Newsgroup: it.comp.os.linux.sys
Titolo: iptables e firewall

Ho una macchina linux che fa da server/router per dei computer. Ho
impostato le seguenti regole per il firewall e vorrei sapere perchè
non riesco a raggiungere l' esterno con i client. Mi si fermano al
router, come se non fossero nattati.
INT_IP=`ifconfig ppp0 | grep inet | cut -d : -f 2 | cut -d ' ' -f 1`
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -t nat -A PREROUTING -i ppp0 -s 
127.0.0.0/8
 -j DROP
iptables -t nat -A PREROUTING -i ppp0 -s 
192.168.0.0/16
 -j DROP
iptables -t nat -A PREROUTING -i ppp0 -d $INT_IP -m state --state
ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p ALL -d $INT_IP -m state --state
ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p ALL -i eth1 -s 
192.168.0.0/24
 -j ACCEPT
iptables -A INPUT -p ALL -i lo -s 127.0.0.1 -j ACCEPT
iptables -A INPUT -p ALL -i lo -s 192.168.0.1 -j ACCEPT
iptables -A INPUT -p ALL -i lo -s $INT_IP -j ACCEPT
iptables -A INPUT -p ALL -i eth1 -d 192.168.0.255 -j ACCEPT
iptables -A INPUT -p tcp -i ppp0 -d 192.168.0.255 --destination-port
135:139 -j LOG --log-prefix "NetBios attack:"
iptables -A INPUT -p tcp -i ppp0 -d 192.168.0.255 --destination-port
135:139 -j DROP
iptables -N ok
iptables -N tcpr
iptables -N udpr
iptables -N icmpr
iptables -N badr
iptables -A INPUT -p tcp -i ppp0 -j tcpr
iptables -A INPUT -p udp -i ppp0 -j udpr
iptables -A INPUT -p icmp -i ppp0 -j icmpr
iptables -A tcpr -p tcp -s 
0.0.0.0/0
 -i ppp0 --destination-port 80 -j
ok
iptables -A tcpr -p tcp -s 
0.0.0.0/0
 -i ppp0 --destination-port 22 -j
ok
iptables -A ok -p tcp --syn -j ACCEPT
iptables -A ok -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A ok -p tcp ! -s 
192.168.0.0/24
 -j LOG --log-prefix "Allowed
not in LAN range:"
iptables -A ok -p tcp -j badr
iptables -A udpr -p udp -s 212.216.112.112 -i ppp0 -j ACCEPT
iptables -A udpr -p udp -s 212.216.172.62 -i ppp0 -j ACCEPT
iptables -A udpr -p udp -d 212.216.112.112 -o ppp0 -j ACCEPT
iptables -A udpr -p udp -d 212.216.172.62 -o ppp0 -j ACCEPT
iptables -A udpr -p udp -j DROP
iptables -A icmpr -p icmp --icmp-type destination-unreachable -j
ACCEPT
iptables -A icmpr -p icmp --icmp-type source-quench -j ACCEPT
iptables -A icmpr -p icmp --icmp-type time-exceeded -j ACCEPT
iptables -A icmpr -p icmp --icmp-type parameter-problem -j ACCEPT
iptables -A icmpr -p icmp --icmp-type 8 -j ACCEPT
iptables -A icmpr -p icmp -j DROP
iptables -A badr -p tcp --tcp-flags SYN,ACK SYN,ACK -m state --state
NEW -j REJECT --reject-with tcp-reset
iptables -A badr -p tcp ! --syn -m state --state NEW -j LOG
--log-prefix "New connection not SYN:"
iptables -A badr -p tcp ! --syn -m state --state NEW -j DROP
iptables -t nat -A POSTROUTING -o ppp0 -s 
192.168.0.0/24
 -j MASQUERADE
Vorrei inoltre avere dei suggerimenti per migliorare il firewall e
sapere che ne pensate.
Vi ringrazio anticipatamente.
P.S. Se è possibile preferirei ricevere come risposte delle e-mail.
Tnx! ;)

 Tnx! ;)
spiacente, ormai è tardi ;-)
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)

 sapere che ne pensate.
Come ti ho detto, evita gli script custom ed usa le risorse della tua
distribuzione per alzare ed abbassare il firewall.
Poi, evita di loggare in questo modo, ti riempi inutilmente il dmesg.
-- 
Ciao da Villo    -    GPG public key available
                      Ferrara LUG 
http://ferrara.linux.it
		      Revome "+nospam" for email replies
Protect your Freedom: 
http://www.againsttcpa.com/index.shtml


visto che fai un masquerading direi che se non apri le porte che ti
interessa fare uscire sul forward.........i client non usciranno
mai......quando fai un NAT o un MASQUERADING la catena interssata e'
quella di FORWARD, non quella di OUTPUT.
Bye
********************************
Rimuovi NOSPAM per rispondere
Remove NOSPAM to reply

Ringrazio a tutti per le vostre risposte, provvederò alle modifiche.
Buon lavoro

Ho apportato le modifiche ed è tutto ok.
Vi ringrazio ancora.

Avrei un solo problema ancora da risolvere: ho dei client che
utilizzano il programma per il file sharing Kazaa, ma da quando ho
messo su il firewall non si riesce più a scaricare il materiale.
Ci si connette al server di kazaa, si riescono a trovare i file che si
cercano ma quando si vuole iniziare il download di uno di questi file
dopo pochi secondi cade la connessione e Kazaa prova a cercare altre
fonti per il download dello stesso file (ma poi non ci riesce).
Vorrei sapere quali sono le regole che dovrei aggiungere affinchè i
client possano usufruire di tale servizio.
Vi ringrazio anticipatamente.

 Avrei un solo problema ancora da risolvere: ho dei client che utilizzano

La cosa divertente è che nei vari newsgroup è pieno di gente che cerca di
ottenere l'effetto esattamente opposto e non ci riesce ;-)


 ottenere l'effetto esattamente opposto e non ci riesce ;-)
Ho risolto, avevo Droppato un po troppo.
Le porte interessate da filtrare sono la 1214 e la 1492 quindi a
chiunque possa servire per bloccare kazaa (o non bloccare) eccole qua.
Ciao e buon divertimento ;P

 bloccare kazaa (o non bloccare) eccole qua. Ciao e buon divertimento ;P
Allora bloccavi una versione vecchia di kazaa, perchč quelle nuove non le
fermi manco col badzooka, AFAIK (posto che ancora non mi č capitato di
lottarci...)


 Vi ringrazio ancora.
Alla fine cos'era che bloccava il tutto?


 Alla fine cos'era che bloccava il tutto?
Ho dovuto lavorare un po sul FORWARD