Newsgroup: it.comp.os.linux.sys
Titolo: Come blocco l'ascolto in streaming delle radio in Internet??

Nella mia LAN, volevo bloccare l'ascolto dei canali radio di Windows Media
Player, che regola posso aggiungere a IPTABLES?
La configurazione č:
Router ADSL <-ETH1->MDK 8.2 <-ETH0-> HUB <-->LAN
Grazie 1000
--
LukeNukem


ho inserito questa regola (qui da me è sufficiente conoscendo il livello)
iptables -A FORWARD -s 
0.0.0.0/0
 -d 
windowsmedia.com
 -j DROP
così blocco tutti....
volendo aprire ora ad un solo pc (il mio!)???
Grazie
--
LukeNukem


ne metti una prima:
iptables -A FORWARD -s tuoip/32 -d 
windowsmedia.com
 -j ACCEPT
ciao
-- 
Seti@Home Java Applets
http://maruko.cjb.net/

 ne metti una prima:
Grazie 1000,
ma allora creo dei casini perchè metto le regole invertite!?!?
ossia, se faccio:
iptables -P INPUT DROP
e poi
iptables -A INPUT -i eth0 -s x.x.x.x/32 -j ACCEPT
è impossibile che funzioni???
Devo mettere prima
iptables -A INPUT -i eth0 -s x.x.x.x/32 -j ACCEPT
e poi
iptables -P INPUT DROP
????
Grazie ancora.
--
LukeNukem

 iptables -P INPUT DROP
di solito si, iptables "legge" le regole dalla prima all'ultima.
la prima che viene verifacata interrompe la catena.
Però nell'esempoio sopra si tratta di una policy (-P INPUT), quella per 
definizione, viene processata se nessuna altra regola è soddisfatta 
precedentemente.
puoi usare iptables-save, che ti "sputa" nel video le regole di iptables 
che sono impostate al momento, da li puoi seguire la strada che fa il 
pacchetto e vedere quale è la prima regola che soddisfa le condizioni.
ovviamnete, rigorosamente IMHO
cya
Banana


non t conviene bloccare tutto e poi aprire dei 'buchi' solo per quello che č
consentito?
oppure tutti devono (nota il devono...) fare tutto tranne un paio di cose?
---
Outgoing mail is certified Virus Free.
Checked by AVG anti-virus system (
http://www.grisoft.com
).
Version: 6.0.427 / Virus Database: 240 - Release Date: 06/12/2002


Tutti "possono" (sono i miei soci) tranne un paio di cose.
Grazie 1000
--
LukeNukem


no.
nell'esempio che hai fatto usi -P ossia imposti la policy di default.
Questa policy viene applicata quando nessuna delle regole e'
intervenuta, quindi alla fine.
per quanto riguarda le regole "vere" invece l'ordine conta.


 per quanto riguarda le regole "vere" invece l'ordine conta.
Ma mettendo la regola di policy prima e poi la regola
iptables -A INPUT -i eth0 -s x.x.x.x/32 -j ACCEPT
dopo non mi è più possibile fare nulla su quel server.
dove sbaglio?
--
LukeNukem

 dove sbaglio?
mhh, mi pare strano, non č che puoi postare tutto lo script, che ci 
dimao un'occhiata??? a meno che non sia lungo km e km!
cya
Banana

