Newsgroup: it.comp.sicurezza.varie
Titolo: Chiarimento su una regola nel mio Iptables (Ipcop)

Il risultato di iptables -L INPUT in un pc con Ipcop installato e' il seguente.
L'unica riga che ho aggiunto io e' la 8 (nega il ping).
Vi sono due interfacce: RED e GREEN, no DMZ
Non ho capito molto il senso delle righe 4 e 7 (i numeri di riga li ho indicati
io per semplicita').
1 ipac~o     all  --  anywhere     anywhere
2 PSCAN      tcp  --  anywhere    anywhere  tcp flags:FIN,SYN,-->
   -->RST,PSH,ACK,URG/FIN,SYN,RST,PSH,ACK,URG
3 PSCAN      tcp  --  anywhere      anywhere     tcp flags:FIN,-->
   -->SYN,RST,PSH,ACK,URG/NONE
4            tcp  --  anywhere             anywhere           tcp flags:-->
    --> SYN,RST,ACK/SYN limit: avg 10/sec burst 5
Va bene anche senza Target?
5 CUSTOMINPUT  all  --  anywhere             anywhere
6 ACCEPT  all  --  anywhere   anywhere   state RELATED, -->
   --> ESTABLISHED
7 ACCEPT  all  --  anywhere    anywhere
Come sarebbe a dire accetta tutto? Capirei se fosse indicata l'interfaccia
Green, ma qui mi pare non sia indicata proprio nessuna interfaccia.
8 ACCEPT     icmp --  anywhere   anywhere    icmp !echo-request
9 ACCEPT     all  --  anywhere      anywhere
10 ACCEPT     all  --  anywhere    anywhere
11 RED        all  --  anywhere         anywhere
12 XTACCESS   all  --  anywhere   anywhere
13 LOG        all  --  anywhere   anywhere   limit: avg 10/min burst 5 -->
     -->LOG level warning prefix `INPUT '
Premetto che con test come quello sul sito 
www.grc.com
 tutto risulta stealthed,
ma il significato soprattutto della riga 7 proprio non l'ho capito.

 Vi sono due interfacce: RED e GREEN, no DMZ
[...]
Cutto tutto solo per farti notare che se dessi un iptables -L -v INPUT
probabilmente risolveresti metà delle domande, poi passiamo alle altre,
se è il caso ;-)



contrario: -v -L INPUT altrimenti si incazza ;-)


Infatti le domande erano due e a quella relativa alla riga 7 mi rispondo da solo
7 1220 76610 ACCEPT  all  --  lo  any   anywhere     anywhere
Quindi OK e' l'interfaccia locale.
Ma la riga 4?
4 121K 5775K     tcp  --  any  any  anywhere  anywhere-->
   --> tcp flags:SYN,RST,ACK/SYN limit: avg 10/sec burst 5
Cosa vuol dire una riga come questa senza Target?
Righe senza target, tra le altre cose, si trovano in molte altre catene
personalizzate.
Guardando ad esempio la catena ipac~o a cui la INPUT mi rimanda:
Chain ipac~o (1 references)
num  pkts bytes   target  prot  opt    in     out    source        destination
1       261 23399             all     --    eth0  any   anywhere      anywhere
2         18  5026              all     --    eth1  any   anywhere      anywhere
Che senso hanno in generale?
Prendono in automatico la policy della catena? (e qui pensavo di essermi
risposto da solo anche alla seconda domanda, pero' poi vedendo che
le catene personalizzate non hanno indicata una policy, allora il dubbio
mi e' rimasto).

 personalizzate.
[...] 
ricutto anche qui: dal solo output di iptables -L diviene difficile
esaminare il senso che le regole hanno nell'insieme, per cui è arduo
rispondere alle tue domande.
l'output di un iptables-save è decisamente più chiaro, oltre ad essere
fatto per tale scopo... ;-)
(oggi sono in vena maieutica, domando scusa...)

 l'output di un iptables-save
Ho visto che il comando save e' nelle versioni piu' recenti di iptables
Nella versione installata in Ipcop questo comando non e' disponibile
(come tra le altre cose non e' disponibile nemmeno il comando man,
ma questo non riguarda iptables nello specifico).
Possibile che in Ipcop 1.3.0 patchato regolarmente vi e' una versione
piuttosto vecchia di Iptables?

 piuttosto vecchia di Iptables?
la versione usata di iptables dovrebbe (teoricamente) andare di pari passo
con il kernel utilizzato, visto che deve corrispondere alla versione di
netfilter integrata nel kernel.
Al di lą di questo, iptables-save č un binario che viene da sč con la
compilazione di iptables da quando esiste iptables (AFAIK, almeno...).
Non conosco ipcop, quindi non escludo che gli autori possano avere scelto
di non includerlo, ma -a me- parrebbe una scemata, considerando che non
arriva ai 100K di peso...
L'alternativa č andare a mettere il naso nel ruleset direttamente, che da
qualche parte deve pur essere scritto...
Hola