Newsgroup: it.comp.os.linux.sys
Titolo: Straordinaria lentezza di ipchains

Sto installando un piccolo firewall su un 486 su cui gireranno alla fine
ipchains, ssh, rinetd. Non mi sembra un carico che ammazza un pc
vecchiotto. Inoltre guardando in console l'output di top la cpu non
viene sottoposta a lavori incredibili.
Sono riuscito a far andare il forwarding e vorrei impedire che la gente
dall'esterno ossa entrare nel computer.
root@micro:~# ipchains --list
Chain input (policy REJECT):
target     prot opt     source                destination          
ports
ACCEPT     all  ------  localnet/24          anywhere              n/a
Chain forward (policy REJECT):
target     prot opt     source                destination          
ports
MASQ       all  ------  localnet/24          anywhere              n/a
Chain output (policy ACCEPT):
root@micro:~# ipchains-save
:input REJECT
:forward REJECT
:output ACCEPT
Saving `input'.
-A input -s 
192.168.0.0/255.255.255.0
 -d 
0.0.0.0/0.0.0.0
 -i eth0 -j
ACCEPT
Saving `forward'.
-A forward -s 
192.168.0.0/255.255.255.0
 -d 
0.0.0.0/0.0.0.0
 -j MASQ
root@micro:~#
Il problema è che da quando ho messo la policy di input a REJECT e poi
ho aggiunto ad essa la riga per far accettare i pacchetti della rete ho
avuto un drastico calo della velocità di risposta del pc. Prima nel giro
massimo di un secondo rispondeva quando cercavo di entrare in ssh mentre
adesso ci vogliono oltre 10 secondi. Addirittura facendo ipchains --list
mi si blocca per un po' quando mi deve scrivere a video le regole di
input e di forward, mentre quando c'era solo la riga di forward era
immediato.
Da cosa può dipendere?
-- 
Non c'è più forza nella normalità, c'è solo monotonia.

input e di forward
E se fai, poniamo, ipchains --list -n, cambia qualcosa? <grin>
Leonardo maieutico
".signature": bad command or file name

 non mi sembra che cambi qualcosa: destination risulta sempre anywhere.
e che problemi ci sono? Il tuo pc e' l'unico pc della LAN ad avere un
indirizzo IP pubblico; gli altri sono mascherati, quindi
irraggiungibili.
ciao
Buttha
-- 
* Per rispondere in email rimuovere la prima i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Ho fatto l'amore con Control...  domani provo con Shift.

posso specificare come destinazione solo ed esclusivamente il mio pc?
Qualcosa stile
MYIP=`/sbin/ifconfig ppp0 | grep inet | cut -d : -f 2 | cut -d \  -f 1`
ipchains -A input -s 
0.0.0.0/0.0.0.0
 -d $MYIP 22:22 -i ppp0 -p 6 -j ACCEPT
-- 
                                                                  __
 __                                                          __  ///
| _          Computer Science, Swiss Federal Institute       \\\///
|__|iambo    of Technology - mailto:
ggia...@iiic.ethz.ch
     \X//

 E se fai, poniamo, ipchains --list -n, cambia qualcosa? <grin>
il dns! devo ancora metterlo su! vuoi vedere che è per quello?


 il dns! devo ancora metterlo su! vuoi vedere che è per quello?
Brao'... non per niente quello switch indica di visualizzare per IP e
non per hostname <G>
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 non per hostname <G>
ho messo su bind e tutto gira :)
strano che non prendesse gli ip da /etc/hosts.....
Senti, ti faccio un'altra domanda:
per far in modo che sia possibilie accedere da internet al mio pc
attraverso ssh ho pensato questa regola:
ipchains -A input -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 22:22 -i ppp0 -p
6 -j ACCEPT
Tenendo presente che sono in dialup e che non ho un ip statico come
posso specificare come destinazione solo ed esclusivamente il mio pc?
Per ora ho questo anywhere ma non penso sia il massimo. Se metto
127.0.0.1/8
 pensi che funzioni?


 6 -j ACCEPT
Semplice, allo stesso modo che uso io:
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
LOCALIF="eth0"
# ------------------------------------------------------- Variable definition -
#
# Set the location of $IPCHAINS.
IPCHAINS="/sbin/ipchains"
LOCALIP=`ifconfig $LOCALIF | grep inet | cut -d : -f 2 | cut -d \  -f 1`
LOCALMASK=`ifconfig $LOCALIF | grep Mask | cut -d : -f 4`
LOCALNET="$LOCALIP/$LOCALMASK"
echo "IP: $LOCALNET"
REMOTENET="
0.0.0.0/0
"
[..]
e poi per es. per dare accesso al DNS uso:
#
# DNS (53)
#
        echo -n "setting up DNS..."
        $IPCHAINS -A input -p TCP -s $REMOTENET -d $LOCALNET 53 -j ACCEPT
        $IPCHAINS -A input -p UDP -s $REMOTENET -d $LOCALNET 53 -j ACCEPT
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-



127.0.0.1/8
 pensi che funzioni?
io ho cosi':
$IPCHAINS -A input -p tcp ! -y -s $ANYWHERE 22 -d $LOCALIP \
    $UNPRIVPORTS -j ACCEPT
$IPCHAINS -A input -p tcp ! -y -s $ANYWHERE 22 -d $LOCALIP \
    $SSH_PORTS -j ACCEPT
dove:
UNPRIVPORTS="1024:65535"
# SSH incomincia dalla porta 1023 e va a scalare fino alla 513
SSH_PORTS="1022:1023"
(io cosi' ho trovato, se ci sono errori, ditemelo, please!)
 
ma e' per accedere DAL mio pc AL server di sourceforge
-- 
Vuoi configurare velocemente internet, postfix, fetchmail, procmail,
leafnode, firewall, dns, wwwoffle,  junkbuster, mutt, slrn ed altro?
Visita 
http://mrshark.sourceforge.net
 oppure  
http://mrshark.cjb.net
e scarica il "Quick&Easy Configuration Howto",  piu' i files citati.

 6 -j ACCEPT
semplicemente non specificando l'IP:
ipchains -A input --destination-port 22 -i ppp0 -p 6 -j ACCEPT
ciao
Buttha
-- 
* Per rispondere in email rimuovere la prima i dall'indirizzo
* 
http://members.xoom.it/buttha/
* L'universita' americana di Berkeley ha prodotto due importanti
  invenzioni: l'LSD e Unix. Credo non sia una coincidenza.
  (Jeremy S. Anderson)

 ipchains -A input --destination-port 22 -i ppp0 -p 6 -j ACCEPT
non mi sembra che cambi qualcosa: destination risulta sempre anywhere.
-- 


 ipchains -A input -s 
0.0.0.0/0.0.0.0
 -d $MYIP 22:22 -i ppp0 -p 6 -j ACCEPT
stavo per dire "non ci posso credere, poi mi è venuta in mente una cosa:
ogni volta che mi connetto cambia l'ip e dovrei aggiornare il firewall.
Va bene dai, si può fare. :)
evviva /etc/ppp/ip-up.d (:


attraverso ssh ho pensato questa regola:
Non mettere nessuna regola. Che tte frega? E' SSH :-)
Casomai vai giu' duro dentro /etc/sshd_config.
Leonardo
