Newsgroup: it.comp.os.linux.sys
Titolo: iptables

Ciao a tutti,
Ho provato ad utilizzare il tool sui livelli di sicurezza di REDHAT, il
quale in realtà non fa altro che creare una chain in IPTABLES. Nonostante
avessi chiesto di chiudere tutto tranno la porta 80, facendo una scansione
vengono mostrate prennemente aperte le porte 25 e 110.
Provando a telnettarle pero' sembrano non funzionare.
Come mai le mostra tra le porte aperte, mentre le altre no?
Ho provato anche a negarle espressamente , mqa niente da fare.
Il problema è fittizio, nel senso che l'importante è che non siano
accessibili, ma certo un cliente non ne sarebbe molto contento.
Grazie a tutti

 accessibili, ma certo un cliente non ne sarebbe molto contento.
ti suggerisco di provare a smanettare con iptables, senza l'aiuto di tools
grafici o ad interfaccia a caratteri. per chiudere tutto e lasciare la
porta 80 aperta bastano pochissime righe.
ciao!
-- 
signature: No such file or directory

 porta 80 aperta bastano pochissime righe.
Impostando a drop la policy ed abilitando la porta, in realtà ne basta solo
una =)
--------------------------------
Inviato via 
http://usenet.libero.it

 
hmmm... così svariate cose iniziano a saltare...

 una =)
beh, in realta' le righe sono 7 (spazi esclusi) :)
iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
ciao


 Provando a telnettarle pero' sembrano non funzionare.
Non è che invece sono semplicemente in "listening" ma sono chiuse
dall'esterno?

 iptables -A INPUT -p tcp --dport 80 -j ACCEPT
manca la rule su lo... :-/
e le cose iniziano a saltare ;-)

 e le cose iniziano a saltare ;-)
beh, con lo spazio risparmiato all'inizio si puo' aggiungere la regola su
lo :)


 le mostra tra le porte aperte, mentre le altre no?
Cortesemente, mi definisci "facendo una scansione"?
Da dove, a dove e con che tool. Perche` un:
nmap -sT ip_target produce un risultato, nmap -sT 127.0.0.1 (o analogo,
localhost, nome_questa_macchina) ne produce un altro.
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
"I didn't know it was impossible when I did it."

 iptables -P FORWARD DROP
Se la macchina non ce l'hai nella stanza accanto bensì in server farm
(magari a 300 Km di distanza) impostare a DROP la policy di default è
pericolosissimo, prima o poi te lo dimentichi, per azzerare le regole digiti
un bel
	iptables -F
e ti freghi, ti tocca chiamare in server farm per un intervento in locale,
visto che il -F cancella tutte le regole ma non tocca la policy di default.
Molto meglio lasciare la policy ad ACCEPT, definire delle regole di ACCEPT
per i servizi che servono e finire con un
	iptables -A catenachevuoi -j DROP
Fidati, è una delle prime trappole nelle quali sono caduto.
-- 
Ciao da Villo    -    GPG public key available
                      Ferrara LUG 
http://ferrara.linux.it
		      Revome "+nospam" for email replies
Protect your Freedom: 
http://www.againsttcpa.com/index.shtml

 Fidati, è una delle prime trappole nelle quali sono caduto.
su questo non c'e' dubbio. tant'e' che sulle mie macchine le policy sono
impostate su ACCEPT, droppo tutto alla fine, come hai detto tu. stavo solo
consigliando il metodo piu' veloce per lasciare aperta solo la porta 80,
il fine tuning rimane come compito a casa :)
comunque la situazione piu' divertente (si fa per dire) mi e' capitata
quando ho letto male il pid di un processo da killare ed ho killato sshd
:)


 per i servizi che servono e finire con un
IMHO è preferibile definire una politica a mo' di scatola nera e valutare
successivamente cosa concedere... insomma un po come dire: 
dimenticare cosa _concedere_ è meglio di dimenticare cosa _negare_ ... sorry
per l'intreccio :o)   
Ciao clust
 

