Dotaz: Firewall a KDE

[Begleiter]

Na svém počítači jsem pomocí iptables nastavil filtrování:
# "Čistím" stávající filtrovací tabulku
iptables -F
iptables -X
# Nastavuji výchozí politiku
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
# Vkládám pravidla do řetězce INPUT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# Vkládám pravidla do třídy OUTPUT
# 10.0.0.0 je adresa naší privátní sítě
iptables -A OUTPUT -p tcp -s 10.0.0.0/8 -d 0/0 --destination-port 80 -j ACCEPT
iptables -A OUTPUT -p udp -s 10.0.0.0/8 -d 0/0 --destination-port 53 -j ACCEPT

Jestliže naplním takto filtrovací tabulku, KDE se asi v čtvrtině načítání zastaví a mně se naskýtá pouze pohled na "prázdnou" obrazovku.

Připojuji ještě pár -- podle mě -- důležitých řádků z /var/log/messages:
xinetd[xxxx]: warning: can't get client address: Transport endpoint is not connected
rwhod[1515]: sendto(10.255.255.255): Operation not permitted

Na závěr doplňuji, že používám Mandrake Linux 9.1 (jádro originální 2.4.21), iptables 1.2.7a. Jeden z hostitelů naší sítě nám poskytuje přístup na Internet (je připojen přes ADSL).

Odpovědi

[Petr Šobáň]

Přidej tam: # local
/sbin/iptables -A OUTPUT -o lo -j ACCEPT
/sbin/iptables -A INPUT -i lo -j ACCEPT

/sbin/iptables -A OUTPUT -s $MOJE_IP -j ACCEPT

Prostě kde přistupuje na další porty a pod a pokud jsi to zakázal třeba na font server atd.....

Inspiruj se třeba http://soban.wz.cz/linux/firewall.html

[ttt]

Zda se mi ze toho zahazujete trochu moc (napr i icmp). Uvadim odkaz na cesky komentovany firewall kde je mozne hledat inspiraci: http://www.petricek.cz/mpfw/mpfw.sh.txt

[Petr Šobáň]

No zase až tak moc toho nezahazuji a ten firewal byl konzultován s více lidmy až s něho vylezlo toto jako nejbezpečnější, samozřejmě je to šité pro můj PC takže to každému nemusí vyhovovat, ale ping a pod fungují. Jinak co přesně se vám nezdá ?

[ttt]

Omluvam se za chybu, ten prispevek patril na puvodni otazku :)

[Petr Šobáň]

Není zač prostě myslel jsem že tam mám něco blbě a třeba to poupravit.

[xyz]

Tak ako pise Petr, v kocke ty totiz dropujes vsetkym vsetko a to aj localhostu a tvojej IP. Takze treba povolit vsetko localhostu a tvojej IP