Newsgroup: it.comp.sicurezza.varie
Titolo: Il firewall e il news server, come li faccio diventare amici?

Allora, come dicevo in un mio precedente post che siete pero'
autorizzati a non aver letto, mi sono registrato per l'uso di un news
server.
Dall'ufficio mi ci connetto senza problemi col mio Hamster, ma quando
tento da casa con fetchnews nonriesco ad usarlo.
Credo che il problema sia dovuto al firewall piuttosto che alla
configurazione di leafnode visto che sistematicamente quando tento la
connessione compaiono una serie di log del firewall.
Nel post precedente mi bullavo di riuscire a risolvere da solo il
problmema, ma una ricerca su google e la lettura veloce della man page
di ipchain e dell'IPCHAINS-HOWTO mi hanno spiegato forse cosa succede,
ma non come uscirne.
Percio' ritratto tutto e chiedo.
Il log incriminato del mio firewall:
----------
Feb 27 23:27:29 spiderman kernel: Packet log: input DENY ppp0 PROTO=6
193.43.96.1:119
 
151.25.146.140:2205
 L=60 S=0x00 I=0 F=0x4000 T=56 (#49)
----------
Un dig sul news server in questione:
----------
spiderman:/home/fmf# dig 
news.cu.mi.it
; <<>> DiG 9.2.0 <<>> 
news.cu.mi.it
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 39350
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 3, ADDITIONAL: 3
;; QUESTION SECTION:
;
news.cu.mi.it
.                 IN      A
;; ANSWER SECTION:
news.cu.mi.it
.          41193   IN      CNAME   
diesel.cu.mi.it
.
diesel.cu.mi.it
.        39667   IN      A       193.43.96.1
;; AUTHORITY SECTION:
cu.mi.it
.               153744  IN      NS      
spider.cu.mi.it
.
cu.mi.it
.               153744  IN      NS      
venere.inet.it
.
cu.mi.it
.               153744  IN      NS      
ns2.inet.it
.
;; ADDITIONAL SECTION:
spider.cu.mi.it
.        153744  IN      A       193.43.96.8
venere.inet.it
.         37761   IN      A       194.20.8.4
ns2.inet.it
.            16242   IN      A       194.20.8.1
;; Query time: 186 msec
;; SERVER: 195.210.91.100#53(195.210.91.100)
;; WHEN: Wed Feb 27 23:30:59 2002
;; MSG SIZE  rcvd: 181
----------
Sono in dial-up, in quell'occasione ifconfig mi diceva:
----------
ppp0      Link encap:Point-to-Point Protocol
          inet addr:151.25.146.140  P-t-P:151.5.145.59
----------
Nel mio firewall la regole #49 dovrebbe essere (uso il firewall precotto
di Mr. Shark, percio' non sono ancora sicuro di non dire cacchiate):
----------
-A input -s 
0.0.0.0/0.0.0.0
 -d 
151.25.146.140/255.255.255.255
 -i ppp0 -p
6 -j DENY -l
----------
Quindi mi sembra di capire che il server 
news.cu.mi.it
 sta cercando di
parlarmi sulla porta 2205 (perche'?) usando TCP, ma viene rifiutata dal
mio firewall.
E allora il mio fetchnews mi dice che la connessione al news server e'
stata rifiutata. Porello, gli ho chiuso la porta in faccia io stesso...
Ora, chi mi spiega dove ho detto castronerie e come posso risolvere?
Tnx.
-- 
manuel 'fmf' ferrero

 ----------
Uhm, evidentemente stai rifiutando un pacchetto TCP (PROTO=6) da
news.cu.mi.it
 (193.43.96.1:119).. scusa ma perche' hai messo una regola
di DENY? Cosi', giusto per sapere.. ho dato un'occhiata allo script di
MrShark e lui fa tutt'altra cosa nella funzione fw_nntp() cioe'
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
fw_nntp () {
    #--------------- NNTP (119)
    echo -n "Newsgroup Usenet : "
    if [ $NNTP = "ON" ]; then
      for news in $NNTP_IP ; do
        $IPCHAINS -A input -i $INTERFACE -p tcp ! -y -s $news 119 \
          -d $LOCALIP $UNPRIVPORTS -j ACCEPT
      done
      echo -e "\t\t\t\t\t\t[ ${GREEN}OK ${WHITE}]"
    else
      echo -e "\t\t\t\t\t\t[ ${RED}NO ${WHITE}]"
    fi
} # fw_nntp
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
perche' tu invece hai messo una regola di DENY?
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

