Newsgroup: it.comp.os.linux.sys
Titolo: Problemi con iptables

Ciao,
voglio usare un pc linux come firewall per proteggere un server windows con
ip pubblico ed ho il seguente problema:
settando il firewall in modo da lasciare aperte le porte per il webserver,
il dns, il server di posta e tutte le altre che mi occorrono ottengo il
risultato che dall'esterno il server funziona perfettamente (cioč i web sono
visibili, la posta funziona, etc..) ma se provo a 'navigare' da quest'ultimo
verso l'esterno non ricevo risposta (cioč l'indirizzo viene anche risolto
dal nameserver (che č il server stesso) ma poi non naviga).
Secondo voi dove sta il problema? č possibile che il browser faccia partire
richieste su porte diverse dalla 80?
Grazie mille.


iQA/AwUBO8BDIWX27Jtq3aIzEQLzsQCg2nIvZ+kXufTTz50qqG5vMrlO0rgAn1ZD
I6SUu60HlTn5Ujtc13Mf9n6z
=8qlS
-----END PGP SIGNATURE-----

 richieste su porte diverse dalla 80?
Piu' probabile che tu abbia qualche regola che blocchi la navigazione
dall'interno verso l'esterno.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 Se non ci riporti le rules difficilmente potremmo dirti....
Eccole:
#Firewall
#!/bin/bash
#
#resetto
iptables -F
iptables -X
iptables -Z
#creo le catene
iptables -N bad-dmz
iptables -N dmz-bad
iptables -N icmp-acc
#disabilito le risposte ai broadcast
/bin/echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
#rifiuto i pachetti instradati dalla sorgente
/bin/echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route
#disabilito il redirect ICMP
/bin/echo "0" > /proc/sys/net/ipv4/conf/all/accept_redirects
#abilito la protezione alle risposte agli errori
/bin/echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
#abilito la protezione all'IP Spoofing
for interface in /proc/sys/net/ipv4/conf/*/rp_filter; do
   /bin/echo "1" > ${interface}
done
# Loggo i pacchetti spoofed, source routed e redirect.
#/bin/echo "1" > /proc/sys/net/ipv4/conf/all/log_martians
#scrivo le regole
iptables -A FORWARD -s 151.xxx.yyy.0/25 -j dmz-bad
iptables -A FORWARD -d 151.xxx.yyy.0/25 -j bad-dmz
iptables -A FORWARD -j DROP
##
#webserver
iptables -A dmz-bad -p tcp -s 151.xxx.yyy.10 --sport 80 -j ACCEPT
#mailserver
iptables -A dmz-bad -p tcp -s 151.xxx.yyy.10 --sport 25 -j ACCEPT
iptables -A dmz-bad -p tcp -s 151.xxx.yyy.10 --sport 110 -j ACCEPT
#nameserver
iptables -A dmz-bad -p tcp -s 151.xxx.yyy.2 --sport 53-j ACCEPT
iptables -A dmz-bad -p udp -s 151.xxx.yyy.2 --sport 53 -j ACCEPT
iptables -A dmz-bad -p icmp -j icmp-acc
iptables -A dmz-bad -j DROP
#
#
##da BAD a DMZ
#webserver
iptables -A bad-dmz -p tcp -d 151.xxx.yyy.10 --dport 80 -j ACCEPT
#mailserver
iptables -A bad-dmz -p tcp -d 151.xxx.yyy.2 --dport 25 -j ACCEPT
iptables -A bad-dmz -p tcp -d 151.xxx.yyy.2 --dport 110 -j ACCEPT
#nameserver
iptables -A bad-dmz -p tcp -d 151.xxx.yyy.2 --dport 53-j ACCEPT
iptables -A bad-dmz -p udp -d 151.xxx.yyy.2 --dport 53 -j ACCEPT
iptables -A bad-dmz -p icmp -j icmp-acc
iptables -A bad-dmz -j DROP
#
#
iptables -A icmp-acc -p icmp --icmp-type destination-unreachable -j ACCEPT
iptables -A icmp-acc -p icmp --icmp-type source-quench -j ACCEPT
iptables -A icmp-acc -p icmp --icmp-type time-exceeded -j ACCEPT
iptables -A icmp-acc -p icmp --icmp-type parameter-problem -j ACCEPT
##fine
Grazie.

 richieste su porte diverse dalla 80?
Potrebbe anche essere possibile, ma dovresti avere una strana configurazione.
Le possibilita' che vedo bene sono:
Hai settato il transito tramite un proxy.
Non hai abilitato il forwarding sul firewall, e ti sei chiuso dentro.
Hai delle regole leggermente restrittive in uscita, e ti sei chiuso dentro.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net


iQA/AwUBO8H94mX27Jtq3aIzEQK7/gCggpX0HGJf+VJoaSiEAMorYtX7e1YAn1gN
h0631omkU5xJ19t1xW4GZAs+
=Luwk
-----END PGP SIGNATURE-----