Newsgroup: it.comp.os.linux.sys
Titolo: Problema con transparent proxy e firewall

Ciao a tutti,
HO un server che sto mettendo su e vorrei configurare per il transparent 
proxying e con il firewall chiudere tutte le altre porte.
Con il firewall cosě configurato le connessioni html su linea "protetta", la 
posta con i siti esterni (pop ma probabilmente anche smtp), le news non 
funzionano. Immagino che anche altri servizi.
Quindi sembra che
Attualmente il firewall č cosě configurato:
$IPTABLES -P INPUT DROP
$IPTABLES -F INPUT
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -F OUTPUT
$IPTABLES -P FORWARD DROP
$IPTABLES -F FORWARD
$IPTABLES -t nat -F
#$IPTABLES -A OUTPUT -s 192.168.1.80 d !
192.168.1.0/24
 -j DROP
# Configurazione transparent proxy
#
#$IPTABLES -t nat -A PREROUTING -p tcp -d localhost --dport 80 -j ACCEPT
#$IPTABLES -t nat -A PREROUTING -p tcp -d / --dport 80 -j ACCEPT
$IPTABLES -t nat -A PREROUTING -i $INTIF -p tcp --dport 80 -j 
REDIRECT --to-port 3128
#Accept local samba connections
$IPTABLES -A INPUT -p tcp --syn -s $LOCALNET --destination-port 139 -j 
ACCEPT
#$IPTABLES -A INPUT -p tcp --syn -s trancas --destination-port 139 -j ACCEPT
# SSH
#
$IPTABLES -A INPUT  -i $INTIF  -p tcp  --dport ssh -j ACCEPT
$IPTABLES -A INPUT  -i $INTIF  -p udp  --dport ssh -j ACCEPT
#
#$IPTABLES -A INPUT  -i $INTIF  -p tcp  --dport http -j ACCEPT
#$IPTABLES -A INPUT  -i $INTIF  -p udp  --dport http -j ACCEPT
# DNS
#
$IPTABLES -A INPUT  -i $INTIF  -p tcp  --dport domain -j ACCEPT
$IPTABLES -A INPUT  -i $INTIF  -p udp  --dport domain -j ACCEPT
# FTP
#
$IPTABLES -A INPUT  -i $INTIF  -p tcp  --dport ftp -j ACCEPT
$IPTABLES -A INPUT  -i $INTIF  -p udp  --dport ftp -j ACCEPT
#
$IPTABLES -A INPUT  -i $INTIF  -p tcp  --dport squid -j ACCEPT
$IPTABLES -A INPUT  -i $INTIF  -p udp  --dport squid -j ACCEPT
# Drop all other connection attempts. Only connections defined above are 
allowed.
#$IPTABLES -P INPUT DROP
# Samba
$IPTABLES -A INPUT   -i $INTIF  -p tcp --dport netbios-ns -j    ACCEPT
$IPTABLES -A INPUT   -i $INTIF  -p udp --dport netbios-ns -j    ACCEPT
$IPTABLES -A INPUT   -i $INTIF  -p tcp --dport netbios-dgm -j   ACCEPT
$IPTABLES -A INPUT   -i $INTIF  -p udp --dport netbios-dgm -j   ACCEPT
$IPTABLES -A INPUT   -i $INTIF  -p tcp --dport netbios-ssn -j   ACCEPT
$IPTABLES -A INPUT   -i $INTIF  -p udp --dport netbios-ssn -j   ACCEPT
$IPTABLES -A INPUT   -i $INTIF  -p tcp --dport microsoft-ds -j  ACCEPT
$IPTABLES -A INPUT   -i $INTIF  -p udp --dport microsoft-ds -j  ACCEPT
echo "   FWD: Allow all connections OUT and only existing and related ones 
IN"
$IPTABLES -A FORWARD -i $EXTIF -o $INTIF -m state --state 
ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -j LOG
echo "   Enabling SNAT (MASQUERADE) functionality on $EXTIF"
$IPTABLES -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE
#--------------------- FINE -------------------
Per certo non sono riuscito piů ad utilizzare il collegamento con alcuni 
siti di banche per la visualizzazione del conto corrente...
Confido nei vostri consigli perché non so piů a quale Santo girarmi...
Grazie
Giulio

 REDIRECT --to-port 3128
Ok ma cosi facendo giri solo la porta 80 non protetta.
Le banche non ti vanno perche usano il protocollo https che risponde
sulla 443
Metti
$IPTABLES -A FORWARD -i $INTIF -o $EXTIF -p tcp --dport 443 -j ACCEPT
in questo modo giri la porta 443 senza farla passare dal proxy.
Per le news che non ti vanno, come al solito, devi mettere la loro
porta nella catena di forward. non mi chiedere quale porta sia perche
non le ho mai usate via client.
Comunque ti conviene fare una cosa di sto tipo
TCP_FORWARD="21,22,443,PORTA_DELLE_NEWS"
UDP_FORWARD=""
iptables -A FORWARD -i $INTIF -o $EXTIF -p tcp -m multiport --dport
$TCP_FORWARD -j ACCEPT
iptables -A FORWARD -i $INTIF -o $EXTIF -p udp -m multiport --dport
$UDP_FORWARD -j ACCEPT
cosi metti tutte le porte che ti servono (in questo caso: ftp, ssh,
443, news)nella variabile e le attivi tutte in una volta con sole 2
righe.
Ciao.

Dimenticato di dirti che la posta usa le porte
25
e
110
per l'invio e la ricezione........se non le metti non va di sicuro....
Ciao

 119
Grazie a tutti :-)
Sono stato fuori (non di testa :-) ora provo e studio meglio...
Ci sono argomenti ostici? Per me uno č questo. Almeno l'approccio.
Le regole in sé non sono difficili, ma ancora non afferro quale va prima, 
quale dopo... almeno non in maniera cosě chiara.
Il poco tempo non aiuta, la notte non sono piů troppo abituato a "studiare" 
.
Ma mi impegnerň di piů.
Grazie
Ancora
Giulio 

 non le ho mai usate via client.
119