Newsgroup: it.comp.os.linux.iniziare
Titolo: regole FW iptables

ciao a tutti.
Ho un dubbio su una configurazione iptables, si tratta di
firewall che fa NAT per una sottorete interna, con due schede di rete.
Le interfaccie sono eth0 su una lan di classe B ($ESTERNA), ed eth1
per la sottorete interna di classe C ($INTERNA),che possiamo definire
una sorta di lan privata, cioè:
LAN ESTERNA------ eth0 | FIREWALL | eth1------LAN INTERNA
Di default viene bloccato tutto su tutto:
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
quindi viene abilitato il SNAT sul postrouting per la sottorete
interna "privata":
iptables -t NAT -A POSTROUTING -o eth0 -s $INTERNA -j SNAT --to
INDIRIZZO_ESTERNO
Il resto del traffico deve essere abilitato di volta in volta.
Ecco le domande
1)
Vorrei abilitare il traffico in uscita, attraverso il firewall, della 
lan privata verso server web esterni, con abilitazione in ingresso su
eth0 delle relative risposte, ad esempio con regole tipo:
iptables -A INPUT -i eth0 -p tcp --sport 80 -m state --state
ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --dport 80 -m state --state
NEW,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i eth0 -p tcp --sport 80 -m state --state
ESTABLISHED -j ACCEPT
iptables -A FORWARD -o eth0 -p tcp --dport 80 -m state --state
NEW,ESTABLISHED -j ACCEPT
Sono corrette?
Dubbio: se infatti viene abilitato il forwarding, tuttavia la regola
nella seconda riga sull'OUTPUT non abilita l'uscita dal firewall di
qualsiasi pacchetto tcp verso porta 80? Cioè, non viene mai menzionata
l'interfaccia interna eth1 ma solo eth0, l'interfaccia esterna,
perchè? In questo modo sembra che chiunque (anche non root) sul
firewall possa connettersi verso porta 80 e le risposte entrerebbero
tranquille perchè in ESTABLISHED..., oppure no?
2)
volendo fare in modo che la lan privata interna (su eth1) condivida
risorse netbios con un certo host $FIDATO della rete esterna e
viceversa, come posso abilitare il tutto? l'host windows $FIDATO
dovrebbe accedere a netbios su diversi host della rete $INTERNA, e gli
host windows della $INTERNA dovrebbero
connettersi a condivisioni netbios su $FIDATO in rete $ESTERNA.
L'ideale sarebbe che $FIDATO potesse vedere le condivisioni sugli host
di $INTERNA attraverso Risorse di Rete di wincozz, quindi con
pacchetti broadcast verso porte netbios (giusto?).
Domanda: gestisco tutto con un redirect dei pacchetti dall'esterno
all'interno e viceversa, del tipo
iptables -t nat -A PREROUTING -i $IF_EXT -p tcp -s $FIDATO --dport 137
-j REDIRECT --to $WORKSTATION_INTERNA
o sempre con il forward? se faccio il redirect verso l'interno , o
comunque se faccio un redirect, devo in ogni caso aprire il passaggio
attraverso il firewall in INPUT o basta la sola regola del redirect
sul PREROUTING, mantenendo inalterata la situazione in INPUT?
questa è la situazione, vi ringrazio in anticipo per l'aiuto.
ciao
mic

 sul PREROUTING, mantenendo inalterata la situazione in INPUT?
INPUT sono  solo i pacchetti  destinati al firewall stesso,  visto che
prima di  routare questo pacchetto cmbi la  destinazione del pacchetto
stesso quel pacchetto finira' *solo* in FORWARD.
HTH, ciao.
-- 
Sono un servitore del Fuoco Segreto, e reggo la fiamma di Anor.
A nulla ti servira' il fuoco oscuro, fiamma di Udun.
Torna nell'Ombra! Non puoi passare.