 :)
Il padre?


 per l'intreccio :o)   
Scusa, qual è la differenza?
Nessuna.
Se tu, partendo da una situazione vuota, dai in sequenza
	iptables -A INPUT -s 127.0.0.1 -j ACCEPT
	iptables -A INPUT -j REJECT
fai *esattamente* quello che descrivi: apri tutto per le connessioni
provenienti da loopback e neghi tutto il resto.
Se poi decidi di aprire all'esterno anche www e ssh, basta dare
	iptables -I INPUT -p tcp --dport 80 -j ACCEPT
	iptables -I INPUT -p tcp --dport 22 -j ACCEPT
per continuare a sequire la stessa politica: di default la macchina sega
tutto, tranne quello che è indicato esplicitamente.
IMHO (e lo ripeto, IMHO, grande come una casa!!!) mettere la policy di
default a DROP è troppo pericoloso se non hai la macchina nell'ufficio di
fianco.
Idem se si usano script proprietari, bastano ed avanzano quelli standard
delle varie distribuzioni.


 standard delle varie distribuzioni.
Oddio, mi inserisco solo per dire che:
- uso le policy a DROP da sempre e non mi è mai capitato quello che dici
(poi, si sa, c'è sempre una prima volta...): basta sapere cosa fai
prima di farlo...
- gli script me li faccio perchè quello che ti piazzano le distro sono
buoni solo lisci: se devi inserire qualche ciclo qui e lì per usare
files di conf. esterni (liste di ip da abilitare) o roba del genere,
già hai esaurito la loro utilità...
Byez...
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)

 delle varie distribuzioni.
1 firewall + LAN 5 CLIENT != 1 firewall + LAN 50 CLIENT
e
1 firewall + LAN 50 CLIENT != 1 firewall + LAN 500 CLIENT + DMZ + cazzi e
mazzi
Solamente per dire che forse questo discorso non è proprio opportuno se
iniziamo a ridisegnare le dimensioni della rete che devi gestire.
Probabilmente il parere di chi gestisce grosse reti (non il mio caso) è
piu' attendibile. Per il momento a te l'ardua sentenzia :)
Ciao a presto.

 Il padre?
si... situazione del tipo che ho preso un taxi precipitandomi al ISP per
riavviare il servizio.


 riavviare il servizio.
Ma se killi il padre la tua sessione dovrebbe rimanere su, basta riavviare
sshd. TTra l'altro è la prassi che seguo per gli upgrade...


 iniziamo a ridisegnare le dimensioni della rete che devi gestire.
In server farm abbiamo una /26, in sede abbiamo 4 lan con una cinquantina di
macchine l'una (in media), più la DMZ fra i due firewall con un'altra decina
di macchine.
Se te lo stai domandando, si: ho iniziato a guardare ad LDAP.


 
A meno che non abbia fatto un killall sshd !!!
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Il paese da dove veniva non era un paese di geni.
	Loro lo chiamavano computer umano perchè sapeva contare fino a 20.
	Nudo fino a 21

 A meno che non abbia fatto un killall sshd !!!
appunto. io feci killall `pidof numerosbagliato` :)


 abbiamo alcun firewall e questi aspetti li gestiamo a livello server.
Infatti la mia era solo un riflessione... ;)
Ciao e a presto !

 Infatti la mia era solo un riflessione... ;)
Anche le mie.
Siccome sia io che tutti i miei colleghi siamo stati scottati, ora procediamo
così.
-- 
Luca Villani                Wireless Solutions S.p.A.
NOC Manager                 Europe HQ: via Castiglione 25, 40124 Bologna Italy
http://www.wseurope.com
     Tel: 
+39 051 2966826
     Fax: 
+39 051 2966800
GPG public key available    Mobile: 
+39 348 5298542
  UIN: 76272621