Newsgroup: it.comp.os.linux.iniziare
Titolo: Firewall di MrShark

Sono riuscito ad installarlo (come da thread precedente di 3 giorni fa).
Ahimè non userò più Window per editare i file di configurazione.... io però
nel How-to proprio non l'avevo visto.
Adesso vorrei risolvere i seguenti problemi:
ricevo la posta ma non riesco ad inviarla da dietro il Firewall (
tin.it
)
non riesco a connettermi al server news (
news.tin.it
)
 (ovviamente ho messo gli IP dei due server trovati con nslookup)
ultimo problema: in quale file metto firewall start se utilizzo ISDN con
RH7.0 (e già che ci siamo dove metto firewall stop)
Grazie
--
antonio montagnani

antonio m wrote:

Allego copia del file firewall.conf
Per chi volesse provare :
Pop : 
box.tin.it
Smtp : 
mail.tin.it
# invio email - indicare l'IP del server del vostro ISP
   SMTP="ON"
   SMTP_IP="212.216.176.239"
            212.216.176.40 212.216.176.44 \
            212.216.176.46 212.216.176.50 212.216.176.74  \
            212.216.176.76 212.216.176.237"
# ricezione email pop3 - inserite gli IP dei server imap che usate
# (TUTTI quelli da cui volete ricevere email pop3, non solo quelli
# del provider che usate correntemente), nel campo POP3_IP, usando
# uno spazio come separatore tra l'uno e l'altro. Se volete andare
# a capo, usate a fine riga il carattere "\", SENZA lasciare spazi
# dopo di esso!!! Tenete presente che molti provider (come tiscali
# e tin) usano IP multipli per i server, quindi dovrete elencarli
# tutti (cercateli con nslookup)
   POP3="ON"
   POP3_IP="212.216.176.54 212.216.176.55 212.216.176.64 \
            212.216.176.65 212.216.176.67 212.216.176.68 \
            212.216.176.69 212.216.176.70 212.216.176.71 \
            212.216.176.72 212.216.176.73 212.216.176.52 \
            212.216.176.53"
# ricezione email imap - inserite gli IP dei server imap che usate
# (TUTTI quelli da cui volete ricevere email imap, non solo quelli
# del provider che usate correntemente), nel campo IMAP_IP, usando
# uno spazio come separatore tra l'uno e l'altro. Se volete andare
# a capo, usate a fine riga il carattere "\", SENZA lasciare spazi
# dopo di esso!!! Tenete presente che molti provider (come tiscali
# e tin) usano IP multipli per i server, quindi dovrete elencarli
# tutti (cercateli con nslookup)
   IMAP="OFF"
   IMAP_IP="1.2.3.4 2.3.4.5 3.4.5.6"
# news usenet - indicare l'IP del server del vostro ISP
   NNTP="ON"
   NNTP_IP="195.31.190.131 195.31.190.132"
Grazie dell'aiuto
(si possono avere server multipli SMTP e News??)
Buonaserata
Antonio Montagnani

(si possono avere server multipli SMTP e News??)
Si.
-- 
Bye,     | l'indirizzo nel campo from e` valido
Alfredo  |______________________________________
Amontagna|   powered by Debian GNU/Linux 2.2

Sorseggiando il suo prosecco antonio m, si rivolse al NG dicendo...

Per avere SMTP multipli devi modificare /etc/rc.d/firewall (o dove l'hai 
messo) come fatto per POP3 come mi ha spiegato lo squalo. Per le news lo fa 
gia' NNTP.
Ti consiglio di guardare /var/log/messages dove vedi schiantarsi la roba 
fermata dal firewall, poi ti stampi /etc/service e cosi' vedi anche 'cosa' 
si e' schiantato: confronti le porte per capire se erano news, dns ecc.
P.S. mi sono spiegato male ma da me funziona :)
Nicola.
-- 
______________________________
chi va pian va san e va lontan

 Si.
Dal solito var/log/message io estraggo questo
Mar 11 21:38:52 Pentium kernel: Packet log: input DENY ippp0 PROTO=17 
207.71.92.221:137
 
