPUT -i eth0 -d 127.0.0.1/255.0.0.0 -j REJECT

# local
/sbin/iptables -A OUTPUT -o lo -j ACCEPT
/sbin/iptables -A INPUT -i lo -j ACCEPT

# to co jsme navázali my
/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -s $MOJE_IP -j ACCEPT

/sbin/iptables -A OUTPUT -p icmp -j ACCEPT
#/sbin/iptables -A FORWARD -p icmp -j ACCEPT

# max5 pingu za s
/sbin/iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 5 -j ACCEPT

# odmitne port 113 auth
/sbin/iptables -A INPUT -i eth0 -p TCP --dport 113 -j REJECT

# LOGUJ OSTATNI
/sbin/iptables -A OUTPUT -j LOG --log-level 6
/sbin/iptables -A INPUT -d $MOJE_IP -j LOG --log-level 6
/sbin/iptables -A FORWARD -j LOG --log-level 6

[Pavel]

Myslím, že to je zbytečně složité. Zabezpečení je stejné "silné" jako u pravidel v předchozím příspěvku. Používání $MOJE_IP v pravidlech je problematické, protože tato adresa je u ADSL basic/home dynamická.

[Radim Grünwald]

Pánové díky za odpovědi, ještě nabyl čas to vyzkoušet, ale jak bude možnost, hned se do toho pustím :o), jo a IP adresu máme pevnou (NEXTRA :o) ) M+R

[Pavel]

To je slozitejsi. U ADSL basic PC dostava privatni adresu, ta je *vzdy* DYNAMICKA, a to i pokud vase pridelena _verejna_ adresa je pevna.

[zn30]

Ahoj, díky za odpověď.. ten prvotní dotaz byl možná ne úplně nejšťastněji formulován. Asi jsme měli uvést celý skript pro kofiguraci. Zajímalo by mě ještě proč nejeli "pingy" ..

IPTABLES -A INPUT -p TCP -i ppp0 -j ACCEPT"

.. tohle jsme zkoušeli když už jsem nevěděl co dál, ale od začátku jsem měl povolené ICMP (skript vypadal asi takhle):

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

iptables -A INPUT -p ICMP --icmp-type 0 -j ACCEPT
iptables -A INPUT -p ICMP --icmp-type 3 -j ACCEPT
iptables -A INPUT -p ICMP --icmp-type 8 -j ACCEPT
iptables -A INPUT -p ICMP --icmp-type 11 -j ACCEPT

Ping by přece potom měl fungovat i když jinak je všechno příchozí zakázano. Díky