Newsgroup: it.comp.os.linux.iniziare
Titolo: firewall acer aspire one

{Ancora...}
Siccome debbo andare in ferie col coso, ho provato a configurare il firewall.
non c'ï¿œ!
Ho installato dal repository shorewall e iptables. Li ho installati, ma
iptables non va perchï¿œ manca nel kernel il modulo ip_tables (lsmod non lo
trova).
Senza ricompilare il kernel, come lo aggiungo (insmod...)?
Vorrei aggiungere una banale regola per la porta 6000, l'unica aperta...
For my real address use the X-SPAM header
-- 
+---------------------------------------------------------------------------+
| Telegrammi:  MortaDella MandaRino                                         |
|              NoceRino MandoLino BaciNella                                 |
+-----#29--------------------Campagna contro le pubblicita` idiote.---------+

 Vorrei aggiungere una banale regola per la porta 6000, l'unica aperta...
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 6000 -j ACCEPT
Ciao
--
cercolavoro76

 iptables -A INPUT -p tcp --dport 6000 -j ACCEPT
                                           ^^^^^^ reject
La voglio bloccare.
Mi sa che per ora tengo cosï¿œ, salvo idee spicce.
Dopo le ferie, con calma, metto un qualcosa di piï¿œ serio!
For my real address use the X-SPAM header
-- 
+---------------------------------------------------------------------------+
|  Negli ultimi 3 mesi, 25 tamponamenti per leggere questo cartello.        |
|  Guarda avanti, idiota!                                                   |
+-----#2---------------------Campagna contro le pubblicita` idiote.---------+

 La voglio bloccare.
Ah :-)
Ancora meglio DROP.
Ma basta che togli la regola, e per via delle altre regole che ti ho
suggerito, le connessioni in ingresso (quelle che iniziano col flag --
SYN) sono gia' bloccate. E non segnali la tua presenza mandando
pacchetti di reset per via di "reject".
Tra l'altro il server X (porta 6000 di default) normalmente non
accetta connessioni dall'esterno (parametro -nolisten tcp).
Buone Ferie! :-)
--
cercolavoro76

 netstat -ptln
Ero in pausa cena...
ctive Internet connections (only servers)
Proto Recv-Q Send-Q Local Address               Foreign Address            
State       PID/Program name
tcp        0      0 
0.0.0.0:6000
                0.0.0.0:*                  
LISTEN      -
tcp        0      0 
127.0.0.1:631
               0.0.0.0:*                  
LISTEN      -
L'avevo controllato facendo nmap dal fisso!
La porta 6000 ï¿œ open!
For my real address use the X-SPAM header
-- 
+---------------------------------------------------------------------------+
|  Lo scorso anno 200 morti in meno sulle nostre autostrade.                |
|  Lo sfoltimento aiuta.                                                    |
+-----#4---------------------Campagna contro le pubblicita` idiote.---------+

 La porta 6000 ï¿œ open!
Allora chiudila. Dovrebbe essere X11 ad usarla. Fa' in modo che venga 
lanciato col parametro -nolisten tcp.

 La porta 6000 é open!
Che geni. E magari xhost ti dice che chiunque puo' connettersi...
I firewall talvolta danno un falso senso di sicurezza. E' meglio
disabilitare direttamente il servizio.
Impedisci al server X di restare in ascolto su interfacce TCP diverse
da localhost: trova lo script che lancia il server  e aggiungi il
parametro "-nolisten tcp" (niente virgolette).
Sul mio sistema Ubuntu lo script e' /etc/X11/xinit/xserverrc . Se per
te e' diverso, forse lo localizzi con questo comando (gli apostrofi
sono contrari).
grep `which X` /etc/X11 -R
Ciao
--
cercolavoro76

 grep `which X` /etc/X11 -R
Nada! stiamo parlando di un pinguino mutante!
Esiste un file /etc/X11/xdm/Xservers non eseguibile:
# $Xorg: Xserv.ws.cpp,v 1.3 2000/08/17 19:54:17 cpqbld Exp $
#
# Xservers file, workstation prototype
#
# This file should contain an entry to start the server on the
# local display; if you have more than one display (not screen),
# you can add entries to the list (one per line).  If you also
# have some X terminals connected which do not support XDMCP,
# you can add them here as well.  Each X terminal line should
# look like:
#       XTerminalName:0 foreign
#
:0 local /usr/bin/X :0
poi usr/bin/X ï¿œ un link a Xorg.
Ovviamente parte con runlevel 5!
Pensavo quasi di fare uno script bash al posto del link che richiama a sua
volta Xorg...
For my real address use the X-SPAM header
-- 
94% dei calcolatori hanno lime corrotte, inutilizzate e possibilmente nocive.
   * Prestazioni del PC di spinta
   * Aumenti la stabilita' del sistema
   * Eviti .exe errori.
+-----#13--------------------Campagna contro le pubblicita` idiote.---------+

 :0 local /usr/bin/X :0
Hehehe pinguino mutante :-)
Il file dovrebbe essere quello, non e' eseguibile perche' tanto viene
letto da un altro eseguibile. Modifica la riga in
:0 local /usr/bin/X -nolisten tcp :0
Ciao
--
cercolavoro76

 :0 local /usr/bin/X -nolisten tcp :0
Seeembbra facile! Non sortisce alcun effetto.
Tutto come prima (ho riavviato pure il PC)...
Una prova che mi ï¿œ venuta in mente: In che modo si puï¿œ utilizzare quella porta
X11 aperta? Perchï¿œ se poi da qualche parte mancano dei permessi, mi sa che mi
sto (ci stiamo) facendo inutili seghe mentali.
For my real address use the X-SPAM header
-- 
+---------------------------------------------------------------------------+
|ma che te frega dei virus e l'illegalita',                                 |
|importante e' vedere 22 miliardari drogati che corrono appresso a na palla.|
+-----#15--------------------Campagna contro le pubblicita` idiote.---------+

 sto (ci stiamo) facendo inutili seghe mentali.
I permessi li scopri con il comando xhost
con xhost -... li togli e con xhost +... li dai.
Un modo per usare la porta X aperta e' visualizzarci i programmi in
esecuzione su un altro computer. Vai su un altro pc, apri un
terminale, setta la variabile display con l'ip del netbook e lancia un
programma grafico con lo stesso terminale. Se i permessi ci sono,
dovresti vedere il programma sul netbook, ma risultera' in esecuzione
sul pc. Ad esempio:
DISPLAY=192.168.1.12:0.0
xeyes
--
cercolavoro76

 con xhost -... li togli e con xhost +... li dai.
xhost dice nessun permesso. Infatti il giochino che dici tu dopo, non
va.
Ma a prescindere che non ci siano i permessi, sono dell'idea che
quello che non serve, è meglio non ci sia.
Quello che non c'è non si buca!
sto scrivendo col "coso" al mare, ma sono sempre io.


mi è venuta una ispirazione.
Col comando   pstree -ap,   ho visto che il server X viene avviato
come sottoprodotto di xinit con la opzione  -br.
Sono andato a vedere nella sequenza dei runlevel ed ho trovato  xinit
con -br in /etc/rc.d/rc.S.
Ho aggiunto nella riga del file il   -nolisten tcp.
Ora la porta si è chiusa.

 chiusa.
Bravo! Chissa' perche' modificare il file Xservers non sortiva alcun 
effetto... complimenti per la pensata.
-- 
cercolavoro76