212.216.16.16:137
 L=78 S=0x00 I=18437 F=0x0000 T=110 (#58)
Mar 12 21:39:03 Pentium kernel: Packet log: input DENY ippp0 PROTO=6 
195.31.190.132:119
 
212.216.16.6:1051
 L=52 S=0x00 I=17246 F=0x4000 T=247 
(#59)
Mar 12 21:20:58 Pentium kernel: Packet log: input DENY ippp0 PROTO=6 
212.216.176.44:25
 
212.216.16.10:61082
 L=40 S=0x00 I=59674 F=0x4000 T=247 
(#59)
Non sono in ordine....
e sono ripetuti: il programma di posta ovviamente mi da il time-out.
Grazie a tutti per l'aiuto
Antonio Montagnani

             212.216.176.76 212.216.176.237"
Ehu?
Non ho visto le regole del firewall, ma nutro seri dubbi che
fare l'elenco degli IP che hanno libero accesso possa:
a. essere necessario.
b. raggiungere un elevato grado di sicurezza.
Francamente l'unico motivo per fare una cosa del genere in un
computer casalingo e` nel caso si fosse bloccato anche tutto il
traffico in uscita; misura di sicurezza certamente sensata, ma
sovradimensionata su una singola macchina.
Per una macchina dial-up e` gia` sufficiente bloccare tutto il traffico
proveniente dall'esterno diretto verso le porte basse (<1024) e quello
diretto verso le porte alte che non sia parte di una connessione
avviata dall'interno.
Aggiungi qualche regola per bloccare le porte alte da proteggere,
qualcosa per loggare i martians, per lasciare libero identd ed
eventuali altri servizi, bloccare qualche ICMP sospetto e sei a posto.
-- 
Chiusura di Windows in corso.  Sto dando fuoco al computer... _/Davide\_
Ora si puo` spegnere il computer!  Se ci riuscite...          \Alberani/
 Cinereview: Traffic: ben realizzato, storia un po' fiacca. Voto: 8-
Per contattarmi: 
http://digilander.iol.it/alberanid/

b. raggiungere un elevato grado di sicurezza.
Infatti cosi' e' sbagliato. Ha applicato lo stesso schema della sezione
POP a quella SMPT e cioe' ha aperto porte inutilmente. Ma e' fortunato
perche'
    SMTP_IP="212.216.176.239" <--------------------<<<<<<<<
             212.216.176.40 212.216.176.44 \
             212.216.176.46 212.216.176.50 212.216.176.74  \
             212.216.176.76 212.216.176.237"
con quelle "virgolette" probabilmente non funziona nemmeno.
-- 
Ciao, Mario.
http://digilander.iol.it/mccmario/
** la nuova patch per KNode 0.1.13
   anche nel comodo formato RPM **

POP a quella SMPT e cioe' ha aperto porte inutilmente.
Pero' effettivamente TIN ha un bordello di indirizzi smtp .. geee :-)
Fermo restando pero' la storia della '"' che andrebbe rimossa.


 ha scritto nel messaggio
news:b9bl89...@mario.linuxbox...


 sezione POP a quella SMPT e cioe' ha aperto porte inutilmente.
Non era questo il punto.
Il fatto e` che per ottenere un ottimo grado di sicurezza su un dial-up
non mi pare affatto necessario mettersi a fare elenchi di IP ammessi:
si riesce ad ottenere la stessa sicurezza (anzi, a naso di piu`)
mantenendosi piu` generici.


con RH7.0 (e già che ci siamo dove metto firewall stop)
Consiglio in /etc/ppp/ip-up.d/ e /etc/ppp/ip-down.d/. 
Crea due nuovi script in queste directory. 
-- 
Renato "Hitman" Salzano - Home Page in ricostruzione 
e-posta: sonicblast (at) 
inwind.it
 / Xena:TWP fan
Powered by AMD K6-350 & Debian Woody - 100% Wintel free
---> WebDesigner e SysAdmin di 
http://www.italservicesnc.it
 <---

 mantenendosi piu` generici.
Non ho capito... che vuoi dire ?
-- 
Filippo Panessa A.K.A. Kalem
kalem (at) linuxfan (dot) com
http://web.tiscalinet.it/kalem

