Newsgroup: it.comp.os.linux.sys
Titolo: Squid, ftp e smtp

Ciao a tutti,
sono da poco riuscito a configurare il mio proxy server Squid
per una piccola LAN, cercando inoltre il modo di definire
con iptables poche ma essenziali politiche di packet-filtering
nel seguente modo:
iptables -P INPUT ACCEPT
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A FORWARD -s 
192.168.0.0/192.168.0.255
 -i eth1 -j ACCEPT
iptables -A FORWARD -d 
192.168.0.0/192.168.0.255
 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -s ! 192.168.0.1 -j REDIRECT --to
192.168.0.1:8080
Non sono certo soddisfatto della politica di input per il firewall
ma non sapevo che fare per permettere il caching del proxy:
che ne pensate? (siate pure sinceri, è la prima volta che uso
iptables).
Comunque, il risultato è il seguente: il proxy http funziona,
mentre quello per ftp no; come mai?
Inoltre non mi funziona il transparent proxy, nonostante
con l'ultima regola di iptables abbia cercato di configurarlo;
su ogni client (win-me) ho infatti dovuto impostare a 8080
la porta su cui è in ascolto il proxy.
Da ultimo, i client non riescono a usare la posta elettronica;
credo che il protocollo SMTP non abbia nulla a che fare con
Squid (o no?), quindi per ora non so che fare per permettere
agli utenti di usare comunque la posta: qualcuno può darmi
una dritta mentre cerco di studiarmi sendmail?
Ciao
Marco


I'm not prejudiced, I hate everyone equally.

Ciao Antonio Barbone,
ho lanciato 'man iptables' da shell e sembra che le espressioni
'
192.168.0.0/24
' e '
192.168.0.0/192.168.0.255
' siano equivalenti.
Piuttosto non ho capito bene la politica di input che mi consigli:
iptables -A INPUT -p tcp -i eth1 -s 
192.168.0.0/24
 --sport 1024:65535 \
-d 
192.168.0.1/32
 --dport 8080 -j ACCEPT
A tradurla, per quanto io riesca a capire (è questo il limite)
sembra voglia dire:
appendi una regola di input in modo che venga accettato ogni
pacchetto tcp che provenga da eth1 (la scheda collegata alla
LAN) spedito dagli utenti 
192.168.0.0/24
 (la LAN) attraverso
tutte le porte comprese nel range 1024:65535
(perché?) e che abbia per destinatari gli utenti da 192.168.0.1
a 192.168.0.32 (perché?) attraverso la porta 8080.
Sembrerebbe che così si voglia definire delle regole di input
per gli utenti della rete locale, mentre sarebbe opportuno
stabilirle per tutto ciò che provenga dall'esterno (eth0)
e che non sia in relazione a richieste che provengono dalla LAN.
Perché poi il range 1024:65535? Dando un'occhiata a '/etc/services':
...
The Well Known Ports are those from 0 through 1023
The Registered Ports are those from 1024 through 49151
The Dynamic and/or Private Ports are those from 49152 through 65535
...
Ho pensato (magari erroneamente) che per l'ftp basterebbe 'aprire'
le porte 20 e 21. Che ne so quali protocolli usano le Registered Ports?
Per SMTP mi sa proprio che devo studiarmi sendmail (o uno a scelta
tra postfix e qmail, come mi avete consigliato).
Marco

 Marco
ciao ... spero di essere stato chiaro ;-))



Certo che sì, ma ...che ce vuoi fà...
c'è sempre un se, sempre un ma
Grazie
Marco

 Marco
ciao ...



Tengo questo suggerimento tra i miei appunti; non so quando potrò
utilizzarlo dato che ho accantonato tutto per (finalmente!) un
lavoro presso un ISP (poveracci) fuori dalla mia città...Non aggiungo altro
per ovvii motivi
Ciao
Marco

 Ciao



Grazie, ma è stato solo un deludente fuoco di paglia...
Scusa se non ho risposto prima ma sono stato occupato da un abbozzo di trasloco
e da quello che ne è seguito.
Ti ringrazio per questa splendida 'corrispondenza' e per le tue generose
spiegazioni, l'ultima pure corredata da un a dir poco esplicativo disegno;
che dire...mi sento pure fortunato, nonostante il valore del newsgroup
che reputo alto.
Ti piace la birra?
Se sì, ti devo una bevuta.
Ciao
Marco

 Marco
ciao ... qualsiasi cosa, a disposizione .... e penso non solo io ...


Mi sento il tenente Colombo...
non vorrei annoiarti troppo ma mi è successa una cosa strana; prima di postare
con un altro oggetto, volevo provare il tuo livello di sopportazione.
Aggiungendo le regole di input che avevamo visto:
iptables -P INPUT DROP
iptables -A INPUT -p tcp -i eth1 -s 
192.168.0.0/24
 --sport 1024:65535 -d 
192.168.0.1/32
 --dport
8080 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp ! --syn --sport 80 -d 
192.168.0.1/32
 --dport 1024:65535 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp ! --syn --sport 443 -d 
192.168.0.1/32
 --dport 1024:65535 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp ! --syn --sport 21 -d 
192.168.0.1/32
 --dport 1024:65535 -j ACCEPT
a xwindows avviato, non compaiono le icone sul desktop e non funziona il tasto
destro del mouse per 5 minuti buoni; inoltre non riesco a fare partire konqueror.
Sembra che alcuni programmi non sopportino queste regole e che ad esse sia
legato il problema, perché scompare se reimposto la politica su ACCEPT.
Hai qualche idea?
Ciao
Marco

 Marco
ciao .... a disposizione per qualsiasi altra cosa ;-))


 vabbe' ... confesso tutto, basta che la finiamo con sta' storia ;-)))
Grazie buon uomo!
Credo di avere gli elementi necessari per proseguire con le indagini
...Ah, senta un pò, le ho raccontato di quella volta che ero al volante
della mia utilitaria e...
Ciao
Marco

 Marco
P.S.
se ti interessa, ti posso mandare in e-mail un paio di firewall con
ipchains che uso su due macchine linux che fanno da gateway/firewall e
altre cosette su una LAN .... se ti interessa, scrivimi alla e-mail qua
sotto ...
