Newsgroup: it.comp.os.linux.iniziare
Titolo: Firewall e ping

Salve a tutti
sto provando a scrivere alcune regole per iptalbes,
e' possibile secondo voi bloccare i ping in ingresso, ma permettermi di
pingare ?
Ho utilizzato la regola:
iptables -A INPUT -p icmp -i eth0 -j REJECT
Se mi pingano da fuori (giustamente) il messaggio è di unreachable.
Se io pingo (con questa regola) se ho capito bene faccio un reject del
pong....
sapreste consigliarmi in merito?
grazie
Orso

Orso ha scritto:





Mi pare che la regola giusta sia
iptables -A INPUT -p icmp -icmp-type echo-request -i eth0 -j REJECT
questa regola i butta tutte le richieste di ping ma ti fa passare tutti
gli altri pacchetti icmp. Nota che se blocchi icmp, blocchi anche molte
informazioni di gestione e controllo
ciao
Mit
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 pong....
Il nat di iptables dovrebbe capire quando un pong e' in risposta ad un
tuo ping e quando non lo e'. Prova con
sudo iptables -A PREROUTING  -t nat -p icmp -i eth0 -m state --state ! RELATED -j DROP 
.a.
-- 
Il mattino ha l'oro in bocca. Il MATTino ha l'OrO In bOcca.
i lma tt ino ha l'o roin bocc a.ilmattinohal'oroinbocca. il ma tt in
oh al' or oi nb oc ca. il matti noha l'oroinbocca. IL MATtiNO Ha l'ORO
InBOCCa. I l m a t t i n o  h a l' o r o i n b o c c a . ilmattinohal'oroin
BoCcA. iLmAtTiNoHaL'oRoInBoCcA.

Grazie mille per la dritta!
ho bloccato il ping in ingresso con la stringa che mi hai passato ed ho
abilitato il pong in ibngresso con
iptables -A INPUT -p icmp --icmp-type 0 -i eth0 -j ACCEPT
ora vedo cosa altro devo settare!
Ciao
Orso
"MitRouting" <mitro...@TOGLIgmail.com> ha scritto nel messaggio
news:d6s7nd$89n$1...@news.newsland.it...


 iptables -A INPUT -p icmp --icmp-type 0 -i eth0 -j ACCEPT
Non dovrebbe essere necessario. Con il --state related accetti tutti i
pong che vengono in risposta di un tuo ping. Gli altri li droppi
semplicemente.


Scusa la domanda ma perchè utilizzi il nat?
sto provando di interpretarla, ma faccio fatica (sono nuovoooo!)
:-)
 iptables -A PREROUTING  -t nat -p icmp -i eth0 -m state --state !
RELATED -j DROP
e per cosa sta RELATED?
grazie ancora
Orso

 Orso
Il nat non l'ho capito nemmeno io.
Il RELATED è legato alla possibilità di IPTables di tracciare le
connessioni esistenti. Il modulo "state" (-m state) permette di
individuare i pacchetti in base allo stato della connessione di cui fanno
parte:
NEW pacchetti relativi a nuove connessioni (p.e. Bit SYN settato)
ESTABILSHED relativi ad una connessione già instaurata
RELATED diverso da estabilished, se non erro sono connessioni collegate ad
altre established
INVALID pacchetti spuri, mi pare che in questa categoria appartengono i
pacchetti di alcuni tipi di portscan.
Il senso della regola riportata è quello di scartare tutti i pacchetti
tranne quelli legati (related) a connessioni create dal tuo firewall
in pratica se il tup pc fa ping la connessione è realted e i pong passano
altrimenti niente
spero di essere stato chiaro
Ciao



La regola dice che deve rifiutare (-j DROP) tutti i pacchetti icmp (-p
icmp) che vengono dalla eth0 (-i eth0) e che hanno stato diverso da
RELATED (--state ! RELATED). 
Un pacchetto viene considerato RELATED se e in risposta ad un
pacchetto originato da una connessione da te iniziata. In effetti la
regola e' sbagliata:
1) non serve farlo in prerouting (era la forza dell'abitudine)
2) bisogna specificare probabilmente ! ESTABLISHED perche' RELATED
credo sia usato solo per l'ftp (quando il server apre una connessione
sul client)
quindi direi che la regola da usare e':
iptables -A INPUT -m state --state ! ESTABLISHED -p icmp -i eth0 -j DROP 


 e per cosa sta RELATED?
http://iptables-tutorial.frozentux.net/
e
http://ilpettegolo.altervista.org/Linux-firewall-when-why.html
Per un singolo computer la via piu` breve e` non offrire servizi se non ve
ne e` bisogno. 
Punto.

 altre established
Una osservazione: tecnicamente si puo' parlare di "connection
extablished" solo per il tcp (tra i protocolli di rete). Di fatto si
puo' (piu' o meno euristicamente) stabilire se un pacchetto appartiene
ad una "conversazione" esistente o ad una nuova osservando le porte di
entrata/uscita e tenendo presente i pacchetti usciti. In questo modo
linux riesce a capire ad esempio se un pacchetto udp e' una risposta
ad una richiesta dns effettuata dal computer oppure
no. Sostanzialmente quando passa una richiesta dns lui si segna un po'
di informazioni utili, e se arriva in tempo utile una risposta
controlla se corrisponde o meno.


 ha scritto nel messaggio
news:877jhqv...@gulp.linux.it...
