Newsgroup: it.comp.os.linux.sys
Titolo: Firewall per server

Volevo aumentare la sicurezza del mio firewall ora è impostato così:
---------------------------------------------
:input DENY
:forward DENY
:output ACCEPT
# Abilitazione completa del traffico su lo LOOPPACK
-A input -i lo -j ACCEPT
# Abilitazione completa del traffico su eth0 LAN
-A input -i eth0 -j ACCEPT
# Abilitazione del traffico su eth1 INTERNET
#ABILITO RICEZIONE DNS DALLA 53 DAI MIEI DNS
-A input -i eth1 -p tcp -s 0/0 -d 62.110.40.2 20 -j ACCEPT
-A input -i eth1 -p tcp -s 0/0 -d 62.110.40.2 21 -j ACCEPT
-A input -i eth1 -p tcp -s 0/0 -d 62.110.40.2 22 -j ACCEPT
-A input -i eth1 -p tcp -s 0/0 -d 62.110.40.2 25 -j ACCEPT
-A input -i eth1 -p tcp -s 0/0 -d 62.110.40.2 80 -j ACCEPT
-A input -i eth1 -p tcp -s 0/0 -d 62.110.40.2 110 -j ACCEPT  -l
-A input -i eth1 -p tcp -s 0/0 -d 62.110.40.2 1024:65535 -j ACCEPT  -l
--------------------------------------
io volevo chiudere il + possibile o cmq evitare che connessioni venivano
iniziate da porte superiori alla 1024.. così invece è tutto aperto..

 iniziate da porte superiori alla 1024.. cosě invece č tutto aperto..
Ma scusa se hai messo come policy di input DENY tutto il resto rimane
chiuso.
Cmq io parlo relativamente a ipchains dove se usavo DENY su una chain
rimaneva tutto
chiuso quindi avrei dovuto inserire regole DENY una a una.Per questo
utilizzavo come ultimo comando(il primo da inserire  se usi I):
ipchains -I input -j DENY -l 
cosi tutto quello che non e stato consentito in precedenza viene
vietato.
Nel tuo caso potrtetsi provare con:
ipchains -I input -i eth1 -p tcp -d 62.110.40.2 1024:65535 -j DENY -l 
questa deve pero' essere l'ultima catena che viene considerata quindi la
prima a essere inserita con -I.
Ciao

 -A input -i eth1 -p tcp -s 0/0 -d 62.110.40.2 1024:65535 -j ACCEPT  -l
Direi dopo di tutto un bel -A input -j DENY -l.
Poi infila un bel -A input -y -j DENY -l cosi' blocchi i tentativi di
connessione non autorizzati.
Modifica l'ultima riga per accettare solo le risposte sulle porte alte con
il ! -y e togli il logging.
--
  	Giuseppe "Cowo" Corbelli  -->>  Riding on Linux-2.4.3-xfs
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
  -<! 3rd Law of Computing: Anything that can go wr
		fortune: Segmentation violation -- Core dumped !>-

 il ! -y e togli il logging.
metto:
-A input -y -j DENY -l
al posto di:
input DENY
e poi
-A input -i eth1 !-y -p tcp -s 0/0 -d 62.110.40.2 1024:65535 -j ACCEPT  -l
Cosě?

Forse sono stato poco chiaro:
ipchains -A input -i eth1 -p tcp -d 62.110.40.2 1024:65535 -j DENY -y -l
oppure:
ipchains -I input -i eth1 -p tcp -s 0/0 -d 62.110.40.2 1024:65535 -j
DENY -y -l
a sto punto la sorgetnte non fa differenza cmq...
per ultima usando -A.Si avevo dimenticato il syn impostato a 1 per
permettere al DNS di rispondere ai resolver, scusa :P
Non mettere il ! poiche' inverte il significato e lascia passare col syn
a 1.
Per quanto riguarda la -l lasciala se vuoi vedere chi tenta di
connettersi semplicemente
attraverso il log di sistema.P.e. tail -f /var/log/messages in una shell
e' un ottimo modo
di visualizzare cosa accade sul tuo sistema o se preferisci puoi usare
gli strumenti grafici di X... 
 Ciao,
  lo

iniziate da porte superiori alla 1024.. cosě invece č tutto aperto..
Aggiungi alla rule di cui sopra ! -y: in questo modo, il firewall rifiutera'
tutti i pacchetti con il solo flag SYN attivato, mentre lascera' passare gli
altri.
Il che, tradotto, significa che la tua macchina puo' iniziare connessioni
dalle porte effimere, ma non riceverle, che e' poi quel che volevi ottenere.
-- 
BlueRaven
Prima di parlare, ricorda:
mount -t auto /dev/brain /mnt/mouth

 Non serve  a nulla loggare  i pacchetti che  accetti.
beh, dipende, se io ho voglia di divertirmi con dei fake servers, voglio
comunque vedere quanti polli abboccano... ;-)))
-- 
Configura internet, junkbuster, fetchmail, procmail, leafnode, firewall,
dns, wwwoffle, postfix, mutt, slrn, kernel, ed altro, visitando il sito:
http://mrshark.sourceforge.net
 od 
http://mrshark.cjb.net
 e scaricando il
"Quick&Easy Configuration Howto". Cosenza LUG: IRC: 
irc.openprojects.net
canale #cslug - Mailing-list: 
http://www.linux.it/mailman/listinfo/cslug

comunque vedere quanti polli abboccano... ;-)))
OK, ma queste sono cose da BOFH! ;-)
