Newsgroup: it.comp.os.linux.sys
Titolo: iptables: problema con Alice Flat 640

Salve a tutti e buona Domenica,
qualcuno di voi mi sa dire gentilmente perché la configurazione di
iptables che riporto sotto NON funziona con un mio amico?
"Non funziona" significa che non riesce piů a navigare e stop, come se
avesse tutte quante le porte chiuse.
(Naturalmente, togliendo le regole e settando i default su ACCEPT naviga
benissimo.)
La cosa strana č che abbiamo:
- la stessa distribuzione (Ubuntu Linux 5.10) con gli stessi
aggiornamenti (tutti),
- lo stesso tipo di configurazione (solo ssh aperto al mondo),
- lo stesso provider Adsl (Telecom, con Alice: io ho la flat 4M, lui la
flat 640),
- lo stesso tipo di connessione (via modem ethernet: le interfacce in
gioco sono eth0 e ppp0).
Grazie in anticipo per l'aiuto, saluti.
Marco
=====
# MZ note: found and adapted
*filter
## INPUT
# Set default policy
:INPUT DROP
# Allow all traffic from the loopback interface
-A INPUT -i lo -j ACCEPT
# Drop malicious packages
-A INPUT -p tcp --tcp-flags ALL NONE -j DROP
-A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP
-A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
-A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
-A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j DROP
-A INPUT -p tcp --tcp-flags ACK,FIN FIN -j DROP
-A INPUT -p tcp --tcp-flags ACK,PSH PSH -j DROP
-A INPUT -p tcp --tcp-flags ACK,URG URG -j DROP
# Allow legitimate responses to traffic we generate
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
# Allow ICMP, but disable "echo-request"
-A INPUT -p icmp --icmp-type ! echo-request -j ACCEPT
# Allow SSH connections
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
## FORWARD
# Set default policy
:FORWARD DROP
# Allow all legitimate responses to forwarded traffic
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
## OUTPUT
# Set default policy
:OUTPUT ACCEPT
COMMIT
=====

 iptables che riporto sotto NON funziona con un mio amico?
Mi spieghi se usi la stateful inspection, dove sonole regole per -m state
--state NEW , soprattutto nel FORWARD ?
no howto ? ahiahiahiahi!
Max

 state --state NEW , soprattutto nel FORWARD ?
ho trovato queste informazioni in rete:
http://wiki.linuxquestions.org/wiki/Iptables#Using_stateful_inspection
"
If you are using a laptop or a desktop computer at home, you may want to
prevent any attempt from the outside world to establish a connection with
your computer (assuming that if you want a connection with another
computer, you will establish it yourself). This goal can be accomplished
with the following command.
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
You can allow all outgoing connections originating from your computer with
the following command.
iptables -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
"
ad ogni modo, avevo provato ad aggiungere anche la regola per il NEW, ma
senza risultati...
ammetto di non avere grande esperienza con i firewall (sto studiando
anche per quello :), ma quello che non mi spiego č perché la stessa
configurazione a me va e a lui no...
grazie - ciao,
Marco

 configurazione a me va e a lui no...
Secondo me non č la stessa configurazione !
MAx

> Secondo me non è la stessa configurazione !
ci ho pensato anch'io, ma:
- Ubuntu Linux 5.10 con gli stessi repository e gli stessi aggiornamenti
fatti, cioè tutti quelli presenti,
- stesso servizio attivo (ssh),
- iptables...
- ...con le stesse regole,
- 1 scheda di rete (eth0), 1 modem ethernet ed una connessione ppp0,
- stesso programma usato per la connessione adsl (pon/poff della Ubuntu),
boh... cos'altro può essere!?
ciao,
Marco

 - ...con le stesse regole,
Provato a prendere il file di configurazione che funziona e copiarlo sul
PC bloccato? A volte basta un errore di battitura, eh...
- --
Dario Basile
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.7 (GNU/Linux)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iD8DBQFDyndF7mRkrRsDl/8RAkY2AJ49I0hAJoB1yVqgHhkZX7EDijp69QCg4p+c
73AbPC+x6G4EjqXBq0KAavc=
=zmCB
-----END PGP SIGNATURE-----

