Dotaz: iptables blokovanie portu pre NIC

[dsfffff]

Ahojte, potrebujem pre nic eth1 bloknut prevadzku na porte 3260

moj pokus zlyhal.

iptables -I INPUT -o eth1 --destination-port 3260 -p tcp -j DROP

co by ste mi poradili?

Odpovědi

[vencour]

Kde je ten port 3260, na tom stroji, kde nastavuješ? Nebo na cíli? A fakt je to tcp? Nebyl by lepší blokovaný OUTPUT?

Pokud blokuju odchozí provoz na port 3260, tohle

iptables -A OUTPUT -p tcp -m tcp --dport 3260 -j DROP

dělá to, co chcete ... potvrdí i "watch -d iptables -nvL" ... uvidíte počítat pakety u daného pravidla.

[adfd]

niekto pochopil zjavne moj problem...chcem to bloknut len pre jeden iface.

[vencour]

Ok, tak tam dopište -i ethX a sledujte, zda Vám to matchuje.

[Delo]

Poradil bych misto -o eth1 pouzit -i eth1.

[NN]

A take, si ohlidat poradi, kam to -I-ckem. vlozis..

NN

[Dejv]

V prve rade bys mel pochopit, jak ma byt firewall postaveny. Tedy to, ze vychozi politika ma byt DROP (nebo REJECT) a teprve to, co opravdu chces, povolit.

Dejv

[Filip Jirsák]

To záleží na tom, jakou strategii zvolíte. Mít výchozí politiku nastavenou na ACCEPT a zakazovat teprve to, co opravdu taky nechci, nebo dokonce nepoužívat firewall vůbec, je legitimní řešení - pro lidi, kteří nerozumějí síťování, dokonce lepší, než zápasení s firewallem, kde si dotyčný zablokuje to, co by chtěl mít povolené, a pod dojmem "mám firewall, nic se mi nemůže stát" se bude chovat nezodpovědně.

[Dejv]

Samozrejme mate z vaseho pohledu pravdu. Ovsem v linuxovem svete je obecne uznavana strategie "vse zakazat, pozadovane povolit" (a logicky mi prijde podstatne rozumejsi), kdezto strategii "vse povolit, nechtene zakazat" povazuji za zcestnou.

nebo dokonce nepoužívat firewall vůbec, je legitimní řešení - pro lidi, kteří nerozumějí síťování, dokonce lepší, než zápasení s firewallem

To povazuji za nasledek tvrzeni Microsoftu, ze "kazdy muze byt adminem". Kdyz necemu nerozumim, tak se v tom nehrabu a necham to nekomu, kdo tomu rozumi. Motor v aute si taky nebudu opravovat sam (pokud nejsem automechanik)

a pod dojmem "mám firewall, nic se mi nemůže stát" se bude chovat nezodpovědně

To je to same, jako kdyby si ridic rekl "mam airbag, muzu jezdit jako hovado, mi se nic nestane". Bohuzel na cestach (i na internetu) to podle toho vypada

No ale to jsme ponekud odbocili od tematu

Dejv

[Filip Jirsák]

Samozrejme mate z vaseho pohledu pravdu. Ovsem v linuxovem svete je obecne uznavana strategie "vse zakazat, pozadovane povolit" (a logicky mi prijde podstatne rozumejsi), kdezto strategii "vse povolit, nechtene zakazat" povazuji za zcestnou.

Ovšem tahle strategie znamená hlavně spouštět jenom služby, které je potřeba mít spuštěné, což na běžném desktopu bude znamenat žádné služby poskytované do sítě. Takže pak není nic, co by firewall přímo na počítači mohl chránit.

[NN]

Jestli se ten provoz na portu 320 forwarduje ,tak inputem ani neprojde:

iptables -I FORWARD -i eth1 --destination-port 3260 -p tcp -j DROP

NN