Newsgroup: it.comp.os.linux.iniziare
Titolo: iptables -A INPUT -i 192.168.1.0/24 -p tcp sport 23 -j ACCEPT

Voglio abilitare per 192.168.1.1 solo la connessione da pc sulla stessa
rete con telnet
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -A FORWARD DROP
iptables -A INPUT -i 
192.168.1.0/24
 -p tcp sport 23 -j ACCEPT
non funge, cosa sbaglio?
-- 
| Ciao Cacciavite       Linux Registered User #297089
| Powered by *Debian GNU/Linux 3.0* on Celeron 667MHz 	  

 non funge, cosa sbaglio?
 
Premetto che non sono un esperto di IPTABLES, quindi potrei dire una
fesseria, ma mi sembra ci sia un errore di sintassi. Invece di "sport"
prova a scrivere "--sport". Forse č lě il problema.
Ciao.
-- 
Lucio.
"Tutto quello che possiamo fare č sperare per il meglio, aspettarci 
il peggio e accontentarci di una via di mezzo"

In article <slrnc2t1ph.9...@k6.filuferru.domo>, cacciavite wrote:
all'avvio ho questo msg:
iptables v1.2.6.a : couldn't load match '-j'
/lib/iptables/libipt_-j.so: cannot open shared object file: No such file
or directory
in effetti ho controllato e manca quel file, dunque non "capisce" il
'-j'.
come posso sistemare le cose? dovrei mettere quel file....


 iptables -A INPUT -i 
192.168.1.0/24
 -p tcp sport 23 -j ACCEPT
-I innanzitutto,e poi --dport,non sport cosi` alla cazzo.
Leggi questo che ti fa solo bene:
http://iptables-tutorial.frozentux.net/

 
http://iptables-tutorial.frozentux.net/
sicuramente, comunque avevo messo '--dport' ma non andava lo stesso. Poi
mi sono accorto del msg al boot che diceva che non riconosce il flag
'-j' (come ho scritto nell'altro post.
grazie per il tutorial


 -I innanzitutto
prima devo aver capito male, intendevi probabilmente -I amziche -A,
cioe' inserire la regola in una posizione particolare nella catena di
INPUT? (che tra l'altro dovrei specificare) scusa non va bene metterla
in coda?


 in coda?
Errore mio,ho visto la "i" minuscola e l'ho mentalmente corretta con "I".
Ovviamente e` -s
In ogni caso leggi bene il tutorial che usare iptables senza il
conntracking e` decisamente uno spreco.

 non funge, cosa sbaglio?
come pensi di rispondere al pc che ti chiede la connessione se hai
la policy drop di default per la catena OUTPUT? O metti accept come policy
(non è così azzardato per la catena di output) o crei una regola che
lascia passare i pacchetti destinati agli ip di classe
192.168.1.0/255.255.255.0

 non funge, cosa sbaglio?
La linea corretta e':
  iptables -A INPUT -s 
192.168.1.0/24
 -p tcp --dport 23 -j ACCEPT
- -- 
Dario Basile
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.3 (GNU/Linux)
iD8DBQFALqWM7mRkrRsDl/8RArecAKDAuO3Pe+IjyVLYnEOCsdDsv94KiACcCGzT
WEyaFe3VxqFnHWnysCDhhMs=
=b1hX
-----END PGP SIGNATURE-----

 non funge, cosa sbaglio?
Le regole sono un po' restrittive... ossia butti tutto quello che dovrebbe
uscire.
Comunque, potresti fare in modo meno "cattivo":
Dai una occhiata sul mio sito:
http://digilander.libero.it/tailchaser/Linux-firewall-when-why.html
Poi potresti fare così:
iptables -A INPUT -p tcp --dport 1:22 --syn -j DROP
iptables -A INPUT -p tcp --dport 24:65535 --syn -j DROP
iptables -A INPUT -p tcp -s ! 
192.168.1.0/24
 --dport 23 --syn -j DROP
lasciando le policy di default su ACCEPT
Comunque, anche così è troppo, ti funzioneranno poco i programmi P2P
e per niente il DCC di IRC.
-- 
Mario "Reliant" Pascucci
Linux user #327002 - 
http://counter.li.org/
http://digilander.libero.it/tailchaser