 PC bloccato? A volte basta un errore di battitura, eh...
effettivamente la prima volta avevo fatto proprio cosě: gli ho copiato il
mio file di configurazione...
l'unica differenza č questa:
mia scheda di rete:
inet addr:192.168.254.1  Bcast:192.168.254.255 Mask:255.255.255.0
mio modem: 192.168.254.254
sua scheda di rete:
inet addr: 192.168.1.2  Bcast: 192.168.1.255 Mask: 255.255.255.0
suo modem: 192.168.1.1
grazie - ciao,
Marco
p.s.: ovviamente se configuro con "-A INPUT -i ppp0 -j ACCEPT" funziona
tutto benissimo, ma a quel punto tanto vale...

 tutto benissimo, ma a quel punto tanto vale...
Due cose:
1. qual e' lo scopo del FORWARD?
2. se elimini la sezione ''# Drop malicious packages'', che succede?
- --
Dario Basile
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.7 (GNU/Linux)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iD8DBQFDyre57mRkrRsDl/8RAhJLAKDMdbII2jF7bRbSvBZE6Wjx1qfaiACghp74
nvk3DWtCBeiCa8Tz9W5WiJM=
=0icG
-----END PGP SIGNATURE-----

 2. se elimini la sezione ''# Drop malicious packages'', che succede?
ho provato anche questo, e non cambia nulla (non naviga)...
grazie,
Marco

> state --state RELATED,ESTABLISHED -j ACCEPT
in effetti non serve a nulla, diciamo che l'ho lasciata per "analogia" con
un set di regole che mi ero fatto su un'altra macchina Linux che stiamo
configurando ad un corso per sistemisti/sviluppatori che sto seguendo...
ad ogni modo potrei in effetti toglierla...
grazie - ciao,
Marco

 adsl non è ancora attiva ma null'altro)
Si vabbè cazzo
allora dillo che non hai configurato i DNS!
MAx

 ho provato anche questo, e non cambia nulla (non naviga)...
Cerchiamo di procedere con calma. Abbiamo 2 PC. Lo script iptables, per
quanto non perfetto, sul primo PC funziona, sul secondo no. Quindi ci
dev'essere qualche altra differenza, nella configurazione di rete delle
due macchine, oltre all'IP (non puo' essere quello il problema, visto
che in nessuna parte dello script viene richiamato).
Confronta le configurazioni di rete delle due macchine e vedrai che
questa ''differenza che fa la differenza'' la trovi. :-)
- --
Dario Basile
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.7 (GNU/Linux)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iD8DBQFDy9Rt7mRkrRsDl/8RAs0aAKCfvnE/EdTXmokUGe7rEjvrC0ca8QCfckX/
XTTXUFruG20bZlZwfidussQ=
=jg+p
-----END PGP SIGNATURE-----

 questa ''differenza che fa la differenza'' la trovi. :-)
sono sicuro che in effetti sarà una sciocchezza, il problema sarà
trovarla... :)
appena avrò tempo metterò sottosopra il pc del mio amico pur di
risolvere il mistero... :)
grazie, ciao,
Marco

> allora dillo che non hai configurato i DNS!
i DNS li prende automaticamente dalla connessione Alice, infatti
normalmente sia lui che io navighiamo senza problemi,
inoltre, il problema che descrivevo (ntp che da lui si blocca per parecchi
secondi) accade *prima* che la connessione Adsl sia attiva, quindi,
configurati o no i DNS, quell'ntp non farebbe comunque il suo dovere, solo
dovrebbe terminare istantaneamente...
ad ogni modo, Sabato o Domenica conto di trovare mezz'ora di tempo per
mettere a soqquadro il pc del mio amico, come dicevo con Dario Basile... :)
grazie - ciao,
Marco

 secondi) accade *prima* che la connessione Adsl sia attiva, quindi,
E' normale che sia cosě
che kernel c'č su ?
Max

> che kernel c'è su ?
2.6.12
può essere un problema di routing? ovvero, da qualche parte "instrado" il
traffico su un'interfaccia che non c'è (io non ricordo di aver toccato
queste cose, ma non si sa mai di averlo fatto per errore)?
grazie - ciao,
Marco