Newsgroup: it.comp.os.linux.iniziare
Titolo: Problemi di firewall?

Salve a tutti
ho un piccolo problemino, in quanto dalle macchine della mia rete non risco
a pingare la macchina con installata Mandriva 2006, la cosa strana è che
nemmeno facendo ping localhost dalla stessa macchina linux o ping myip non
ricevo alcuna risposta.
Ho controllato tutti i processi e i demoni e sembra non essere attivato
nessun firewall, infatti sia iptables che shorewall sono fermati, almeno
così mi dice da centro di controllo kde.
unico processo sospetto di cui non soò assolutamente nulla è portmap, ma a
giudicare dalla descrizione penso ci entri poco
inoltre la linux box ha attivo sshd, ma inutile dire che se tento una
connessione da qualsiasi macchine mi vedo rigettato dal server.
avete consiglio e/o soluzioni?
Valgard the future
-- 
My Windows is die, fuck you too Bill

ricevo alcuna risposta.
Ma l'interfaccia di rete e' a posto? Cosa dice ifconfig?

In data 21:13, lunedì 20 marzo 2006 ignaro delle conseguenza giu ha detto:

Si sì credo che sia tutto a posto perchè mi pinga sia il ruoter che la
macchina windows, posto qualche coando dato in shell per chiarire
[root@192 jordan84]# ifconfig
eth0      Link encap:Ethernet  HWaddr 00:06:4F:22:2A:84
          inet addr:192.168.1.122  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::206:4fff:fe22:2a84/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:147687 errors:0 dropped:0 overruns:0 frame:0
          TX packets:142195 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:22261113 (21.2 MiB)  TX bytes:17819393 (16.9 MiB)
          Interrupt:17 Base address:0x6000
lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:27481 errors:0 dropped:0 overruns:0 frame:0
          TX packets:27481 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:798851 (780.1 KiB)  TX bytes:798851 (780.1 KiB)
[root@192 jordan84]# ping localhost
PING Server (127.0.0.1) 56(84) bytes of data.
--- Server ping statistics ---
2 packets transmitted, 0 received, 100% packet loss, time 999ms
[root@192 jordan84]# ping 192.168.1.122
PING 192.168.1.122 (192.168.1.122) 56(84) bytes of data.
--- 192.168.1.122 ping statistics ---
2 packets transmitted, 0 received, 100% packet loss, time 999ms
[root@192 jordan84]# ping 192.168.1.1
PING 192.168.1.1 (192.168.1.1) 56(84) bytes of data.
64 bytes from 
192.168.1.1
: icmp_seq=1 ttl=255 time=0.828 ms
64 bytes from 
192.168.1.1
: icmp_seq=2 ttl=255 time=0.704 ms
--- 192.168.1.1 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1001ms
rtt min/avg/max/mdev = 0.704/0.766/0.828/0.062 ms
[root@192 jordan84]# ping 192.168.1.121
PING 192.168.1.121 (192.168.1.121) 56(84) bytes of data.
64 bytes from 
192.168.1.121
: icmp_seq=1 ttl=128 time=0.712 ms
64 bytes from 
192.168.1.121
: icmp_seq=2 ttl=128 time=0.260 ms
--- 192.168.1.121 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1000ms
rtt min/avg/max/mdev = 0.260/0.486/0.712/0.226 ms
[root@192 jordan84]#                


 così mi dice da centro di controllo kde.
controlla meglio con
	iptables -L
controlla anche se il file /proc/sys/net/ipv4/icmp_echo_ignore_all non
sia messo a 1
queste sono le prime cose che mi sono passate per la testa!

 queste sono le prime cose che mi sono passate per la testa!
Ci hai preso!!, non sapevo nemmeno l'esistenza di quel file,
non riesco a modifcarne il valore attraverso vi da root.
Devo terminare qualche processo che utilizza quel file?
Valgard,the future 


 non riesco a modifcarne il valore attraverso vi da root.
/proc e' un filesystem virtuale, e' un interfaccia ad alcune strutture
dati del kernel. Per modificare il settaggio:
echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all
Ciao
--
Some people carve careers, others chisel them.

