Newsgroup: it.comp.sicurezza.varie
Titolo: Aiuto su rules...

Salve a tutti,
stò maneggiando un pò iptables per implementare un firewall sul mio pc con connessione 
dial-up. Ho scritto poche righe ma già queste mi danno problemi :((
Guardate un pò:
#!/bin/bash
LOCALIP=`ifconfig ppp0 | grep inet | cut -d\: -f 2 | cut -dP -f1`
IPT=iptables
$IPT -P INPUT DROP
$IPT -P OUTPUT ACCEPT
$IPT -P FORWARD DROP
$IPT -A INPUT -i ! ppp0 -d $LOCALIP -j ACCEPT
$IPT -A INPUT -i ppp0 -d 
224.0.0.0/8
 -j DROP
$IPT -A INPUT -p igmp -i ppp0 -d $LOCALIP  -j DROP
$IPT -A INPUT -p tcp -i ppp0 -d $LOCALIP --dport 113 -j REJECT
$IPT -A INPUT -p tcp -i ppp0 -s ! 
192.168.0.0/24
 -d $LOCALIP --dport 1023:65000 -j ACCEPT
$IPT -A INPUT -p tcp -i ppp0 -s ! 
172.16.0.0/16
 -d $LOCALIP --dport 1023:65000 -j ACCEPT
$IPT -A INPUT -p tcp -i ppp0 -s ! 
10.0.0.0/8
 -d $LOCALIP --dport 1023:65000 -j ACCEPT
$IPT -A INPUT -d $LOCALIP -m state --state INVALID -j DROP
..in teoria così dovrebbebloccare tutte i pacchetti in arrivo sulle porte WELL-KNOW, e 
lasciare invece che le altre siano disponibili.
Però lanciando lo script, riesco a navigare ma non a scaricare la posta o leggere le news 
per esempio.. guardando l'output di tcpdump sembra che continui a richiedere dati al DNS 
del mio provider.
Potete darmi qualche info a riguardo??
Grazie mille!
Bye

 LOCALIP=`ifconfig ppp0 | grep inet | cut -d\: -f 2 | cut -dP -f1`
verifica sul tuo sistema perche' questa riga non mi pare corretta
(eseguendaola sul mio sistema rimane un Bcast in coda)
io l'ho corretta con
ifconfig ppp0 |grep inet |cut -d\: -f2 |cut -d\  -f1
o anche
ifconfig ppp0 |grep inet |awk 'BEGIN{FS=":"} {print $2}' |awk '{print $1}'
aggiungi magari in testa anche
iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD
per ripulire eventuali regole gia' presenti
-- 
buon ritorno al lavoro

 Netfilter e' stateful.
scusa la domanda... e per lo stato di connessione NEW?? se devo dare la possibilità di 
connettersi al servizio ssh sul mio server non devo impostare anche la reola per lo stato 
NEW??
grazie mille!
bye

 Io mi riferivo alle tre regole che avevo quotato.
Grazie!
..ma visto che sei così ferrato con iptables :) ...
ho provato a giocare sul modulo --limit impostando le seguenti ed iniziali rules:
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP
$IPT -A INPUT  -i eth0 -p tcp --syn -d 172.16.0.1 -m limit --limit 1/m -j ACCEPT
$IPT -A INPUT  -i eth0 -p tcp --syn -d 172.16.0.1 -j DROP
$IPT -A INPUT -p tcp -i eth0 -d 172.16.0.1 --dport 22 -j ACCEPT
$IPT -A OUTPUT -p tcp -s 172.16.0.1 -d 172.16.0.100 --dport 22 -j ACCEPT
pensando che in questo modo autorizzo solo una connessione al minuto sul mio pc sulla 
porta SSH, ma a quanto pare dalle successive prove riesco cmq a collegarmi più volte 
nell'arco di quel minuto :((
cosa potrebbe essere che non và bene?
Grazie ancora.

 Evita di postare la stessa domanda su piu' gruppi.
si scusami, di solito non lo faccio ma sull'altro gruppo non avevo ricevuto risposta.
Cmq il --limit-burst funziona.
Rimane il problema della connessione verso internet che non funzia... ho settato le regole 
al minimo:
LOCALIP=`ifconfig ppp0 | grep inet | cut -d\: -f 2 | cut -dP -f1`
IPT=iptables
$IPT -F
$IPT -P INPUT DROP
$IPT -P OUTPUT ACCEPT
$IPT -P FORWARD DROP
$IPT -A INPUT -p tcp -i ppp0 -d $LOCALIP --dport 113 -j REJECT
$IPT -A INPUT -p tcp -i ppp0 -d $LOCALIP -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A INPUT -p tcp -i ppp0 -s ! 
192.168.0.0/24
 -d $LOCALIP --dport 1023:65000 -j ACCEPT
I pacchetti ovviamente escono ma mi droppa tutto in INPUT :
#iptables -L -vn
Chain INPUT (policy DROP 2 packets, 168 bytes)
  pkts bytes target     prot opt in     out     source               destination
     0     0 REJECT     tcp  --  ppp0   *       
0.0.0.0/0
            62.10.121.102 
tcp dpt:113 reject-with icmp-port-unreachable
     0     0 ACCEPT     tcp  --  ppp0   *       
0.0.0.0/0
            62.10.121.102 
state RELATED,ESTABLISHED
Chain FORWARD (policy DROP 0 packets, 0 bytes)
  pkts bytes target     prot opt in     out     source               destination
Chain OUTPUT (policy ACCEPT 2 packets, 168 bytes)
  pkts bytes target     prot opt in     out     source               destination
Sembra assurdo, non ho impostato altre DROP al di fuori della policy di default -P INPUT 
DROP ma che dovrebbe essere scavalcata dalla rule dello stato di connessione 
ESTABLISHED,RELATED...ma non č cosě.
?
Grazie.

 Rimane il problema della connessione verso internet che non funzia...
prova ad aprire in input la 53 UDP

 ha scritto nel messaggio
news:flTS9.94366$R45.4...@news2.tin.it...
