Newsgroup: it.comp.os.linux.iniziare
Titolo: ipchains, va bene cosi'?

ho installato pmfirewall, un programma che tramite semplici domande, crea le
regole di base per ipchains. L'ho attivato su ppp0 e impostato il
masquerading su eth0, per l'altro pc in rete. Dopo averlo usato, il comando:
ipchains -L -n mi da il seguente output:
Chain input (policy ACCEPT):
target     prot opt     source                destination           ports
ACCEPT     all  ------  
0.0.0.0/0
 
0.0.0.0/0
             n/a
DENY       tcp  ------  
0.0.0.0/0
 
0.0.0.0/0
             2049 ->   *
DENY       udp  ------  
0.0.0.0/0
 
0.0.0.0/0
             2049 ->   *
DENY       all  ------  
224.0.0.0/8
 
0.0.0.0/0
             n/a
DENY       all  ------  
0.0.0.0/0
 
224.0.0.0/8
           n/a
ACCEPT     udp  ------  
0.0.0.0/0
            255.255.255.255       * ->   67
ACCEPT     udp  ------  
0.0.0.0/0
            255.255.255.255       * ->   68
DENY       all  ----l-  
0.0.0.0/0
 
0.0.0.0/0
             n/a
Chain forward (policy DENY):
Chain output (policy ACCEPT):
target     prot opt     source                destination           ports
ACCEPT     all  ------  
0.0.0.0/0
 
0.0.0.0/0
             n/a
-          tcp  ------  
0.0.0.0/0
 
0.0.0.0/0
             * ->   80
-          tcp  ------  
0.0.0.0/0
 
0.0.0.0/0
             * ->   22
-          tcp  ------  
0.0.0.0/0
 
0.0.0.0/0
             * ->   23
-          tcp  ------  
0.0.0.0/0
 
0.0.0.0/0
             * ->   21
-          tcp  ------  
0.0.0.0/0
 
0.0.0.0/0
             * ->   110
-          tcp  ------  
0.0.0.0/0
 
0.0.0.0/0
             * ->   25
-          tcp  ------  
0.0.0.0/0
 
0.0.0.0/0
             * ->   20
ACCEPT     all  ------  
0.0.0.0/0
 
0.0.0.0/0
             n/a
in inetd.conf ho attivi solo ftp, nntp, auth e linuxconf.
Altri servizi attivi sono lpr, dns, apache e smtp,.
Come sto messo a sicurezza? Devo fare altro (non ricordo cosa bisogna attivare
in /proc/qualchecosa su masquerading e forwarding?
Grazie anticipate e ciao ;-)

 in /proc/qualchecosa su masquerading e forwarding?
Sicuro non ti riferisci a /proc/sys/net/ipv4/tcp_syncookies ??????????
-- 
Live free or die.  --  Debian/GNU/Linux die hard.

Grazie anticipate e ciao ;-)
A sicurezza siamo messi male, non solo tu, nel senso che non credo
esista un computer sicuro, e quando lo credi e' la volta che ti
fregano meglio proprio perche' hai abbassato la guardia.
Dipende da quello che vuoi fare, se vuoi far usare il tuo
server http locale devi permettere a tutti di accedere
alla porta 80 quindi dovresti mettere una regola in input 
che da' qualcosa tipo:
ACCEPT     tcp  ------  
0.0.0.0/0
             ppp0        * ->   80
se invece non vuoi che sia accessibile dall'esterno devi
mettere in DENY la porta 80. In sostanza prima stabilisci
cosa deve fare la tua macchina/rete e poi gli confezioni
sopra le regole dell'ipchains.
Da quello che ho capito l'argomento non e' molto complicato
come principi, in fin dei conti sono degli interruttori software,
il vero problema e' capire cosa far passare e cosa bloccare e,
per farlo, occorre una buona conoscenza dei protocolli. 
Cerca su 
www.deja.com
 un thread su i.c.s.v. del luglio 1999
dal titolo "Firewall su Linux, un consiglio" leggendolo vedrai
che i due "esperti" hanno opinioni diverse, entrambe valide.
C'e' anche un buon Firewall-howto sul sito pluto e su Appunti
Linux l'argomento e' ben trattato (peccato io soffra di
arteriosclerosi e capisca fischi per fiaschi :-( ).
In /proc/qualcosa ci pensa gia' pmfirewall ad attivare le opzioni 
necessarie (se chiaramente supportate dal kernel). 
Scrivendo mi e' venuta in mente una cosa da provare 8-),
ci risentiamo, spero di esserti stato utile.
Ciao Francesco.
 
<*>  Appunti Linux per il pinguino che non deve chiedere mai. <*>  
<*>  
http://www.pluto.linux.it
                                <*>

 dal titolo "Firewall su Linux, un consiglio" leggendolo vedrai
azz.....qualcuno ancora se lo ricorda.........


 ha scritto:



se a qualcuno interessa, ho riscaricato l'intero thread da deja e l'ho
riorganizzato (ammazza che fatica! ;-) ).
Se ne potrebbe fare un mini howto, ora cerca di adattarlo in html,
spero che thorin e Maurizio siano d'accordo, tanto la paternita' e'
loro
--------------------------------------------------
When a packet hits a pocket on a socket on a port,
And the buss is interrupted as a very last resort,
And the address of the memory makes your floppy disk abort,
Then the socket packet pocket has an error to report

 loro
Ci mancherebbe altro, mi fa pure piacere !!!!!!!!!!!!!!!!!!!!
