Newsgroup: it.comp.os.linux.sys
Titolo: Firewall semplice con supporto ai sets

Buongiorno,
 
devo gestire delle regole di firewalling in modo semplice ed indolore
su una RHEL5, che sostanzialmente fa poco altro.
 
Sto sperimentando Shorewall con profitto in ambiente di test. La
configurazione di base l'ho scritta abbastanza agevolmente (cosa che
non avrei saputo fare in così poco tempo con iptables). Tuttavia ora
mi ritrovo a dover scrivere delle regole per gruppi di hosts/subnets
(sia come SRC che DST).
 
Da quanto ho capito dovrei usare il supporto ad ipset, ma per una
RHEL5 il supporto non c'è ancora.
 
Devo scriptare per forze o avete altre soluzioni da consigliarmi?
 
P.S. Fino ad oggi in casi simili usavo Astaro, che da questo punto di
vista è veramente comodo.

 Devo scriptare per forze o avete altre soluzioni da consigliarmi?
 
Se non ci sono implicazioni di tipo prestazionale o di dinamicità delle
rules, puoi anche semplicemente definire una variabile in
/etc/shorewall/params e richiamarla in rules.
 
P.es.
# /etc/shorewall/params
DSTBLOCK=1.1.1.1,2.2.2.2,
3.3.3.3/24
 
SRCACQ=192.168.1.1,192.168.1.10,192.168.18
 
#/etc/shorewall/rules
Web(ACCEPT)	lan:$SRCACQ	inet:$INBANK
Web(REJECT)	lan		inet:$DSTBLOCK
 
 
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left

Guarda se Vuurmuur fa al caso tuo, è un frontend semplice su ncurses per iptables che si amministra via SSH:
http://www.vuurmuur.org
 
 
-- 
Tobe

 Web(REJECT)     lan             inet:$DSTBLOCK
 
Eureka! Grazie mille, mi era sfuggita in toto questa parte. Cita:
 
"Because the /etc/shorewall/params file is simply sourced into the
shell, you can place arbitrary shell code in the file and it will be
executed each time that the file is read"
 

 Guarda se Vuurmuur fa al caso tuo, è un frontend semplice su ncurses per iptables che si amministra via SSH:
http://www.vuurmuur.org
 
 
 
Grazie anche a te, l'avevo visto di sfuggita ma non ho approfondito,
per il momento vado di shorewall.

A beneficio del gruppo, ho fatto qualche prova stamane con i parametri
e tutto funge alla grande:
 
/etc/shorewall/params
 
ACCEPTED_DESTINATION=192.168.204.30,192.168.204.33
ACCEPTED_SOURCE=192.168.202.20,192.168.202.21,192.168.202.22
ACCEPTED_PORTS=80,443
 
 
/etc/shorewall/masq
 
eth3			$ACCEPTED_SOURCE -		tcp	$ACCEPTED_PORTS	-	-	-	-
$ACCEPTED_DESTINATION
 
 
iptables -L -nv -t nat
 
Chain eth3_masq (1 references)
 pkts bytes target     prot opt in     out     source
destination
    1    60 MASQUERADE  tcp  --  *      *       192.168.202.20
0.0.0.0/0
           ctorigdst 192.168.204.30 multiport dports 80,443
    0     0 MASQUERADE  tcp  --  *      *       192.168.202.21
0.0.0.0/0
           ctorigdst 192.168.204.30 multiport dports 80,443
    0     0 MASQUERADE  tcp  --  *      *       192.168.202.22
0.0.0.0/0
           ctorigdst 192.168.204.30 multiport dports 80,443
    0     0 MASQUERADE  tcp  --  *      *       192.168.202.20
0.0.0.0/0
           ctorigdst 192.168.204.33 multiport dports 80,443
    0     0 MASQUERADE  tcp  --  *      *       192.168.202.21
0.0.0.0/0
           ctorigdst 192.168.204.33 multiport dports 80,443
    0     0 MASQUERADE  tcp  --  *      *       192.168.202.22
0.0.0.0/0
           ctorigdst 192.168.204.33 multiport dports 80,443

 Devo scriptare per forze o avete altre soluzioni da consigliarmi?
 
Se non ti piacciono gli script:
fwbuilder
Io lo uso su un paio di macchine e funziona. Di carino ha che puoi 
programmare sul tuo pc e trasferire alla macchina remota con un click, ti 
permette di rebootare la macchina dopo x minuti se fai casino, salva la 
configurazione anche nella macchina remota e gira dappertutto.
 
Nicola.
 
-- 
chi va pian va san e va lontan