Newsgroup: it.comp.os.linux.sys
Titolo: problema con iptables

Salve,
ho da poco iniziato a guardare il firewall iptables incontrando subito dei
problemi.
La prova la faccio in casa su una rete di 2 pc: il firewall è sul pc con
linux con accesso a internet attraverso modem analogico e ovviamente
indirizzo ip dinamico assegnato dall'isp; poi c'è l'altro pc con windows xp.
Quindi il firewall in questione dovrebbe essere piuttosto semplice e anche
un pò grossolano (serve solo a bloccare accessi dall'esterno e ad utilizzare
la funzione nat).
Ecco di seguito il possibile script:
# abilito l'attraversamento dei pacchetti tra un'interfaccia e l'altra
echo 1 > /proc/sys/net/ipv4/ip_forward
# imposto la policy per i pacchetti in ingresso bloccando il traffico
iptables -P INPUT DROP
# imposto la policy per i pacchetti in transito tra le interfacce bloccando
il traffico
iptables -P FORWARD DROP
# imposto la policy per i pacchetti in uscita abilitando il traffico
iptables -P OUTPUT ACCEPT
# poi faccio in modo di accettare i pacchetti in entrata che appartengono ad
una connessione
# già esistente o che sono correlati a connessioni preesistenti
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# abilito il transito di pacchetti provenienti dalla rete interna (ad
esempio 192.168.1.*)
iptables -A FORWARD -s 
192.168.1.0/24
 -j ACCEPT
# abilito il transito di pacchetti che appartengono ad una connessione già
esistente o che sono
# correlati a connessioni preesistenti
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
# ora faccio in modo che i pc della rete interna possano navigare in
internet utilizzando la
# funzione nat per un modem condiviso con indirizzo ip dinamico assegnato
dal provider
iptables -t nat -A POSTROUTING -s 
192.168.1.0/24
 -o ppp0 -j MASQUERADE
# fine script
Dunque dal pc con linux, con il modem e dove è installato il firewall si va
tranquillamente in internet mentre dall'altro pc con windows xp non si
naviga (dopo aver assegnato come gateway l'indirizzo ip della scheda di rete
del pc con linux).
Inoltre non si pinga l'indirizzo ip della scheda di rete del pc con linux
(sia dallo stesso pc che dall'altro)
Qualcuno vede l'errore?
Grazie
Francesco

 (sia dallo stesso pc che dall'altro)
Questo è normale visto che la INPUt è a drop e non hai regole che
permettano l'accesso alla rete interna.
Prova ad aggiungere un 
iptables -A INPUT -i $interfaccia_interna -p icmp -j ACCEPT
e vedi se almeno si pinga, poi si va oltre...
Hola..
-- 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
The Skull says:
The old signature is gone...
Won't you suggest me a new one?!?

 ha scritto nel messaggio
news:pan.2003.11.12....@skullkrusher.net...


 Grazie l'aiuto.
Non pinga sè stesso chi? il fw?
ricorda di dare un
iptables -A INPUT -i lo -j ACCEPT
altrimenti succedono cose strane ^_^
A questo punto a cosa arrivi?
Prova, in ordine, a:
- pingare il gateway dal win sulla eth interna - pingare il gateway dal
win sulla ppp0 - pingare qualcosa fuori
- interrogare la tabella di routing del gateway per vedere se ci sono
tutte le entry del caso e non ci sono conflitti strani (vedi telecom e i
suoi maledetti 192.168.100.1)
Se i problemi persistono, prova ad aprire tutto sul gateway lasciando solo
la masquerade e vedere almeno così funziona tutto. Se così non è,
traceroute (o tracert), ti sarà utile per vedere fin dove arrivi.
Byez


 stesso!
Ma da pc linux riesci a pingare il pc winxp?
Un favore... usa un quoting piu' umano ;-)
---
Outgoing mail is certified Virus Free.
Checked by AVG anti-virus system (
http://www.grisoft.com
).
Version: 6.0.538 / Virus Database: 333 - Release Date: 10/11/2003

 suoi maledetti 192.168.100.1)
Scusa, non c'entra niente... ma ne sai qualcosa a proposito?
Sai che dalla mio ufficio oltre poterlo pingare riesco a fare telnet? ecco
il risultato:
                                Telecom Italia  S.p.A.
                             POP INTERBUSINESS
                               Pescara Centro 024-2
                                      NAS Adsl
                                   Cisco 6400R
                -------------------------------------------
                - Ogni accesso non autorizzato e' vietato -
                -      Unauthorized access is denied      -
                -------------------------------------------
User Access Verification
Username:
Qundi e' l'ip del NAS che fa l'autenticazione... ma perchè riesco a vederlo?
Cosa succede se mi vien voglia di fare una rete 192.168.100.x ?
Bohhh, ciao e scusa l'OT.


 Cosa succede se mi vien voglia di fare una rete 192.168.100.x ?
che inizi a bestemmiare in aramaico e a sfanculare telecom e le sue idee
geniali.
dall'altra parte vedi fastweb, e pensi che dopotutto a te va anche bene...


 Qualcuno vede l'errore?
A parte l'opportuno consiglio di skull di mettere nello script anche:
/sbin/iptables -A INPUT -i lo -s localhost -j ACCEPT
Ti conviene, anzi, _DEVI_ mettere in testa allo script il flush che pulisce
tutto prima di applicare le nuove regole a seguito dell'esecuzione dello script.
Prova, senza questo, dopo aver lanciato diverse volte lo script in oggetto a
seguito di varie modifiche, a digitare "iptables-save" per vedere lo stato
attuale delle chain, e osserva il casino che si e' creato nel frattempo...
;-)
# Initializating chains and policies
/sbin/iptables -X
/sbin/iptables -F
/sbin/iptables -t nat -F
/sbin/iptables -t mangle -F
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT ACCEPT
bye G.L.

 
Il problema è che tu filtri tutti i pacchetti indipendentemente
dall'interfaccia, mentre devi trattare diversamente i pacchetti che
provengono da internet e quelli che provengono dalla macchina XP (cioè
dagli host della LAN).
Una soluzione pertanto può essere applicare le regole solo all'interfaccia
di rete che si affaccia su internet (aggiungi -i ppp0 alle regole)
Marcello
-- 
"Linux is built to be used, Windows is built to be sold" (seen in COLAdv)
Visit 
http://www.geocities.com/match_97
marcello (dot) romani (at) libero (dot) it

 di rete che si affaccia su internet (aggiungi -i ppp0 alle regole)
E magari in tal modo non funzia piu' niente... Ad esempio:
iptables -A FORWARD -i ppp0 -s 
192.168.1.0/24
 -j ACCEPT
bye G.L.

 problemi.
Non multipostare, e' una cosa *fastidiosissima*.
-- 
Sono un servitore del Fuoco Segreto, e reggo la fiamma di Anor.
A nulla ti servira' il fuoco oscuro, fiamma di Udun.
Torna nell'Ombra! Non puoi passare.

 
M.


 Grazie per la correzione.
Se non ricordo male, e' infatti ipchains che lavora in questo modo. netfilter+iptables
lavora in modo abbastanza diverso.
bye G.L.

 Non multipostare, e' una cosa *fastidiosissima*.
Peggio del cross-post senza f/up :)


 
http://www.donlinke.com/drakula/vlad.htm#Atrocities
ma ROTFL!!!! ^__^