 Devo terminare qualche processo che utilizza quel file?
no /proc è un filesystem particolare come ti ha già detto Alberto...
questo filesystem ti permette di modificare dei parametri del kernel a
run-time
per modificare quel file che ti ho indicato o fai da root:
echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all (come il buon Alberto
suggerisce)
o in alternativa usi (sempre da root):
sysctl -w net.ipv4.icmp_echo_ignore_all=0

 echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all
Perfetttttoooooo non ho capito la cosa del virtuale ma per magia mi pinga :)
Grazie mille Fornasier.
Sai anche per il demone sshd mi rifiuta qualsiasi connessione??
Ripeto di esser sicuro di non avere up nessun firewall
Valgard, the future


 Sai anche per il demone sshd mi rifiuta qualsiasi connessione??
hai controllato che il servizio sia attivo?
ad es. con uno di questi comandi:
root@VinRuleZ:~# netstat -l |grep ssh
tcp6       0      0 *:ssh                   *:*                 LISTEN
root@VinRuleZ:~# nmap localhost |grep ssh
22/tcp   open     ssh
root@VinRuleZ:~# lsof -i |grep ssh
sshd     4857        root    3u  IPv6 25634682       TCP *:ssh (LISTEN)
root@VinRuleZ:~#

 hai controllato che il servizio sia attivo?
Ovvio che sì ma per scrupolo....
[root@Server jordan84]# netstat -l | grep ssh
tcp        0      0 *:ssh                       *:*                        
LISTEN
[root@Server jordan84]#
L'unico dubbio che mi viene è che magari non ha la porta 22 di default ma
non sò dove guardare :)


Ora lo sò :)
[root@Server jordan84]# nmap localhost | grep ssh
22/tcp    open  ssh
[root@Server jordan84]#
Valgard


 [root@Server jordan84]#
Quindi sshd e' attivo. Se fai nmap da un'altra macchina ti risponde o
no? Se no, prova a guardare /etc/hosts.allow e /etc/hosts.deny (cosi' a
memoria, non ho accesso alla macchina Linux ora).
Ciao
--
The only promotion rules I can think of are that a sense of shame is to
be avoided at all costs and there is never any reason for a hustler to
be less cunning than more virtuous men.  Oh yes ... whenever you think
you've got something really great, add ten per cent more.
		-- Bill Veeck

 Ciao
Perfetto! era proprio il contenuto di quei due file, ho messo ALL:ALL in
hosts.allow e va alla perfezione ora mi studio come limitare l'accesso ai
soli ip della rete :)
Ciao e grazie ancora mille


 soli ip della rete :)
Uhm, echo reply disabilitate, host.deny impostato per negare le
connessioni dall'esterno... Fammi indovinare, hai impostato il livello
di sicurezza a "Paranoico" durante l'installazione?
Se si', occhio, perche' mi pare che su Mandriva ci sia in esecuzione un
qualche demone (o e' impostato un cron) che ripristina tutte le
impostazioni predefinite ogni tot. Almeno, ricordo che lo faceva su
Mandrake 10 quando tentavo di convincere il sistema a lasciar leggere al
mio utente /var/log/messages: ogni tot ripristinava i permessi.
Ciao
--
You know, the difference between this company and the Titanic is that the
Titanic had paying customers.

Credo tu abbia proprio ragione infatti rientrato a casa mi ritrovo con lo
stesso problema vedo di capirci di più su questo demone googlando, ad ogni
modo conto di trovarlo nella lista di demoni e servizi attivi!
Vi farò sapere presto cosa riesco a cavarne
Valgard, the future


Riassumo il post per chi ci imbatterà....
Dunque per quanto riguarda il ping era dovuto al contenuto del file
/proc/sys/net/ipv4/icmp_echo_ignore_all 
che ovviamente ignorava tutti i pacchetti di tipo icmp in entrata
inoltre era impossibile loggare sul demone ssh per il fatto che il sistema
(/etc/hosts.allow   /etc/hosts.deny)
era impostato sul rifiutare tutti gl'host!
Un sistema blindato quindi, sì ma troppo....
Causa?
un piccolo programmino presente nelle distribuzione mdk di nome msec
avviato ogni ora da crond
Già perchè per chi non lo sapesse cron è un demone che esegue comandi ogni
ora,giorno,settimana,mese e tali comandi sono nelle cartelle
/etc/cron.hourly
/etc/cron.daily
/etc/cron.weekly
/etc/cron.monthly
ecco un piccolo link per chi vuole approfondire
http://www.coresis.com/extra/linuxcorsobase/11-2.htm
Dopo la piccola parentesi.....
Dicevamo di msec che avviato ogni ora riporta il sistema al livello di
sicurezza predefinito, cambiando qualsiasi modifica voi effettuaiate!
 
e anche qui vi rimando un simpatico link per capirci di più
http://club.mandriva.com/xwiki/bin/KB/SecureIndex
La soluzione quindi non è altro che non permettere a msec di cambiare un
determinato file, o ....... bè leggete i link e capirete.
Grazie a tutti quel che mi hanno aiutato e speriamo serva anche per
qualcun'altro
Valgard, the future


 qualcun'altro
Bel lavoro, servira' senz'altro a quei pochi che usano Google prima di
postare ;)
Ciao :)
--
Whoever dies with the most toys wins.