Dotaz: netfilter/iptables pravidlo pro specifickou aplikaci

[Zmrd]

Zdravim! Prosel jsem vsemozne diskuze a na svem desktopu stale nemohu vyresit nasledujici situaci:
- mam striktne nastaveny netfilter
- pro nektere aplikace vsak chci udelat vyjimku a chci pro ne udelat diru do fiewallu.
- dira by mela fungovat pouze pro dannou aplikaci

Predchozi reseni co jsem nasel, ktere vsak nyni nelze pouzit:
- iptables a modul owner s parametrem --cmw-owner =>drive jsem ho pouzival (par let nazpet), ale dnes uz neni modulem owner podporovan

Nevite nekdo o nejakem triku jak bych podpobnou funkcionalitu zajistil dnes?

Odpovědi

[NN]

Co vlastne chcete filtrovat? Vetsinou se filtruje port nebo ip adresa.

NN

[Zmrd]

Psal jsem ze chci udelat diru do sveho FW pro specifickou aplikaci.
Nejde mi o filtrovani specifickeho protokolu/portu/ip.
Podminka je, aby takova dira(y) fungovala(y) jen pro danne aplikaci(e).
Nechci take filtrovat podle "chovani" aplikace.
Jedna se o desktop, nechci nastavovat pravidla pro daemony apod.
Z meho pohledu vlastne ani nechci fitrovat, ale nefiltrovat.

Ale vlastne skoro opakuji svuj dotaz.

[pepazdepa]

vetsina smysluplnych aplikaci bezi pod vlastnim uzivatelem, takze '-m owner --uid-owner username'

[Zmrd]

to jsem take zvazoval a fungovalo by to pro vetsinu daemonu a tam ma i smysl tyto aplikace spoustet pod vlastnim uzivatelem.

desktopove aplikace vsak bezi pod uzivatelem co je spustil a je to tak spravne. no a prave pakety techto aplikaci bych rad "nejak" identifikoval.

kazdopadne dekuji za snahu!

[pht]

Netfilter je jen paketový filtr a můžete být rád že umí aspoň to "owner".

Viz také minulá diskuse na toto téma.

[Zmrd]

skoda. podle komentaru byla tato funkcionalita z modulu owner odebrana ne kvuli nevhodnosti, ale kvuli nekompatibilite se SMP. Je to pitome, protoze me by stacilo opravdu jen tak malo, konfigurovat celou dalsi aplikaci a resit jeji samotne zabezpeceni,logy apod je hafo prace a to jen kvuli jedine funkci.

V odkazovane diskuzi vami zminovany selinux se presne pro tento ucel nehodi - chtel jsem to take resit timto smerem, ale pak jsem si precetl manual. Selinux pouzivam k jinym ucelum a z toho co jsem vycetl z netu a dokumentace by se pro toto ani nemel vyuzivat. (antiflame: nemam cas a chut se o tomto prit).

Proklepnu ty ostatni co doporucujete.

[NN]

No co ze je to desktopova aplikace, pokud se jedna o sitovou komunikaci tak tam mas vzdyck zdrojovou a cilovou ip a zdrojovy a cilovy port. Mi rekni, ze se ta aplikace neda podle toho identifikovat. Mimo jine co to, je za aplikaci a k cemu tito bude dobre?

NN

[pht]

podle komentaru byla tato funkcionalita z modulu owner odebrana ne kvuli nevhodnosti, ale kvuli nekompatibilite se SMP.

Já bych vsadil i na tu nevhodnost, protože povolovat přístup na základě porovnávání stringu s názvem aplikace je poměrně divoké.

Selinux pouzivam k jinym ucelum a z toho co jsem vycetl z netu a dokumentace by se pro toto ani nemel vyuzivat.

Tohle jsem úplně nepochopil, nechcete to trochu rozvest?

Proklepnu ty ostatni co doporucujete.

To jsou jen varianty na totéž téma.

[Marble]

Podle mě je nejrozumnější filtrovat podle GID (umí taktéž modul owner) a aplikaci nastavit při spuštění grupu (třeba obalením do spouštěcího scriptu s příkazem sg). Tohle jsem v praxi bez problémů používal pro tunelovaní provozu z jedné konkrétní instance firefoxu přes VPNku aniž by byl ovlivněn zbytek.

[pepazdepa]

pouzij proxy, ta bezi pod svym uzivatele a vetsina programu umi proxy ;)

ale pozor aby ti nejaka aplikace netunnelovala pres dns ;) to bys byl asi v prd*li :P

http://www.skullsecurity.org/blog/?p=426

pac bez dns se moc zit neda :P