Newsgroup: it.comp.os.linux.iniziare
Titolo: Problemi condivisione accesso ad adsl, Iptables?

Salve a tutti,
giorni fa ho postato un messaggio, ma forse non sono stato chiaro...
nel dubbio mi permetto di riproporre il problema (e spero di non fare
confusione)
Il problema è il seguente:
Rete formata da un pc windows (192.168.10.11) ed uno linux (Fedora core2)
(192.168.10.5)
il PC linux ha 2 schede di rete, una collegata al pc windows (192.168.10.5)
ed una al modem ethernet (DHCP).
i 2 pc si pingano senza problemi (tant'è che uso samba per scambiare i
files)
lancio lo script delle ip tables (vedi soto) ed il pc windows pinga il modem
ethernet (192.168.1.1).
purtroppo però non naviga in internet
(ad esempio se faccio 
www.google.it
 )
sul pc windows
come gateway ho messo il pc linux
come DNS ho messo il pc linux (ma anche senza il risultato è il medesimo)
L'unico obbittivo è di permettere a tutti i pc in rete di poter navigare
senza problemi (HTTP, HTTPS, P2P, ICQ.....TUTTO)
Qualcuno può aiutarmi?
SCRIPT PER IPTABLES:
EXTERNAL="ppp0"
INTERNAL="eth0"
iptables -F
iptables -t nat -F
iptables -X
iptables -N ppp0-in
iptables -N ppp0-out
iptables -N eth0-in
iptables -N eth0-out
iptables -P INPUT DROP
iptables -A INPUT -i lo    -j ACCEPT
iptables -A INPUT -i $EXTERNAL -j ppp0-in
iptables -A INPUT -i $INTERNAL  -j eth0-in
iptables -t nat -A POSTROUTING  -s 
192.168.10.0/24
 -j MASQUERADE
iptables -P OUTPUT DROP
iptables -A OUTPUT -o lo    -j ACCEPT
iptables -A OUTPUT -o $EXTERNAL -j ppp0-out
iptables -A OUTPUT -o $INTERNAL  -j eth0-out
iptables -A eth0-in -s 
192.168.10.0/24
    -j ACCEPT
iptables -A eth0-out -d 
192.168.10.0/24
    -j ACCEPT
iptables -A ppp0-in -p icmp --icmp-type        8         -j DROP
iptables -A ppp0-in -p icmp --icmp-type       13         -j DROP
iptables -A ppp0-in -p icmp -s ! 
192.168.10.0/24
           -j ACCEPT
iptables -A ppp0-in -p tcp --destination-port 20 -j ACCEPT
iptables -A ppp0-in -p tcp --destination-port 21 -j ACCEPT
iptables -A ppp0-in -p tcp --destination-port 22         -j ACCEPT
iptables -A ppp0-in -p tcp --destination-port 25         -j ACCEPT
iptables -A ppp0-in -p tcp --destination-port 80         -j ACCEPT
iptables -A ppp0-in -p tcp --destination-port 110 -j ACCEPT
iptables -A ppp0-in -p udp --source-port 123 -j ACCEPT
iptables -A ppp0-in -p tcp --destination-port 443        -j ACCEPT
iptables -A ppp0-in -p tcp ! --syn -s ! 
192.168.10.0/24
       -j ACCEPT
iptables -A ppp0-in -p udp --source-port 53  -s ! 
192.168.10.0/24
 -j ACCEPT
iptables -A ppp0-out -d 
192.168.10.0/24
    -j RETURN
iptables -A ppp0-out                     -j ACCEPT
echo 1 > /proc/sys/net/ipv4/ip_forwardSaluti Orso

 come DNS ho messo il pc linux (ma anche senza il risultato è il medesimo)
ma riesci a pingare 
www.google.it
? e 66.249.85.104?
ciao
menez
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 echo 1 > /proc/sys/net/ipv4/ip_forward
e lascia le policy di default su ACCEPT.
Su Fedora (e su tutte le RedHat) puoi impostare il forward in
/etc/sysctl.conf, modificando la riga:
net.ipv4.ip_forward =0  --> la metti =1
e controlla la riga:
net.ipv4.conf.default.rp_filter = 1 ---> deve essere cosi'
Poi spegni i servizi su Linux che non ti servono, mentre per samba, puoi
mettere:
iptables -A INPUT -s ! 
192.168.10.0/24
 -p tcp --dport 139 -j DROP
iptables -A INPUT -s ! 
192.168.10.0/24
 -p tcp --dport 445 -j DROP
per chiudere l'accesso da internet.
Poi pian piano aggiungi regole per chiudere il resto. Il NAT e' gia'
sufficiente per proteggere i PC windows da gran parte dei worm.
-- 
Mario "Reliant" Pascucci
"From" field altered. Please use ilpettegolo(a)
yahoo.it
 for private mail.
http://ilpettegolo.altervista.org/

 sufficiente per proteggere i PC windows da gran parte dei worm.
scusa...ma lasciare le policy su accept non mi pare buona cosa...le regole
che aveva impostato ad una rapida lettura sembravano in linea di massima
corrette (infatti il problema era sembrato anche a me di DNS) e l'approccio
"policy di default come drop e regole per consentire il transito ai
pacchetti leciti" è il piu' corretto. Come hai giustamente fatto notare,
apriva al mondo servizi inutili. Quindi secondo me, se non ne ha bisogno, è
meglio che si limiti a togliere le regole relative a tali servizi, e ad
impostare i dns corretti sulla macchina win (eventualmente consentendo
l'annesso traffico udp sul gateway) piuttosto che impostare le policy su
accept e chiudere i servizi con regole apposite.
ciauuu


 pacchetti leciti" è il piu' corretto.
No,le regole sono comunque scritte in maniera cinofallica,dimenticandosi
completamente il FORWARD.
Gli consiglio di schiarirsi le idee:
http://iptables-tutorial.frozentux.net/


Humm
Io uso alice a consumo, nelle impostazioni dice di lasciare tutto
dinamico....
Dici che hanno anche una confuigurazione "statica"?
Cosa intendi con "Linux con named come forwarder"
Sinceramente pensavo fosse più semplice fare della mia macchina linux una
sorta di gateway...
:-)

 :-)
E' semplice quanto basta, se non ci si complica la vita inutilmente :)
Sul mio sito puoi trovare un documentino sul firewall di Linux:
http://ilpettegolo.altervista.org/Linux-firewall-when-why.html
Capitoli 3 e 4.


Grazie Mille!
Ora riprovo e vi faccio sapere!
Vostro "alla ricerca di una luce"
Orso
:-)

 
http://iptables-tutorial.frozentux.net/
magari lo faccio anch'io :)
Ciauuu
Menez


 cio' che serve invece del contrario?
Certo,considerando anche che il gateway non offra servizi.
Solo che 10 a 1 scommetto che ha lasciando FORWARD con la sua bella policy
a DROP.