Newsgroup: it.comp.os.linux.sys
Titolo: iptables: blocco in uscita per uid

Ciao,
quale può essere un metodo efficace per bloccare tutte le
connessioni (new) in uscita a partire da un dato uid?
 
ad esempio, tutti gli uid > 1024 non dovrebbero poter creare
nuove connessioni in uscita, l'unica cosa autorizzata deve
essere la risposta a quelle established.
 
-- 
Tu non puoi passare!
Sono un servitore del fuoco segreto e reggo la fiamma di Anor!
Il fuoco oscuro non ti servirà a nulla, fiamma di Udur!
Ritorna nell'ombra! TU NON PUOI PASSARE!

 essere la risposta a quelle established.
 
Non vedo il problema:
 
iptables -A OUTPUT -p tcp -m owner --uid-owner 1024-65535 -m state
--state NEW -j REJECT
 
 
tuttavia occhio che magari quell'utente deve far risolvere qualcosa al
DNS, per dire...
 
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/
 


 
bhe il DNS non è tcp...

 bhe il DNS non è tcp...
 
1) sbagliato
2) era solo un esempio..

 DNS, per dire...
 
Uhm, premesso che tolto una manciata di miei utenti con uid > 1024 (a
cui
farò bypassare il filtro) tutti gli altri non dovrebbero richiedere
nulla
esternamente. Le risposte a richieste provenienti da fuori sono fuori
filtro,
eventuali risoluzioni dns, invece... boh, non dovrebbero esistere in
caso di
risposta a connessioni già esistenti ed iniziate da fuori.
 
E comunque, i dns sono miei, il filtro di cui sopra sarà applicato a
tutto
ciò che va in output fuori dalla mia rete, pertanto dns esclusi.
Ma anche se fossero soggetti a filtro, non dovrebbero servire, o
sbaglio?
Sopra uid 1024 c'è solo php-fpm, l'ftp e mi pare nient'altro. Nessuno
dovrebbe
aver bisogno di usare il dns.

 2) era solo un esempio..
non voleva essere una critica

 non voleva essere una critica
 
Tranquillo, non l'ho intesa come tale...

 --state NEW -j REJECT
 
Funge perfettamente.
Subito sopra ho messo un ACCEPT esplicito verso la 53 (udp,tcp) sui
dns di google (vengono usati nel caso i miei non fossero raggiungibili)
 
-- 
Tu non puoi passare!
Sono un servitore del fuoco segreto e reggo la fiamma di Anor!
Il fuoco oscuro non ti servirï¿œ a nulla, fiamma di Udur!


 bhe il DNS non è tcp...
 
"The Transmission Control Protocol (TCP) is used when the response data size exceeds 512 bytes"

 dns di google (vengono usati nel caso i miei non fossero raggiungibili)
 
Ma non ne avevamo parlato di recente? :)

 Ma non ne avevamo parlato di recente? :)
 
Dei dns? Non ricordo.
Del blocco in uscita, si, ma:
1) si sa che sono un coglione
2) dovevo fare altro, bloccare un range "da-a" ed invece
in questo caso dovevo bloccare un range "a partire da", ma
il punto 1 è sempre valido, non avevo considerato il limite di uid :)
E comunuqe sarebbe bastato usare un range sufficientemente ampio
per risolvere il problema anche nel caso gli uid fossero infiniti.
Es: 1000:5000, non avrò mai più di 5000 utenti.
 
 
-- 
Tu non puoi passare!
Sono un servitore del fuoco segreto e reggo la fiamma di Anor!
Il fuoco oscuro non ti servirà a nulla, fiamma di Udur!


 ;-)
 
grazie mille, gentilissimo.
complimenti per il sito molto interessante.



grazie