l'ho...ma voglio evitare di fare pasticci.
Devi aggiungere un ciclo "for" altrimenti sarebbe inutile indicare
indirizzi multipli, non verrebbero letti. Copia dalla sezione POP,
dovrebbe uscire una cosa cosi':
#__________________________________________________
fw_smtp () {
    #--------------- SMTP (25)
    echo -n "Invio posta : "
    if [ $SMTP = "ON" ]; then
 for smtp in $SMTP_IP ; do
      $IPCHAINS -A input -i $INTERFACE -p tcp -s $smtp 25 \
        -d $LOCALIP $UNPRIVPORTS -j ACCEPT
 done
      echo -e "\t\t\t\t\t\t\t[ ${GREEN}OK ${WHITE}]"
    else
      echo -e "\t\t\t\t\t\t\t[ ${RED}NO ${WHITE}]"
    fi
} # fw_smtp
#__________________________________________________
e nella configurazione sara' circa cosi':
      SMTP_IP="212.216.176.239 212.216.176.40 \
                212.216.176.44 212.216.176.46 \
                212.216.176.50 212.216.176.74 \
                212.216.176.76 212.216.176.237"
__________________________________________________
Il ragionamento vale anche per gli indirizzi dei server news, se ne
vuoi utilizzare piu' di uno.


38special wrote:

io ho provato...ma ho ottenuto lo stesso risultato.
Si ostina a non farmi passare quello che dovrebbe andare sulle porte 25 
(SMTP) e 119 (NNTP).
Mah!!! senza firewall funziona che è un piacere...
qualche altra idea???

 Antonio Montagnani
        Ciao, Giovanni. 
-- 
   |^^^^|
   |    |  Eat my shorts !             * Linux Powered *
   |()()| /                            - Kernel  2.4.2 -
                 -> gio.bcc(at)
tin.it
 <-

Sorseggiando il suo prosecco antonio m, si rivolse al NG dicendo...
cut..................................

Scusa a titolo informativo che ti dice:
firewall status |grep 119
Ci sono gli ACCEPT ?


 Di grazia, perche' ? :-)
Esempio di regole:
1. accetta tutto cio` che resta sull'interfaccia locale.
2. accetta dall'esterno cose dirette ai servizi che si vuol lasciare
   aperti (ident anyone?)
3. si bloccano tutte le porte alte che offrono servizi che non
   vogliamo fornire all'esterno (database, X11, proxy, etc. etc.)
4. blocca i martians (in parte gia` fatto dal kernel, ma tant'e`...)
5. eventuali regole per cose antipatiche (eg: ftp passive mode)
6. blocca tutte le connessioni dall'esterno che non abbiano
   corrispondenza in una connessione aperta dall'interno.
7. varie ed eventuali (icmp, igmp, etc. etc.)
8. policy di default per bloccare tutto cio` che e` in entrata,
   tutto cio` che e` in forward e lasciare libero tutto cio` che
   si manda fuori.
Per un dial-up, non vedo controindicazioni.
Nota che da nessuna parte compaiono gli IP per esempio del mail server:
per inviare posta postfix/sendmail/qmail apre una connessione
dall'interno e il firewall lo lascia passare.
Qualsiasi tentativo dall'esterno di connettersi al mail server
fallirebbe per la (8), mentre i tentativi verso le porte alte
verrebbero filtrati dalla (6), la quale lascia la possibilita` di
connessioni di qualsiasi tipo aperte dall'interno (anche ftp active,
ma non passive, per il quale sono necessarie altre regole).


(si possono avere server multipli SMTP e News??)
Certo, basta modificare un po` lo script principale (firewall).


