Newsgroup: it.comp.os.linux.sys
Titolo: iptables si blocca !

Ciao a tutti,
Sto cercando di costruire un firewall, pensavo di aggiungere un pezzo per
volta e testare il funzioamento.
Mi sono fermato subito perche' lo script allegato si pianta non appena
arriva
alla riga "iptables -L"e devo interromperlo con Ctrl-C.
Il blocco non avviene se elimino entrambe le righe contrassegnate da (..1..)
e (..2..).
Cosa c'e' di sbagliato ???
Un'altra domanda: il traffico che attraversa la macchina linux tramite il
NAT
come lo filtro? con le catene INPUT e OUTPUT, oppure con la catena FORWARD,
sulla
tabella normale o sulla tabella -t nat o in quale altro modo.
Grazie in anticipo.
# FIREWALL
#
echo "Impostazionre firewall in corso ...."
#
WANIF="eth1"   # interfaccia di rete internet
WANNET="xxx.xxx.xxx.xxx/28" # rete internet
WANIP="xxx.xxx.xxx.xxx"  # questo host
LOCALIF="eth0"   # interfaccia di rete locale
LOCALNET="
192.168.1.0/24
" # rete locale
MYIP="192.168.1.5"  # questo host
#MODULI RICHIESTI:
modprobe ip_tables
# Abilita forwarding
echo "1" > /proc/sys/net/ipv4/ip_forward
# Pulisci ogni regola attualmente configurata
iptables -F ; iptables -t nat -F
# Imposta la politica generale
iptables -P INPUT   DROP
iptables -P FORWARD DROP
iptables -P OUTPUT  ACCEPT
# Scarta subito pacchetti malformati
#iptables -A INPUT -m unclean -j DROP
#--------------------------------------------------
# RETE LOCALE
#--------------------------------------------------
# local loopback
iptables -A INPUT -i lo -s 127.0.0.1 -j ACCEPT
# Accetto il traffico tra la rete interna e questa macchina
iptables -A INPUT  -s $LOCALNET -d $MYIP     -i $LOCALIF -j ACCEPT    #
(..1..)
iptables -A OUTPUT -s $MYIP     -d $LOCALNET             -j ACCEPT    #
(..2..)
#--------------------------------------------------
# GESTIONE NAT
#--------------------------------------------------
#iptables -t nat -A POSTROUTING -s $LOCALNET -o $WANIF -j SNAT --to $WANIP
#---------------------------------------------------
# RETE ESTERNA
#---------------------------------------------------
#---------------------------------------------------
# FINE CONFIGURAZIONE
#---------------------------------------------------
iptables -L
iptables -t nat -L
exit 0

 sulla
Potresti filtrarlo su INPUT ma prendi in considerazione di *non* fare il
forward e di usare un proxy.
Ovviamente il tuo script era esemplificativo, immagino? ... non sarà il tuo
vero firewall, giusto?
Fabio


No, non e' esemplificativo, e' semplicemente il primo mattone su cui vorrei
costruire il
mio firewall appunto, mattone su mattone, imparando nel frattempo.
Pensavo di chiudere tutti gli accessi, aggiungere un LOG e poi aprire un
accesso per volta
mano a mano che capisco cosa è.
Qualche suggerimento in proposito ?
Grazie ancora.
Stefano

 tabella normale o sulla tabella -t nat o in quale altro modo.
tratto dal packet filtering howto (in debian lo trovi sotto
/usr/share/doc/iptables/html):
9. Mixing NAT and Packet Filtering
   It's common to want to do Network Address Translation (see the NAT
   HOWTO) and packet filtering. The good news is that they mix
   extremely well.
   You design your packet filtering completely ignoring any NAT you
   are doing. The sources and destinations seen by the packet filter
   will be the `real' sources and destinations. For example, if you
   are doing DNAT to send any connections to 1.2.3.4 port 80 through
   to 10.1.1.1 port 8080, the packet filter would see packets going
   to 10.1.1.1 port 8080 (the real destination), not 1.2.3.4 port 80.
   Similarly, you can ignore masquerading: packets will seem to come
   from their real internal IP addresses (say 10.1.1.1), and replies
   will seem to go back there.
-- 
addio, e grazie per tutto il pesce