Newsgroup: it.comp.os.linux.iniziare
Titolo: Iptables....non ci riesco

Ciao Ragazzi,
ho provato un attimo a studiarmi iptables per creare
un semplice firewall per protezione; 
ma ho una grande confusione; questo è il mio scenario
(Red-hat linux 9b con kernel 2.4 - Iptables)
(scheda rete eth0)
linux è in rete con accesso ssh dall'esterno in quanto
dotato di ip fisso; 
vorrei limitare l'accesso verso l'esterno solo dal mio indirizzo ip
fisso;
mentre dalla mia LAN 192.168.0.XXXX devo poter accedere 
tramite eth0 a tutti i servizi (per esempio ho postfix sulla porta
25 o ipop3 sulla 110) 
Ricapitolando
 LAN INTERNA 192.168.0.XXX --> accesso completo ETH0 su linux (tutti i
servizi attivi)
 IP FISSO MIO REMOTO       --> accesso su porta ssh
 ALTRO                     --> ACCESSO NEGATO su ETH0 DA TUTTI GLI ALTRI
Spero di avervi spiegato bene.
Grazie in anticipo a quanti vorranno aiutarmi. Marco.
-- 

  IP FISSO MIO REMOTO       --> accesso su porta ssh
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Cosa vuoi dire con questa frase?
Siccome gli utenti dalla LAN accedono a linux (eth0) per 
ricevere posta sulle porte 25,110 devono continuare a farlo
(quindi la porta eth0 deve accettare tutte le connessioni
dalla rete locale lan senza bloccare niente)
Spero di essermi spiegato.
GRazie .Marco.
-- 

Balin ha scritto:

puoi usare questo link:
http://easyfwgen.morizot.net/gen/
E' un generatore di regole per iptables.
Scegli le interfacce da usare, i servizi da abilitare e sei a posto.
Io l'ho provato per diverso tempo e devo dire che a mio modestissimo 
avviso va molto bene.
Ciao.
Cristian.

 E' un generatore di regole per iptables.
Imposta sempre la default policy di INPUT ad ACCEPT: non la trovo una 
cosa molto astuta. IMO :)

DeepBlue wrote:

Sarň ignorante..ma speravo che fosse piů semplice...quel tipo di script
mi ha confuso ancora di piů..speravo con poche semplici righe di fare
tutto.......bho! mi metto a studiarmelo ancora 1 volta
-- 


Uhm, io ho fatto una prova, e non ho riscontrato quello che dici.
Prima setta le policy aperte.
Poi fa il flush delle regole, poi le setta DROP, poi setta le regole
effettive.
Almeno, nella mia prova.


 
in effetti nelle catene tcp_outbound e udp_outbound alla fine setta 
tutto ad accept.
Però la richiesta fatta era appunto che dalla lan potesse uscire tutto
:-)

 dalla rete locale lan senza bloccare niente)
Diciamo che potrebbe anche non esserci bisogno di nulla.
IL router non deve accettare nessuna richiesta di connessione in
ingresso che non sia proveniente dall'IP dell'altra sede, e solo
se diretta alla port 22.
Per il resto, sei gia' in rete locale con gli altri pc, e puoi
anche lasciare aperto tutto.
Altrimenti, installa bastille, firestarter, fiaif, firewallconfig,
usa quel sito di cui l'amico ha postato l'url, studiane le varie
configurazioni e prendi spunto da quelli.


 Almeno, nella mia prova.
sě, č vero, non ho proprio visto le 30 righe righe successive!
Cosě la prossima volta leggo meglio... :)

roberto wrote:

Grazie...mi hanno postato un po di regole che sembrano funzionare
cmq č vero dovrebbe farlo il router o un firewall hardware ancora
meglio...ma sul router pirelli di telecom..non si puň fare apre solo
un forwarding su una determinata porta senza filtrare l'ěndirizzo ip
Ecco le regole...magari possono servire a qualcun altro:
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -A INPUT -s 82.XXX.XXX.XXX -j ACCEPT
/sbin/iptables -A INPUT -s 
192.168.0.0/24
 -j ACCEPT
/sbin/iptables -A INPUT -j DROP
( service iptables save - controllare il file /etc/sysconfig/iptables)
  e fare ripartire il servizio )
Ciao Marco.
--