sul come fare ce l'ho...ma voglio evitare di fare pasticci.
Ecco le modifiche che io ho fatto: 
#  ==========================================================================
fw_smtp () {
    #--------------- SMTP (25)
    echo -n "Invio posta : "
    if [ $SMTP = "ON" ]; then
      for smtpip in $SMTP_IP ; do
        $IPCHAINS -A input -i $INTERFACE -p tcp -s $smtpip 25 \
        -d $LOCALIP $UNPRIVPORTS -j ACCEPT
      done
      # $IPCHAINS -A input -i $INTERFACE -p tcp -s $ANYWHERE 25 \
      #   -d $LOCALIP $UNPRIVPORTS -j ACCEPT
      echo -e "\t\t\t\t\t\t\t[ ${GREEN}OK ${WHITE}]"
    else
      echo -e "\t\t\t\t\t\t\t[ ${RED}NO ${WHITE}]"
    fi
} # fw_smtp
#  ==========================================================================
fw_nntp () {
    #--------------- NNTP (119)
    echo -n "Newsgroup Usenet : "
    if [ $NNTP = "ON" ]; then
    	for ns in $NNTP_IP ; do
	    $IPCHAINS -A input -i $INTERFACE -p tcp ! -y -s $ns 119 \
        	-d $LOCALIP $UNPRIVPORTS -j ACCEPT
	done
      echo -e "\t\t\t\t\t\t[ ${GREEN}OK ${WHITE}]"
    else
      echo -e "\t\t\t\t\t\t[ ${RED}NO ${WHITE}]"
    fi
} # fw_nntp


(#59)
... e 212.216.176.44 fra quelli degli SMTP server.


corrispondenza in una connessione aperta dall'interno.
Questa mi pare si possa fare solo con iptables, e non con ipchians :/
-- 
Renato "Hitman" Salzano - 
http://spazioweb.inwind.it/hitman/
 


 Questa mi pare si possa fare solo con iptables, e non con ipchians :/
Un decente surrogato e` la regola: \! -y -j ACCEPT
sulle porte tcp alte.
Quanto meno blocca i tentativi di iniziare una nuova connessione.
Di hijack, attacchi ISN et similia non mi preoccuperei troppo
per un dial-up. :-)
Piu` difficile l'ftp passive mode, per il quale mi pare ci sia
un modulo apposito - non ricordo, forse era solo per il NAT.
Btw, in preda alla follia sto scrivendo un piccolo daemon in Python
per gestire dinamicamente le regole di firewalling per un dial-up.
Ovviamente non ci affiderei la sicurezza di una macchina importante,
ma magari puo` essere divertente da avere a casa.
Al momento e` in fase di progettazione (leggi: alto mare).


gestire dinamicamente le regole di firewalling per un dial-up.
Ehmmm... che significa "gestire dinamicamente"? :)


 Ehmmm... che significa "gestire dinamicamente"? :)
E` quella la parte folle! ;-)
In pratica - se richiesto - dovrebbe continuare a girare in background
e modificare il proprio comportamento a seconda di vari fattori
esterni.
Ad esempio potrebbe bloccare tutte le porte che si aprono in LISTEN
(a meno di diverse esplicite indicazioni dell'utente).
Al momento sto buttando giu` un DTD per descrivere in XML le regole
di iptables.  Per il resto si vedra`.
-- 
Chiusura di Windows in corso.  Sto dando fuoco al computer... _/Davide\_
Ora si puo` spegnere il computer!  Se ci riuscite...          \Alberani/
 Cinereview: Snatch: fantastico, divertimento puro.         Voto: 8+
Per contattarmi: 
http://digilander.iol.it/alberanid/

esterni.
Interessante... anche  se non  ne capisco  ora l'utilizzo  possibile, ma
questo immagino sia un problema della mia scarsa bastardaggine :D


 Interessante... anche  se non  ne capisco  ora l'utilizzo  possibile,
E` perche` non ne ha uno. :-)
In realta` e` una scusa per giocare con Python, l'XML e un altro
paio di giocattoli.
Forse per il fine settimana c'e` qualcosa di pronto,


Forse per il fine settimana c'e` qualcosa di pronto,
beta o definitivo ...
noi sai perche' sono schizzinoso ... :-))
tua home ?
ciao
boogy
-- 
Ciao da Boogyman.
Too old to Rock' end Roll
Too young to die.
post con "R:" killati in proprio \\post Htlm ci pensa 
news.libero.it
 :-))

 beta o definitivo ...  noi sai perche' sono schizzinoso ... :-))
Pre-alpha, e probabilmente slitta a data da destinarsi. :-)


Pre-alpha, e probabilmente slitta a data da destinarsi. :-)
beh mica ho fretta.. :-))
