Newsgroup: it.comp.os.linux.sys
Titolo: [IPTABLES] bloccare porte solo ad alcuni client

Salve a tutti,
ecco la mia attuale situzione:
un server linux con connnessione adsl tramite modem.
n client collegati in lan con il server linux il quale č impostato per fare
NAT a tutti i computer collegati.
attualmente non vi č alcuna policy sul firewall (a parte, ovviamente, qualla
del NAT).
Adesso vorrei bloccare l'accesso al web ad alcuni client della mia LAN
chiudendo quindi la porta 80.
Quale comando Iptables mi permette di fare una cosa simile ? e se volessi
chiudere tale porta a tutta la lan ?
Grazie !

 chiudere tale porta a tutta la lan ?
In genere, tutto cio' che non e' esplicitamente aperto e' chiuso, ergo:
ti basta NON aprire la porta e sei a posto. Consiglio: imposta un proxy
e gestisciti i permessi usando ACL sul proxy.
Davide
-- 
...A Microsoft spokesperson said, "while fighting software piracy is good
for our business, highway robbery is our business." 
   -- From a Slashdot.org post


in questo momento è tutto aperto. ripeto non ci sono policy.

 
Crea una policy DROP in INPUT per tutto e poi apri ciň che ti serve;
per bloccare la 80 dalla LAN ma nn dall'esterno puoi dare un:
iptables -i INPUT -i ethx -p tcp --dport 80 -j DROP
cosě facendo rimane aperta da internet verso il tuo server, ma nn dalla 
lan verso il tuo server.

 chiudere tale porta a tutta la lan ?
Anche quest mai provato:
iptables -A INPUT -s 
192.168.0.0/255.255.255.0
 -i eth0 -p
tcp -m tcp --dport 80 -j DROP
sempre supponendo che eth0 sia l'interfaccia della tua LAN e che
192.168.0.0 sia la tua LAN.
Ciao,
  Marco.
-- 
I've seen things you people wouldn't believe. Attack ships on fire off the 
shoulder of Orion. I watched c-beams... glitter in the dark near Tanhauser Gate.
All those... moments will be lost... in time, like tears... in rain. 
Time... to die
-------------------------------------------------------------------------------------------
Io ne ho viste cose che voi umani non potete immaginarvi. Navi da combattimento 
in fiamme al largo dei bastioni di Orione e ho visto i raggi B balenare nel 
buio vicino alle porte di Tannoiser e tutti quei momenti andranno perduti nel 
tempo come lacrime nella pioggia... è tempo di morire...
Roy Batty (Rutger Hauer), Blade Runner


ho digitato i comandi che hai segnalato ma il client continua ad uscire
sulla porta 80 che è un piacere.

sulla porta 80 che è un piacere.
Devi agire sulla catena FORWARD, non sulla INPUT.
--
A: Because it messes up the order in which people normally read text.
Q: Why is top-posting such a bad thing?
A: Top-posting.
Q: What is the most annoying thing on usenet and in e-mail?


"uscire"?
Ma allora non ho capito una cippa io (come al solito... :-) )
Pensavo tu volessi impedire ai tuoi client di accedere ad uno specifico
server sulla porta 80.
Se ho capito bene tu vuoi invece impedire ai tuoi client di navigare tra
le pagine WWW.
Non sono proprio certo che iptables sia stato studiato per questo,
comunque credo tu possa agire su FORWARD/OUTPUT.
Ti suggerisco di dare un'occhiata a 
www.netfilter.org
. Ci sono HOWTO
piuttosto semplici, anche in italiano.


 Devi agire sulla catena FORWARD, non sulla INPUT.
ho provato ma non funzia.

> ho provato ma non funzia.
iptables -A FORWARD -p tcp -s 192.168.0.100 --dport 80 -m state --state 
NEW,ESTABLISHED -j REJECT
dove 192.168.0.100 è l'ip da bloccare :-) 


risolto con un:
iptables -A FORWARD -p tcp --dport 80 -j DROP

iptables -A FORWARD -p tcp --dport 80 -j DROP
Certo che questo thread su .sys ci sta proprio male...



??? 

??? 
Questo č un thread per .iniziare, e forse un bel RTFM ci starebbe bene
anche lě. E' molto chiaro che per sbattere contro un problema simile
bisogna non avere letto niente di IPTABLES.


