Newsgroup: it.comp.os.linux.iniziare
Titolo: ipchains ....

Ho scritto uno scriptino per il firewall ipchians (kernel 2.2), quando 
faccio il login via ssh ci mette un po' per l'accesso, se lo stoppo 
entro immediatamamente. Dato che dovrei configurare qesto firewall su un 
bel po' di macchine non vorrei rischiare di intoppare in qualche blocco 
di accesso.
Lo script è questo:
#!/bin/bash
clear
echo "Attivazione Firewall..."
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
ipchains -F
ipchains -X
ipchains -P input   DENY
ipchains -P output  ACCEPT (Da impostare su DENY)
ipchains -P forward ACCEPT
# ACCETTA LE CONNESSIONI DI LOOPBACK
ipchains -A input  -i lo -j ACCEPT
ipchains -A output -i lo -j ACCEPT
# FORWARD DEI PACCHETTI PROVENINTI DALLA SCHEDA SAT
ipchains -A forward -s 
10.11.30.247/16
 -i aba_0 -j ACCEPT
ipchains -A input -i aba_0 -j ACCEPT
ipchains -A output -i aba_0 -j ACCEPT
##### REGOLE DI INPUT ######
# TCP
ipchains -A input -p tcp --sport 53 --dport 53 -j ACCEPT
ipchains -A input -p tcp --sport 1024: --dport 22 -j ACCEPT
ipchains -A input -p tcp --sport 1024: --dport 21 -j ACCEPT
ipchains -A input -p tcp --sport 1024: --dport 20 -j ACCEPT
ipchains -A input -p tcp --sport 1024: --dport 80 -j ACCEPT
ipchains -A input -p tcp --sport 1024: --dport 62000:64000 -j ACCEPT
##### 
10.68.0.0/24
ipchains -A input -p tcp -s 
10.68.0.0/24
 --sport 1024: --dport 80 -j ACCEPT
# UDP
ipchains -A input -p udp --sport domain --dport 53 -j ACCEPT
# ICMP
ipchains -A input -p icmp --icmp-type ping -j ACCEPT
ipchains -A input -p icmp --icmp-type pong -j ACCEPT
ipchains -A input -p icmp --icmp-type destination-unreachable -j ACCEPT
ipchains -A input -p icmp --icmp-type time-exceeded -j ACCEPT
##### REGOLE DI OUTPUT ######
# TCP
ipchains -A output -p tcp --sport 53 --dport 53 -j ACCEPT
ipchains -A output -p tcp --sport 22 --dport 1024: -j ACCEPT
ipchains -A output -p tcp --sport 62000:64000 --dport 1024: -j ACCEPT
##### 
10.68.0.0/24
ipchains -A input -p tcp --sport 80: --dport 1024: -j ACCEPT
# UDP
ipchains -A input -p udp --sport domain --dport 53 -j ACCEPT
# ICMP
ipchains -A output -p icmp --icmp-type ping -j ACCEPT
ipchains -A output -p icmp --icmp-type pong -j ACCEPT
ipchains -A output -p icmp --icmp-type destination-unreachable -j ACCEPT
ipchains -A output -p icmp --icmp-type time-exceeded -j ACCEPT

 entro immediatamamente.
Ciao,
 prova ad abilitare la porta 113/TCP, sia in entrata (per gli ssh che 
escono) sia in uscita (per gli ssh che entrano).
 Ciao
 Federico

 bel po' di macchine non vorrei rischiare di intoppare in qualche blocco 
Senti, scusa, che anno e', li' da te?
Qui da noi e' il 2006, gennaio, la seconda meta'.
E di kernel 2.2 non ne voglio sentir parlare piu' neppure io, debianista
da generazioni. :-)
E tu lo dovresti configurare su un bel po' di macchine?
Hai motivi fondati per mettere su qualcosa di cosi' vecchio?
Anche il resto dell'applicazione e' dello stesso periodo?
In caso affermativo, di bachi in ssh ne hanno trovati, negli ultimi
anni, potresti trovarti con *un bel po'* di macchine bucate.
Per il problema specifico, se non hai un ssh client che forza l'uso
sempre e comunque della porta 1024 in uscita, non ti funzionera' se non
al primo lancio di ssh dopo l'accensione.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

Federico Zema ha scritto:


Ci provo subito!
Un alta cosuccia, dallo script puoi vedere che c'è un interfaccia aba_0, 
è una scheda satellitare. Ho bisogno di ruotare i pacchetti sulla eth0...
ho visto che non mi ruota un tubo:
echo 1 > /proc/sys/net/ipv4/ip_forward
ipchains -A forward -s 
10.11.30.247/16
 -i aba_0 -j ACCEPT
ipchains -A input -i aba_0 -j ACCEPT
ipchains -A output -i aba_0 -j ACCEPT
Grazie ancora...
Michele

 al primo lancio di ssh dopo l'accensione.
 >
E come posso risolvere?

 E come posso risolvere?
ComprandoMi un paio di occhiali migliori. :-)
Non avevo visto il : dopo la sport 1024, la vecchiaia incombe.


 Non avevo visto il : dopo la sport 1024, la vecchiaia incombe.
 >
Perché???

 ipchains -A output -i aba_0 -j ACCEPT
Forse, nel forward, hai bisogno di un MASQ piu' che di un ACCEPT, a meno
che tutto il mondo che sta al di la' della eth0 non sappia che per
raggiungere la rete 
10.11.30.247/16
 deve passare attraverso il tuo PC.
 Ciao
 Federico

 Perché???
1024 e basta vuol dire SOLO la porta 1024
1024: e' un range aperto, da 1024 in su.
NOn avendolo visto, avevo limitato la possibilita' di accesso
alla sola porta 1024.


 
No, l'ip 10.11.30.247 è un ip assegnato ad una scheda satellitare, da 
questa io ricevo un segnale che deve essere girato sulla eth0, è giusta 
la regola per quello che voglio fare?

 
fino a 65535...giusto?
Porte alte...



Ho capito che le connessioni partono dalla rete connessa alla scheda
satellitare, ma mi preoccupo per i pacchetti di ritorno. Ti funziona se
cambi ACCEPT con MASQ nella regola per il forward?
 Ciao
 Federico