Newsgroup: it.comp.os.linux.iniziare
Titolo: Iptables: definire una porta per i pacchetti icmp

Salve NG,
Cercando di passare da ipchains a iptables mi sono imbattuto in un 
problemino: utilizzo lo script dello squalo, il quale ad un certo da' 
queste regole:
$IPTABLES -A INPUT -i $INTERFACE -p icmp -s $ANYWHERE 5 \
   -d $LOCALIP -j DROP
$IPTABLES -A INPUT -i $INTERFACE -p icmp -s $ANYWHERE 13:255 \
   -d $LOCALIP -j DROP
Il problema e' che iptables non accetta la definizione della porta dopo 
l'indirizzo ip (ovvero all'opzione -s puo' seguire solo l'indirizzo e non 
la porta di seguito). Purtroppo l'opzione --source-port non vale per icmp.
La domanda e' : quel 5 e 13:255 sono porte oppure tipi di icmp (--icmp-type)
Cosi' com'e' ottengo un errore. Qaulche idea?
Grazie, Nicola.
-- 
______________________________
chi va pian va san e va lontan

 La domanda e' : quel 5 e 13:255 sono porte oppure tipi di icmp (--icmp-type)
$IPTABLES -A INPUT -i $INTERFACE -p icmp --icmp-type 5 \
	  -s $ANYWHERE -d $LOCALIP -j DROP
13:255 e` un range di icmp-type, al tempo quando lo avevo convertito
(anche io ho convertito il firewall dello squalo) me ne sono sbattuto a
dir la verita`, e ho ignorato 13:255 senza pensarci 2 volte ;-)
Aspetta che rido` un occhiata al man....
...ecco, come ricordavo il range non lo prende. A questo punto posso
pensare che 1) e` inutile e quindi non piu` implementato 2) Sto
sbagliando io ....
Certo non dovrebbe essere difficile fare uno scriptino che cambi il tipo
da 13 a 255 ogni volta; ma creerebbe un casino di regole di dubbia
utilita`, per cui l'ho tralasciato.
      --icmp-type [!] typename
             This allows specification of the ICMP  type,  which
             can be a numeric ICMP type, or one of the ICMP type
	     names shown by the command
	      iptables -p icmp -h
Nessun riferimento ad un opzione per includere un range 13:255....
Ciao, `matte.
-- 
err: signature too big

 
Secondo me ha sbagliato MrShark in un impeto di sicurezza: mettete pure che un pazzo costruisca un pacchetto icmp di tipo 243(che non esiste).
Se pure lo fate passare, questo arriva al kernel e viene ignorato:nessun 
problema di sicurezza.
Gli altri si scartano perchè potrebbero interferire con il routing o con 
le MRU e MTU (forse solo MTU).
Il ping lo si toglie perchè si è pignoli.
Gli altri tipi si tolgono perchè si è ignoranti (percè questi pacchetti 
servono!)
Tutto il resto (per intenderci da 13 a 255) le si toglie per la paura 
dell'ignoto,ma non serve a niente:nessun demone potrà mai usare un 
pacchetto con un icmp di quel genere.
Radel

 Nessun riferimento ad un opzione per includere un range 13:255....
Ok, allora adesso ho capito che si parla di tipi e non di porte :))
Grazie mille, Nicola.



Grazie anche a te, ora lo cavo quel 13:255 :)))
P.S. scusatemi ma dove trovo a cosa corrispondono i numeri di icmp (per 
inteso dando 'iptables -p icmp -h' ottengo la spiegazione dei tipi ma 
riferito ai numeri ?).


 pacchetto con un icmp di quel genere.
Benissimo, grazie del chiarimento.


 Cmq adesso non si fa` + prche` c'e` --icmp-type.
C'era anche prima.
ciao
Kronos
-- 
Home: 
http://kronoz.cjb.net
Tentare e` il primo passo verso il fallimento.
Homer J. Simpson

 C'era anche prima.
Ma non la usava nessuno perchè era + veloce --sport oppure -s 0/0...
Adesso si DEVE usare perchè quel parametro NON è una porta (nel senso 
tcp e udp del termine..., che poi è l'unico "corretto")
Radel