perche' tu invece hai messo una regola di DENY?
Emh. Ti spiego. I problemi li ho a casa. Ma spesso e volentieri mi
stampo informazioni e ricerche dall'ufficio per poi studiarle la sera
una volta rincasato.
Cosi' le soluzioni arrivano diluite nel tempo come in questo caso: ho
capito il problema solo dopo un po' di ricerche. contavo a casa stasera
di dare uno sguardo proprio a quello che mancava, cioe' il fw di Mr.
Shark.
Il perche' sia diversa la versione che ho a casa non lo so, posso solo
immaginare che stia usando una versione vecchia dello script.
Comunque ho cibo da digerire, grazie.
-- 
manuel 'fmf' ferrero

 Comunque ho cibo da digerire, grazie.
Buon appetito allora.. fammi sapere se hai risolto.


mio firewall.
Si'. Il tuo fetchnews apre la prima porta che trova (oggi la 2205 e poi
domani chi sa) e il server risponde, dalla 119 alla tua 2205. Ma quella
risposta riceve un calcio nei denti.
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

 per mysql (e nemmeno quello: "! -y" lo proibisce).
Beh... su uno unix puoi anche eseguire degli scan senza SYN ;)
La difficolta' non e' dovuta tanto al "-y" quanto al fatto che
lo scan dovrebbero farlo con l'ip sorgente del server di news.
Fabio

Allora, come dicevo in un mio precedente post che siete pero'
[SNIKT]
Ecco, mi vergogno un po', ma mica uno deve per forza ricordarsi tutto
tutto, no?
Allora, come detto uso il firewall di Mr. Shark e nella versione che ho
io non era possibile indicare nel file di configurazione piu' di un news
server per la variabile NNTP_IP, perche' nella parte che definisce le
regole e' accettato un solo valore:
 fw_nntp () {
     #--------------- NNTP (119)
     echo -n "Newsgroup Usenet : "
     if [ $NNTP = "ON" ]; then
       $IPCHAINS -A input -i $INTERFACE -p tcp ! -y -s $NNTP_IP 119 \
         -d $LOCALIP $UNPRIVPORTS -j ACCEPT
       echo -e "\t\t\t\t\t\t[ ${GREEN}OK ${WHITE}]"
     else
       echo -e "\t\t\t\t\t\t[ ${RED}NO ${WHITE}]"
     fi
 } # fw_nntp
Mi e' bastato aggingere un for prima della regola (che tra l'altro mi
sembra simile a quella suggrita da Leonardo) e tutto e' andato a posto.
Grazie a tutti per la pazienza, ce lo so che son niubbo...
-- 
manuel 'fmf' ferrero

lo scan dovrebbero farlo con l'ip sorgente del server di news.
Cio' e' implicito :-) ... ma in effetti quella difficolta' non e'
poi insormontabile. Anzi.
Leonardo (hint: "dumb host scan" -- e un NNTP server italiano, ad
          un'ora sufficientemente tarda, e' bello dumb).

           un'ora sufficientemente tarda, e' bello dumb).
Intendi dire un'idle scan (o blind)? Questo metodo di scanning comincia ad
avere un po' troppi nomi:) Stavo per dire che forse anche di notte sarebbe
stata dura ma in realta' ho dato una tastatatina un momento fa e ho notato
che anche a quest'ora e' piuttosto dumb.
Nulla di tutto cio', in ogni caso, toglie validita' alla precedente regola
di ipchains: piu' di cosi' c'e' solo... stateful.
Fabio

 che anche a quest'ora e' piuttosto dumb.
Ooops.. io ho dato un occhiata al mio server, che pensavo fosse anche il suo
(ingenuamente ho guardato solo l'indirizzo di posta elettronica). Il suo, in
realta', e' un linux con kernel 2.4: col cavolo che lo usi come dumb host :)
Fabio

avere un po' troppi nomi:)
Si' - a entrambe le affermazioni ;-)


> Si': dumb host scan era il nome dato da antirez a tale tecnica.
Si, ricordo il suo post su bugtraq (erano i primi tempi che
leggevo la mailing list). Poi e' entrato in voga il termine
idle, usato anche da antirez stesso in documenti successivi.
Sara' perche' e' piu' breve? :)
Fabio