Newsgroup: it.comp.os.linux.iniziare
Titolo: [per Ouz]Qundo hai tempo rispondimi senza impegno

Ti ricordi la mia situazione nel post di ieri:
           eth1                eth0            rete 
10.0.0.0/255.255.255.0
Internet ---------[router] -----------[FirewallRH9]-----------LAN---client(1
0.0.0.155)
Allora quello che dovrei fare è rendere il firwall accessibile solo
con SSH dall'interno(LAN).
Fare navigare la LAN su Internet (NAT)...ma quello lo già fatto.
Quello che non capisco se imposto all'inizio:
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT DROP
Queste regole chiudo tutto in ingresso è in uscita da una sola
interfaccia(eth0)o anche eth1?
Grazie

ipchains -A f0to1 -p tcp --sport 1024:65535 --dport 22:22 -j ACCEPT
ciao

 
Non sono Ouz ma con quei comandi droppi tutto per tutte le interfacce 
anche per quella di loopback!
Per riaprirla usa ad esempio:
/sbin/iptables -A INPUT  -i lo  -j ACCEPT
/sbin/iptables -A OUTPUT -o lo  -j ACCEPT
Se vuoi riaprire tutto il traffico su eth1
/sbin/iptables -A INPUT  -i eth1  -j ACCEPT
/sbin/iptables -A OUTPUT -o eth1  -j ACCEPT
Ciao
Here

 > /sbin/iptables -P OUTPUT DROP
La cosa strana è che se uso :
/sbin/iptables -P INPUT DROP
/sbin/iptables -P OUTPUT DROP
Le macchina della LAN navigano.
Invece con:
/sbin/iptables -P FORWARD DROP
La LAN non naviga. mah??? :(((
          NAT                 eth1                        eth0


 
E' normale che sia cosě!
In pratica dici al firewall "Ciao bello tutto quello che č forward fallo 
scivolare via!"
Con questo script e con l'ultima istruzione in particolare ti dovrebbe 
funzionare tutto!
Droppi il forward e lo riattivi per la sola interfaccia locale!
#!/bin/bash
EXTERNAL_INTERFACE="eth0"
LOCAL_INTERFACE="eth1"
INTRANET="
192.168.0.0/24
"
echo 1 > /proc/sys/net/ipv4/ip_forward
/sbin/iptables -t nat -A POSTROUTING -o $EXTERNAL_INTERFACE -j MASQUERADE
/sbin/iptables -A FORWARD -m state --state ESTABLISHED,RELATED -i 
$EXTERNAL_INTERFACE -s ! $INTRANET -j ACCEPT
#### FORWARD TOTALE
/sbin/iptables -A FORWARD -i $LOCAL_INTERFACE -j ACCEPT

 $EXTERNAL_INTERFACE -s ! $INTRANET -j ACCEPT
Questa non lo capita!!!!!!!!!!

 
Se lo script viene avviato con dei forward attivi non droppa le 
connessioni già in corso tra la rete locale ed Internet... ci sarebbero 
spiegazioni più tecniche ma più o meno è così...

 >>$EXTERNAL_INTERFACE -s ! $INTRANET -j ACCEPT
...ok
......ma continua a non funzionare

 
Prova a postare lo script che usi... non sono particolarmente esperto ma 
un paio di firewall in LAN li ho piazzati e funzionano ininterrottamente 
da un paio d'anni e non hanno mai avuto problemi...

 da un paio d'anni e non hanno mai avuto problemi...
Non uso script uso ma uso iptables-save.
Cmq questa è la tipologia di rete:
                                     eth1(10.1.0.2) eth0(10.0.0.253)
Internet ----------- [ROUTER CISCO]----------- [FW RH9]----------------[LAN]
            NAT          Fastweb                                    Rete
                         GW 10.1.0.254                         
10.0.0.0/24

 Grazie
Prego, e ciao

 Non uso script uso ma uso iptables-save.
Allora posta i comandi prima di iptables che dai prima di usare 
iptables-save.
Comunque dimmi, Megaloman, li hai letti gli HOWTO su netfilter?

> Comunque dimmi, Megaloman, li hai letti gli HOWTO su netfilter?
Credimi che li ho letti.
Ho sbaglio qualche sintassi o c'è qualche anomalia sulle mie macchine.
Cmq io non sono uno che vuole la pappa pronta....

 Cmq io non sono uno che vuole la pappa pronta....
Ok, no problem, solo mi sembravi un po' frettoloso di capire il firewall, 
senza aver letto piu' di tanto (dai, la differenza fra INPUT e FORWARD 
per far navigare la lan... :-)).
Secondo me e' meglio sbatterci un bel po' la testa sopra, perlomeno, 
io ho fatto cosi', prima di solo -pensare- a mettere giu' uno schema 
di regole avevo gia' letto l' IP-Masquerading e il Firewall-HOWTO.
Poi ho costruito il mio piccolo firewall a suon di man iptables.
Poi (troppo tardi sfortunatamente, mi avrebbe facilitato il tutto forse) 
ho scoperto gli howto su 
netfilter.org
.
Comunque posta le regole che usi che sono ben disposto a darti una mano 
se ne sono in grado :-)