 ??? 
Senza offesa, ma IMHO tu hai letto solo come ottenere rapidamente
il masquerading. Leggi bene la documentazione, e cerca firewall
script di esempio su google... e fiondati su it.comp.os.linux.iniziare.
bye G.L.
-- 
« E' assolutamente evidente che l'arte del cinema
  si ispira alla vita, mentre la vita si ispira alla TV »
(Woody Allen)

 Crea una policy DROP in INPUT
Ma neanche per idea.
In FORWARD.
-- 
"Io mi sarei aspettato un intervento più misurato dall’assessore Ascoli, 
nel senso che, ospite in questo paese, poteva avere maggiore rispetto..."
(Giannotti di Forza Italia all'assessore Ascoli, ebreo italiano)
http://snipurl.com/antisemitafi

 comunque credo tu possa agire su FORWARD/OUTPUT.
Solo FORWARD, per i pacchetti che devono essere, per l'appunto, inoltrati.


 
Mi spieghi che c'entra il forward se dal client vai verso il server?

 
Quoto, anche IMHO tu nn hai studiato molto netfilter; inizia a 
consultare lo zio Google e cercare qualcosa su netfilter e poi dirigiti 
verso it.comp.os.linux.iniziare; lě trovi tutte le risposte che cerchi.

 Mi spieghi che c'entra il forward se dal client vai verso il server?
Forse ti è sfuggito che quello chiamato impropriamente server da Pippo
è in realtà il gateway verso internet e che Pippo vuole impedire che
dalla lan si acceda ai webserver su _internet_...


 
Riporto la riga che ha citato lui:
"Adesso vorrei bloccare l'accesso al web ad alcuni client della mia LAN
chiudendo quindi la porta 80."
E' detto malissimo; la porta 80 di cosa? In entrata del server? In 
uscita? E poi l'accesso al web di che? Del server o del web nel senso di 
internet?
Ribadisco... Vai su it.comp.os.linux.iniziare o leggi gli howto su 
netfilter con lo zio google

 netfilter con lo zio google
ROTFL.
E' un 'tu' impersonale, vero? <g>
-- 
Per non dimenticare:
http://snipurl.com/SdC_ed_il_vino
Le sigarette a volte danno buoni consigli:
http://snipurl.com/sigarette

io ti cosiglio di bloccare a tutti tranne che alla macchina che ti fa da 
router/firewall ecc la porta 80, quindi usa squid (proxy server) e le 
sue acl. è molto + semplice di fare regole con iptables
-- 
Davide Corrado
System Engineer
WEB CONSULT

 
Sìsì,tranquillo, riferito a chi nn conosce netfilter...
Cmq credo anche io che la tua interpretazione sia giusta, avevo capito 
male io.

internet?
Il "web", in generale, è inteso come WWW.
Da nessuna parte nei post si parla di un server web, mentre è chiaro
che quella macchina fa da NAT box per gli altri.


Marco wrote:
 >> Senza offesa, ma IMHO tu hai letto solo come ottenere rapidamente
 >> il masquerading. Leggi bene la documentazione, e cerca firewall
 >> script di esempio su google... e fiondati su
 >> it.comp.os.linux.iniziare.
 > Quoto, anche IMHO tu nn hai studiato molto netfilter; inizia a
 > consultare lo zio Google e cercare qualcosa su netfilter e poi
 > dirigiti verso it.comp.os.linux.iniziare; lě trovi tutte le
 > risposte che cerchi.
ROTFL, ma che cavolo vuoi da me? Rispondevo a Pippo, chi t'ha mai
inc****o?
D'altronde, con meritato x/post e follow-up su ICCL, :-)
di te riporto:
<paste>
 > On Mon, 01 Nov 2004 14:10:45 +0000, marco wrote:
 >>> Non sono proprio certo che iptables sia stato studiato per questo,
 >> No, č stato studiato per friggere patatine.
 >>> comunque credo tu possa agire su FORWARD/OUTPUT.
 >> Solo FORWARD, per i pacchetti che devono essere, per l'appunto,
 >> inoltrati.
</paste>
Pussa via, LAMER paranoico!   :-)
bye G.L.