Newsgroup: it.comp.os.linux.sys
Titolo: Domanda su iptables

Ciao a tutti!
Ordunque, alla fine il mio nuovo PC funziona alla perfezione.
Il Modem DSL e' stato collegato e tutta la rete naviga tramite lui.
Con iptables ho fatto un mini Firewall ad hoc e, da un nmap, vedo che e'
decisamente chiuso.
Bene!
Ora il problemino... Sull'altro PC (il vecchio) usavo ipchains e mi ero
creato alcune regole di OUTPUT (che lasciavano passare tutto) in modo da
poter fare una statistica giornaliera dei Bytes transitati sulle varie
porte.
La stessa cosa ho fatto con iptables (i parametri son proprio gli stessi).
Il problema e' che prima, con ipchains, venivano conteggiati i Bytes che
uscivano dall'interfaccia ppp0, indipendentemente da chi li aveva generati
(il PC locale o un altro della rete).
Adesso iptables conteggia solo il traffico generato dal PC stesso...
Come posso fare per dirgli di monitorare TUTTO il traffico, suddiviso per
le varie porte?
Come regole di Forward ho semplicemente questo:
/sbin/iptables -t nat -A POSTROUTING -d ! 
192.168.1.0/24
 -j MASQUERADE
/sbin/iptables -A FORWARD -s 
192.168.1.0/24
 -j ACCEPT
/sbin/iptables -A FORWARD -d 
192.168.1.0/24
 -j ACCEPT
Come regole di output ho le seguenti:
# Traffico su SSH
/sbin/iptables -A OUTPUT -o ppp0 -p tcp --destination-port 22 -j ACCEPT
# Traffico su Telnet
/sbin/iptables -A OUTPUT -o ppp0 -p tcp --destination-port 23 -j ACCEPT
# Traffico su SMTP
/sbin/iptables -A OUTPUT -o ppp0 -p tcp --destination-port 25 -j ACCEPT
# Traffico su HTTP
/sbin/iptables -A OUTPUT -o ppp0 -p tcp --destination-port 80 -j ACCEPT
# Traffico su HTTPS
/sbin/iptables -A OUTPUT -o ppp0 -p tcp --destination-port 443 -j ACCEPT
# Traffico su POP3
/sbin/iptables -A OUTPUT -o ppp0 -p tcp --destination-port 110 -j ACCEPT
# Traffico su ICQ
/sbin/iptables -A OUTPUT -o ppp0 -p tcp --destination-port 5190 -j ACCEPT
Cosa sbaglio?
Grazie a tutti!
Luca Bertoncello
(
luca...@lucabert.de
)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 Cosa sbaglio?
Con iptables la table OUTPUT della chain FILTER serve *solo* per il 
traffico in output generato *localmente* dalla macchina.
Devi usare la table FORWARD, non la OUTPUT.
-- 
Ciao da Villo  -  GPG public key available
                   Ferrara LUG 
http://ferrara.linux.it
		  Revome "+nospam" for email replies

Luca Bertoncello ha scritto:

beh, se ho capito cosa vuoi, io "trasporterei" le regole di output su
quelle di forward, settando la policy di forward a drop:
/sbin/iptables -A FORWARD -s 
192.168.1.0/24
 -o ppp0 -p tcp -m multiport
--dports 80,443,20,21,110,25,53,119,37 -j ACCEPT
ciao
LEO

 Devi usare la table FORWARD, non la OUTPUT.
Ah! Quindi devo riscrivere le stesse regole anche per la table FORWARD?
OK, ma in questo caso, devo poi prendere la somma di quelle due regole,
giusto?
Maledizione, la cosa si fa un po' complicata... Mi sa che per il mio caso
(di log casalingo!) non ne vale la pena...
Ancora una domanda: cosa succederebbe se io mettessi le regole di output
non sull'interfaccia ppp0, ma su eth1 (la scheda che e' collegata
direttamente al modem DSL)?
La stessa cosa?
Ciao


 La stessa cosa?
Si.


 Concettualmente fa le stesse cose, ma le fa lui e non tu... ;-)
Carino!
Hai per caso da qualche parte uno Screenshot? Nella home page non c'e'
niente...
Magari, se hai anche un piccolo esempio di configurazione, non ci sputerei
sopra... =:))))
Grazie


 niente...
No, l'abbiamo tolto da parecchio...


 No, l'abbiamo tolto da parecchio...
E gia' questo mi fa dubitare...
Perche' me lo consigli se poi mi dici di non usarlo piu' da tempo? =:)))
Con cosa l'avete sostituito? E, sopratutto, PERCHE' l'avete sostituito?
Ciao


 E, sopratutto, PERCHE' l'avete sostituito?
Perché abbiamo *parecchi* server.


 Perché abbiamo *parecchi* server.
Capisco... Anche qui da noi in ufficio usiamo SNMP per tenere traccia di
tutto...
Ma non e' la stessa situzione che ho a casa... =:)))


 Si, ma funziona?
Si, funziona bene.
Ti consiglio di dargli una occhiata.
