Newsgroup: it.comp.sicurezza.varie
Titolo: firewall per linux

che ne dite di questo firewall, puo essere adatto ad un pc stand alone?
ciao
# FORWARD rules
  start /sbin/iptables -P FORWARD DROP
 
  # Allow passive ftp
  start /sbin/modprobe ip_conntrack_ftp
 
  # Allow connections to unprivileged ports
  start /sbin/iptables -A INPUT -p tcp --syn --dport 1025:65534 -j ACCEPT
  start /sbin/iptables -A INPUT -p udp       --dport 1025:65534 -j ACCEPT
 
  # Samba Rules
  start /sbin/iptables -A INPUT -p tcp --syn --dport 139 -j ACCEPT
  start /sbin/iptables -A INPUT -p udp --dport 137:138 -j ACCEPT
  start /sbin/iptables -A INPUT -p tcp --syn --dport 445 -j ACCEPT
  start /sbin/iptables -A INPUT -p udp --dport 445 -j ACCEPT
  #INPUT rules - uncomment to enable ports
  #start /sbin/iptables -A INPUT -p tcp --syn --dport   21 -j ACCEPT   #
FTP
  start /sbin/iptables -A INPUT -p tcp --syn --dport   22 -j ACCEPT   # SSH
  #start /sbin/iptables -A INPUT -p tcp --syn --dport   25 -j ACCEPT   #
SMTP
  #start /sbin/iptables -A INPUT -p tcp --syn --dport   80 -j ACCEPT   #
HTTP
  #start /sbin/iptables -A INPUT -p tcp --syn --dport  110 -j ACCEPT   #
POP3
  #start /sbin/iptables -A INPUT -p tcp --syn --dport  113 -j ACCEPT   #
Auth
  #start /sbin/iptables -A INPUT -p tcp --syn --dport  143 -j ACCEPT   #
IMAP
  #start /sbin/iptables -A INPUT -p tcp --syn --dport  111 -j ACCEPT   #
portmap (nfs, etc.)
  #start /sbin/iptables -A INPUT -p tcp --syn --dport 2049 -j ACCEPT   #
NFS
  #start /sbin/iptables -A INPUT -p udp       --dport 2049 -j ACCEPT   #
NFS
  #start /sbin/iptables -A INPUT -p tcp --syn --dport  745 -j ACCEPT   #
NFS
  #start /sbin/iptables -A INPUT -p udp       --dport  745 -j ACCEPT   #
NFS
  #start /sbin/iptables -A INPUT -p tcp --syn --dport  748 -j ACCEPT   #
NFS
  #start /sbin/iptables -A INPUT -p udp       --dport  748 -j ACCEPT   #
NFS
 
  start /sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j
ACCEPT
 
  #allow icmp
  start /sbin/iptables -A INPUT -p ICMP -s 0/0 --icmp-type echo-request -j
ACCEPT
 
  # Deny everything else
  start /sbin/iptables -P INPUT DROP
 
  # DoS, syn, etc. protection
 
  start /sbin/iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j
ACCEPT
  start /sbin/iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST
-m limit \
  --limit 1/s -j ACCEPT
  start /sbin/iptables -A FORWARD -p icmp --icmp-type echo-request -m
limit \
  --limit 1/s -j ACCEPT
 
  #limit logging levels
  start /sbin/iptables -A FORWARD -m limit -j LOG
 
  echo "Network Connection Secure"
  ;;
stop)
 
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

   ;;
ROTFL.

che ne dite di questo firewall, puo essere adatto ad un pc stand alone?
Non è molto chiara la situazione alla base:
-Il firewall è installato sul PC stand alone oppure è su macchina
dedicata?
-Cosa deve fare questo PC?
--
A: Because it messes up the order in which people normally read text.
Q: Why is top-posting such a bad thing?
A: Top-posting.
Q: What is the most annoying thing on usenet and in e-mail?

 alone?
E' una schifezza immonda, pare adattato pari pari da un vecchio script
ipchains.
Se quella box non fa da router/nat, uno script di base deve
semplicemente accettare tutte le connessioni related/established:
iptables -A wan -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A wan -m state --state INVALID -j DROP
accettare un minimo di icmp
iptables -A wan -p icmp --icmp-type echo-request -j ACCEPT 
iptables -A wan -p icmp --icmp-type echo-reply -j ACCEPT 
accettare tutto su lo
iptables -A input -i lo -j ACCEPT
e droppare tutto il resto.
Un po' di regole di contorno per linkare le varie tabelle/catene, e
fine.
Ah, non dimenticare di caricare i moduli conntrack_* e gli altri
eventuali che ti possono servire.
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*                         
http://www.google.com
                    *
*                                                                  *
*                           ET IN ARCADIA EGO                      *

 iptables -A wan -p icmp --icmp-type echo-reply -j ACCEPT
A rigore, avendo tu messo il RELATED, questa e' superflua. :)
P.S.
Come e' andata? :)