 Banana
Eccolo....tolgo i commenti così si accorcia....e chissà, facendo un pò di
pulizia generale... ;))
#!/bin/bash
#
#Regole per rc.firewall attivate da IPTABLES
#
#pulisco ogni regola attualmente configurata azzero tutti i contatori
iptables -F
iptables -t nat -F
iptables -X
iptables -Z
#
#Definisco una politica di DROP per la catena di INPUT
iptables -P INPUT DROP
#Definisco una politica di ACCEPT per la catena FORWARD e OUTPUT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
#
#no ICMP
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_all
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
#
#Disabilito i pacchetti indirizzati alla sorgente e i pacchetti ICMP
rediretti
echo "0" > /proc/sys/net/ipv4/conf/eth1/accept_source_route
echo "0" > /proc/sys/net/ipv4/conf/eth1/accept_redirects
#
#abilito l'ignore sui pacchetti ICMP d'errore malformati
echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
echo "1" > /proc/sys/net/ipv4/conf/eth1/log_martians
echo "1" > /proc/sys/net/ipv4/conf/eth1/rp_filter
#
#abilito la protezione dal Syn-flood
echo "1" > /proc/sys/net/ipv4/tcp_syncookies
#
#abilito l'IP forwarding
echo "1" > /proc/sys/net/ipv4/ip_forward
#
#tutta la rete intranet può accedere
iptables -A INPUT -i eth0 -s xxx.xxx.xxx.xxx/32 -j ACCEPT
#
#accetta tutte le connessioni correlate a quella da me iniziata
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
#
#creo una catena per la blacklist
iptables -N blacklist
iptables -A FORWARD -s 
0.0.0.0/0
 -d 
www.deejay.it
 -j blacklist  #con OUTPUT
non funziona
iptables -A FORWARD -s 
0.0.0.0/0
 -d 217.169.112.9 -j blacklist  #con OUTPUT
non funziona
iptables -A FORWARD -s 
0.0.0.0/0
 -d 
www.alfemminile.com
 -j blacklist  #con
OUTPUT non funziona
iptables -A blacklist -j DROP
#
#Creo una catena di protezione dal Syn-flood
iptables -N syn-flood
iptables -A INPUT -i eth1 -p tcp --syn -j syn-flood
#iptables -A syn-flood -m limit --limit 1/s --limit burst 4 -j RETURN
#commentato perchè errore bha!!!
iptables -A syn-flood -j DROP
#
#Scarto i pacchetti che cercano di stabilire una nuova connessione ma che
non sono SYN TCP/IP corretti, nonchè i pacchetti frammentati
iptables -A INPUT -i eth1 -p tcp --syn -j DROP
iptables -A INPUT -i eth1 -m state --state NEW -j DROP
iptables -A INPUT -i eth1 -f -j DROP
#
#Definisco una serie di politiche aggiuntive per prevenire diversi tipi di
spoofing
iptables -A INPUT -i eth1 -s xxx.xxx.xxx.xxx -j DROP
iptables -A INPUT -i eth1 -s 
10.0.0.0/8
 -j DROP
iptables -A INPUT -i eth1 -s 
172.16.0.0/12
 -j DROP
iptables -A INPUT -i eth1 -s 
192.168.0.0/16
 -j DROP
iptables -A INPUT -i eth1 -s 
224.0.0.0/4
 -j DROP
iptables -A INPUT -i eth1 -s 
240.0.0.0/5
 -j DROP
iptables -A INPUT -i eth1 -d 
127.0.0.1/8
 -j DROP
iptables -A INPUT -i eth1 -d xxx.xxx.xxx.255 -j DROP
#
#Port scanner sospetti
iptables -A FORWARD -i eth1 -p tcp --tcp-flags SYN,ACK,FIN,RST RST -j DROP
#
#Ping della morte (Ping of death):
iptables -A FORWARD -p icmp --icmp-type echo-request -j DROP
#
#manda indietro attacchi di s'kiddies ;->
iptables -A INPUT -i eth1 -p udp -m multiport --dport 31337,27374 -j MIRROR
iptables -A INPUT -i eth1 -p tcp -m multiport --dport
27374,1243,12345,20034 -j MIRROR
#
#porte x file sharing, dcc &c.
iptables -A INPUT -i eth1 -p tcp -m multiport --dport
6697,6698,6699,6346,4661,4662 -j ACCEPT
iptables -A INPUT -i eth1 -p udp --dport 4665 -j ACCEPT #donkey
iptables -A INPUT -i eth1 -p tcp --sport 6346 --dport 1023:65535 -j ACCEPT
#
#spedisco pacchetti sulla loopback
iptables -A INPUT -i lo -j ACCEPT
#
#effettuo il mascheramento
iptables -t nat -A POSTROUTING -s xxx.xxx.xxx.xxx/32 -j MASQUERADE
#
#FINE DEL FIREWALL
Grazie ancora a tutti
--
LukeNukem
ps: potete aiutarmi ad implementarlo!?!?

