Newsgroup: it.comp.os.linux.iniziare
Titolo: iptables-save e iptables-restore

Sto iniziamdo a studiare iptables.
Ho scritto sul file iptables_script
IPTABLES -A INPUT -s 192.168.1.2 -p icmp -j DROP
voglio bloccare i ping da 192.168.1.2 verso 192.168.1.1 (dove gira
iptables).
Il file l'ho scritto con vim, dopodiche' ho dato #iptables-save >
iptables_script , a quel punto il file era vuoto (ho controllato con
cat e vim) dopodiche' ho dato #iptables-restore < iptables_script , ma
il ping avveniva ugualmente.
Non ho capito il perche' il file era vuoto e poi perche' non viene
chiusa la comunicazione icmp.
Non ho caricato nessun modulo, in quanto ho capito che iptables si
occupa da se di caricare i moduli (2.4.18 con la parte relativa a
netfilter compilata interamente come modulo)
grazie
-- 
| Ciao Cacciavite                       Linux Registered User #297089
| Powered by *Debian GNU/Linux 3.0  on  Pentium 75MHz* 	  
| <<UNIX is user friendly, it's just picky about who its friends are>>   

 grazie
prego!
e se hai problemi con lo sript fammi sapere!
Ciao!
Il randellatore

chiusa la comunicazione icmp.
Era vuoto perche' hai dato il comando iptables-save > iptables_script.
Ciao

 glielo devi dire tu!
Io non ne caricavo nessuno di moduli eppure quello del masquerade sono
sicuro me lo caricasse da solo (e anche ip_conntrack_ftp, visto che se
no non avrei  potuto fare nessuna connessione ftp,  visto che in input
arrivavano solo gli ESTABLISHED e RELATED).
-- 
Sono un servitore del Fuoco Segreto, e reggo la fiamma di Anor.
A nulla ti servira' il fuoco oscuro, fiamma di Udun.
Torna nell'Ombra! Non puoi passare.

 sicuro me lo caricasse da solo 
[CUT]
A questo punto io credo che dipenda dalla distro,
perche' in redhat ho dovuto caricare a mano o comunque inserire
in rc.local i seguenti moduli
ip_conntrack_ft
ip_nat_ftp
ipt_MASQUERADE
Ciao!
Il randellatore
-- 
------------------------------------------------------------------------
bisognerebbe anche far capire alle persone che a volte usare prodotti 
Microsozz equivale ad andare in giro con un bersaglio sulla schiena!
 
Anonimo
------------------------------------------------------------------------

 e se hai problemi con lo sript fammi sapere!
ok, per ora una domanda da "pigro". Devo inviare e ricevere posta e news, 
navigare e chattare (irc), che porte devo lasciare aperte?
25
80
119
6667
??
tutto il resto va chiuso no?


 
dimenticavo: il firewall sta su una macchina e deve fare masquerade
verso un'altra macchina su cui girano i servizi di cui sopra; per cui mi
chiedevo: visto che l'altra macchina esce via maquerading e' necessario
tenere quelle porte aperte su fw?
qual'e' la differenza tra NAT e masquerading?


>navigare e chattare (irc), che porte devo lasciare aperte?
[CUT]
Fammi capire la tua situazione altrimenti non
riesco a dirti nulla!
da quello che ho capito tu hai:
tuo client
     |
     |
FIREWALL CHE STAI CONFIGURANDO
     |
SERVER LINUX CON VARI SERVIZI DA UTILIZZARE
E CON IPTABLES CONFIGURATO
     |
ROUTER
     |
INTERNET
Mi confermi?
E' importante capire come sono messe le macchine
altrimenti ci incasiniamo e basta!
Il randellatore

 altrimenti ci incasiniamo e basta!
certo, pero' non voglio che mi fai lo script ;-P, altrimenti non imparo
nulla
solo che mi dai qualche dritta su come operare, quali politiche ecc
 
Poi appena avro' voglia mi assemblero' il nuovo pc che usero' come
client (mi manca l'alimentatore accidenti) e questo che uso come
client/server lo destinero' a fare solo da server, sono 5 mesi che sto
su un pentium 75Mhz e mi sono un pochino seccato (maledetto sbalzo di
tensione che mi ha fuso la scheda madre).
Comunque ci pensero' piu' avanti (anche se ho gia' procurato lo switch),
per ora va bene configurare questa configurazione.
Quello che non ho capito e' se, visto che dovro' fare Masquerading, devo
lasciare sul firewall le porte aperte per i servizi che stanno sul
server/client
grazie


  
[CUT]
allora devi impostare le politiche delle chains input e forward a DROP
e la politica di output a ACCEPT
per quanto riguarda la tabella filter devi:
-permettere a tutti i pacchetti che provengono dal tuo client di passare
-permettere l'entrata ed il forward verso il client solo tramite
  le porte già aperte dal client stesso (stato delle connessioni)
-ricordati che tutte le regole che metti nella chains FORWARD per controllare
  i pacchetti in entrata devi metterle anche in INPUT ed a questo punto ti converrebbe
  creare una chains personale e poi agganciarla a INPUT e FORWARD così da evitare di scrivere
  certe regole sia in forward che in input
-attivare il maquerading in modo da nascondere il tuo indirizzo ip
la differenza tra il masquerading e il nat e' poca; il NAT cambia gli indirizzi IP
di un pacchetto e il masquerading e' una forma di nat che si ricorda quale indirizzo IP
ha cambiato e quando arriva il pacchetto di risposta lo risostituisce con l'IP precedente.
Un consiglio: se vuoi imparare bene iptables studiati bene il protocollo TCP/IP e ti sara'molto piu'
facile oltra che aiutarti in molte altre cose.
Alcuni link:
www.netfilter.org
un how-to in italiano:
www.netfilter.org/unreliable-guides/it/packet-filtering-HOWTO-7.html
un documento interessante con vari schizzi:
http://www.alessandria.linux.it/linuxday/2002/slides/ALLUG-LD2002-Firewall.pdf
auguri e non avere fretta!
Tienimi informato!
Il randellatore

 navigare e chattare (irc), che porte devo lasciare aperte?
Che porte devo lasciare aperte non vuol dire nulla.  Se non hai server
pubblici nessuna  porta deve  essere aperta sulla  tua macchina  e con
aperta intendo  TCP in listening o UDP  che ascoltano sull'interfaccia
esterna.   Il firewall  piu' semplice  e' questo:  in  uscita permetto
tutto, in ingresso solo traffico  ESTABLISHED e RELATED; con queste ti
sei gia' protetto dagli attacchi piu' comuni dall'esterno.  Se poi hai
macchine  windows oppure  utenti sulle  macchine client  devi filtrare
anche il traffico uscente.
Ciao