 Come e' andata? :)
Molto bene, direi. ;)


 iptables -A wan -p icmp --icmp-type echo-reply -j ACCEPT 
io lascierei passare anche gli icmp di destinazione non riuscita ..
-- 
Ciao, Dmitry
FIAG - Free It-Alt Group  ~   
http://www.fiag.it
X-PLANET Community        ~   
http://www.x-planet.org

 write list = @test
Provare per credere.
K

 che ne dite di questo firewall, puo essere adatto ad un pc stand alone?
Per autocitarmi, stai domandando l'efficacia di un U-Boot con capottina in
tela...
Hola...

 io lascierei passare anche gli icmp di destinazione non riuscita ..
RELATED is your friend.


Una cosa a margine: ma se io volessi gestire una risposta -j REJECT?
OK, ci sarebbe una cosa del tipo
iptables -A INPUT -p tcp -j REJECT --reject-with tcp-reset
iptables -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
Ma a quel punto devo lasciare la catena di default in ACCEPt...
Altre soluzioni niente?
Ciaotutti,
*

 Ma a quel punto devo lasciare la catena di default in ACCEPt...
Epperchèmmai?
La policy di chain incoccia solamente come last-resort, ma nulla ti
impedisce di usare un reject prima pur lasciando il drop (o qualsiasi
altra cosa...)
Non ho capito la domanda?!?

 altra cosa...)
E' quello che solitamente faccio io.


 Ma a quel punto devo lasciare la catena di default in ACCEPt...
Non direi.
In fondo alle mie catene di input, ci sono alcuni tarpit ed alcuni reject
E la policy e' drop.

 adatto ad un pc stand alone?
<snip>
Scusa, ma invece di farti tutte queste <b>eghe
mentali, perchè non ti prendi direttamente un
tool tipo 
http://www.fwbuilder.org/
 e ci "giochi"
un pochino per tuo conto ?!?
Ciao

essere ridondante.
Casomai è meglio che la riga INVALID -> DROP preceda le altre, in
maniera da evitare che un pacchetto INVALID soddisfi qualche regola e
segargli le gambe subito.


 segargli le gambe subito.
Boh, lo stato e' mutuamente esclusivo: se e' invalid non puo' essere
established ne' related.


 Epperchèmmai?
Perche' mi ero scordato che la policy viene considerata solo se nessuna
catena matcha :PP
Ciaotutti,
*

 -m limit --limit 1/s -j ACCEPT
Perche' questa? 
Fabio

established ne' related.
Per i pacchetti che attraversano la catena FORWARD da fuori verso
dentro è vero, ma non nel verso contrario.
Se in FORWARD uscente si accettano tutti i pacchetti la regola è utile
a segare alla radice un INVALID proventiente dall'interno.


Non mi risulta, oppure non capisco cosa intendi.
Supponiamo di avere le seguenti regole:
iptables -A FORWARD -i eth_LAN -o eth_WAN -s reteinterna -d !
reteinterna -j ACCEPT
iptables -A FORWARD -i eth_WAN -o eth_LAN -d reteinterna -m state
--state ESTABILISHED, RELATED -j ACCEPT
Il pacchetto INVALID proveniente dalla rete locale verso l'esterno
passa(1).
Aggiungere all'inizio
iptables -A FORWARD -m state --state INVALID -j DROP
non lascia neanche uscire il pacchettaccio.
(1)E se ne va fuori a fare chissà cosa. Ora che ci penso, però: può un
pacchetto di ritorno essere in stato ESTABILISHED o RELATED con un
INVALID?


 INVALID?
Non credo... o magari si, se si tratta di un icmp di ritorno... boh.


 Non credo... o magari si, se si tratta di un icmp di ritorno... boh.
IMHO potrebbe, in caso di stack della macchina emittente realizzato dai
programmatori Yugoslavi di Davide...
Cmq, sempre imho, in tal caso non viene riconosciuto come RELATED...
Mbah...