 iptables -t nat -A POSTROUTING -s xxx.xxx.xxx.xxx/32 -j MASQUERADE
Premetto che ho solo dato una letta veloce, (non ho molto tempo)
Sei sicuro dell'esattzza di queste due regole, quello che mi 
insospettisce è  il /32, non mi sembra tu abbia un solo pc da fare 
uscire su internet, prova a settare la netmask corretta,
es:
se la tua lan è 192.168.0.x allora la netmask è 255.255.255.0 cioè /24 
se hai una netmask di tipo 255.255.0.0 alora è /16 ecc, prova un po' a 
vedere se per caso è questa la causa.
cya
Banana


#effettuo il mascheramento
iptables -t nat -A POSTROUTING -s 
192.168.0.0/24
 -j MASQUERADE
č cosě
ma con
iptables -A INPUT -i eth0 -s 
192.168.0.0/24
 -j ACCEPT
se metto davanti
iptables -P INPUT -j DROP
non funziona piů nulla
Grazie ancora
LukeNukem

ACCEPT
io non ce l'ho eppure funziona. il mio script iptables e' una traduzione
di uno script ipchains... dove state non esisteva.


 >ACCEPT
Riposto il mio script.non funzionante:
#!/bin/bash
#
#Regole per rc.firewall attivate da IPTABLES
#
#
#pulisci ogni regola attualmente configurata azzero tutti i contatori
iptables -F
iptables -t nat -F
iptables -X
iptables -Z
#
#Definisco una politica di DROP per INPUT
iptables -P INPUT DROP
#Definisco una politica di ACCEPT per FORWARD e OUTPUT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
#
#no ICMP
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_all
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
#
#Disabilito i pacchetti indirizzati alla sorgente e i pacchetti ICMP
rediretti
echo "0" > /proc/sys/net/ipv4/conf/eth1/accept_source_route
echo "0" > /proc/sys/net/ipv4/conf/eth1/accept_redirects
#
#abilito l'ignore sui pacchetti ICMP d'errore malformati
echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
echo "1" > /proc/sys/net/ipv4/conf/eth1/log_martians
echo "1" > /proc/sys/net/ipv4/conf/eth1/rp_filter
#
#abilito la protezione dal Syn-flood
echo "1" > /proc/sys/net/ipv4/tcp_syncookies
#
#abilito l'IP forwarding
echo "1" > /proc/sys/net/ipv4/ip_forward
#
#tutta la rete intranet puň accedere
iptables -A INPUT -i eth0 -s 
192.168.0.0/24
 -j ACCEPT
iptables -I INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
#
#accetta tutte le connessioni correlate a quella da me iniziata
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
#
#creo una catena per la blacklist
iptables -N blacklist
iptables -A blacklist -j DROP
#
#Creo una catena di protezione dal Syn-flood
iptables -N syn-flood
iptables -A INPUT -i eth1 -p tcp --syn -j syn-flood
iptables -A syn-flood -m limit --limit 1/s --limit-burst 4 -j RETURN
iptables -A syn-flood -j DROP
#
#Scarto i pacchetti che cercano di stabilire una nuova connessione ma che
non sono SYN TCP/IP corretti, nonchč i pacchetti frammentati

#effettuo il mascheramento
iptables -t nat -A POSTROUTING -s 
192.168.0.0/24
 -j MASQUERADE
#
#FINE DEL FIREWALL
Io non ci capisco piů nulla....se lo faccio partire mi si pianta tutto.
--
LukeNukem

 iptables -A INPUT -i eth1 -p tcp --sport 6346 --dport 1023:65535 -j ACCEPT
Secondo me queste regole sono sbagliate poiche' scartavi comunque in
precedenza i pacchetti syn, quindi comunque queste matcherebbero solo con
pacchetti di connessioni ESTABLISHED,RELATED, che accetti gia'.
Se e' cosi' puoi levarle.
Per quanto riguarda il tuo problema di bloccare a tutti tranne al tuo ip
puoi risolvere con:
iptables -A FORWARD -s ! tuo_indirizzo_ip -d 
windowsmedia.com
 -j DROP
/me che in ogni caso la policy di FORWARD la metterei comunque a DROP
-- 
The fish doesn't think ,
cause the fish knows everything
	>>>:/OuZ\:<<<
per rispondermi in mail rimuovere TOGLIQUESTO