Newsgroup: it.comp.os.linux.sys
Titolo: IPCHAINS

Ho un server ed ho appena installato la RH73, configurato il tutto etc
etc...
Ho poi aggiunto lo squid  settato su porta 3128
Ho provato a configurare il firewal con lokkit ma mi sono subito reso conto
che è un pò "troppo" spiccio...
Allora mi sono documentato un pò..... ora però ho qualche problema...
Quel server detiene un paio di domini, un pò di caselle di posta con
sendmail e imap dei rispettivi domini, un dns server, lo squid, l'ftp, il
pop3  e niente altro..... ne dhcp, ne ip mask ne nat... è solo un puro
server.
Siccome non me ne intendo molto ho appena iniziato, ho giocato un pò con il
file ipchains ed ho fatto i miei esperimenti....
Ho per esempio provato a chiudere tutto ed aprire solo:
53 tcp per il dns
80 tcp per il www
23 tcp per il telnet
21 tcp per ftp
110 tcp per il pop3
3128 per lo squid
Però spulciando quà e la,,, credo che bisogni abilitare anche gli ICMP vero?
se si come? ovvero tutti? qualcuno ?  io vorrei che dall'esterno non fosse
pingabile, e quello pensavo di farlo con ! davanti ai miei ip così se sono
io per diagnosi a pingare funge se è l'esterno a farlo no.
io in tutti ho messo -A input -s 0/0 -d 0/0 la porta -p il protocollo che
nel mio caso è sempre il tcp
però mi sono reso conto che lo squid e l'ftp non funzionano bene... ovvero
quando abilito il firewall se da una macchina windows cerco di andare in
internet tramite proxy ci mette una vita.... ed il sito, anche se corposo
arriva tutto in una volta come se prima lo scaricasse lo squid e dopo me lo
inviasse a me... cosa che se disabilito ipchains il sito mi arriva
normalmente se non è in cache e se è in cache in qualche attimo.....
Per ftp, mi si blocca appena dopo la cnx e ed il primo cwd mi dice che non
può aprire una connessione data, anche se sono già autenticato e rimani li
bloccato... ovviamente se disabilito il fire tutto ok...
Qualcuno mi chiarisce le idee? ehehe sto studiando, davvero ma in una
settimana non riesco ad andare avanti da solo...
grazie e saluti

 ha scritto nel messaggio
news:am2k58$2ch$1...@lacerta.tiscalinet.it...
intanto, visto che hai una rh 7.3 che di default ha il kernel 2.4.18, io
userei iptables e non ipchains (che era per in kernel 2.2.x) cmq č una
questione di gusti (io ritengo iptables pių sicuro)
il problema dell'ftp č un problema di connection traking molto noto,
nelle connessioni ftp in *passive* *mode*, sia il cliente che il servente,
dopo aver "dialogato un po'" nella porta 21, per il trasferimento di file
aprono ognuno una porta casuale, (in iptables esistono i moduli
ip_conntrack_ftp e ip_nat_ftp per risolvere il problema, in ipchains non
so), poi mi sembra che per il dns server ci voglia la porta 53 sia tcp che
*udp*
cmq leggi un po' di roba su iptables, di doc ce ne sono tanti, anche in
italiano, 
www.netfilter.org
cya
Andrea


I'm not prejudiced, I hate everyone equally.

 
se hai bind che gira sulla tua macchine e devi mettere in named.conf
    query-source address * port 53;
in questo modo lui fa le queri al resto del mondo usando la 53 (udp) e 
quindi il resto del mondo gli risponde su quella... che avrai lasciata 
aperta sia per tcp che per udp..
ciao


Ciao, ho visto il sito in questione ma è tutto in inglese........ hai
qualcosa in ita?
poi visto che sicuramente lo usi, mi sai dire dovè il file di conf? cioè
ipchains salva tutto in /etc/sysconfig/ipchains io edito il file manualmente
e poi rilancio il demone... con iptables dovrei fare tutto da riga di
comando?
Ciao

 poi visto che sicuramente lo usi, mi sai dire dovè il file di conf? cioè
no, con iptables hai tre strade, abilitare l'utilizzo del file di default
(almeno in debian) ma te lo sconsiglio vivamente, è un po' difficile da
gestire, puoi creare uno script con le varie regole messe in successione e
poi lincarlo nelle varie /etc/rcX.d/ (IMHO il modo migliore) che puoi
gestire come vuoi, oppure inserire la prima volta le regole a mano e poi
usare "iptables-save" ed "iptables-restore"
cmq, scaricati gli HOWTO, soprattutto il packet filtering HOWTO e leggili,
poi anche "man iptables" "man iptables-save" man iptables-restore" possono
esserti d'aiuto.
buon lavoro
Andrea

 usare "iptables-save" ed "iptables-restore"
Ti ringrazio per l'esauriente risposta, domani ci studierò un pò sopra....
Volevo però la conferma:  non c'è un file di testo da poter editare a
piacimento come in ipchains ma mi tocca usare le sue utility (che io reputo
scomode) ?
Quando fai iptables-save dove salva?
ciao

 ciao
ciao
comunque forse è meglio che ti documenti un po', quello che ti ho detto c'è 
scritto anche nei ari howto. :-)
regards