Newsgroup: it.comp.os.linux.sys
Titolo: iptables e lentezza internet

ciao a tutti,
sto usando un firewall/NAT con iptables e kernel 2.4.5, rispetto a prima
pero' (ipchains su kernel 2.4.0-4 Suse) mi sembra che la navigazione sia
molto piu' rallentata.......e' una mia impressione o e' effettivamente
cosi? ovvero che iptables e' molto piu' lento?
l'unico vantaggio attuale (e non e' poco) e' che riesco a farci
transitare FTP e VPN senza problemi, pero' mi sembra sempre di navigare
al rallenty.
ciao
luh
------------------------------------------------------------
togli  _NOSPAM_   per rispondere in privato
------------------------------------------------------------
PROMOZIONE ESTIVA HUMAX: SPEDIZIONE GRATUITA IN TUTTA ITALIA
http://www.derosaluciano.it
        Mirror: 
http://www.drl.it
Ricevitori Humax, Schede SAT Hauppage e CAM,  PC "su misura"
Assistenza e Consulenza su PC ed Accessori Forniture HW & SW
------------------------------------------------------------

  al rallenty.
Posta le regole del firewall, altrimenti come facciamo ad aiutarti?
Ciao, Andrea
-- 
Andrea Carosi, just another Debian user
Secure your linux box:
http://www.debian.org/doc/manuals/securing-debian-howto/

 Posta le regole del firewall, altrimenti come facciamo ad aiutarti?
sono lunghe 4 km e mezzo, visto che le genera in automatico gShield partendo da
un file generico di configurazione............
se proprio ci tieni potrei fare un "iptables -L" e postare l'output.......
comunque aldila' delle regole implementate sul mio sistema era una domanda di
carattere generale rivolta agli altri utilizzatori di iptables per avere la
loro impressione.


  loro impressione.
Questo utilizzatore di iptables ti dice che di rallentamenti non ne ha
visti (col suo script realizzato a mano)


 visti (col suo script realizzato a mano)
lo posti? :-)
comunque ho realizzato un'altro script liberamente tratto (scopiazzato alla grande) da
un bellissimo sito ibm che qualcuno ha postato l'altro giorno.... sembra funzionare, e
sembra anche un po' piu' veloce, oltre ad essere composto da 4 regolette messe in
croce.....
ciao
luh

  croce.....
Il sito era questo?:
http://www-106.ibm.com/developerworks/linux/
Se non ricordo male l'ho postato io, ma non vorrei sbagliarmi


 Se non ricordo male l'ho postato io, ma non vorrei sbagliarmi
si, proprio lui, facendo poi una ricerca con le chiavi che hai indicato.
apparentemente funziona tutto come prima e per il sito 
grc.com
 e' tutto in stealth, dovrei
pero' verificare se non c'e' qualche buco qua' e la'....... e sicuramente e' piu' veloce
in ogni caso e' sufficiente che mi pari la rete interna dai ragazzini di primo pelo che
giocano a fare gli hacker........
ciao
luh

  giocano a fare gli hacker........
Ah, per quello consiglierei l'opzione mirror >:E


 Ah, per quello consiglierei l'opzione mirror >:E
???????????????? me la spieghi che non l'ho capita?
ciao
luh

 ???????????????? me la spieghi che non l'ho capita?
mirror = specchio
specchio riflesso :P hai presente ?
-- 
*  Greetings From Johnny L  *
"No necesitamos pedir permiso 
 para ser libres (Marcos)"
   -- Think Different --

 specchio riflesso :P hai presente ?
ho meditato a lungo stanotte ed ho pensato che si poteva fare in modo di
far vedere all'esterno lo stesso pc che cerca di connettersi :-) ma non
fa un po' di casini per il lavoro normale? vabbe' che col conntrack e'
una passeggiata tenere in piedi le altre connessioni....
ma l'hacker non se ne accorge? qualche regoletta per implementarlo?
ciao
luh
------------------------------------------------------------
togli  _NOSPAM_   per rispondere in privato
------------------------------------------------------------
Ricevitori HUMAX, Schede SAT Hauppage e CAM,  PC "su misura"
http://www.derosaluciano.it
        Mirror: 
http://www.drl.it


  ???????????????? me la spieghi che non l'ho capita?
scrivi:
man iptables
/MIRROR


  qualche regoletta per implementarlo?
iptables -A INPUT -p tcp -i ippp0 -j MIRROR
iptables -A INPUT -p udp -i ippp0 -j MIRROR
Facendo un rapido scan su 
grc.com
 mi dice che ho le porte 25,80,110 e 
443 aperte, ma non ho server web, ne` pop server, facendo la scansione
di 207.71.92.221 (l'indirizzo da dove partono le scansioni) ho visto
che le sue porte aperte sono proprio quelle che indica a me


