Newsgroup: it.comp.sicurezza.varie
Titolo: ruleset per FTPD passivo

Ciao!
Vorrei sapere come impostereste un firewall con funzionalita':
- packet filter
- stateful inspection
per "lasciare passare" le comunicazioni relative al servizio FTP di un
demone FTPD (come wu-ftpd) in passive-mode.
Il problema e' che una configurazione (sintassi IPTABLES) come la
seguente va bene in modalita' attiva (porta 20 per il traffico data) ma
non per quella passiva (il servizio cosi' non puo' funzionare):
iptables -A FORWARD -s $Rete1 -d $Server -p tcp --dport 21 -j ACCEPT 
iptables -A FORWARD -s $Rete1 -d $Serser -p tcp--dport 20 -j ACCEPT
iptables -A FORWARD -s $Server -d $Rete1 -p tcp -j ACCEPT
(Naturalmente l'ultima regola e' solo per esempio "molto permissiva" ) 
La modalita' attiva si puo' sintetizzare in:
1) client-->server: PASV
2) server-->client: "OK NUM PORT"
3) client-->server: "DATA CHANNEL ON NUM PORT"
4) server-->client: "TCP ACK"
IL problema e' il punto 3): il client apre una connessione (SYN) al
server su una porta RANDOM >1023 --> deve lasciare aperte sul server
tutte le porte > 1023...e quindi cosa ci metto a fare un firewall?!?!?!
Chiaritemi vuoi la situazione! :)
Vi ringrazio
-- 
Roar! By Polar 
Dedicato a chi insegue un sogno nella vita.
Ai tenaci, ai testardi e agli ostinati.   
A chi cade e si rialza, a chi ci prova sempre e a chi non molla mai.

 iptables -A FORWARD -p tcp -m state --state ESATBLISHED,RELATED -j ACCEPT
Hmmm... ma com'è che, con la diffusione di gente che conosce (o dice di
conoscere) iptables, di configurazioni così ce n'è così poche in giro?
A forza di vedere roba tipo
iptables -A FORWARD -p tcp -s $Server_Int --sport 1024: --dport 21 -j
ACCEPT
mi stavo convincendo di essere sbagliato io...
-- 
wash the blood from your hands
bury your secrets in the sand
and forget

 iptables -A FORWARD -p tcp -m state --state ESATBLISHED,RELATED -j ACCEPT
OK, è ovvio e banale, ma non vorrei che l'OP facesse copia e incolla ;-)
la versione corretta è:
iptables -A FORWARD -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
(ricomporre su una sola riga ovviamente)
PS: whip, nessun intento di farti le pulci, eh... :-)
-- 
Fabrizio "Hermooz" Ermini

> iptables -A FORWARD -s $Rete1 -d $Serser -p tcp--dport 20 -j ACCEPT
Premesso che una simile regola, come gia' detto, sarebbe comunque 
inutile, dovresti anche dare una studiatina al protocollo ftp, se
pensi di amministrarne un server ;-)
Fabio

iptables -A FORWARD -p tcp -m state --state ESATBLISHED,RELATED -j ACCEPT
Perfetto :)
Io ho aggiunto anche la specifica delle porte per "restringere" ancora
l'accesso. 
Comunque un chiarimento:
- established: e' una connessione gia' stabilita e non una richiesta di
connessione (syn)
- related: non mi e' chiaro bene cosa e'...credo sia una comunicazione
relativa ad una connessione precedente...ma piu' precisamente cos'e'? E'
"applicabile" ad ogni protocollo che usa porte tcp o udp?
Ti ringrazio ^^


OK, è ovvio e banale, ma non vorrei che l'OP facesse copia e incolla ;-)
OP :-?
Comunque avevo intuito l'errore di battitura ;)



http://www.sns.ias.edu/~jns/security/iptables/iptables_conntrack.html
Ottimo link, grazie! :)


 
http://www.netfilter.org/documentation/index.html#documentation-faq
Caro amico frustante, mi consenta:
http://www.skullkrusher.net/linux/statemachine.html
uno skull che nel suo piccolo...


 
http://www.skullkrusher.net/linux/statemachine.html
Urka .. carinoooo !! Non ti sto prendendo per i
fondelli, parlo seriamente - ho .. diciamo così
"giocato" <g> con "finite state machines" ed
anche con qualche "neural network" qualche
eone fa :-) .... hehe ... "applicazione di una rete
neurale ad un sistema di controllo intrusioni per
l'implementazione di un sistema di sicurezza
attivo ed auto-adattante" ed il tutto funzionava
anche troppo bene :-D
Complimenti per la pagina !!
Ciao

 Comunque avevo intuito l'errore di battitura ;)
Era bello che evidente, è vero... ma sai com'e', meglio peccare per 
eccesso di puntiglio alle volte!
-- 
Fabrizio "Hermooz" Ermini

 Ciao!
Diavolo, perche` hai multipostato?  Se lo sapevo non mi sarei sbattuto
a darti una spiegazione  dell'ESTABLISHED RELATED su icol.sys o quello
che era.
-- 
Vuoi fare colpo su di lei con me?
Fai colpo su di lei con me! Fai colpo su di lei con me!
[Dr. Gonzo : Paura e delirio a Las Vegas]

Diavolo, perche` hai multipostato? 
Pensavo non fosse un problema...anche se evidentemente lo era. Mi sono
sbagliato, a volte capita :)
