Newsgroup: it.comp.os.linux.sys
Titolo: Firewalling

 aperto solo il DNS.
Puo' darsi anche che sbagli (e' tardi, sono stanco e quindi non ragiono
molto bene a quest'ora) ma come fai per es. a stabilire una connessione
FTP se chiudi le porte 1023: ?
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

a qualche servizio su un a macchina remota.
Dissento: in caso di TCP e' _molto_ utile bloccare tutti i tentativi di
connessione a porte > 1024 a meno di particolari esigenze. Anzi, a tutte le
porte, meno quelle verso cui girano servizi aperti all'ext. Per l'UDP lascia
aperto solo il DNS.
PS: tempo addietro avevo chiesto chi voleva un firewall + proxy trasp
(IPChains + squid) completo di documentazione esaustiva ~ 70 pag (progettino
universitario). Qualcuno mi aveva risposto ma figuriamoci se mi ricordo chi.
Per chi lo desiderasse mi mandi una mail.
--
  	Giuseppe "Cowo" Corbelli  -->>  Riding on Linux-2.2.18
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
  -<! Heavy Metal Or No Metal At All! Whimps And Posers Leave The Hall !>-
 	 			Manowar - Metal Warriors

 puo' pregiudicare la sicurezza di un sistema..??
No problemi non dovrebbero essercene, anche perche' lasciare aperte
le porte >1024 serve a te nel momento in cui cerchi di connetterti
a qualche servizio su un a macchina remota.
L'importante e' che tu specifichi attentamente cosa entra e cosa esce
con le tue regole da e verso quelle porte.
-- 
|Pierluigi De Rosa (
tho...@durin.khazad-dum.net
)|
|     E' nato il Cosenza Linux User Group	|
|   mail -s help 
cslug-...@lists.linux.it
	|
|      IRC: #cslug - 
irc.openprojects.net
	|

Una domandina....ma se lascio aperte tutte le porte sopra la 1024 e non 
vi sono alcuni servizi attivi (beh .. uno c'e...squid sulla 8080) questo 
puo' pregiudicare la sicurezza di un sistema..??
Ve lo chiedo giusto a titolo informativo visto che sto cercando si 
imparare....
Grazie!

FTP se chiudi le porte 1023: ?
FTP passivo, usa solo 20 e 21.
--
        Giuseppe "Cowo" Corbelli  -->>  Riding on Linux-2.2.18
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
	  -<! Computer programmers never die, 
		they just raise an unhandled exception. !>-

 FTP passivo, usa solo 20 e 21.
Sul server.. ed il client? Mica quello usa 20 e 21...


 FTP se chiudi le porte 1023: ?
Penso che lui intendesse di bloccare i i pacchetti con flag syn settato...
Io faccio così e non ho alcun problema a patto di usare il passive mode.
Insomma con la tecnica dei syn ho avuto problemi solo con ICQ (devono 
mandarmi i mex via server) e con le DCC di IRC 

con le tue regole da e verso quelle porte.
uhm... un problemino.
Ho un bel  firewall che mi filtra le connessioni  indesiderate, ma ho un
problema: la porta privilegiata di ssh.
[gherdo@goliath gherdo]$ ssh seven
Da netstat:
tcp      0    1 goliath:811       seven:ssh   SYN_SENT
Per  come  la vedo,  provo  a  collegarmi  al server  remoto  seven:ssh,
partendo dalla mia porta goliath:811. Ora, seven, ha bisogno di arrivare
alla mia 811, ma si trova la porta chiusa dal firewall, infatti:
Mar 17 18:03:14 goliath kernel: Packet log: input DENY eth0 PROTO=6
192.168.1.2:22
 
192.168.1.1:750
 L=60 S=0x00 I=134 F=0x4000 T=64 (#35)
Posto che io non credo di poter  indovinare a priori la porta scelta dal
client ssh, immagino di aver cannato qualche rule di ipchains...
Avete altri pareri?
-- 
   GHERdO, happy GNU/linux user
"... e sempre allegri bisogna stare,
	che il nostro piangere fa male al RE!"


192.168.1.2:22
 
192.168.1.1:750
 L=60 S=0x00 I=134 F=0x4000 T=64 (#35)
                            ^^^
Si`, insomma, si capisce, dai :)


 Avete altri pareri?
si man ssh !!!!
ssh si puo' lanciare da una porta non privilegiata (mi pare con l'opzione 
-P)

 mandarmi i mex via server) e con le DCC di IRC 
Ah, ho capito..


 tcp      0    1 goliath:811       seven:ssh   SYN_SENT
La butto cosi': e mettere una regola che semplicemente dice di accettare
le connessioni ssh senza specificare una porta?


client ssh, immagino di aver cannato qualche rule di ipchains...
Come procedura std il client crea un socket su una porta casuale over 1k.
La discriminazione che puoi fare e' sostanzialmente:
1) Bloccare i tentativi di connessione (SYN) su tutte le porte ove non gira
un servizio che vuoi fornire lasciando passare i restanti pkt che sono
verosimilmente delle risposte -> (TCP only)
ipchains -p 6 (o 17? boh) -A input -s 0/0 1024: -d mioip servizio -j accept
ipchains -p 6    ``       -A input -s 0/0 -d mioip -y -l -j DENY
2) Se conosci tutti i servizi che vengono usati dagli utenti puoi
discriminare tutti i pkt in base alla porta di provenienza. Es. se
provengono da una 80 e sono dst sulla tua macchina a una > 1024 passando
dall'interfaccia verso la rete ext allora falli passare.
--
  	Giuseppe "Cowo" Corbelli  -->>  Riding on Linux-2.2.18
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
  -<! Adding features does not necessarily increase functionality -- it just
		makes the manuals thicker. !>-

Sul server.. ed il client? Mica quello usa 20 e 21...
Esattamente come dice il tizio che si chiama =~ superbeps.
Mi sono dimenticato di scriverlo :-P
--
  	Giuseppe "Cowo" Corbelli  -->>  Riding on Linux-2.2.18
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**


 -P)
Basta anche privare del bit 's' il programma ssh ( chmod -s /usr/bin/ssh ). 
La debian chiede infatti se lo si vuole installare suid o meno ...