 anche sport l'ho letto su linux&C (num 25)
man iptables
/sport
Ci vogliono nell'ordine dei 10 secondi.
Non  si inventano  i  comandi di  iptables,  non e'  un  buon modo  di
procedere.  Se  non sai cosa fa,  e proprio proprio non  hai voglia di
leggerne il manuale non usarlo  per favore, faresti piu' male che bene
sia a te stesso che alla rete.
-- 
Vuoi fare colpo su di lei con me?
Fai colpo su di lei con me! Fai colpo su di lei con me!
[Dr. Gonzo : Paura e delirio a Las Vegas]

 iptables -A INPUT -i 
192.168.1.0/24
 -p tcp sport 23 -j ACCEPT
1) Credo che il comando giusto sia:
iptables -A INPUT -i 
192.168.1.0/24
 -p tcp --dport 23 -j ACCEPT
2) Se in OUTPUT metti una policy DROP magari il pc le accetta le
connessioni, ma non riuscira' mai ad inviarti i dati... Mettici una
policy ACCEPT o digli di accettare solo i pacchetti in stato RELATED o
ESTABLISHED (non ricordo la sintassi, ma man iptables dovrebbe essere
abbastanza chiaro).
Ciao :)

 '-j'.
Guarda meglio il messaggio d'errore:
iptables v1.2.6.a : couldn't load match '-j'
/lib/iptables/libipt_-j.so: cannot open shared...
                     ^^ 
Non  e' indicativo?  Questo  e' semplicemente  un errore  di sintassi,
anzi, nella riga che ho visto ce n'erano almeno 2.


 sia a te stesso che alla rete.
 
Ciao, *purtroppo* la guida a netfilter l'ho pure letta. Dico purtroppo
perche' i risultati fanno schifo ;). Lo trovo piuttosto complicato, piu'
che altro stanno saltando fuori tutte le lacune su protocolli,
comunicazione del tcp/ip ecc ecc. Ad esempio a parte il comando che era
sbagliato era ovvio che mettendo l'OUTPUT su DROP non mi avrebbe mai
risposto. Comunque grazie a tutti per i suggerimenti


 Comunque grazie a tutti per i suggerimenti
Subito dopo l'impostazione delle policy devi aggiungere le linee:
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j
ACCEPT
In questo modo netfilter esamina solamente il primo pacchetto
della prima connessione di una serie, con evidenti vantaggi di
prestazioni. Il poter filtrare le connessioni in base allo stato
e' il principale vantaggio di iptables su ipchains.
- -- 
Dario Basile
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.3 (GNU/Linux)
iD8DBQFAMKmJ7mRkrRsDl/8RAuhlAJ9a4imzL/VXa9CHILH7giA8jkfylwCgv5nG
e/UZ4le+1bTAlJnU38GziAo=
=YV6e
-----END PGP SIGNATURE-----

 tutte le lacune su protocolli, comunicazione del tcp/ip ecc ecc.
Questo e'  assolutamente vero e  penso che sia  la cosa che  blocca di
piu' quando si ha  a che fare con qualsiasi cosa abbia  a che fare con
la rete.  Per quello bisogna studiare.  E molto anche :-P


 e per niente il DCC di IRC.
Questo  non l'ho  mai provato,  ma penso  che ricada  anche'esso nell'
ESTABLISHED e RELATED di prima.


 programma)  aprire il  manuale  e digitare  "/-opzione" che  cerchera'
non conoscevo questa possibilita' di man, davvero utile


 
http://digilander.libero.it/tailchaser/Linux-firewall-when-why.html
ho stampato il tutorial, senti il link alla sezione 'progetti' non
funziona, mi incuriosiva sapere cosa avevi realizzato...


 non conoscevo questa possibilita' di man, davvero utile
Si, utilissima :-)  E a dire la verita' non e'  propriamente di man ma
bensi'  di  less,  visto  che  man,  quando  viene  chiamato  richiama
groff/nroff/troff (non ricordo mai, comunque un tool per formattare) +
less (in pipe al primo).
