Newsgroup: it.comp.os.linux.iniziare
Titolo: iptables: alcuni dubbi elementari


|=> on 
irc.azzurra.org
 #oltrelinux as belbo
|=> visit my useless site: 
http://utenti.lycos.it/ballardplace
'==============================================================>>

 Grazie per ogni risposta.
Prego.
-- 
Lucio. ICQ# 126307243
"Tutto quello che possiamo fare č sperare per il meglio, aspettarci 
il peggio e accontentarci di una via di mezzo"

 linguaggio agghiacciante. :-P
Ho fatto il seguente stupido "firewall" prendendo consigli di qua e di la':
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT ACCEPT
$IPT -A INPUT -i ppp0 -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A INPUT -p icmp --icmp-type ! echo-request -j ACCEPT
come client funge TUTTO e il test su sygate alla fine mi ha fatto i 
complimenti per la sicurezza del mio
sistema (e non ha neanche capito quale sia)!
I casi sono 2:
1) iptables e' semplice e potente al punto che in 3 righe chiudo tutto alla
perfezione e divento una specie di 'stealth client' che vede tutto 
ma invisibile.
2) il test sygate non significa nulla.
Sperando nella prima, attendo risposte abbastanza allibito ancora una
volta dal penguin's power.


 2) il test sygate non significa nulla.
Non la metterei giů cosě dura, un firewall si puň anche aggirare (vedi 
firewalk) ma quello che dice quel test č tutto vero.

 una volta dal penguin's power.
 
Io sono ancora fondamentalmente un utente Windows (che non credo 
abbandonerň mai), ma trovo il mondo del pinguino mooooolto stimolante 
(anche se a volte leggermente frustrante).
Ciao.


[cut]


 maliziosi dell'ftp?
Puoi abilitare la porta ftp del tuo server solo a certi indirizzi che 
tu conosci.

 regola riguardo il Forward serva a qualcosa.
La chain FORWARD della tabella FILTER c'č e non la puoi eliminare, 
tanto vale mettere la sua policy a DROP e far finta che non ci sia, 
finchč non dovrai fare un router.

> $IPT -A INPUT -p icmp --icmp-type ! echo-request -j ACCEPT
Prima problema riscontrato con questa config:
i dcc in entrata fungono, quelli in uscita verso altri utenti no...
Devo risolvere in fretta... COme fare?


Devo risolvere in fretta... COme fare?
Un DCC su IRC client funziona come un server ftp in modalita' passiva.
In pratica il mittente manda un' "offerta" DCC SEND al destinatario,
tramite il server IRC, indicando in questa offerta l'indirizzo IP e la
porta (solitamente quelle del mittente) a cui connettersi per il
trasferimento del file. Dopodicche' si mette in ascolto su tale porta.
Il destinatario che riceve l'offerta, se accetta l'offerta manda una
richiesta di connessione TCP ad indirizzo:porta specificati. Inizia
cosi' la solita transazione TCP, che termina quando il mittente
finisce di inviare il file.
I client IRC decenti che implementano il DCC dovrebbero permettere di
impostare uno o piu' porte TCP su cui e' possibile mettersi in ascolto
per l'invio via DCC.
Se imposti il tuo client ad una singola porta (o eventualmente poche,
ma a costo della sicurezza) per il DCC puoi configurare il firewall in
modo da accettare le transazioni su quella porta TCP.
Se esiste un modulo (non lo so) per iptables che gestisce il DCC per
IRC puoi cavartela meglio senza lasciare che iptables accetti
indiscriminatamente pacchetti destinati alla sudetta porta TCP.
Naturalmente i DCC in entrata funzionano perche' la figura di server
TCP e' assunta dall'offerente DCC, e il tuo firewall e' configurato
per accettare richieste di connessione in uscita.
-- 
        Sephiroth
____________________________
Linux Registered User:181013
"Computers are like air conditionners, they stop
working properly when you open windows."

 di inviare il file.
La tua spiegazione e' stata illuminante, e a chi puo' interessare dico 
come ho risolto: in pratica c'e' un modulo per connection-tracking
legato a irc (modprobe ip_conntrack_irc) che
credo tracci i SYN mandati dall'utente che io ho
contattato per un dcc send. Sembra funzionare alla perfezione.
Domanda generica: ovviamente il mio firewall e' stupido, e vorrei ad
esempio filtrare pacchetti frammentati, e altri casi particolari, per poi
mettermi a chiudere anche OUTPUT, che penso che lasciare aperta non mi
protegga da trojan e roba del genere. Che regole conviene mettere?
Il conntracking e' una figata, e dire che io pensavo che iptables fosse solo
un packtfilter...


 protegga da trojan e roba del genere. Che regole conviene mettere?
Chiudere OUTPUT renderebbe inoffensivi eventuali trojan ma ti limiterebbe
nella navigazione, mentre quei trojan sarebbero comunque presenti sul tuo
computer.
L'unica utilità che vedo è quella di limitare la navigazione verso siti che
aprono centinaia di popup, siti utilizzati dai vari spyware ecc...
Io ho fatto una roba del genere sulla chain FORWARD per impedire di
raggiungere i siti che utilizza GATOR per scaricarsi i banner da mostrare
ecc...
--------------------------------
Inviato via 
http://usenet.libero.it