Newsgroup: it.comp.os.linux.iniziare
Titolo: Riguardo ipchains

Hola. Ho tentato di capire e di utilizzare gli appunti online e i vari
how-to che riguardano ipchains, ma non riesco davvero a capirci una mazza
ed ho un bisogno disperato di un firewall "decente".  =/
In pratica ho un solo pc, niente router, connessione con un modem 56k.
Vorrei in ordine: 
negare tutto in entrata (ping compresi) 
negare tutto in uscita
mandare email al mio server STMP (non è interno ... è il mio ISP)
ricevere messaggi email da un server POP3 (mio ISP)
mandare ricevere messaggi sui newsgroups
poter utilizzare ICQ (non so le porte che usa)
poter utilizzare IRC ( dcc, connessione al server, etc )
poter utilizzare napster (connettersi ai server e scaricare files) 
poter andare su siti http (e scaricare da)
poter andare su siti ftp (e scaricare da)
poter pingare servers remoti
poter risolvere servers remoti
tentare di evitare lo spoofing
tentare di limitare gli attacchi DoS
Un immenso ringraziamento a coloro i quali siano in grado di farmi capire
grazie ad esempi pratici e/o a rimandarmi ad appunti online tenendo
presente che ho già letto gli appunti su 
ziobudda.net
 e che non ci ho
capito assolutamente nulla a parte il funzionamento "in generale" di un
firewall basato su ipchains.
Andreas

 tentare di limitare gli attacchi DoS
No way.  Non con un firewall sul tuo PC.
Alcuni estratti da un /usr/bin/standalone modificato:
#!/bin/sh
LOCALIF="${1:-ppp0}"
IPCHAINS="/sbin/ipchains"
LOCALIP=`ifconfig $LOCALIF | grep inet | cut -d : -f 2 | cut -d \  -f 1`
LOCALMASK=`ifconfig $LOCALIF | grep Mask | cut -d : -f 4`
LOCALNET="$LOCALIP/$LOCALMASK"
REMOTENET="0/0"
# flush
$IPCHAINS -F input
$IPCHAINS -F output
# accetta tutto cio` che passa sull'interfaccia locale
$IPCHAINS -A input -i lo -s 0/0 -d 0/0 -j ACCEPT
$IPCHAINS -A output -i lo -s 0/0 -d 0/0 -j ACCEPT
# blocca un po' di roba
# X Displays :0-:2-
$IPCHAINS -A input -l -p tcp -s $REMOTENET -d $LOCALNET 5999:6003 -j DENY
$IPCHAINS -A input -l -p udp -s $REMOTENET -d $LOCALNET 5999:6003 -j DENY
# X Font Server :0-:2-
$IPCHAINS -A input -l -p tcp -s $REMOTENET -d $LOCALNET 7100 -j DENY
$IPCHAINS -A input -l -p udp -s $REMOTENET -d $LOCALNET 7100 -j DENY
$IPCHAINS -A input -l -p tcp -s $REMOTENET -d $LOCALNET 7101 -j DENY
$IPCHAINS -A input -l -p udp -s $REMOTENET -d $LOCALNET 7101 -j DENY
echo -n "."
# wwwoffle
$IPCHAINS -A input -l -p tcp -s $REMOTENET -d $LOCALNET 8080 -j DENY
$IPCHAINS -A input -l -p tcp -s $REMOTENET -d $LOCALNET 8081 -j DENY
# junkbuster
$IPCHAINS -A input -l -p tcp -s $REMOTENET -d $LOCALNET 8000 -j DENY
# tracetroute
$IPCHAINS -A input -l -p udp -s $REMOTENET -d $LOCALNET 33434 -j DENY
# chi pretende di essere locale dall'esterno
$IPCHAINS -A input -l -i $LOCALIF -s 
127.0.0.0/255.0.0.0
 -d 0/0 -j DENY
$IPCHAINS -A input -l -i $LOCALIF -s $LOCALNET -j DENY
# lascia passare tutto il traffico indirizzato alle porte alte.
$IPCHAINS -A input -p tcp -s $REMOTENET -d $LOCALNET 1023:65535 -j ACCEPT
$IPCHAINS -A input -p udp -s $REMOTENET -d $LOCALNET 1023:65535 -j ACCEPT
# accetta...
$IPCHAINS -A input -p tcp -s $REMOTENET -d $LOCALNET auth -j ACCEPT
# se proprio vuoi bloccare gli icmp, puoi usare qualcosa di simile;
# ma te li sconsiglio praticamente tutti.
#$IPCHAINS -A input -p icmp -s $REMOTENET -d $LOCALNET --icmp-type network-redirect -l -j DENY
#$IPCHAINS -A input -p icmp -s $REMOTENET -d $LOCALNET --icmp-type host-redirect -l -j DENY
#$IPCHAINS -A input -p icmp -s $REMOTENET -d $LOCALNET --icmp-type TOS-network-redirect -l -j DENY
#$IPCHAINS -A input -p icmp -s $REMOTENET -d $LOCALNET --icmp-type TOS-host-redirect -l -j DENY
#$IPCHAINS -A input -p icmp -s $REMOTENET -d $LOCALNET --icmp-type source-quench -l -j DENY
#$IPCHAINS -A input -p icmp -s $REMOTENET -d $LOCALNET --icmp-type echo-request -l -j DENY
#$IPCHAINS -A input -p icmp -s $REMOTENET -d $LOCALNET --icmp-type timestamp-request -l -j DENY
# Allow incoming ICMP
$IPCHAINS -A input -p icmp -s $REMOTENET -d $LOCALNET -j ACCEPT
# Allow outgoing ICMP
$IPCHAINS -A output -p icmp -s $LOCALNET -d $REMOTENET -j ACCEPT
# blocco i pacchetti IGMP
$IPCHAINS -A input -p igmp -s $REMOTENET -d $LOCALNET -l -j DENY
# policy di default: accetto tutto cio` che e` in uscita, blocco il
# resto
$IPCHAINS -P output ACCEPT
$IPCHAINS -P input DENY
$IPCHAINS -P forward DENY
Enjoy,
-- 
Dopo i mondiali, ecco gli europei di Del Piero!               _/Davide\_
                                                              \Alberani/