 Ah, per quello consiglierei l'opzione mirror >:E
Mmm....non e` che se qualche lameruccio si incazza, ti puo` compromettere 
la banda?
L'opzione mirror e` interessante, ma in fin dei conti ti raddoppia il 
numero dei pacchetti inutili (entrata + uscita).
IMHO la cosa migliore da fare e` droppare....e dormirci sopra, o sbaglio? :)
-- 
Bye bye by TheMaz

  IMHO la cosa migliore da fare e` droppare....e dormirci sopra, o sbaglio? :)
Non sbagli, io pero` metto reject (nmap non si fa` fregare da drop)


 inviato un tcp-reset, ovvero "a questo indirizzo non c'e` nessuno"
questo l'ho notato anche io, non e' che per caso proprio perche' fai un reject vuol
dire che, visto che qualcuno lo fa, allora qualcuno e' comunque connesso su quelle
porte?
almeno il DROP fa "perdere nel nulla" i pacchetti, a tutti gli effetti dovrebbe
essere come se all'indirizzo non ci fosse attaccato niente.
ciao
luh
------------------------------------------------------------
togli  _NOSPAM_   per rispondere in privato
------------------------------------------------------------
Ricevitori HUMAX, Schede SAT Hauppage e CAM,  PC "su misura"
http://www.derosaluciano.it
        Mirror: 
http://www.drl.it


 Non sbagli, io pero` metto reject (nmap non si fa` fregare da drop)
Appunto, come dicevo.
E` vero che un tcp-reset dovrebbe ingannare anche nmap, ma da quello che mi 
dici comincio ad avere dei dubbi.
Comunque l'importante e` che nessuno riesca a fare danni.
In conclusione, mi sa che devo studiarmi A FONDO tutte le opzioni e i flag 
di iptables....;)


  essere come se all'indirizzo non ci fosse attaccato niente.
No, nmap se ne accorge


  di iptables....;)
Pure io, ancora non riesco a trovare una regola di log che mi soddisfi
Ciao, Andrea (se vedi questo messaggio due volte fai finta di niente ;))



su comp.os.linux.security


 Non sbagli, io pero` metto reject (nmap non si fa` fregare da drop)
Reject indica inequivocabilmente che sei in ascolto. Le regole sopra
rendono difficile la vita anche a nmap :)
ciao
Kronos
-- 
Home: 
http://kronoz.cjb.net
Choose  Windows. Choose a  PC. Choose  a  fucking big  hard  disk and  a
Pentium III  to run Internet  Explorer and mIrc. Choose HTML  email, and
viruses... Melissa,  Wm.Concept,  ExploreZip.   Choose sitting  in  that
chair watching mind-numbing soulless  web pages, stuffing virus infected
plugins into  your browser. Choose porn, rotting  away at the end  of it
all,  pishing away  your  last on  a miserable  dialup,  staring at  fat
whores, nothing but an embarassment to the people who build the net.
No matter what you choose, you're still a luser.

  rendono difficile la vita anche a nmap :)
Ok, le provo ;)


 "icmp-host-unreachable", o sbaglio?
Sbagli  :)  Il router  non  puo`  sapere se  il  computer  e` in  linea.
L'host-unreachable serve a segnalere che l'host in questione si trova su
una  sottorete normalmente  raggiungibile  dal router  che  ha fatto  la
notifica, ma per qualche strano motivo  in quel momento non e` possibile
raggiungere l'host. E` una  questione di instradamento. Questo pacchetto
lo riceveresti anche se l'altro computer fosse attivo ma irraggiungibile
(ma non se fosse raggiungibile ed offline).
Per i dettagli c'e` la rfc792. Ecco un piccolo spezzone:
    If, according to the information in the gateway's routing tables,
    the network specified in the internet destination field of a
    datagram is unreachable, e.g., the distance to the network is
    infinity, the gateway may send a destination unreachable message
    to the internet source host of the datagram.  In addition, in some
    networks, the gateway may be able to determine if the internet
    destination host is unreachable.  Gateways in these networks may
    send destination unreachable messages to the source host when the
    destination host is unreachable.
ciao
Kronos
-- 
Home: 
http://kronoz.cjb.net
Non ho ancora capito se il mio cane e` maschio o femmina:
quando fa la pipi` si chiude in bagno

   
Questo non e` male...vorra` dire che cambiero` i DROP delle porte piu` 
usate dai lamerozzi con MIRROR.
Se non altro vedro` come si comporta.
Ora che ci penso...un REJECT --reject-with icmp-host-unreachable non funge?


 
Ottimo, lo cerco subito (o quasi, prima devo leggermi ancora 150 msg....).


