Newsgroup: it.comp.os.linux.sys
Titolo: Samba e Firewall

Ciao, ho appena terminato la configurazione del firewall (IPTABLES), ma mi sono
accorto che samba non funziona piů cioč se da un pc win sfoglio le
risorse di rete vedo il nome del pc linux, ma se provo ad accederci mi
dice che il pc non č raggiungibile ... 
Premetto che INPUT e OUTPUT hanno la policy predefinita DROP
Dopo di che ho inserito
iptables -A INPUT -i eth1 -p tcp - s 
192.168.0.0/24
 - d 192.168.0.254
--dpor 137:139 -j ACCEPT
iptables -A INPUT -i eth1 -p udp - s 
192.168.0.0/24
 - d 192.168.0.254
--dpor 137:139 -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp - d 
192.168.0.0/24
 - s 192.168.0.254
--dpor 137:139 -j ACCEPT
iptables -A OUTPUT -o eth1 -p udp - d 
192.168.0.0/24
 - s 192.168.0.254
--dpor 137:139 -j ACCEPT
in questo modo riesco a vedere il nome della macchina linux su risorse di
rete di win, ma non riesco ad accederci. Se perň mi connetto con il
numero ip  \\192.168.0.254\risorsa condivisa riesco ad entrare.
Quindi mi immagino che il problema stia nella risoluzione del nome
N.B. non ho dns interno
all'ora ho inserito un'ulteriore regola
iptables -A INPUT -i eth1 -p udp -j ACCEPT
e come per magia funziona.
Vorrei evitare comunque di lasciare il transito di tutti i pacchetti udp
tra la mia rete interna e la maccina linux che mi fa da firewall e da
file server.
Spero di avervi dato tutte le info necessarie per aiutarmi
Grazie
Confiurazione attuale
eth1 sulla rete interna
eth0 modem adsl (internet)

se sei abbastanza sicuro degli utenti della tua lan puoi sempre aprire tutte
le porte (almeno quelle tcp , poi se vuoi puoi aprire le udp necessarie) ,
in quanto credo che il fantastico winzozz apre anche altre porte per poter
"sfogliare la rete"
ciao

un estratto dal mio /etc/services
netbios-ns      137/tcp    NETBIOS Name Service
netbios-ns      137/udp    NETBIOS Name Service
netbios-dgm     138/tcp    NETBIOS Datagram Service
netbios-dgm     138/udp    NETBIOS Datagram Service
netbios-ssn     139/tcp    NETBIOS Session Service
netbios-ssn     139/udp    NETBIOS Session Service
ciao

non dovrebbero essercene altre di porte....
metti queste regole nel firewall :
$FW -F LOGDROP
$FW -A LOGDROP -p TCP -j LOG --log-level info --log-prefix "TCP Drop "
$FW -A LOGDROP -p UDP -j LOG --log-level info --log-prefix "UDP Drop "
$FW -A LOGDROP -p ICMP -j LOG --log-level info --log-prefix "ICMP Drop "
$FW -A LOGDROP -f -j LOG --log-level emerg --log-prefix "FRAG Drop "
$FW -A LOGDROP -j DROP
$FW -A INPUT -j LOGDROP
$FW -A OUTPUT -j LOGDROP
$FW -A FORWARD -j LOGDROP
in modo da loggare i pacchetti droppari in syslog o messages (a
configurazione standard di syslogd.conf)
capisci subito quale č stato il pacchetto scartato.....


ha scritto:

Le tue impostazioni mi sono servite, grazie
ma c'č una cosa che non mi č chiara: tramite i msg dei log capivo che
l'ip destinatario era 192.168.0.255, quando il pc con linux sulla eth1
ha come indirizzo 192.168.0.254, infatti per farlo funzionare ho fatto
$FW -A INPUT -i eth1 -p tcp -s 
192.168.0.0/24
 -d 192.168.0.255 --dport
137:139 -j ACCEPT
$FW -A INPUT -i eth1 -p udp -s 
192.168.0.0/24
 -d 192.168.0.255 --dport
137:139 -j ACCEPT
$FW -A INPUT -i eth1 -p tcp -s 
192.168.0.0/24
 -d 192.168.0.255 --sport
137:139 -j ACCEPT
$FW -A INPUT -i eth1 -p udp -s 
192.168.0.0/24
 -d 192.168.0.255 --sport
137:139 -j ACCEPT
Mi sapete dire come mai il dest era come ip 192.168.0.255 quando samba č
montato su 192.168.0.254 ?????
Grazie ancora

 Grazie ancora
1) 192.168.0.255 è il broadcast di rete C della tua sottorete !!!
2) il fatto che un pacchetto di questo tipo vada nello stack tcp della tua
macchina nella coda di input è perchè quella macchina accetta quel pacchetto
come suo !

 wrote in message
news:20020304.155414...@aldrovandi.it...


Le regole non sono sufficienti.
Per abilitare samba in ingresso da una sottorete usa queste:
ip_server:	ip con netmask del server samba
ip_rete:	ip con netmask della sottorete da abilitare in ingresso
# NetBT:
iptables -t filter -A INPUT -i eth0 -j ACCEPT -p udp --sport 1024: --dport 
138 -s ip_rete-d ip_server
iptables -t filter -A OUTPUT -o eth0 -j ACCEPT -p udp --sport 138 --dport 
1024: -s ip_server -d ip_rete
iptables -t filter -A INPUT -i eth0 -j ACCEPT -p tcp --sport 1024: --dport 
139 -s ip_rete -d ip_server
iptables -t filter -A OUTPUT -o eth0 -j ACCEPT -p tcp --sport 139 --dport 
1024: ! --syn -s ip_server -d ip_rete
# SMB:
iptables -t filter -A INPUT -i eth0 -j ACCEPT -p tcp --sport 1024: --dport 
139 -s ip_rete -d ip_server
iptables -t filter -A INPUT -i eth0 -j ACCEPT -p tcp --sport 1024: --dport 
445 -s ip_rete -d ip_server
iptables -t filter -A OUTPUT -o eth0 -j ACCEPT -p tcp --sport 139 --dport 
1024: ! --syn -s ip_server -d ip_rete
iptables -t filter -A OUTPUT -o eth0 -j ACCEPT -p tcp --sport 445 --dport 
1024: ! --syn -s ip_server -d ip_rete
iptables -t filter -A INPUT -i eth0 -j ACCEPT -p udp --sport 1024: --dport 
138 -s ip_rete -d ip_server
iptables -t filter -A INPUT -i eth0 -j ACCEPT -p udp --sport 1024: --dport 
445 -s ip_rete -d ip_server
iptables -t filter -A OUTPUT -o eth0 -j ACCEPT -p udp --sport 138 --dport 
1024: -s ip_server -d ip_rete
iptables -t filter -A OUTPUT -o eth0 -j ACCEPT -p udp --sport 445 --dport 
1024: -s ip_server -d ip_rete
-- 
Luca Giuranna