firewall basato su ipchains.
Se hai almenu un po' di infarinatura sulle reti TCP/IP penso che
Appunti Linuz (tanto per non ripetermi) si a cio che fa al caso tuo.
Dove trovarlo?
http://www.pluto.linux.it/ildp/
Bye bye!
Alessio | RX-78

ed ho un bisogno disperato di un firewall "decente".  =/
http://seawall.sourceforge.net
http://www.pointman.org
Li consiglia l'ultimo numero di LinuxGazzette come dei validi frontend a
ipchains. Con le parole dell'autore dell'articolo:
For easy firewall construction, you should download either Seawall or
pmfirewall, these are ipchains based firewall programs designed for
simplicity, I have tried both and they work as promised and will save you
the trouble of learning ipchains. Seawall is harder to setup, but has more
configuration options, pmfirewall is easier to setup, but has less options.
-- 
 +-------------------------------------------+ 
 |        Enrico Bodo  -   PhD student       |
 |      University of Rome "La Sapienza"     |
 |          Department of Chemistry          | 
 +-------------------------------------------+  

 Linuz (tanto per non ripetermi) si a cio che fa al caso tuo.
È qui il mio problema, non so le basi....
-
fizban

 Alcuni estratti da un /usr/bin/standalone modificato:
[SNiP]
Thanks  =) 
Proverò..
-
Fizban

 ipchains. Con le parole dell'autore dell'articolo:
Proverň a dare un occhio a 
pointman.org
 ... ma non mi sembra un  gran
che..
Grazie cmq dei suggerimenti  :)
-
Fizban

 Mi servirebbe solo un'altra macchina?
Ti servirebbe un provider compiacente. :-)