 (ma non se fosse raggiungibile ed offline).
Ma nel caso si faccia uno scanning di un ip che non corrisponde a nessun 
host, come nel caso di un ip dinamico al momento non occupato, si riceve 
una risposta o no?
E in caso affermativo, da chi viene inviata?
Sempre in caso affermativo, poterla simulare con iptables sarebbe il 
massimo...


 una risposta o no?
No, non si riceve nessuna risposta....
Il router prima dell'ipotetico host manda una risposta ICMPUnreachable,
quindi teoricamente droppando il pacchetto dovresti ottenere lo stesso
risultato, ma fa' conto che l'ip e' i uso e assegnato.
Dovresti quindi non rispondere nemmeno al ping al router dell'isp per
simulare completamente la non-esistenza in rete...
Poi dipende dallo scanner che usano e da quanto ci capiscono di ste cose :P
--
--
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
GnuPG Fingerprint: F6D3 E002 C55A 0B58 7BD4  70CE A69B CCFC 741D 3099

      destination host is unreachable.
Vuoi sapere una cosa? prima di postare mi ero letto proprio quel
paragrafo, ed ero *convinto* che qualcuno una volta disse che se
si riceve quel pacchetto allora l'host non e` online, allora, mi
chiedo, come fa nmap a sapere che ad un dato indirizzo non c'e`
nessuno? A parte che:
[root@neptune:~]# nmap -v -sT -P0 192.168.1.4
Starting nmap V. 2.54BETA22 ( 
www.insecure.org/nmap/
 )
Host  (192.168.1.4) appears to be up ... good.
Initiating Connect() Scan against  (192.168.1.4)
[...]
...192.168.1.4 non esiste...
...E ho provato le tue regole, anche con quelle se passo -sF, -sX,
o -sN come opzioni mi da` "open", anche se faccio la scansione
specificatamente sulla 110, la 79 e la 23, dove, per inciso, non
c'e` niente in ascolto
Ciao, Andrea (che inizia a dubitare di nmap)


 Ciao, Andrea (che inizia a dubitare di nmap)
nmap  e` un  ottimo  tool. Solo  non bisogna  prendere  quello che  dice
come  La Verita`. Le  regolette di  cui  sopra, ad  esempio, riescono  a
confonderlo facendogli generare risultati totalmente sbagliati.
ciao
Kronos
-- 
Home: 
http://kronoz.cjb.net
It can't rain forever,
but you can die before seeing the sun again.

 ovvero far credere che a quell'ip non c'e` nessuno, o no?
Ni. Bisognerebbe   usare  SNAT   per  alterare   l'ip  di   provenienza.
L'icmp-host-unreachable viene inviato dal router per indicare che l'host
di destinazione e`  irraggiungibile. Se pero` l'IP di  provenienza e` lo
stesso dell'host bersaglio, il trucco e` svelato :)
Non ho fatto prove in questo senso, ma l'idea non e` male...
ciao
Kronos
-- 
Home: 
http://kronoz.cjb.net
Tentare e` il primo passo verso il fallimento.
Homer J. Simpson

 :P
Infatti era solo una mia masturbazione mentale, non sono una banca, quindi 
dubito che qualcuno in grado si dia la pena...:)



Gia`, forse un po' macchinosa e paranoica, ma non male...:)


 
sono l'unico cui iptables va in segfault non appena viene caricato il
modulo per il target MIRROR? Mi succede sia con il 2.4.6 che con il
2.4.7 (si, lo so` che e` uscito gia` il 2.4.9, ma ho anche partizioni NT
su questa macchina e di patch ufficiali che mi permettano di compilare
il supporto NTFS su 
kernel.org
 non le ho trovate, quindi aspetto il
2.4.10). In entrambi i casi il target MIRROR di netfilter/iptables e`
compilato come mudulo (M) del kernel.
-- 
Ciao,  |     Gott weiss ich will kein Engel sein
Matteo |                     -- Rammstein, Engel

 
Io ho messo direttamente nel kernel tutto quello che riguarda netfilter, 
per cui non so che dirti.
Prova a ricompilare in questo modo, anche se non vedo perche` il fatto che 
sia un modulo dovrebbe dare problemi.
Controlla anche di avere la versione piu` recente di iptables.


  confonderlo facendogli generare risultati totalmente sbagliati.
Ma se metto queste tre regole:
[policy di IMPUT a DROP]
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp -i ippp0 -j DROP
iptables -A INPUT -p udp -i ippp0 -j DROP
Non sono inplicite anche le regole che mi hai suggerito tu? (nel senso
che tutti i pacchetti che non fanno parte di una connessione iniziata da
me vengono scartati qualsiasi flag abbiano)
Ciao, Andrea


  Ora che ci penso...un REJECT --reject-with icmp-host-unreachable non funge?
Probabilmente si, oppure si puo` anche usare il SNAT come suggeriva
kronos, personalmente, ho messo tutto a REJECT e ho smesso di pensarci
su :)))
Ciao, Andrea


 su :)))
Credo anch'io che sia la soluzione migliore...
Pero` personalmente ho preferito mettere alcune porte (nuke vari, BO, 
netbus) in MIRROR, ed altre in REJECT con icmp-host-unreachable, giusto per 
il gusto di avere l'ultima parola....:)


 Non sono inplicite anche le regole che mi hai suggerito tu?
Penso di si`. Io preferisco scartarli subito (esplicitamente) in modo da
non aver problemi con le regole successive.
ciao
Kronos
-- 
Home: 
http://kronoz.cjb.net
Let me make your mind, leave yourself behind
Be not afraid