Newsgroup: it.comp.os.linux.sys
Titolo: IPCHAINS

salve a tutti, sto cercando di colmare le mie lacune in fatto di
firewall :) e vorrei chiedervi se secondo voi questo scriptino
(che viene avviato da ip-up ad ogni connessione ppp) va bene.
Ho un po' di dubbi, ad esempio su quando conviene usare DENY e
quando REJECT, oppure se sia corretto accettare tutto nella output
chain.
Configurazione: collegamento a internet in dialup via ppp, nessuna
restrizione richiesta per il traffico in uscita, traffico in entrata
da internet solo verso ftp e ssh (e fakebo :)), rete interna su eth0
(ma le macchine sulla lan non devono accedere a internet, niente
masquerading).
Ecco la mia creatura... sara' un aborto?
#!/bin/sh
IPCHAINS="/sbin/ipchains"
LOCALIP=$4
### Flush everything, start from scratch ########
$IPCHAINS -F
$IPCHAINS -X
### FORWARD chain ###############################
# default forward policy
$IPCHAINS -P forward DENY
### OUTPUT chain ################################
# default output policy
$IPCHAINS -P output ACCEPT
### INPUT chain #################################
# default input policy 
$IPCHAINS -P input REJECT
# accetta tutto il traffico dalla rete locale
$IPCHAINS -A input -i eth0 -j ACCEPT
$IPCHAINS -A input -i lo -j ACCEPT
# filtra il traffico in entrata dall'interfaccia PPP
$IPCHAINS -N ppp-in
$IPCHAINS -A input -i ppp0 -j ppp-in
### PPP-IN chain #################################
# NB: dello spoof protect se ne occupa /etc/init.d/networking
# accept ICMP traffic
$IPCHAINS -A ppp-in -p ICMP -j ACCEPT
# accept ftp connections
$IPCHAINS -A ppp-in -p TCP -d $LOCALIP ftp -j ACCEPT
# accept ssh connections
$IPCHAINS -A ppp-in -p TCP -d $LOCALIP ssh -j ACCEPT
# accept fakebo connections :)  (TCP???)
$IPCHAINS -A ppp-in -p TCP -d $LOCALIP 12345 -j ACCEPT
$IPCHAINS -A ppp-in -p TCP -d $LOCALIP 31337 -j ACCEPT
# accept returning connections
$IPCHAINS -A ppp-in -p TCP ! -y -j ACCEPT
# incoming ftp data
$IPCHAINS -A ppp-in -p TCP --sport ftp-data -d $LOCALIP 1024: -j ACCEPT
# UDP dns
$IPCHAINS -A ppp-in -p UDP --sport domain -d $LOCALIP 1024: -j ACCEPT
# UDP timeserver
$IPCHAINS -A ppp-in -p UDP --sport time -d $LOCALIP 1024: -j ACCEPT
# fanculizza i pacchetti IGMP e PIM di libero
$IPCHAINS -A ppp-in -p 2 -j REJECT
$IPCHAINS -A ppp-in -p 103 -j REJECT
# log anything else
$IPCHAINS -A ppp-in -j REJECT -l
-- 
addio, e grazie per tutto il pesce


God, I ask for patience -- and I want it right now!

>ti consiglio vivamente di scaricarti l'howto in firma di mr.shark ...
ehm, grazie, ma io in firma l'url l'avevo messa... (per la cronaca, per firma si
intende tutto quello che viene dopo "-- " in coda al messaggio). Ciao ;-)
-- 
Vuoi configurare velocemente internet, postfix, fetchmail, procmail,
leafnode, firewall, dns, wwwoffle,  junkbuster, mutt, slrn ed altro?
Visita 
http://mrshark.sourceforge.net
 oppure  
http://mrshark.cjb.net
e scarica il "Quick&Easy Configuration Howto",  piu' i files citati.


e vabbe' .... pero' ti sto facendo una bella pubblicita' ;-))))


Dr. Foobar <pic...@ti.orebil.invalid> wrote:
DF> # log anything else
DF> $IPCHAINS -A ppp-in -j REJECT -l
se ti interessa c'č anche un interessante front-end per ipchains
che si chiama gfcc e va sotto gnome o X,molto simpatico se 
non vuoi stare a editare il file a manina.
ciao.
-- 
"Have fun! Networking is fun, enjoy it." NET-3-HOWTO

 intende tutto quello che viene dopo "-- " in coda al messaggio). Ciao ;-)
Scusa una domanda, ma se io devo adattare il tuo script (che mi pare
ottimo!) a una rete con 2 schede, una interna (eth0) e una esterna (eth1)
pubblica in Internet, mi basta sostituire ppp0 con eth1?
Inoltre sull'IP esterno ho alcuni IP virtuali e in piu' ho l'esigenza di
ruotare alcune porte di questi IP virtuali su macchine interne (per ora ho
adottato ipmasqadm senza grossi problemi, a parte pcANYWARE che non riesco
ancora a farlo "entrare").
Quali modifiche sostanziali dovrei apportare al tuo script?
Grazie in anticipo dei suggerimenti.
Dario Lesca