È qui il mio problema, non so le basi....
Ecco, appunto! T_T
A questo punto hai due scelte (IMHO) o scarichi iprogrammini che ti
hanno mostrato o ti metti ad imparare come finge una rete TCP/IP, in
qualsiasi caso ti consiglio di arrivare anche alla seconda scelta, btw
in bocca al lupo! ^_^
Bye bye!
Alessio | RX-78

Mi servirebbe solo un'altra macchina?
Ma devi fare un firewall per il tuo PC o per il tuo web server?
Bye bye!
Alessio | RX-78

tentare di limitare gli attacchi DoS
boh...
-- 
Better to reign in hell,
than to serve in heaven!

versione html online sembra non andare, tra poco la riscarico :-( )
tutto a posto ora


 tutto a posto ora
Grazie di tutto  :) 
Ora almeno ho un firewall funzionante e sul quale "lavorare"
Denghiu    =)
-
Fizban

 non ti fidi di te stesso?
Per chi ha una rete con vari utenti E` una sana politica di sicurezza.
-- 
Cinereview: M:I-2: in fondo da` quel che promette.  Bravo     _/Davide\_
Woo nelle scene d'azione, ma non e` Face/Off...  Voto: 7      \Alberani/
http://italian.imdb.com/Title?0120755

Per chi ha una rete con vari utenti E` una sana politica di sicurezza.
si, giusto, ma mi riferivo al fatto che ha detto di avere un solo pc e niente
rete (e' un po' come wiz -mi pare- che imposta le quote anche sul pc dove e'
unico utente!)
-- 
Vuoi configurare velocemente internet, postfix, fetchmail, procmail,
leafnode, firewall, dns, wwwoffle, junkbuster, mutt, slrn ed altro?
Visita 
http://mrshark.sourceforge.net
 oppure 
http://mrshark.cjb.net
e scarica il "Quick&Easy Configuration Howto", piu' i files citati.

 lo fa
IRC funziona, ma credo che il tuo script non consenta di utilizzare inetd.
Infatti mi attacca il carattere ~ prima di fizban@host
Non č che sai che porta usa inetd o come fare a lasciarlo "passare"?
In ogni caso grazie ancoraa tutti per i consigli utili  :)
--
Fizban


che io sappia non usa porte! Serve ad avviare i programmi che si vuole siano
protetti da tcpd (ho usato irc e non ho avuto i tuoi problemi, con o senza
firewall)


 anche sul pc dove e' unico utente!)
Sai com e`: le personalita` multiple alle volte giocano strani scherzi. ;-)


 o senza firewall)
Scusa, mi sono sbagliato. Intendevo "identd" ... inetd č quello per
telnet, ftp, finger, etc.. lo sapevo anche io  :P
Il problemuzzo di ident č che la sua assenza (o non funzionamento) non mi
fa connettere a molti server IRC (EFnet) che richiedono appunto questo
tipo di "identificazione"
Credo che usi una qualche porta (dato che il tuo firewall me la blocca 
;P)  credo la 113 ... come fare?   :P
--
Fizban

On Sun, 09 Jul 2000 10:43:54 GMT, 
Mr Shark The Informaniac (
mrs...@ELIMINAMI.linuxfan.com
)
wrote:
| si, giusto, ma mi riferivo al fatto che ha detto di avere un solo pc e niente
| rete (e' un po' come wiz -mi pare- che imposta le quote anche sul pc dove e'
| unico utente!)
 
 E che c'e` di male? :-)))))))))
 
-- 
Zefram 	| WARNING: Email address is FAKE. 	| email: 
	| [ 
http://digilander.iol.it/ebassi
 ]	| 	zefram (at) 
libero.it
GnuPG Key Fingerprint: 9747 635E B95A B0B3 4370  1CAA CAF7 512B 945C A44C 

 blocca ;P)  credo la 113 ... come fare?   :P
Usa quello che ti ho suggerito io:
$IPCHAINS -A input -p tcp -s $REMOTENET -d $LOCALNET auth -j ACCEPT
serve proprio a questo...


 $IPCHAINS -A input -p tcp -s $REMOTENET -d $LOCALNET auth -j ACCEPT
Grazie, l'ho modificato in base al "mio" script e ora funge   :) Merci
--
Fizban